Программа защиты персональных данных на предприятии

Как защитить персональные данные сотрудников и не попасть на повышение штрафов с 1 июля 2017 года

ФИО и любая другая личная информация о гражданине – это персональные данные. Если у компании есть сотрудники, либо хранятся персональные данные клиентов или других физических лиц, она должна выполнять требования Федерального закона № 152-ФЗ «О персональных данных». За их соблюдением строго следит Роскомнадзор. Требований много, и ответственность за их несоблюдение предусмотрена серьезная.

Как защитить персональные данные сотрудников и клиентов и правильно организовать работу с персональными данными, чтобы избежать штрафов, читайте в нашей публикации.

Что такое персональные данные?

Согласно закону № 152-ФЗ, персональные данные – это любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу. То есть о персональных данных можно говорить, если по информации или ее совокупности можно понять, о ком именно идет речь. Если же идентифицировать личность нельзя, то такие сведения нельзя отнести к персональным данным.

Исчерпывающего списка персональных данных в законодательстве не приводится. Относятся данные к персональным или не относятся, решается в каждой ситуации отдельно.

Но обычно к ним принято относить:

• фамилию, имя, отчество;
• адрес проживания;
• электронный адрес;
• номер телефона;
• дата рождения;
• место рождения;
• национальность;
• вероисповедание;
• место работы;
• должность;
• рост;
• вес;
• и т.д.

Как должен защищать персональные данные отдел кадров

Обязанности в сфере защиты персональных данных отделом кадров четко прописаны в главе 14 Трудового кодекса РФ и ст. 18.1 Закона № 152-ФЗ.

Итак, кадровым сотрудникам следует:

1. Проходить обучение, повышать квалификацию по обработке персональных данных (если работодатель ответственно относится к вопросу соблюдения кадровой службой законодательства о персональных данных – он потратится на учебу).
2. Осуществлять все действия с персональными данными (документами, содержащими персональные данные) только с письменного согласия работника. Кстати, сообщение информации о работе того или иного сотрудника кредитным организациям по телефону также должно быть произведено только с письменного согласия работника.
3. Знакомить перед заключением трудового договора сотрудников с локальным нормативным актом, определяющим порядок обработки персональных данных в компании.
4. Соблюдать режим ограниченного допуска к персональным данным (разграничивать доступ между специалистами по кадрам в соответствии с функционалом, использовать в работе запирающиеся шкафы, сейфы, запирающие и блокирующие устройства).

Как избежать претензий со стороны контролирующих органов и сотрудников

Во-первых, необходимо выяснить состав физических лиц, чьи персональные данные обрабатываются.

Если компания имеет дело лишь с персональными данными:

• сотрудников, работающих по трудовым договорам;
• работающих по договорам ГПХ;
• и иными физическими лицами.

Когда обработка персональных данных отделом кадров ограничивается лишь фамилией, именем и отчеством – достаточно разработать единый комплексный документ, определяющий политику компании в области обработки персональных данных, как работников, так и иных лиц, вступающих в отношения с компанией и чьи персональные данные обрабатываются.

Если круг субъектов и перечень персональных данных шире (например, компания занимается обработкой и хранением персональных данных своих клиентов), то ограничиться локальными нормативными актами не получится. В таком случае Закон № 152-ФЗ обязывает компанию:

1. уведомить Роскомнадзор о намерении обрабатывать персональные данные;
2. подготовить перечень документов, определяющий порядок обработки и защиты персональных данных. Перечень таких документов достаточно обширный. Практика показывает, что это:
   • Приказ о назначении ответственного за организацию обработки персональных данных;
   • Документ, определяющий политику оператора в отношении обработки персональных данных;
   • Согласия сотрудников на обработку персональных данных (в т.ч. на передачу третьим лицам и получение у третьих лиц);
   • Документ, содержащий положения о принятии оператором правовых, организационных и технических мер для защиты персональных данных;
   • Документы по организации приема и обработке обращений и запросов субъектов персональных данных;
   • Документы, определяющие категории обрабатываемых персональных данных, особенности и правила их обработки без использования средств автоматизации;
   • Документ, устанавливающий требования к ведению журналов (реестров, книг), содержащих персональные данные, необходимые для однократного пропуска субъекта персональных данных на территорию;
   • Документ, устанавливающий требования к хранению материальных носителей содержащих персональные данные;
   • Документ о классификации информационных систем;
   • Список лиц, которым необходим доступ к персональным данным, обрабатываемым в информационной системе, утвержденный оператором или уполномоченным лицом;
   • Документ, устанавливающий порядок обработки персональных данных работников.

