Ого личные данные

Оглавление:

Ого личные данные

1.3.3 Понятие – кража личных данных, и ее влияние.

Кража личных данных — это запрещенное использование личных данных (личностные атрибуты, которые делают человека уникальным по сравнению с другими людьми), или злоупотребление важными личными данными другого лица (имя, личный код, документ или банковская карта), которые причинили человеку материальный или моральный ущерб.
Личные данные представляют личность любого человека, которые могут быть отражены в характеристике или деятельности, которых достаточно, для его опознания другими людьми.
Некоторые примеры кражи личных данных:

  • Создание поддельной страницы в социальных сетях;
  • Публикация оскорбительных / клеветнических статей, от имени другого лица;
  • Отправка по электронной почте писем оскорбительного / клеветнического содержания (fake email) от имени других лиц;
  • Создание блогов оскорбительного / клеветнического содержания от имени другого лица;
  • Взятие кредита на имя другого человека / покупка товаров;
  • Совершение преступления или административного правонарушения, от имени другого лица и т.д.

Поэтому, всегда следует следить, какими данными и где делиться. Особенно осторожными следует быть в социальных сетях.
Кража личных данных в Эстонии стала уголовно наказуема с конца 2009-ого года, а уже в 2010 году было зарегистрировано 55 таких преступлений.

Сколько стоят ваши личные данные?

Некоторые считают, что обычным людям не нужно бояться прослушки, перехвата данных, взлома компьютера и кражи личных документов. Это не так. На чёрном рынке сведения о любом человеке имеют свою цену. Более того, действия хакеров могут причинить вам прямой финансовый ущерб.

Сколько на вас могут заработать хакеры? На чёрном рынке существуют примерно такие расценки:

— Скан паспорта — 25 долларов
— Доступ к почте — 20 долларов
— Доступ к компьютеру, заражённому трояном — 3 доллара
— Платёжные данные банковской карты — 25 долларов
— Доступ к аккаунту в социальной сети — до 200 долларов
— SIM-карты — до 200 долларов
— Аккаунт в онлайн-игре с «прокачанными» героями — 150 долларов
— Логин и пароль от мессенджера — 15 долларов
— Новый паспорт, сделанный из отсканированного — 1000 долларов

С какими убытками вы можете столкнуться:

— Кража денег с банковского счёта
— Уничтожение ценных данных на компьютере
— Кредит, взятый на ваш паспорт
— Деньги, взятые злоумышленником взаймы от вашего имени у ваших друзей в соцсетях и мессенджерах
— Выкуп за отказ от публикации компромата

Сканы паспортов используются не только для получения кредитов, но и для регистрации в платёжных системах, онлайн-казино, на Forex-биржах и для имитации реальной личности при мошеннических сделках (например, на Avito). Некоторые сервисы специально требуют скан паспорта или фотографии пользователей с паспортами в руках для того, чтобы в дальнейшем продать снимки на чёрном рынке. Стоимость аккаунта в соцсетях зависит от того, насколько он качественный и достоверный: как давно ведётся, сколько в нём публикаций, сколько фотографий и друзей, есть ли в администрировании группы и сколько людей в них состоит. Также имеет значение адрес страницы (очень ценятся аккаунты «ВКонтакте» с минимальным количеством цифр). Взломанные аккаунты используются для создания впечатления, что переписку ведёт честный человек, а не мошенник.

Цена увеличивается, если заказчик получает доступ к аккаунтам и личным данным определённого человека. Самый дорогой набор — логин и пароль пользователя в нескольких соцсетях с ником, засвеченным на разных сайтах и форума, номера его банковских карты и сканы его документов. За такое могут попросить несколько тысяч долларов.

Убытки могут быть нулевыми, если вы вовремя отреагируете на взлом или кражу и эффективно защитите свои данные. При неудачном стечении обстоятельств они могут исчисляться сотнями тысяч рублей, причём обнаружить злоумышленников будет очень трудно, поскольку они умеют заметать следы и продают данные оптом незнакомым лицам.

