Средства защиты информации персональных данных

Помощь по теме: "Средства защиты информации персональных данных" с полным описанием проблематики и решением. Ели у вас есть вопросы, то обратитесь к дежурному консультанту.

Средства защиты информации персональных данных

Ключевые слова: ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ; СРЕДСТВА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ; МЕТОДЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ; PERSONAL DATA PROTECTION; MEANS OF PERSONAL DATA PROTECTION; METHODS OF PERSONAL DATA PROTECTION.

В последнее десятилетие в Российской Федерации происходит активное внедрение системы защиты персональных данных в государственных органах и коммерческих организациях, совершенствуются методы и, соответственно, способы защиты персональных данных физических лиц с целью сохранения их конфиденциального характера [1].

Обработка персональных данных в Российской Федерации осуществляется в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными Постановлением Правительства Российской Федерации от 01 ноября 2012 года № 1119 [2].

Средства защиты персональных данных выбираются оператором в соответствии с правовыми актами, исходящими от Федеральной службы безопасности Российской Федерации, а также от Федеральной службы по техническому и экспортному контролю.

Обработка персональных данных осуществляется техническими средствами, поэтому безопасность персональных данных может быть достигнута только в том случае, если будет исключена возможность несанкционированного доступа к информационной системе, в которой обрабатываются персональные данные.

Как правило, выделяют четыре класса методов защиты персональных данных в информационных системах. Во-первых, физические методы, во-вторых, аппаратные, в-третьих, программные, наконец, в-четвертых, организационные.

На организационном уровне защита персональных данных происходит посредством разработки и внедрения соответствующих нормативно-правовых актов, проведения организационно-технических мероприятий.

Физическая защита осуществляется за счет таких средств как служба охраны, система защиты окон и дверей, лазерные и оптические системы, которые реагируют на пересечение злоумышленником световых лучей. То есть физические методы защиты подразумевают под собой физическое преграждение доступа к персональным данным.

Аппаратные методы защиты возможно реализовать при помощи специальных устройств. К таким средствам можно отнести различные схемы блокировки от несанкционированного использования персональных данных. Аппаратные средства применяются в составе ЭВМ.

Наконец, программная защита осуществляется при помощи программ, к которым можно отнести операционную систему, антивирусы, специальные программы защиты и прочие.

Пожалуй, именно аппаратно-программные средства защиты персональных данных в наибольшей степени позволяют защищать персональные данные от несанкционированного доступа к ним.

Аппаратно-программная защита достигается применением таких способов защиты как:
1. Защита от несанкционированного использования персональных данных со стороны пользователей и программ, в том числе и при наличии доступов.
2. Защита от некорректного использования имеющихся ресурсов.
3. Высокая степень качества используемых аппаратно-программных средств.

В целом, перечень технических мероприятий по защите персональных данных в информационной системе выглядит следующим образом:
— недопущение несанкционированного доступа к персональным данным с помощью антивирусного программного обеспечения и системы паролей;
— деятельность по обнаружению фактов несанкционированного доступа и использования персональных данных (к примеру, обновление антивирусного программного обеспечения);
— охрана, а также регламентирование использования технических средств, с помощью которых происходит обработка персональных данных с целью недопущения нарушения их функционирования;
— наличие возможности восстановления персональных данных в случае уничтожения персональных данных (хранение резервных копий на съемных носителях) [3].

Таким образом, обработка персональных данных в Российской Федерации осуществляется в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными Постановлением Правительства Российской Федерации от 01 ноября 2012 года № 1119. Средства защиты персональных данных выбираются оператором в соответствии с правовыми актами, исходящими от Федеральной службы безопасности Российской Федерации, а также от Федеральной службы по техническому и экспортному контролю. Выделяют четыре класса методов защиты персональных данных в информационных системах: физические, аппаратные, программные, организационные. Каждой группе методов, в свою очередь, присущи определенные средства защиты персональных данных.

Источник: http://novaum.ru/public/p1041

Практика. Создание системы защиты персональных данных

Достаточно ли использования сертифицированного по требованиям ФСТЭК программного обеспечения обработки ПДн для выполнения всех требований закона «О персональных данных»? Этот вопрос регулярно возникает у организаций, вынужденных обрабатывать персональные данные в бухгалтерских и кадровых программах.

Некоторые вендоры вводят пользователей в заблуждение, позиционируя сертифицированное бухгалтерское и кадровое ПО как панацею от выездных проверок Роскомнадзора.