Если обработку персональных данных по поручению компании выполняет провайдер, (например, аутсорсинговая бухгалтерская компания), то вышеперечисленный перечень документов дополняется:

1. Письменным поручением на обработку персональных данных. Такое поручение может быть внесено в основной договор об оказании услуг и должно включать не только поручение провайдеру осуществлять от имени компании обработку персональных данных, но и цели такой обработки, перечень действий с ними, их состав, а также обязательство провайдера соблюдать конфиденциальность и безопасность персональных данных, а также требования к их защите.
2. Согласиями на передачу персональных данных провайдеру – от каждого сотрудника

Как видим, перечень документов, регламентирующий обработку персональных данных, достаточно обширный. Чтобы не перегружать документооборот огромным количеством локальных нормативных актов (приказов, положений, инструкций и т.д.), а процесс приема на работу в бесконечный процесс ознакомления с локальными документами, рекомендуется утвердить один документ, регламентирующий все аспекты работы с персональными данными в компании.

Как проверить свою бухгалтерскую компанию на предмет защиты персональных данных

Все ранее перечисленные требования относятся и к провайдеру, в том числе, компаниям, оказывающим услуги бухгалтерского аутсорсинга.

Добросовестный провайдер:

• По запросу клиента предоставит выписку из федерального реестра операторов персональных данных (компания-провайдер попадает в этот реестр после уведомления Роскомнадзора).

Важно!

Проверить провайдера на соблюдение порядка уведомления Вы можете самостоятельно на сайте Роскомнадзора: https://pd.rkn.gov.ru/operators-registry/operators-list/.

• Ознакомит со своей Политикой в отношении персональных данных клиентов.
• Включит в договор обслуживания условия о поручении и обязанности провайдера осуществлять обработку персональных данных от имени компании, а также обязанности, связанные с защитой этих данных.

Важно!

Провайдер не обязан брать согласия с субъектов персональных данных, которые он обрабатывает в связи с исполнением договора на обслуживание, поэтому обязательно возьмите письменные согласия с работников на передачу персональных данных провайдеру.

Ответственность за нарушение закона 152-ФЗ

Возможные нарушения в области защиты персональных данных и суммы штрафов мы привели в таблице:

За что могут штрафоватьСумма штрафа

Персональные данные обрабатываются не в тех целях, на которое дано согласиеНапример, персональные данные работника обрабатываются в целях расчета заработной платы, ведения кадрового делопроизводства, но никак не для оформления кредита, открытия лицевых счетов в банках, продажи чего-либо. В согласии на обработку персональных данных обязательно указываются цели обработки – это требование Закона 152-ФЗ.	от 30 000 до 50 000 руб.
Обработка персональных данных отделом кадров без письменного согласия (когда оно, естественно, требуется)	от 15 000 до 75 000 руб.
Политика по обработке персональных данных не опубликована или отсутствует в свободном доступе (на стенде, на сайте и т.д.)	от 15 000 до 30 000 руб.
Оператор персональных данных не отреагировал на запрос сотрудника (субъекта персональных данных)Например, на электронную почту приходит регулярная рассылка с сайта ***, принадлежащего компании ААА. Получатель рассылки направляет в компанию ААА запрос о подтверждении факта обработки его персональных данных, их состава, целей такой обработки и т.д. В течение 30 дней компания ААА должна дать официальный ответ. Если такого ответа не последовало, то это нарушение.	от 20 000 до 45 000 руб.
Нарушены условия защиты бумажных документов, содержащих персональные данные Например, произошла утечка данных вследствие случайного доступа постороннего лица, уничтожение персональных данных, их распространение и т.д.	от 25 000 до 50 000 руб.