Акты (приказы, распоряжения и другие акты) ФСТЭК России; сведения о внесении в них изменений, признании их утратившими силу, о государственной регистрации этих актов в случаях, установленных законодательством Российской Федерации

Приказ ФСТЭК России от 18 февраля 2013 г. N 21

Зарегистрировано в Минюсте России 14 мая 2013 г. N 28375

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

от 18 февраля 2013 г. N 21

ОБ УТВЕРЖДЕНИИ СОСТАВА И СОДЕРЖАНИЯ ОРГАНИЗАЦИОННЫХ И ТЕХНИЧЕСКИХ МЕР ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Список изменяющих документов

(в ред. Приказа ФСТЭК России от 23.03.2017 N 49)

В соответствии с частью 4 статьи 19 Федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2009, N 48, ст. 5716; N 52, ст. 6439; 2010, N 27, ст. 3407; N 31, ст. 4173, ст. 4196; N 49, ст. 6409; 2011, N 23, ст. 3263; N 31, ст. 4701) и Положением о Федеральной службе по техническому и экспортному контролю, утвержденным Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818), приказываю:

1. Утвердить прилагаемые Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.

2. Признать утратившим силу приказ ФСТЭК России от 5 февраля 2010 г. N 58 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных» (зарегистрирован Минюстом России 19 февраля 2010 г., регистрационный N 16456).

Федеральной службы по техническому

и экспортному контролю

приказом ФСТЭК России

от 18 февраля 2013 г. N 21

СОСТАВ И СОДЕРЖАНИЕ ОРГАНИЗАЦИОННЫХ И ТЕХНИЧЕСКИХ МЕР ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Список изменяющих документов

(в ред. Приказа ФСТЭК России от 23.03.2017 N 49)

I. Общие положения

1. Настоящий документ разработан в соответствии с частью 4 статьи 19 Федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2009, N 48, ст. 5716; N 52, ст. 6439; 2010, N 27, ст. 3407; N 31, ст. 4173, ст. 4196; N 49, ст. 6409; 2011, N 23, ст. 3263; N 31, ст. 4701) и устанавливает состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (далее — меры по обеспечению безопасности персональных данных) для каждого из уровней защищенности персональных данных, установленных в Требованиях к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257).

Меры по обеспечению безопасности персональных данных принимаются для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

В настоящем документе не рассматриваются вопросы обеспечения безопасности персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну, а также меры, связанные с применением шифровальных (криптографических) средств защиты информации.

2. Безопасность персональных данных при их обработке в информационной системе персональных данных (далее — информационная система) обеспечивает оператор или лицо, осуществляющее обработку персональных данных по поручению оператора в соответствии с законодательством Российской Федерации.

Для выполнения работ по обеспечению безопасности персональных данных при их обработке в информационной системе в соответствии с законодательством Российской Федерации могут привлекаться на договорной основе юридическое лицо или индивидуальный предприниматель, имеющие лицензию на деятельность по технической защите конфиденциальной информации.

3. Меры по обеспечению безопасности персональных данных реализуются в рамках системы защиты персональных данных, создаваемой в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, и должны быть направлены на нейтрализацию актуальных угроз безопасности персональных данных.

4. Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.

6. Оценка эффективности реализованных в рамках системы защиты персональных данных мер по обеспечению безопасности персональных данных проводится оператором самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанная оценка проводится не реже одного раза в 3 года.

7. Меры по обеспечению безопасности персональных данных при их обработке в государственных информационных системах принимаются в соответствии с требованиями о защите информации, содержащейся в государственных информационных системах, устанавливаемыми ФСТЭК России в пределах своих полномочий в соответствии с частью 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2010, N 31, ст. 4196; 2011, N 15, ст. 2038; N 30, ст. 4600; 2012, N 31, ст. 4328).

II. Состав и содержание мер по обеспечению безопасности персональных данных

8. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:

идентификация и аутентификация субъектов доступа и объектов доступа;

управление доступом субъектов доступа к объектам доступа;

ограничение программной среды;

защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные (далее — машинные носители персональных данных);

регистрация событий безопасности;

обнаружение (предотвращение) вторжений;

контроль (анализ) защищенности персональных данных;

обеспечение целостности информационной системы и персональных данных;

обеспечение доступности персональных данных;

защита среды виртуализации;

защита технических средств;

защита информационной системы, ее средств, систем связи и передачи данных;

выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее — инциденты), и реагирование на них;

управление конфигурацией информационной системы и системы защиты персональных данных.

Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных, приведены в приложении к настоящему документу.

8.1. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).

8.2. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль за соблюдением этих правил.

8.3. Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения.