Мы уже писали о плюсах и минусах сертифицированного программного обеспечения и его месте в комплексной защите персональных данных. В этом материале рассмотрим конкретные действия по выполнению требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» при работе с кадровой или бухгалтерской программой.

Напомним, что приведение процессов обработки и защиты ПДн в соответствие действующим требованиям законодательства РФ в общем случае выглядит следующим образом:

  1. Обследование организации на предмет соответствия процессов обработки и защиты персональных данных требованиям Федерального закона от 27.07.2006 № 152-ФЗ.
  2. Разработка комплекта внутренней организационно-распорядительной документации, регламентирующей процессы обработки и защиты персональных данных.
  3. Определение угроз безопасности и потенциальных нарушителей безопасности персональных данных, обрабатываемых в информационной системе персональных данных.
  4. Определение требуемого уровня защищенности персональных данных, обрабатываемых в информационной системе персональных данных.
  5. Разработка технического задания на создание системы защиты персональных данных.
  6. Приобретение средств защиты информации.
  7. Внедрение системы защиты персональных данных.
  8. Организация и проведение аттестации соответствия системы защиты персональных данных требованиям безопасности информации.

Аттестация не является обязательной, однако получение аттестата соответствия даст уверенность в том, что меры, реализованные в рамках системы защиты персональных данных, достаточно эффективны и удовлетворяют всем требованиям безопасности информации.

Обеспечьте защиту персональных данных в вашей компании

Сертифицированное бухгалтерское или кадровое ПО в данном контексте может рассматриваться лишь как средство защиты информации.

Итак, дано: информационная система отдела кадров небольшой организации построена по классической клиент-серверной архитектуре.

В качестве ПО обработки ПДн используется любое кадровое ПО (Контур.Персонал, «1С: зарплата и управление персоналом», сертифицированное ФСТЭК, прочее ПО).

Читайте так же:  Генеральная доверенность на автомобиль беларусь

В компании реализованы организационные (разработаны организационно-распорядительные документы по защите ПДн, сотрудники ознакомлены с требованиями законодательства и т д.) и физические (доступ в помещения обработки ПДн ограничен, внедрена охранная сигнализация и т д.) меры защиты ПДн, однако отсутствуют технические средства защиты информации.

Исходя из описанного выше порядка действий, оператор ПДн должен составить модель угроз и определить требуемый уровень защищенности ПДн, дабы в дальнейшем на основе полученных данных разработать систему защиты персональных данных.

Модель угроз безопасности ПДн: пример

Предположим, что в результате оценки исходного уровня защищенности информационной системы, внутренних и внешних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации и последствий реализаций угроз безопасности ПДн, модель угроз будет содержать следующие виды угроз*:

* Перечень актуальных угроз представлен в качестве примера и не может быть использован как эталон или руководство при построении модели угроз безопасности персональных данных.

Основными источниками угроз в данном случае будут выступать:

  • внешние нарушители — внешние субъекты, находящиеся вне границ контролируемой зоны организации;
  • внутренние нарушители — сотрудники, имеющие доступ в контролируемую зону организации, но не имеющие доступа к персональным данным.

Напомним, что контролируемая зона — это территория объекта, на которой исключено неконтролируемое пребывание лиц, не имеющих постоянного или разового доступа.

Определение уровня защищенности ПДн

В соответствии с постановлением Правительства Российской Федерации № 1119 от 01.11.2012 в описанной информационной системе требуется обеспечить 4-й уровень защищенности ПДн при их обработке в информационной системе.

Построение системы защиты персональных данных

В соответствии с Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» определяем состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационной системе для 4-го уровня защищенности ПДн.

Рассмотрим техническую реализацию отдельно выбранных мер по обеспечению безопасности персональных данных:

Как видно из таблицы выше, для нейтрализации актуальных угроз безопасности персональных данных используются межсетевой экран и антивирусные средства защиты информации. Кроме того, согласно приказу ФСТЭК России № 21, для обеспечения 4-го уровня защищенности персональных данных межсетевой экран и антивирусное средство должны иметь сертификаты соответствия не ниже 5-го класса по требованиям безопасности информации средств защиты информации.

ПО обработки ПДн также используется в качестве способа реализации требований приказа ФСТЭК России № 21, однако оно не используется для нейтрализации актуальных угроз безопасности ПДн, а следовательно, процедура оценки соответствия (сертификация) такого ПО не требуется.