Что говорят суды о плохо защищенных персональных данных

• В тексте договора об оказании бухгалтерских услуг отсутствовали существенные условия об обеспечении конфиденциальности и безопасности персональных данных при их обработке, не был приведен перечень действий с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, а также не указаны требования к защите обрабатываемых персональных данных. Компании выписали предписание устранить нарушение (Постановление ФАС Северо-Западного округа от 29.04.2013 по делу № А44-5910/2012).

Источник: https://1c-wiseadvice.ru/company/blog/kak-zashchitit-personalnye-dannye-sotrudnikov-i-ne-popast-na-povyshenie-shtrafov-s-1-iyulya-2017-god/

Учебный центр «Информзащита»

Комплексная программа Учебного центра «Информзащита»

Описание программы

Комплексная программа подготовки специалистов различных категорий, от руководителей предприятий и их структурных подразделений до лиц, ответственных за организацию обработки персональных данных.

Программа позволяет получить знания, необходимые для обработки персональных данных в соответствии с требованиями российских законов. Особое внимание уделяется вопросам технической реализации требований законодательства по защите персональных данных.

В комплексную программу включены курсы:

Аудитория

• Руководители организаций и их структурных подразделений, в ведении которых находится организация обработки персональных данных и ее осуществление.
• Лица, ответственные за организацию обработки персональных данных.
• Руководители и специалисты, непосредственно отвечающие за обеспечение информационной безопасности предприятий, охрану конфиденциальности информации, и реализующие мероприятия по технической защите конфиденциальной информации.
• Юристы предприятий-операторов персональных данных.
• Работники кадровых органов организаций и предприятий.
• Руководители подразделений и специалисты, которым непосредственно поручено проведение мероприятий по приведению ИСПДн в соответствие требованиям российского законодательства по защите ПДн.
• Специалисты, реализующие мероприятия по технической защите конфиденциальной информации.

Предварительная подготовка

Общее представление о правовых, организационных и технических аспектах защиты сведений ограниченного доступа, основах законодательства в области защиты прав граждан и обеспечения безопасности.

Курс предназначен для специалистов, прошедших обучение по курсу БТ01 «Безопасность информационных технологий», или уверенно владеющих знаниями в объеме данного курса.

В результате обучения

Вы приобретете знания:

• об организации обработки персональных данных на всех стадиях от их сбора до уничтожения;
• о порядке оценки правомерности обработки персональных данных, соответствия категорий обрабатываемых данных заранее предопределенным целям;
• о методах и способах охраны конфиденциальности персональных данных;
• по вопросам реализации правовых, организационных и технических мер защиты персональных данных;
• об организации системы государственного контроля и надзора в сфере персональных данных.
• о проблемах обеспечения безопасности персональных данных физических лиц в Российской Федерации;
• о порядке проведения классификации ИСПДн;
• о методологии формирования модели нарушителей и модели угроз безопасности ПДн;
• о требованиях к реализации организационно-технических мер защиты ПДн в ИСПДн;
• о подходах к построению системы защиты ПДн (СЗПДн) на основе модели угроз и требований к защите ИСПДн различных классов;
• о современных методах и средствах технической защиты персональных данных.

Вы сможете:

• правильно определять цели обработки персональных данных, категории субъектов, чьи данные обрабатываются на предприятии (в организации), и состав обрабатываемых персональных данных;
• осуществлять анализ и классификацию ИСПДн;
• разрабатывать внутренние нормативные документы, регламентирующие организацию обработки и защиту персональных данных и обеспечивающие техническую защиту ПДн;
• оценивать типы актуальных угроз безопасности персональных данных и уровни их защищенности, формировать частную актуальную модель угроз персональным данным и формировать модель нарушителей в ИСПДн в соответствии с требованиями государственных регуляторов;
• строить систему технической защиты ПДн в соответствии с требованиями государственных регуляторов;
• готовить ИСПДн к проверке соответствия требованиям по безопасности;
• представлять интересы предприятия (организации) при проведении мероприятий государственного контроля и надзора;
• готовить уведомления в уполномоченный орган по защите прав субъектов персональных данных.

Пакет слушателя

• Фирменные учебные пособия.
• Дополнительные материалы по тематике программы в электронном виде.

