Лившиц Илья Иосифович, доктор технических наук, профессор практики,
197101, г. Санкт-Петербург, Кронверкский проспект, д. 49
Ilya I. Livshits, Dr. Sci.(Eng.), Prof. of Practice,
49 Kronverksky Ave., St. Petersburg 197101
Цель. Проблема защиты персональных данных (ПДн) продолжает оставаться актуальной даже несмотря на более чем значительное количество нормативной документации, разработанной различными регуляторами. Целью исследования является разработка методов оценки риска утечки персональных данных от атак злоумышленников по каналам поставщиков.
Метод. В представленной работе исследуется проблема защиты ПДн в информационных системах ВУЗов через сторонние каналы – поставщиков сервисов (supply chain attack), которые, в большинстве случаев, недостаточно изучены экспертами в области информационной безопасности.
Результат. В отличие от известных «коммерческих» предложений, предусматривающих внедрение новых мер защиты (ограниченных только бюджетом), предлагается применять метод оценки рисков утечки ПДн по всем существующим каналам циркуляции ПДн, а не только для простейшего формализованного выполнения требований владельца ПДн. Акцент представленной работы сделан на обеспечении защиты ПДн для ВУЗов в РФ. Изучены несколько каналов распространения ПДн по основным критическим направлениям (предоставления учебного контента, данных абитуриентов и их представителей, запросов работодателей и пр.).
Вывод. Представленные результаты могут быть востребованы как в учебном процессе для программ обучения по специальности «Информационная безопасность», так и экспертами, занимающимися практическими аспектами обеспечения защиты ПДн в ВУЗах.
Objective. The problem of personal data (PD) protection continues to be relevant even despite the more than significant amount of regulatory documentation developed by various regulators. The aim of the study is to develop methods for assessing the risk of personal data leakage from malicious attacks through supplier channels.
Method. The presented paper examines the problem of protecting personal data in information systems of universities through third–party channels – service providers (supply chain attack), which, in most cases, have not been sufficiently studied by experts in the field of IT-security.
Result. Unlike the well-known "commercial" proposals providing for the introduction of new and new countermeasures (limited only by the budget), it is proposed to apply the method of assessing the risks of PD leakage through all existing PD circulation channels, and not only for the simplest formalized fulfillment of the requirements of the PD owner. The focus of the presented work is on ensuring the protection of PD for Universities in the Russian Federation, accordingly, several channels for the dissemination of PD in the main critical areas (provision of educational content, data of applicants and their representatives, requests from employers, etc.) were studied.
Conclusion. The presented results can be in demand both in the educational process for University programs in the specialty "Information Security", and by experts dealing with practical aspects of ensuring the protection of PD in Universities.
The authors declare that there are no conflicts of interest present.