Текущая система защиты персональных данных позволит разграничить доступ к серверу обработки персональных данных и защитит рабочие станции от актуальных угроз безопасности.

Выводы

Наличие у программы сертификата соответствия ФСТЭК не решает проблемы защиты ПДн. Существует множество средств защиты информации и сценариев их использования. Для построения эффективной и адекватной системы защиты персональных данных важно понимать принципы и порядок реализации мер, направленных на обеспечение безопасности ПДн.

Важно! Защита персональных данных — это комплекс мероприятий, направленных на обеспечение безопасности персональных данных, и внедрение системы защиты является лишь одним из этапов обеспечения безопасности.

Рекомендации по защите персональных данных

Не стоит забывать о поддержании созданной системы защиты ПДн в актуальном состоянии. Периодически необходимо проверять актуальность организационно-распорядительной документации, обновлять модель угроз и контролировать обеспечение установленного уровня защищенности ПДн.

Источник: http://kontur.ru/articles/1723

Выбор средств защиты персональных данных

После выхода в свет постановления Правительства РФ № 781 “Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных” от 17 ноября 2007 г. и совместного приказа Федеральной службы по техническому и экспортному контролю, ФСБ РФ и Министерства информационных технологий и связи РФ от 13 февраля 2008 г. № 55/86/20 “Об утверждении порядка проведения классификации информационных систем персональных данных” (далее «Порядок…») перед службами разработки и эксплуатации информационных систем (ИС), обрабатывающих персональные данные, возникло два почти гамлетовских вопроса:

  • как классифицировать ИС, предназначенные для защиты персональных данных;
  • как выбрать средства защиты информации для защиты персональных данных в этих системах.

«Порядок…» утверждает, что “классификация информационных систем проводится государственными органами, муниципальными органами, юридическими и физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных”. Это означает, что персональные данные (ПД) классифицирует их владелец, что является серьезным подспорьем для объективного выбора методов и средств защиты ПД и создает объективную базу для диалога с проверяющими органами о достаточности принятых в организации мер защиты персональных данных.

При проведении классификации ИС, предназначенной для обработки персональных данных, учитываются следующие исходные данные: ·

  • категория обрабатываемых в информационной системе персональных данных; ·
  • объём обрабатываемых ПД (количество субъектов, персональные данные которых обрабатываются в ИС); ·
  • заданные владельцем информационной системы характеристики безопасности персональных данных, обрабатываемых в ИС; ·
  • структура информационной системы; ·
  • наличие подключений ИС к сетям связи общего пользования и (или) сетям международного информационного обмена; ·
  • режим обработки ПД; ·
  • режим разграничения прав доступа пользователей информационной системы; ·
  • местонахождение технических средств ИС.

В первую очередь определим, что относится к персональным данным. Это сведения различного характера о конкретных физических лицах. Заметим, что мы говорим только о сведениях в электронной форме, вводимых, хранящихся, обрабатываемых и передаваемых в информационной системе. Данные сведения разделяются на четыре основные категории: ·

  • категория 1 — ПД, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни; ·
  • категория 2 — ПД, позволяющие идентифицировать субъекта персональных данных и получить о нём дополнительную информацию, за исключением персональных данных, относящихся к категории 1; ·
  • категория 3 — персональные данные, позволяющие идентифицировать субъекта персональных данных; ·
  • категория 4 — обезличенные и (или) общедоступные ПД.
Читайте так же:  Заявление о выдаче судебного приказа взыскателю

Например, отдельно фамилия является данными 4-й категории, сочетание фамилии и адреса — третьей, фамилия, адрес, номера страховок и карт — второй, а если к этим данным добавлена электронная медкарта, то получившиеся персональные данные относятся исключительно к первой категории.

Исходя из этой классификации можно констатировать, что любые медицинские данные, а также кадровый учет, содержащий графу “национальность” (а таковы почти все действующие анкеты и личные листки по учету кадров, используемые в настоящее время), необходимо относить к первой категории. Понятно также, что фрагменты персональных данных почти всегда имеют меньшую категорию, чем их совокупность. Даже подробные сведения о здоровье физического лица могут быть бессмысленны, если неизвестна его фамилия или другие данные, однозначно привязывающие эти сведения к пациенту.