8.4. Меры по защите машинных носителей персональных данных (средств обработки (хранения) персональных данных, съемных машинных носителей персональных данных) должны исключать возможность несанкционированного доступа к машинным носителям и хранящимся на них персональным данным, а также несанкционированное использование съемных машинных носителей персональных данных.

8.5. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.

8.6. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.

8.7. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) персональные данные в целях добывания, уничтожения, искажения и блокирования доступа к персональным данным, а также реагирование на эти действия.

8.8. Меры по контролю (анализу) защищенности персональных данных должны обеспечивать контроль уровня защищенности персональных данных, обрабатываемых в информационной системе, путем проведения систематических мероприятий по анализу защищенности информационной системы и тестированию работоспособности системы защиты персональных данных.

8.9. Меры по обеспечению целостности информационной системы и персональных данных должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащихся в ней персональных данных, а также возможность восстановления информационной системы и содержащихся в ней персональных данных.

8.10. Меры по обеспечению доступности персональных данных должны обеспечивать авторизованный доступ пользователей, имеющих права по доступу, к персональным данным, содержащимся в информационной системе, в штатном режиме функционирования информационной системы.

8.11. Меры по защите среды виртуализации должны исключать несанкционированный доступ к персональным данным, обрабатываемым в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры и (или) воздействие на них, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.

8.12. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим персональные данные, средствам, обеспечивающим функционирование информационной системы (далее — средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту персональных данных, представленных в виде информативных электрических сигналов и физических полей.

8.13. Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту персональных данных при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы и проектных решений, направленных на обеспечение безопасности персональных данных.

8.14. Меры по выявлению инцидентов и реагированию на них должны обеспечивать обнаружение, идентификацию, анализ инцидентов в информационной системе, а также принятие мер по устранению и предупреждению инцидентов.

8.15. Меры по управлению конфигурацией информационной системы и системы защиты персональных данных должны обеспечивать управление изменениями конфигурации информационной системы и системы защиты персональных данных, анализ потенциального воздействия планируемых изменений на обеспечение безопасности персональных данных, а также документирование этих изменений.

9. Выбор мер по обеспечению безопасности персональных данных, подлежащих реализации в информационной системе в рамках системы защиты персональных данных, включает:

определение базового набора мер по обеспечению безопасности персональных данных для установленного уровня защищенности персональных данных в соответствии с базовыми наборами мер по обеспечению безопасности персональных данных, приведенными в приложении к настоящему документу;

адаптацию базового набора мер по обеспечению безопасности персональных данных с учетом структурно-функциональных характеристик информационной системы, информационных технологий, особенностей функционирования информационной системы (в том числе исключение из базового набора мер, непосредственно связанных с информационными технологиями, не используемыми в информационной системе, или структурно-функциональными характеристиками, не свойственными информационной системе);

уточнение адаптированного базового набора мер по обеспечению безопасности персональных данных с учетом не выбранных ранее мер, приведенных в приложении к настоящему документу, в результате чего определяются меры по обеспечению безопасности персональных данных, направленные на нейтрализацию всех актуальных угроз безопасности персональных данных для конкретной информационной системы;

дополнение уточненного адаптированного базового набора мер по обеспечению безопасности персональных данных мерами, обеспечивающими выполнение требований к защите персональных данных, установленными иными нормативными правовыми актами в области обеспечения безопасности персональных данных и защиты информации.

10. При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности персональных данных, а также с учетом экономической целесообразности на этапах адаптации базового набора мер и (или) уточнения адаптированного базового набора мер могут разрабатываться иные (компенсирующие) меры, направленные на нейтрализацию актуальных угроз безопасности персональных данных.

В этом случае в ходе разработки системы защиты персональных данных должно быть проведено обоснование применения компенсирующих мер для обеспечения безопасности персональных данных.

11. В случае определения в соответствии с Требованиями к защите персональных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, в качестве актуальных угроз безопасности персональных данных 1-го и 2-го типов дополнительно к мерам по обеспечению безопасности персональных данных, указанным в пункте 8 настоящего документа, могут применяться следующие меры:

проверка системного и (или) прикладного программного обеспечения, включая программный код, на отсутствие недекларированных возможностей с использованием автоматизированных средств и (или) без использования таковых;

тестирование информационной системы на проникновения;

использование в информационной системе системного и (или) прикладного программного обеспечения, разработанного с использованием методов защищенного программирования.

12. Технические меры защиты персональных данных реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности.