Дополнительно

После успешной сдачи зачета выпускники получают свидетельства об обучении Учебного центра «Информзащита».

Выпускники Учебного центра могут получать бесплатные консультации специалистов центра в рамках пройденной комплексной программы.

Программа курса

Модуль 1. Защита персональных данных.

Раздел 1. Введение. Персональные данные в организации (на предприятии)

• Защита персональных данных как реализация конституционных прав граждан на неприкосновенность частной жизни.
• Международное законодательство и национальное законодательство зарубежных стран о защите персональных данных.
• Персональные данные в системе документооборота предприятия. Персональные данные в автоматизированных системах и приложениях.
• Значимые утечки персональных данных в России.

Раздел 2. Основные понятия Федерального закона «О персональных данных»

• категории «персональные данные».
• Область применения закона. Ограничения.
• Обработка персональных данных: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Принципы обработки персональных данных.
• Условия обработки персональных данных. Согласие субъекта. Согласие в письменной форме.
• Общедоступные, подлежащие опубликованию или обязательному раскрытию персональные данные.
• Биометрические персональные данные.
• Трансграничная передача персональных данных. Страны, обеспечивающие адекватную защиту прав субъектов персональных данных.
• Особенности обработки персональных данных при предоставлении государственных и муниципальных услуг.
• Специальные категории персональных данных и особенности их обработки. Данные о судимости.
• Права субъектов персональных данных и их соблюдение при обработке.
• Обязанности оператора персональных данных.
• Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных законом.
• Уведомления об обработке персональных данных в уполномоченный орган по защите прав субъектов персональных данных.
• Ответственность за нарушение требований по обращению с персональными данными. Практика правоприменения.

Раздел 3. Работа с персональными данными на предприятии (в организации)

• Мероприятия по защите сведений ограниченного доступа. Практические шаги по приведению порядка обработки в соответствие с требованиями законодательства.
• Ограничение доступа к персональным данным. Учет лиц, допущенных к персональным данным. Определение порядка обращения с такими сведениями, контроля за его соблюдением.
• Локальные акты по вопросам обработки персональных данных, локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений, их содержание, порядок разработки и ввода в действие.
• Особенности обработки персональных данных, осуществляемой без использования средств автоматизации.
• Подготовка уведомлений об обработке персональных данных в уполномоченный орган.

Раздел 4. Аутсорсинг обработки персональных данных и их технической защиты

• Требования, выдвигаемые законом к порядку обработки персональных данных внешней организацией, содержание договора на обработку персональных данных.
• Передача внешней организации функций технической защиты персональных данных.
• Передача внешней организации функций лица, ответственного за организацию обработки персональных данных.
• Достоинства и недостатки аутсорсинга обработки персональных данных и их защиты.

Раздел 5. Контроль и надзор за соблюдением законодательства о персональных данных

• Система государственного контроля и надзора за обеспечением безопасности персональных данных.
• Область применения Федерального закона «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении госконтроля (надзора) и муниципального контроля» и регулируемые им вопросы.
• Принципы защиты прав юридических лиц, индивидуальных предпринимателей при осуществлении государственного контроля (надзора).
• Порядок планирования, организации и проведения проверок.
• Права и обязанности проверяемых и проверяющих.
• Меры, принимаемые должностными лицами органа госконтроля (надзора) при выявлении фактов нарушений.

Модуль 2. Техническая защита персональных данных.

Введение

• Нормативная база организации технической защиты персональных данных.Государственные органы, осуществляющие контроль и надзор в данной сфере деятельности (Роскомнадзор, ФСБ России, ФСТЭК России, Минкомсвязи России). Ответственность операторов ПДн за невыполнение требований по обеспечению безопасности ПДн при их обработке в ИСПДн.

Раздел 1. Основные этапы работ по обеспечению безопасности ПДн в ИСПДн

• Перечень основных этапов работ и краткий обзор мероприятий, необходимых для приведения ИСПДн в соответствие требованиям российского законодательства по защите ПДн.