Объем обрабатываемых ПД может принимать следующие значения: ·

  1. — в ИС одновременно обрабатываются персональные данные более чем 100 000 субъектов или персональные данные субъектов в пределах региона Российской Федерации или Российской Федерации в целом; ·
  2. — в ИС одновременно обрабатываются персональные данные от 1000 до 100 000 субъектов или персональные данные субъектов, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования; ·
  3. — в ИС одновременно обрабатываются данные менее чем 1000 субъектов или персональные данные субъектов конкретной организации.

По характеристикам безопасности ПД, обрабатываемых в информационной системе, ИС подразделяются на типовые и специальные. Первые — информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных.

Характеристика “конфиденциальность” означает, что обращаться (вводить, хранить, обрабатывать и передавать) с ПД в электронной форме может только тот, для кого они предназначены. Для обеспечения конфиденциальности при передаче персональных данных в сетях, включая Интернет, необходимо использовать шифрование данных.

Специальные информационные системы — это такие ИС, в которых вне зависимости от необходимости обеспечения конфиденциальности ПД требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (например, целостность или доступность). Характеристика “целостность” означает, что персональные данные должны меняться только регламентированным образом, например изменения в файл электронной медкарты может вносить только уполномоченный врач, а в любых других случаях информация в медкарте не должна меняться. При передаче по сетям целостность обеспечивается применением электронной цифровой подписи.

Характеристика “доступность” означает, что работа с ПД должна обеспечиваться для заданного количества данных и пользователей с соблюдением установленных временных регламентов. Иначе говоря, “доступность” — другая формулировка надежности системы. Заметим также, что говорить о доступности в открытых сетях практически бессмысленно — ни один провайдер не обеспечит гарантированного доступа к данным или их бесперебойной передачи.

К специальным информационным системам относятся: ·

  • ИС, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов; ·
  • ИС, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы.

По структуре информационные системы для обработки ПД подразделяются: ·

  • на автономные (не подключенные к иным ИС), предназначенные для обработки персональных данных (автоматизированные рабочие места); ·
  • на комплексы автоматизированных рабочих мест, объединенных в единую ИС средствами связи без использования технологии удаленного доступа (локальные информационные системы); ·
  • на комплексы автоматизированных рабочих мест и (или) локальных ИС, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа (распределённые информационные системы).

По наличию подключений к сетям связи общего пользования и (или) международного информационного обмена ИС подразделяются на системы, имеющие подключения не имеющие подключений.

Исходя из того, что в обязательном порядке требуется обеспечение конфиденциальности данных, можно выделить необходимые элементы информационной системы для обработки персональных данных.

В первую очередь информационная система обязана идентифицировать пользователей и иметь возможность устанавливать индивидуальные полномочия по доступу пользователей к ПД, т. е. обладать системами идентификации и аутентификации и разграничения доступа.

Во-вторых, необходимо обеспечивать защиту персональных данных, которые могут отчуждаться из системы. Например, следует контролировать перенос информации на съёмные носители. Весьма вероятно, что в ряде случаев надо учитывать возможность хищения и утраты (потери) компьютерной техники с персональными данными. В этом случае также обязательно шифрование хранимых на носителях компьютера ПД.

Если система имеет подключения к открытым сетям или предусматривает обмен данными, обязательно применение шифрования данных и электронной цифровой подписи, а также обеспечение защиты от атак из внешних сетей, включая антивирусную защиту.

Для шифрования и электронной подписи используются ключи и сертификаты, которые генерируются самими пользователями и регистрируются в так называемых удостоверяющих центрах.

Весьма важный момент — регистрация действий с ПД, которая, с одной стороны, позволяет выявить виновных в их утечке, а с другой — создает психологическую мотивацию для корректной работы с ними.

Информационной системе для обработки ПД может быть присвоен один из следующих классов: ·

  • класс 1 (К1) — ИС, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных; ·
  • класс 2 (К2) — ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных; ·
  • класс 3 (К3) — ИС, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных; ·
  • класс 4 (К4) — ИС, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.
Читайте так же:  Жалобы на сроки восстановления апелляции

Источник: http://www.itweek.ru/security/article/detail.php?ID=116851

Защита персональных данных

Трудовые отношения невозможны без обмена между их сторонами различной информацией – как о работодателе, так и о работнике.

В первом случае она может касаться местонахождения предприятия, профиля его деятельности, характера выполняемой работы и оплаты за нее.

Что касается информации о работнике, то вся совокупность сведений о нем носит название персональных данных.

Это может быть любая информация — его имя, возраст, пол, профессия, семейное положение и тому подобные сведения, которая закреплена на материальном носителе (чаще всего на бумаге или в электронном варианте).