При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации:

в информационных системах 1 уровня защищенности персональных данных применяются средства защиты информации не ниже 4 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 2 уровня защищенности персональных данных применяются средства защиты информации не ниже 5 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 3 уровня защищенности персональных данных применяются средства защиты информации не ниже 6 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 4 уровня защищенности персональных данных применяются средства защиты информации не ниже 6 класса, а также средства вычислительной техники не ниже 6 класса.

Классы защиты определяются в соответствии с нормативными правовыми актами, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

При использовании в информационных системах средств защиты информации, сертифицированных по требованиям безопасности информации, указанные средства должны быть сертифицированы на соответствие обязательным требованиям по безопасности информации, установленным нормативными правовыми актами, или требованиям, указанным в технических условиях (заданиях по безопасности).

Функции безопасности средств защиты информации должны обеспечивать выполнение мер по обеспечению безопасности персональных данных, содержащихся в настоящем документе.

Для обеспечения 1 и 2 уровней защищенности персональных данных, а также для обеспечения 3 уровня защищенности персональных данных в информационных системах, для которых к актуальным отнесены угрозы 2-го типа, применяются сертифицированные средства защиты информации, программное обеспечение которых прошло проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.

(п. 12 в ред. Приказа ФСТЭК России от 23.03.2017 N 49)

13. При использовании в информационных системах новых информационных технологий и выявлении дополнительных угроз безопасности персональных данных, для которых не определены меры обеспечения их безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 10 настоящего документа.

Приложение к Составу и содержанию

организационных и технических мер по

обеспечению безопасности персональных

данных при их обработке в информационных

системах персональных данных

СОСТАВ И СОДЕРЖАНИЕ МЕР ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, НЕОБХОДИМЫХ ДЛЯ ОБЕСПЕЧЕНИЯ КАЖДОГО ИЗ УРОВНЕЙ ЗАЩИЩЕННОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

В ООН предложили заключить соглашение по защите личных данных в интернете

Таким образом генсек организации Антониу Гутерриш прокомментировал скандал, связанный с Facebook.

Генеральный секретарь ООН Антониу Гутерриш выступил за то, чтобы правительства, интернет-компании и организации гражданского общества достигли договоренностей по вопросу использования личных данных пользователей, передает ТАСС.

Такую позицию озвучил во вторник официальный представитель генсека Стефан Дюжаррик, комментируя скандал вокруг сбора данных пользователей социальной сети Facebook для анализа политических предпочтений избирателей.

Как заявил представитель генсека, в руководстве ООН обеспокоены тем, как используются личные данные интернет- пользователей.

«Я думаю, что этот случай, как и другие, которые мы видели, объясняют, почему генеральный секретарь многократно призывал всех игроков — правительства, технологические компании, гражданское общество — собраться и достичь каких-то базовых договоренностей», — сказал Дюжаррик.

По его словам, Гутерриш не ждет, что ООН сама займется защитой личных данных в интернете, но предлагает использовать организацию «в качестве платформы для того, чтобы собрать всех игроков для решения проблем, с которыми мы сталкиваемся». «Это один из тех случаев, в которых ООН может стать правильной платформой для того, чтобы собрать всех этих игроков», — отметил представитель генсека.

Сбор данных для вмешательства в выборы

Ранее газета The New York Times сообщила, что британской аналитической компании Cambridge Analytica удалось собрать личные данные в общей сложности более чем 50 млн пользователей Facebook, чтобы разработать алгоритм анализа политических предпочтений избирателей. Как рассказали изданию бывшие сотрудники компании, созданный алгоритм облегчал рассылку пользователям политической рекламы с целью потенциально повлиять на их голоса.

Как заявили представители соцсети, в 2015 году профессор психологии Кембриджского университета Александр Коган с помощью приложения, созданного им на платформе Facebook передал британской компании массивный объем личных данных пользователей. В том же году соцсеть заблокировала приложение и потребовала от Когана и британской компании удалить данные, однако несколько дней назад в Facebook выяснили, что не вся информация была полностью удалена.

19 марта британский телеканал Channel 4 представил фильм-расследование, в котором глава Cambridge Analytica Александр Никс, снятый скрытой камерой, рассказывает о том, что эта компания вмешалась в более, чем 200 выборов по всему миру, прибегая к взяткам, провокациям и распространению порочащей кандидатов информации в интернете. В тот же день стало известно о том, что расследование этого скандала намерен провести Европарламент.