Раздел 2. Сбор и анализ исходных данных по ИСПДн

• Обследование информационных систем с целью выявления фактов обработки ПДн, форм представления ПДн, целей и законности обработки, способов, сроков и объёмов их обработки, источников получения и др. Формирование перечня ПДн и выделение сегментов ИСПДн.
• Сбор, анализ и документирование исходных данных по ИСПДн, необходимых для: выявления ИСПДн; классификации ИСПДн; определения исходной защищённости ИСПДн; построения модели угроз и определения актуальности угроз; проектирования СЗПДн и организации физической защиты.
• Описание технологии обработки и защиты ПДн.

Раздел 3. Классификация информационных систем персональных данных (определение уровня защищенности)

• Критерии классификации ИСПДн. Порядок определения уровня защищенности ИСПДн и её документального оформления.
• Вопросы оптимизации состава ПДн и процессов их обработки (реинжениринг ИСПДн).

Раздел 4. Формирование модели угроз ПДн и модели нарушителей

• Нормативная база для формирования модели угроз безопасности ПДн в ИСПДн. Нормативно-методические документы ФСТЭК России и ФСБ России.
• Традиционный подход к построению моделей угроз и нарушителей.
• Формирование модели угроз безопасности ПДн на основании документов ФСТЭК России.
• Определение перечня актуальных угроз.
• Методология формирования модели угроз безопасности персональным данным на основании документов ФСБ России.
• Методология формирования модели нарушителей на основании документов ФСБ России.

Раздел 5. Разработка (проектирование) системы защиты персональных данных (СЗПДн)

Источник: https://itsecurity.ru/catalog/kp323/

Сертификация систем защиты персональных данных, сертификация СЗИ, аттестация и сертификат соответствия ФСТЭК

Вопрос сертификации защиты персональных данных на уровне ФСТЭК и ФСБ РФ не имеет однозначного решения: контролирующие органы ориентируются во многом на собственное видение безопасности. В целом, систему защиты информации (СЗИ) представляют как совокупность организационных мер и программно-технических средств. Целью СЗИ является предотвращение или серьезное затруднение несанкционированного доступа.

С организационной точки зрения допускается деление деление рисков на недопустимые и допустимые – но оно условно, зависит от многих факторов: размеров компании, ее известности, способов обработки персональных данных, репутации, политики взаимодействия с клиентами. Наиболее сильным риск является для организаций, которые поддерживают сайты с персональными данными либо формами для их регистрации, проводят массированные е-mail рассылки, ведут агрессивные рекламные кампании.

Обеспечение сохранности данных для различных предприятий зависят от масштабов работы, финансовых и производственных возможностей, а также от количества сведений, нуждающихся в охране. Определение рисков и мер защиты должно базироваться на принципах достаточности и разумности.

Сертификация на соответствие защиты персональных данных представляет собой совокупность действий, нацеленных на подтверждение основных и дополнительных параметров услуг, систем или продуктов требованиям выработанных актов и стандартов. Учитывая то, что безопасность относится к разряду социализированных областей, завязана на человеческий фактор и информационные технологии, она не может быть всеобъемлющей. Утечка или утрата персональных данных автоматически признается виной оператора связи.

Департамент защиты персональных данных системы сертификации Росконтроля проводит мониторинг всех российских организаций, независимо от формы собственности, являющихся операторами связи, предъявляя к ним ряд требований по организации адекватной защиты.

Сертификация средств защиты персональных данных по 152-ФЗ

Российские требования предусматривают необходимость проверки встроенных в программные продукты средств защиты информации, организацию различных технических и организационно-распорядительных мероприятий по обеспечению безопасности. Федеральный закон дает определение, какая информация попадает под определение персональных данных, назначает ответственных по их защите, проведению классификации.

Все юридические лица и индивидуальные предприниматели, обрабатывающие персональные данные в процессе деятельности, обязаны пройти сертификацию по 152-ФЗ по трем этапам:

1. Подготовить уникальный портфель документов, включающий акты, приказы, инструкции и т.д.
2. Опубликовать документ – политику, с описанием способов работы с персональных данных.
3. Подать уведомление в Роскомнадзор.

Все программное обеспечение, осуществляющее защиту ПД, обязательно к согласованию и сертификации на уровнях главных регуляторов – Федеральной службы безопасности и Федеральной службы по техническому и экспортному контролю.