Принимая человека на работу, работодатель получает в отношении данных о нем как права – на их обработку, так и обязанности – на их защиту.

Важно знать, что именно входит в понятие защиты персональных данных и как она осуществляется на практике.

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему — просто позвоните, это быстро и бесплатно !

Понятие

Видео (кликните для воспроизведения).

Защита персональных данных в трудовом праве – это процесс, целью которые является сохранение и предотвращение несанкционированного доступа к такой информации любых посторонних лиц.

Осуществляется этот процесс при помощи различных методов защиты – их конкретный перечень зависит от типа данных и степени их важности.

Чаще всего персональные данные сосредоточены в кадровом отделе предприятия (если такой имеется) или у тех работников, которые в силу своих должностных обязанностей выполняют кадровые функции.

Поэтому именно для таких служб и работников должны быть предусмотрены механизмы защиты информации.

Правовое регулирование этого вопроса

Право каждого работника на защиту его персональных данных от разглашения регламентируется трудовым законодательством. Основной законодательный акт в случае правового регулирования защиты персональных данных – это Трудовой Кодекс.

В 14 главе данного кодекса прописаны требования к обработке персональных данных, ограничения по получаемой информации и ответственность за защиту персональных данных работников.

Помимо права на защиту личных данных, каждый сотрудник также вправе:

  1. Получать сведения о том, какие именно данные есть у работодателя и как осуществляется их обработка.
  2. Получать свободный и бесплатный доступ к своим личным документам и делать их копии.
  3. Вносить изменения или требовать изъятия из базы данных тех сведений о нем, которые являются устаревшими, недостоверными или были получены с нарушением законодательства.
  4. Обжаловать незаконные действия работодателя (в виде письменной жалобы или в судебном порядке), если они связаны с нарушением правил обработки данных.

Еще один нормативный документ, который дает право работнику на защиту персональных данных – это Конституция РФ. В статье 24 о защите персональных данных определено, что собирать такие данные, обрабатывать их и хранить можно только при наличии согласия на это их владельца.

Новые требования относительно сбора и защиты данных о работниках были утверждены федеральным законом «О персональных данных». Также сведения о защите, конкретных способах, с помощью которых она осуществляется и об ответственных за это лицах могут быть установлены при помощи внутренних нормативно-правовых актов предприятия.

Например, это может быть Положение о защите персональных данных предприятия, разработанное и утвержденное в соответствии с федеральным законодательством.

Конкретная мера, а также сумма штрафа или срок ареста зависят от степени вины и от тяжести преступления. Например, к должностному лицу, которое получило персональные данные при помощи своего служебного положения, будет применена более суровая ответственность.

Особенности

Особенностью защиты персональных данных выступает множество спорных моментов возникающихт у работодателя при определении категории «персональные данные» как таковой.

Законодательство, хоть и указывает на некоторые конкретные типы таких данных, все же оставляет возможность дополнить их в соответствии с потребностями предприятия.

Поэтому перед внедрением средств защиты нужно четко определить, какие именно сведения будут ее объектом.

Защита персональных данных работников имеет множество требований и особенностей. Ведь такая необходимость связана не только с законодательными требованиями, но и с рядом других причин:

  1. Информация – ценный ресурс, и ее утечка может быть использована третьими лицами в преступных целях (конкурентами, мошенниками, обиженными сотрудниками).
  2. Развитие информационных технологий и появление множества технических средств предоставили широкое поле деятельности для мошенников – информацию теперь легче скопировать, украсть, повредить или уничтожить.
  3. Влияние человеческого фактора – данные обрабатываются сотрудниками, и это не всегда одни только представители кадровой службы. Некоторые данные получает бухгалтерия или сотрудники сектора делопроизводства. Далеко не все эти люди выполняют требования по неразглашению информации, поэтому данный фактор тоже следует учесть.

При защите данных стоит принимать во внимание все эти особенности и возможные пути утечки информации.

Методы

Защита информации предусматривает внедрение на предприятии определенных методов и способов, при помощи которых она реализуется.

Ее создание включает в себя:

  • проведение анализа предприятия и выявление возможных путей утечки;
  • создание системы регистрации и учета всей документации;
  • внедрение технических и организационных средств защиты.

Важное значение при этом имеют методы защиты персональных данных – это практические приемы и способы, без наличия которых доступ в систему будет доступен для многих посторонних лиц.

