Система ТАНДЕМ.Университет является прикладным решением и должна функционировать в инфраструктуре защищенного аппаратно-программного комплекса (АПК) образовательной организации, в соответствии с требованиями Федерального законодательства по защите Персональных данных (ПДн). При этом образовательная организация (оператор ПДн) самостоятельно определяет требуемый класс защиты АПК в целом и выбирает те или иные методы реализации зашиты для всего комплекса программно-технических средств конкретной инсталляции.

В системе ТАНДЕМ.Университет предусмотрен следующий инструментальный набор, обеспечивающий общую безопасность решения:

• обязательная аутентификация пользователей с использованием паролей и/или сертификатов. При необходимости эти методы могут быть дополнены аутентификацией при помощи аппаратных средств (CardReader, электронные USB ключи, магнитные ключи и прочее);
• жесткое разграничение прав доступа к объектам системы на основе ролевой модели прав;
• исключение возможности записи компонентов системы на компьютер пользователя;
• отсутствие исполняемых на компьютере пользователя сценариев (например, ActiveX);
• возможность подключения пользователя к системе по защищенному зашифрованному каналу (например, SSL);
• отсутствие доступа пользователя к СУБД – пользователь не работает напрямую с СУБД (система ТАНДЕМ.Университет является web-ориентированным решением, с доступом через web-браузер (тонкий клиент);
• использование исключительно методов и средств не требующих понижения уровня безопасности серверного и клиентского программного обеспечения;
• использование свободно распространяемого программного обеспечения с открытыми исходными кодами, строго соответствующего промышленным стандартам;
• использование ролевой модели разграничения прав доступа к объектам системы. Разграничение прав доступа к данным осуществляется на основе ролевой модели прав;
• использование терминального режима доступа. Клиентская часть системы ТАНДЕМ.Университет использует режим тонкого клиента, что исключает запись или хранение объектов системы на персональном компьютере пользователя;
• журналирование и возможность аудита доступа к объектам системы. Журнал изменений объектов фиксирует все попытки нарушения режима безопасности и позволяет превентивно реагировать на них.

При развертывании системы ТАНДЕМ.Университет в рамках АПК образовательной организации рекомендуется придерживаться следующих правил:

• Установку системы необходимо выполнить на выделенном физическом или виртуальном сервере (можно разнести приложение и базу данных по двум разным серверам, что обеспечит большую гибкость и надежность решения с точки зрения защиты и общей скорости доступа) в соответствии с требованиями к аппаратной части.
• Помещение для размещения серверного оборудования должно являться выделенным серверным помещением организации, с соответствующими ограничениями режима доступа персонала (наличие дверей, замков, ОПС, обеспечение температурного режима и режима влажности, систем бесперебойного и резервного электропитания, отсутствие постороннего оборудования и персонала) и контролем за его исполнением (документы, регламентирующие уровень доступа персонала), при отсутствии специального серверного помещения – отдельным помещением с ограничением доступа. Внутренними приказами (или иными локальными нормативными документами) должен быть определен перечень сотрудников, ответственных за администрирование системы и работу с ней.
• Доступ к системе обеспечить с обязательным использованием парольной защиты в операционной системе, ограничение доступа к информации, содержащей персональные данные, а также к другой конфиденциальной информации ограниченного использования. Ограничить (по возможности) или усилить безопасность внешнего терминального доступа к операционной системе в режиме привилегированного пользователя (администратора).
• Настройками модулей системы обеспечить доступ сотрудников только к той части информации и к тем функциям и модулям, которые необходимы им для непосредственного выполнения служебных обязанностей согласно должностным инструкциям.
• При необходимости доступа к системе из внешней сети предусмотреть организацию защиты передаваемых данных (например, через VPN или SSH-подключение), либо ограничить доступ к передаваемой через открытые каналы информации таким образом, чтобы она не содержала персональных данных.

При соблюдении этих правил рабочие места пользователей будут фактически функционировать в режиме «тонкого» клиента (не хранить и не обрабатывать данные, в том числе персональные) и не требовать дополнительной обязательной аттестации.