Порядок работ по методике, утвержденной ФСТЭК, выглядит так:

1. Проводится обследование информационной системы персональных данных (ИСПДн).
2. Проектируется система защиты.
3. Внедряется система, защищающая информацию.
4. Оценивается эффективность всех предпринятых шагов, по результатам которых принимается решение о соответствии.

Стоимость сертификации в соответствии с 152-ФЗ складывается из:

1. Наличия подключения к сети Интернет.
2. Количества компьютеров.
3. Наличия сервера или общей сети.
4. Техподдержки.
5. Юридического сопровождения.

Работы по сертификации выделяются в отдельный проект с отдельным бюджетом. Необходимая «золотая середина» средств защиты рассчитывается после предпроектного обследования и написания техпроекта. Для клиентов существуют готовые типовые решения, оптимизированные под разного рода потребности, и не требующие значительных финансовых затрат.

Сертификат соответствия ФСТЭК

Система сертификации персональных данных ФСТЭК России отвечает за некриптографическую защиту информации, препятствуя несанкционированному доступу к ней или «слитию» ее по техническим каналам связи. Служба организует сертификацию и контролирует «верхний уровень». Все остальные работы ложатся на лицензиаров в лице лабораторий-испытателей ПО и экспертных организаций. Клиент самостоятельно выбирает лабораторию, а ФСТЭК создает экспертную комиссию.

Процесс сертификации программ обработки персональных данных ФСТЭК осуществляется сходных образом, с привлечением института заявителей. Взаимодействуя с лабораториями и экспертами, они сравнивают продаваемые версии продукта с сертифицированным образцом-эталоном. В среднем время аттестации ИСПДн занимает от полугода или больше, все зависит от ее уровня и категорийности – чем выше степень, тем больше требований к безопасности предъявляется.

Уже готовые сертификаты для работы с персональными данными имеют семейство операционных систем Linux, сетевое оборудование от IT-корпорации Cisco, реляционная СУБД Sybase ASE, продукция 1С.

Аттестация систем персональных данных

Проведение аттестации информационных систем персональных данных – дорогое удовольствие, поэтому часть операторов ПДн старается всеми силами избежать этой процедуры. Она является обязательной для государственных ИСПДн, накладывая на операторов ряд обязательств. Для негосударственных предприятий аттестат требуется в случае подтверждения должного уровня защиты, поэтому процедура может проходит в добровольном порядке. Соответствующая документация получается в территориальном отделении ФСТЭКа.

Процедура производится лицензированными на проведение технической защиты организациями. Аттестационная комиссия состоит из специалистов информационной безопасности и экспертов. В ее задачу входит проведение оценки соответствия всех мер, технических и организационных, с последующими испытаниями всех программных и технических средств, направленных на защиту ПДн. По результатам оценки выдается либо аттестат, либо предписание с перечнем обязательных к устранению недостатков. В целях экономии времени и средств, подготовку к аттестации лучше доверить имеющим опыт аналогичной работы организациям.

Аттестация многоэтапна и требует строжайшего документирования, при этом ее методология одинакова как для компьютера, так и для рабочих места по защите персональных данных. Зато по факту получается полноценная система защиты информации. Следование алгоритму сертификации, все операторы ПДн принимают участие в выработке максимальной защиты ИС.

После введения системы защиты в эксплуатацию, не стоит забывать об изменчивости технологий. Спустя некоторое время могут возникнуть новые угрозы и риски, поэтому для поддержания работоспособности и защищенности информации рекомендуется устраивать аудит информационной безопасности ежегодно.

Источник: https://integrus.ru/blog/it-decisions/sertifikatsiya-sistem-zashhity-personalnyh-dannyh.html

Проблемы защиты персональных данных | Проблемы и решения по защите персональных данных в информационных системах персональных данных

Конституция РФ закрепила демократический путь развития нашего государства, главная ценность которого – человек и защита его прав. Но и сегодня нерешенными остаются некоторые вопросы, в том числе обеспечение права граждан на частную жизнь и проблемы защиты личной информации.