Проблемы защиты персональных данных в России

Вопросы и законодательные нормы, связанные с правовой защитой персональных данных работников, являются для российских граждан сравнительно новыми, с чем и связано наличие определенных проблем в этой сфере.

Имеется множество правовых и организационных пробелов, которые предстоит восполнить.

Основная трудность связана с советским наследием, которое не признавало ничего частного и не защищало личные данные работника от вторжения.

Читайте так же:  Срок разрешения на хранение и ношение оружия

Напротив, все сведения о нем (даже те, которые никак не относились к работе), тщательно изучались множеством лиц и не были никак скрыты.

Поэтому переход к защите данных в ТК РФ осуществлялся дольше и тяжелее, чем в ряде западных стран. Некоторые формы кадровых документов до сих пор сохранили в себе устаревшие вопросы.

Еще одна проблема – недостаточность финансирования мероприятий, связанных с защитой данных. Бюджетные предприятия не получают достаточно денежных средств от государства, а частные просто не хотят тратить на все это лишние деньги. Из-за этого отсутствует возможность устанавливать надежные системы защиты информации или создавать специальную службу.

При предоставлении своих данных работодателю часто нарушается законодательство, поскольку работники не знают своих прав и положений закона.

Защита персональных данных – это важное требование, связанное не только с законодательными нормами, но и с коммерческими интересами хозяйственного субъекта.

Неправомерный доступ к таким данным или их утечка может привести ко множеству неприятных последствий – от жалоб со стороны сотрудников до потери деловой репутации предприятия.

Поэтому работодателям не стоит экономить на средствах защиты и относиться к этому вопросу серьезно – в будущем эти затраты оправдают себя.

Источник: http://naim.guru/trudovoe-pravo/sistema/personalnye-dannye/zashita

Защита персональных данных

Защита персональных данных
с помощью DLP-системы

Р ешения для защиты персональных данных в российских компаниях и учреждениях формируются на базе мер организационно-технического характера. Они должны соответствовать нормам правовых актов: Конституции Российской Федерации (статья 24), Федерального закона №152-ФЗ «О персональных данных» и специальным требованиям регуляторов. Функции регуляторов выполняют:

  • Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций – Роскомнадзор;
  • Федеральная служба по техническому и экспортному контролю – ФСТЭК;
  • Федеральная служба безопасности – ФСБ.

Роскомнадзор следит за исполнением законодательства, касающегося персональных данных в целом, ФСТЭК и ФСБ формируют требования к методологическим, техническим и организационным условиям защищенности информационных систем обработки персональных данных.

Что входит в понятие «персональные данные»?

Определение персональных данных (ПДн) содержится в законе 152-ФЗ .

Ключевой особенностью трактовки является словосочетание «любая информация», то есть закон позволяет буквально все организации записать в «операторы персональных данных». Логика понятна. Устраиваясь, например, на работу человек передает работодателю всю информацию о себе, а заключая, скажем, договор с физическим лицом – получает и обрабатывает ПДн. Госструктуры, банки, интернет-магазины, социальные сети – это всего лишь несколько примеров из обширного списка операторов ПДн.

Санкции за нарушение норм закона в области обработки и защиты персональных данных варьируются от штрафов (с 1 июля 2017 года размеры штрафов выросли ) до административной ответственности, не исключено и уголовное преследование.

Нарушение процедуры обращения с персональными данными угрожает также потерей деловой репутации. Выявление подобных фактов в компания нередко становится поводом для оттока клиентов. Значит, исполнять требования 152-ФЗ и соблюдать предписания регулирующих и контролирующих сферу ПДн структур – жизненная необходимость для каждой компании, которая прямо или опосредованно оперирует персональными данными.

Универсального подхода к исполнению требований всеми организациями, которые подпадают под контроль регуляторов, нет. Согласно законодательству, персональные данные разбиты на четыре категории. Компании формируют систему защиты ПДн в зависимости от категории, соответственно, различаются и требования к оператору.

Наиболее сложный и затратный процесс – внедрение полноценного комплекса обеспечения защищенности информационной системы персональных данных (ИСПДн) , в которой обрабатываются сведения о расе и нации субъекта, вере, здоровье, интимной жизни, политических и философских взглядах. Все перечисленные данные входят в группу специальных ПДн . Защищу сведений из этой категории закон требует обеспечивать особенно тщательно.

Высоки требования закона к обеспечению защищенности и биометрических ПДн : биологических и физиологических характеристик, которые позволяют идентифицировать субъекта данных.

