Техническое задание
Требования безопасности
Требования ТЗ к RBAC, аутентификации, защите данных, ИБ-документам и логированию.
Требования разделов 8 и 12.3 ТЗ.
Как эти требования реализуются
Принятые меры безопасности в реализации — WAF, изоляция NEURO CORE, обезличивание перед LLM — описаны в Безопасности эксплуатации.
Авторизация и доступы (RBAC)
Нужно реализовать:
- RBAC — ролевую модель доступа;
- разграничение по школе;
- разграничение по муниципалитету;
- разграничение по организации;
- разграничение по типу данных;
- отдельные права на просмотр персональных данных;
- отдельные права на экспорт;
- отдельные права на аналитику;
- отдельные права на управление согласиями.
Аутентификация
Возможные способы и меры:
- логин/пароль;
- одноразовый код для обезличенного прохождения;
- e-mail / телефон;
- ЕСИА — если будет принято решение;
- двухфакторная авторизация для администраторов;
- обязательная смена временного пароля;
- ограничение попыток входа;
- rate limiting;
- капча на публичных формах.
Защита данных
Необходимо предусмотреть:
- HTTPS;
- шифрование чувствительных данных на уровне БД или приложения;
password_hashтолько через современные алгоритмы;- разделение обезличенных и персональных данных;
- минимизацию персональных данных;
- маскирование данных в интерфейсе;
- ограничение экспорта;
- водяные знаки / маркировку выгрузок при необходимости;
- журналирование доступа к персональным данным;
- защиту от массового скачивания;
- резервное копирование;
- контроль восстановления из бэкапов;
- регламент удаления данных;
- регламент отзыва согласия.
ИБ-документы
| Документ | Зачем |
|---|---|
| Модель угроз | Определяет, от чего защищаемся |
| Модель нарушителя | Определяет, от кого защищаемся |
| Классификация ИСПДн | Задаёт уровень защищённости системы персональных данных |
| Политика обработки персональных данных | Публичное основание обработки ПДн |
| Положение об обезличенной аналитике | Правила работы с обезличенными данными |
| Регламент доступа | Кто и к чему имеет доступ |
| Регламент резервного копирования | Порядок и периодичность бэкапов |
| Регламент реагирования на инциденты | Действия при утечках и атаках |
| Регламент удаления данных | Порядок удаления данных по запросу и по сроку |
| Регламент передачи данных третьим лицам | Условия и порядок передачи ПДн |
| Журнал учёта обращений субъектов ПДн | Фиксация обращений граждан по их данным |
| Документы по назначению ответственных лиц | Персональная ответственность за ПДн и ИБ |
Логирование
Логировать:
- авторизацию;
- ошибки;
- запросы к ИИ;
- создание / изменение / удаление данных;
- доступ к персональным данным;
- выгрузки;
- изменение согласий;
- действия администраторов;
- передачу данных третьим лицам.