Американская Федеральная комиссия по торговле также начала изучение вопроса о том, открыла ли Facebook доступ для Cambridge Analytica к персональным данным пользователей социальной сети в нарушение своих собственных правил обращения с информацией, сообщили 20 марта информационное агентство Bloomberg и газета The Wall Street Journal со ссылкой на осведомленные источники.

В ООН предложили заключить соглашение о защите личных данных в интернете

Генеральный секретарь ООН Антониу Гутерриш выступил за то, чтобы правительство, интернет-компании и организации гражданского общества достигли договоренностей по вопросу использования личных данных пользователей. Такую позицию озвучил официальный представитель генсека Стефан Дюжаррик, комментируя скандал вокруг сбора данных пользователей социальной сети Facebook для анализа политических предпочтений избирателей британской компанией Cambridge Analytica, информирует УНН.

Как заявил представитель генсека, в руководстве ООН обеспокоены тем, как используются личные данные интернет-пользователей. “Я думаю, что этот случай, как и другие, которые мы видели, объясняют, почему генеральный секретарь многократно призвал всех игроков — правительства, технологические компании, гражданское общество — собраться и достичь каких-то базовых договоренностей”, — сказал Дюжаррик.

По его словам, Гутерриш не ждет, что ООН сама займется защитой личных данных в интернете, но предлагает использовать организацию “в качестве платформы для того, чтобы собрать всех игроков для решения проблем, с которыми мы сталкиваемся”. “Это один из тех случаев, в которых ООН может стать правильной платформой для того, чтобы собрать всех этих игроков”, — отметил представитель генсека.

Ого личные данные

По мотивам предыдущей статьи и комментариев к ней мы пишем продолжение, которое, как мы считаем, раскроет максимально тему организации защиты персональных данных и лицензирования при предоставлении Вами различного рода услуг.

Сразу к конкретике.
Пусть Вы – владелец какого-либо бизнеса, масштаб не важен — от маленькой бухгалтерской конторы до крупной корпорации. Содержание своей инфраструктуры для Вас дорого или неприемлемо по какой-либо причине и Вы хотите передать функционал по хранению и обработке данных третьей стороне.
При решении данной задачи вы должны задаться рядом вопросов:

  • Имеете ли Вы право передавать обработку третьей стороне, и какие условия при этом накладываются на Вас и на Ваших партнеров по обработке данных? Кто несет ответственность за персональные данные при передаче обработке партнеру-третьей стороне?
  • Нужны ли Вам какие-либо лицензии? Какие отчеты по ним Вам будет необходимо сдавать? Кто такой оператор персональных данных?
  • Будете ли Вы работать с конфиденциальной информацией, какие условия Вы и Ваш партнер при этом должны выполнять? Какие лицензии нужны?

Ответ на вопрос об ответственности за данные является одновременно самым простым и при этом фундаментальным.

Да, Вы можете передавать обработку персональных данных третьей стороне, однако должны учитывать, что, если обработка и хранение данных передается третьему лицу, оно должно обладать знаниями, опытом, соответствующими мощностями и, в зависимости от типа передаваемой информации, обладать теми или иными лицензиями. Однако ответственность за хранение и обработку данных в любом случае остается на изначальной компании, то есть на Вас. Поэтому подходить к выбору партнера в этом деле нужно довольно тщательно. В зависимости от типа деятельности и собираемой информации Ваша компания и Ваш партнер должны иметь те или иные лицензии.
Как итог, руководствуемся принципом – если Вашей компании для работы с информацией нужна конкретная лицензия, то она обязательно должна быть и у Вашего партнера при передаче обработки данных.

Какие лицензии Вам нужны?