В 2006 году был подписан ФЗ РФ № 152 «О персональных данных», по ужесточенным требованиям которого модернизированы базы данных, предназначенные для накопления, сохранения или выдачи персональных данных. Детально требования по защите персональных данных прописаны в:

• Положении о безопасности информационных систем личных данных, утвержденном Постановлением Правительства России № 781 в 2007 году.
• Совместном приказе ФСБ, Мининформсвязи, ФСТЭК № 55/86/20 2008 года.
• Внутренних инструкциях ФСБ и ФСТЭК.

Указанные требования по защите персональных данных распространяются на все компании, учреждения и организации и направлены на предупреждение утечек конфиденциальной информации.

Проблемы защиты личной информации

Существует перечень распространенных проблем защиты персональных данных, обусловленных организационными и техническими аспектами.

По Указу Президента России № 188, утвердившему перечень закрытых данных, подлежащих правовой защите, к таким относят персональные данные. Поэтому для их защиты требуется наличие лицензии ФСТЭК на организацию безопасности конфиденциальных данных. Аналогичные требования предъявляет ФСТЭК РФ к операторам информационных баз данных 1, 2 и 3 класса. Они распространяются на большинство коммерческих и государственных учреждений. Для применения средств криптографической защиты обрабатываемых конфиденциальных данных нужна лицензия ФСБ.

Для получения таких лицензий сотрудники организации должны обладать соответствующей квалификацией и опытом работы. Также потребуется специализированное оборудование и помещение, что сложно обеспечить в небольших компаниях.

Еще одной распространенной проблемой являются жесткие императивные требования к системам по защите персональных данных. Защита информационных систем персональных данных 1 класса приравнена к защите сведений, содержащих государственную или коммерческую тайну. Обязательное требование – защита конфиденциальных баз данных от утечек из-за электромагнитных импульсов вычислительной техники и средств связи.

Под защиту 1 класса попадают базы персональных данных, а также базы, содержащие и обрабатывающие одновременно большое количество сведений. Такие базы данных встречаются в большинстве корпораций (частных и муниципальных). А нормативы ФСТЭК, регламентирующие порядок обработки персональных данных, обозначены грифом «Для служебного использования». Получить указанные акты могут операторы персональных данных и организации, обеспечивающие защиту персональных данных по лицензии ФСТЭК.

Одна из проблем защиты конфиденциальных сведений, которыми являются персональные данные, – это отсутствие сертифицированных компьютерных программ. Предлагаемые программы не соответствуют требованиям, предъявляемым к 1 и 2 уровням защиты персональных данных. К примеру, сертифицированные программы по защите и управлению базами данных (открытый код MySQL) не представлены на российском рынке, а лицензионная ОС Microsoft Windows применима только для защиты информационных баз данных до 2 уровня. Нерешенной проблемой остается защита баз данных при использовании 64-разрядных ОС и операционных систем Unix и Linux.

Предлагаемые лицензионные защиты персональных данных не соответствуют требованиям нормативных актов или неприменимы в условиях хранения и обработки больших объемов данных, поскольку не отвечают техническим требованиям. Так, для работы программы безопасности баз данных Secret Net необходимы аппаратные компоненты, установить которые через blade-сервер невозможно.

До начала работы с информационными базами персональных данных подтверждают, соответствует ли защита требованиям, предъявляемым к 1, 2 и 3 классу. Для этого проводится аттестация системы обработки данных. Если раньше подобная процедура проводилась только в государственных учреждениях, то сегодня проверка уровня защиты персональных данных обязательна для всех организаций. По результатам оформляется аттестат, который действует в течение трех лет. А для внесения корректировок (в том числе установки новых программ, перестановки компьютера из одного кабинета в другой) требуется согласование с органом, проводившим проверку безопасности базы данных.

Еще одной проблемой является недостаточное количество российских компаний, специализирующихся на предоставлении услуг по технической защите конфиденциальных данных, получивших лицензию, не способных удовлетворить увеличивающийся с каждым годом спрос на техническую защиту персональных данных. А порядок лицензирования неприменим к большому количеству желающих получить аттестат на работу с персональными данными.