Компания, которая получила письменное согласие клиента на обработку ФИО, даты и места рождения, домашнего адреса, данных о профессии, контактных сведений, становится оператором общедоступных ПДн . Подобные сведения используют, например, для составления телефонных справочников. К защите общедоступных персональных данных законодательство предъявляет минимальные в сравнении с другими категориями требования.

К четвертой категории – иных ПДн – причисляют все сведения, которые нельзя отнести к специальным, биометрическими или специальным, но по которым возможно идентифицировать субъекта данных. Защищать иные ПДн проще, чем биометрические или специальные. Однако требования к безопасности выше, чем в случае систем обработки данных из общедоступной категории.

Согласно постановлению правительства от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», операторы при создании механизмов защиты должны учитывать численность субъектов ПДн. Законодательство делит ИСПДн на такие, в которых обрабатывают данные менее 100 тыс. и более 100 тыс. субъектов.

Обеспечение сохранности персональных данных, обрабатываемых в системе, начинается с определения наиболее вероятных угроз. Независимо от категории, целей обработки и численности субъектов ПДн, система должна гарантировать защиту от неправомерных операций , включая:

копирование и распространение уничтожение и блокировку несанкционированное изменение

В инфраструктуре комплексной защиты ИСПДн необходимо учитывать возможность присутствия внутреннего нарушителя. Ущерб персональным данным способен причинить любой сотрудник, намеренно или по неосторожности.

Модули «СёрчИнформ КИБ» перехватывают информацию, переданную на внешние устройства, по почте и через облачные сервисы, а также следят за операциями с файламикопированием, удалением, изменением имени и содержания.

Меры, которые помогают предотвратить несанкционированный доступ, усилить надежность и отказоустойчивость ИСПДн, сохранить целостность и доступность информации внутри системы, перечислены в 152-ФЗ. Закон предписывает:

1. Определить масштаб информационной системы и категорию ПДн, смоделировать угрозы безопасности.

2. Внедрить организационно-технические механизмы безопасности в соответствии с четырьмя уровнями защищенности. Определение уровней содержится в постановлении правительства №1119 .

Читайте так же:  Кто имеет право подписи справок

3. Использовать средства информационной защиты, возможности которых подтверждены сертификатами соответствия ФСТЭК и/или ФСБ.

4. Провести до начала обработки ПДн комплексный аудит безопасности, включая аудит информационной системы, компонентов защиты, исполнения требований внутренних организационных и методических распоряжений.

5. Внедрить систему учета всех видов носителей информации ограниченного использования, в том числе ПДн.

6. Заложить в информационной системе функции резервирования и восстановления ПДн в случае несанкционированных изменений или уничтожения.

7. Установить регламент доступа сотрудников оператора к персональным данным в ИС. Уровни доступа должны сегментироваться в зависимости от должностных обязанностей.

8. Внедрить инструменты аудита и журналирования действий сотрудников с персональными данными.

9. Контролировать исполнение правил безопасности эксплуатации персональных данных и непрерывность работы защитных аппаратно-программных сервисов ИСПДн.

Федеральный закон обозначает общее «защитное поле» персональных данных. Конкретные нормы содержатся в приказе ФСТЭК от 18.02.2013 № 21 . Например:

1. В системе обработки ПДн должна применяться идентификация и аутентификация пользователей, компонентов системы и персональной информации – объектов доступа, защиту которых нужно обеспечивать. Реализация требования предполагает сопоставление уникальных идентификаторов, которые присваиваются объектам и субъектам в ИСПДн. Это значит, необходимо задействовать механизмы авторизации и разграничения прав.

2. Программная среда должна быть ограниченной, что подразумевает наличие фиксированного перечня системного и прикладного ПО. У пользователя должны быть заблокированы полномочия изменять набор системных компонентов и разрешенного ПО. Пользователь вправе запускать и использовать ПО в рамках своей роли. Это обеспечит защиту от случайных действий сотрудников, способных нанести ущерб ИСПДн.

3. Хранение и обработка ПДн на съемных носителях возможна только при отлаженном учете устройстве.

4. Оператор должен обеспечить непрерывный мониторинг безопасности: вести журнал аудита событий, чтобы отследить, что произошло и какие меры были предприняты. Одновременно следует надежно защитить сам журнал аудита от модификации и удаления.

