Вопрос-ответ

К какому классу типовых информационных систем следует относить информационные системы, которые подключены к открытым каналам передачи данных и в которых обрабатываются (хранятся) в электронном виде фотографии граждан?

Согласно приложению 1 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утвержденному приказом Оперативно-аналитического центра при Президенте Республики Беларусь от 20 февраля 2020 г. № 66, подключенные к открытым каналам передачи данных информационные системы, в которых обрабатываются биометрические и генетические персональные данные, относятся к классу «3-бг».

Определения биометрических и генетических персональных данных закреплены в статье 1 Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных». В частности, к биометрическим персональным данным относится информация, характеризующая физиологические и биологические особенности человека, которая используется для его уникальной идентификации (отпечатки пальцев рук, ладоней, радужная оболочка глаза, характеристики лица и его изображение и другое).

В этой связи не требуется отнесение информационных систем, в которых хранятся, но не используются для уникальной идентификации персональные данные граждан, в том числе их изображения (фотографии), к классу «3-бг» типовых информационных систем.

Является ли обязательным требование использования системы сбора и обработки данных событий информационной безопасности (SIEM) в целях обеспечения сбора и хранения информации о событиях информационной безопасности?

Для соблюдения требований приказа ОАЦ от 20 февраля 2020 г. № 66 «О мерах по реализации Указа Президента Республики Беларусь от 9 декабря 2019 г. № 449» (далее – приказ) собственник (владелец) информационных систем обязан выполнить комплекс мероприятий по технической и криптографической защите информации. Кроме того, в зависимости от типового класса, к которому отнесена информационная система, должны быть реализованы требования к системе защиты информации, изложенные в приложении 3 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утвержденному приказом. При этом обязательным является требование по централизованному сбору и хранению информации о событиях информационной безопасности. Одним из вариантов вышеуказанного требования может использоваться система сбора и обработки данных событий информационной безопасности (SIEM).