Организационно-технические решения

Организации, специализирующиеся на обработке и хранении персональных данных, используют автоматизированные базы данных. Это компьютерные базы данных, связь с которыми происходит по техническим каналам. Вот почему вопросы защиты персональных данных, информационных процессов, а также действия государственных норм регулирования отношений между сотрудником и работодателем остаются актуальными. Решение данной задачи не бывает сегментарным. Требуется комплекс мероприятий, направленных на защиту (техническую и правовую) персональных данных сотрудников и клиентов организации.

Несмотря на проблемы, данная задача решаема. Возможны два варианта защиты обрабатываемых и передаваемых персональных данных, учитывающих требования законодательства и имеющийся у компании бюджет.

Сократить расходы на защиту конфиденциальных баз данных позволит грамотная подготовка и организация всей информационной системы. В корпорации целесообразно разделить базы данных на территориальные, что позволит сократить объем обрабатываемых в каждой базе персональных данных. В результате этого снизится их класс безопасности. А применение зашифрованных идентификаторов обезличит передаваемые персональные данные.

Сокращает расходы методика терминального доступа, используемая в программах обработки персональных данных. При использовании данной технологии информация обрабатывается на сервере, а через рабочие станции выводятся и отображаются данные.

Применение данной технологии позволяет понизить класс безопасности рабочих станций до третьего и снизить затраты на защиту и аттестацию системы обработки данных. Используя данную методику, компания экономит на приобретении сложной вычислительной техники и управлении информационными базами данных, благодаря децентрализации информационной базы и уменьшению требований к техническим характеристикам пользовательских компьютеров.

Внедрение новых программ обработки персональных данных с использованием программ с встроенной лицензионной защитой, прошедших аттестацию по требованиям безопасной передачи данных и проверку на наличие недекларированных возможностей, снижает расходы на приобретение в будущем дополнительного ПО и оплату обучения сотрудников компании. Также при согласовании с ФСТЭК допускается применение программ, не прошедших проверку на недекларированные возможности.

Далее уточняют, какие персональные данные требуются компании. Чем выше степень обработки данных сотрудников и клиентов, тем сложнее процесс их защиты. Более усиленный вариант защиты предусмотрен для данных, касающихся здоровья и личной жизни сотрудников или клиентов, – политических и религиозных взглядов, национальности, родственных отношений, а вот данные, необходимые для идентификации лица, в такой охране не нуждаются.

Персонал компании, обеспечивающий безопасность персональным данным сотрудников и клиентов, отбирает данные, которые не требуются для работы компании, исключая их из объема собираемой и обрабатываемой информации.

В завершение сотрудники службы безопасности баз данных подготавливают в форме таблицы списки работников, получивших доступ к сбору, обработке и хранению конфиденциальных данных о служащих и клиентах. Предупреждает утечку закрытых данных при увольнении работник, проверяя, что данные о нем заблокированы или удалены.

Перед заключением данного соглашения составляется список требований к внедряемой системе защиты информации. При этом учитывают, что все системы защиты конфиденциальных данных имеют специальное назначение. Они призваны предупредить утечку защищаемых данных и обеспечить их сохранность и доступность. Требования к системам защиты баз данных варьируются в зависимости от выявленной модели угроз.

Индивидуальная разработка программ информационной безопасности потребует от разработчика высокой квалификации и повышенной ответственности за функционирование и значимость представленной модели. В то же время такие системы защиты персональных данных нацелены исключительно на выявленную модель угроз и уступают по функциональности типовым системам информационной безопасности.

Данное направление постоянно развивается, поскольку государственное регулирование в сфере технических требований к обеспечению информационной безопасности также меняется. До появления сети Интернет основную угрозу представляли модели зарубежных технических разведок, поэтому система защиты от них была четко прописана в нормативных актах. На основании существующих норм строится и защита личной информации сотрудников компании с учетом специфики ее работы.

Решение проблем, возникающих в сфере обеспечения информационной безопасности, возможно при взаимодействии сотрудников, собирающих и обрабатывающих персональные данные, разработчиков компьютерных программ и систем защиты информации и государственных структур.

Источник: https://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/realizaciya-zashchity-personalnyh-dannyh/problemy-zashchity-personalnyh-dannyh/