5. Система защиты ПДн должна включать антивирусные программные комплексы. Вредоносное ПО нередко становится причиной утечек конфиденциальной информации и частичного (реже – полного) выхода из строя информационной инфраструктуры.

6. Наряду с антивирусом рекомендуется применять системы обнаружения и предотвращения вторжений. Это позволяет анализировать и выявлять факты неавторизованного доступа на уровне сети или компьютерной системы, попытки превышения полномочий или внедрения вредоносного ПО и предпринимать меры по устранению угроз: информирование офицера безопасности, сброс соединения, блокирование трафика и т.д.

7. Несанкционированное изменение, повреждение информационной системы и ПДн фиксируют также системы обеспечения целостности, которые при использовании в ИСПДн должны иметь функции восстановления поврежденных компонентов и информации.

8. Уровень защищенности ИСПДн подлежит регулярному контролю. Развернутые программные компоненты, аппаратный инструментарий и установленные настройки должны обеспечивать непрерывную и полную защиту процедур обработки и хранения информации, исходя из экспертного класса информационной системы.

Перечень мер, устанавливаемых ФСТЭК для реализации системы безопасности ИСПДн, не исчерпывается несколькими пунктами. В приказе № 21 приводятся требования к инструментам виртуализации, каналам связи, конфигурации ИСПДн, классы средств вычислительной техники, антивирусных систем и другие параметры защиты. Кроме приказа ФСТЭК, при внедрении комплекса защиты ПДн организация – обработчик данных должна руководствоваться приказом ФСБ России от 10.07.2014 № 378.

«СёрчИнформ КИБ» сертифицирована ФСТЭК России. Система соответствует четвертому уровня контроля недекларированных возможностей, которые могут навредить обрабатываемой информации. Это значит, что данные в системе защищены не только от утечек, но и от нарушения целостности, доступности и конфиденциальности.

Разработать и внедрить полный комплекс мероприятий по защите ПДн невозможно без освоения нормативной базы, навыков настройки технических средств и знаний принципов ПО, обеспечивающего информационную безопасность. Это значит, защищать персональные данным силами одного сотрудника, по меньшей мере недальновидно. Единственная ошибка на любом уровне рискует обернуться штрафами от регуляторов и потерей лояльности клиентов.

Сотруднику без ИБ-компетенций под силу разобраться в законодательстве и определить категорию ПДн. Пошаговые инструкции, доступные в Сети, помогут разработать регламент информирования субъектов ПДн о сборе информации и составить уведомление в Роскомнадзор о деятельности компании в качестве оператора ПДн – это стандартные документы. Определить роли, разграничить доступ и зафиксировать, какие сотрудники имеют доступ и какие операции вправе совершать с ПДн – несложная задача для специализированного ПО.

Без привлечения специалиста с профильными знаниями не обойтись на этапе при составлении политики безопасности и определении актуальных угроз. Цикл внедрения программно-технических комплексов от подбора до «боевого» использования ПО и оборудования требует понимания документации ФСТЭК и ФСБ. Специалист должен не только ориентироваться в классах СВТ, антивирусах и межсетевых экранах, но и знать, как гарантировать конфиденциальность и обеспечить безотказность связи для сегментов ИСПДн.

Проблема заключается в том, что даже обладающий нужной квалификацией ИТ- или ИБ-специалист не сможет внедрить и поддерживать в ИСПДн подсистему информационной безопасности без соблюдения ряда условий. Работа со средствами технической защиты – деятельность, лицензируемая ФСТЭК. Значит, перед оператором ПДн встанет задача получить лицензию регулятора.

Крупным организациям целесообразно нанять штат специалистов по информационной безопасности, выполнить условия, чтобы получить лицензию ФСТЭК, а затем самостоятельно создать и поддерживать систему обеспечения защиты персональных данных.

Небольшим организациям – обработчикам ПДн содержать ИБ-штат экономически невыгодно. Менее затратным, более разумным и быстрым будет вариант привлечь лицензиатов ФСТЭК. Это организации, которые профессионально занимаются защитой информации. Специалисты лицензиатов уже обладают всеми знаниями нормативной и технической базы, имеют опыт создания комплексных систем безопасности, в том числе информационной.

Еще одна возможность защитить ПДн для небольших компанийотдать ИБ-задачи на аутсорсинг внештатным специалистам по безопасности «СёрчИнформ».

Видео (кликните для воспроизведения).

Источник: http://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/

Средства защиты информации персональных данных
Оценка 5 проголосовавших: 1

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here