Это зависит от типа Вашей деятельности и собираемой информации. Если Ваш бизнес предполагает только сбор информации о клиентах, а услуги при этом не включают в себя предоставление связи (к примеру, Вы – салон красоты, собираете данные о клиентах на сайте, чтобы организовать работу по записи), Вам не нужна никакая лицензия (кроме лицензий на, возможно, медицинские услуги в салоне). Тут все довольно просто.
А если Вы, так или иначе, предоставляете услуги связи на своем оборудовании (Вы – провайдер интернета, хостер сайтов и тому подобное), то, согласно закону «О связи» предоставление услуг связи с использованием своего оборудования требует наличие лицензии Роскомнадзора на предоставление телематических услуг связи, а так же услуг связи без передачи голосовой информации. Данная лицензия подразумевает, что компания-оператор имеет свой собственный сертифицированный узел связи, через который осуществляется вся деятельность по предоставлению услуг.
Алгоритм получения данной лицензии состоит в подаче заявлений установленного образца, оплаты госпошлины. В течение месяца после подачи заявления Вы либо получите лицензии, либо мотивированный отказ.
Лицензия обязывает оператора подавать годовую и ежеквартальную отчетность по оказанным услугам.
Отмечу, что это касается Вашей компании, если Вы оказываете услуги связи от своего имени. Если Вы перепродаете услуги связи от своего партнера (скажем, Вы укажите в договоре с клиентом, что связь предоставлена другим оператором связи), формально Вы можете работать без лицензии.

Вероятнее всего Вы зададитесь вопросом: «А кто регулируют известный всем пункт: «Согласен на обработку персональных данных»?

Этот пункт регулирует 152-ой Федеральный Закон «О персональных данных». С точки зрения закона, сбор данных может осуществлять как государственные органы, так и юридические и даже физические лица. То есть, он относится ко всем – и к салону красоту из примера выше, и к мобильному оператору из большой тройки. Общее для них то, что при сборе и обработке данных они должны руководствоваться следующими принципами:

  • Безусловное согласие клиента на обработку данных (галочка при предупреждении о сборе данных или подпись в дополнительном соглашении, договоре),
  • Прозрачная и понятная цель сбора данных (к примеру, Вы собираете данные клиентов для возможности связи с ними при необходимости). Передача данных в рекламные агентства без явного согласия клиента уже является нарушением данных принципов,
  • Наличие принятых мер к защите данных от несанкционированного доступа (защита базы данных, ограниченный доступ сотрудников, внутренние регламенты и меры воздействия и ответственности),
  • Исключение из сбора данных о религиозной, расовой принадлежности, состоянии здоровья, интимной жизни, информации, являющейся конфиденциальной или относящейся к государственной тайне,
  • Наличие физической возможности по требованию клиента прекратить обработку и удалить собранные о нем данные.

Как видно, закон в этом отношении достаточно лоялен к бизнесу и понимает, что фактически сбором данных занимаются все, даже парикмахерская, где Вы оставляете свой контактный номер. Закон в данном случае не создает препятствий, а лишь регламентирует принципы целевой обработки данных, чтобы исключить попадание телефона клиента в руки рекламщиков.

Если Вы работаете с паспортами (к примеру, со сканами), собираете прочие документы, которые не являются с одной стороны конфиденциальной информацией, но, с другой стороны явно избыточны при регистрации, к примеру, в интернет-магазине, Вам стоит подумать о том, чтобы зарегистрироваться в качестве оператора персональных данных. Стать оператором связи при этом можно в уведомительном порядке. Это будет ответом на вопрос: «Кто такой оператор персональных данных?»

Таким образом, для старта Вашего бизнеса, в большинстве случаев, хватит внутренней политики по обработке персональных данных, а если Вы предоставляете услуги связи, то лицензий Роскомнаадзора будет вполне достаточно. Однако при этом следует помнить, что выполнять указанные выше принципы и иметь лицензии должны и Ваш партнер по обработке данных, и Вы, несмотря на то, что обработку данных на своей стороне Вы не производите.

Теперь представим, что Вы планируете работать с конфиденциальной информацией (КИ).

К примеру, Вы будете сотрудничать с юридическими лицами, которые собирают и хранят конфиденциальную информацию, может быть с государственными учреждениями, или сами таковым являетесь.

В такой ситуации Вы должны обладать соответствующей квалификацией, ресурсами, опытом и лицензией для работы с КИ.

Регулирует работу с конфиденциальной информацией Федеральная служба по экспортному и техническому контролю (ФСТЭК) и Федеральная служба безопасности (ФСБ).

Как правило, достаточно лицензии на техническую защиту конфиденциальной информации (ТЗКИ) (если Вы сами не разрабатываете средства защиты). Ее выдает ФСТЭК.

Что подразумевает под собой лицензия и как ее получить?
Чтобы иметь возможность подать заявку на данную лицензию, Вы должны отвечать следующим требованиям:

  • Технические средства, информационные системы, помещения, где обрабатывается информация (в том числе переговорные комнаты) должны быть оборудованы средствами защиты от утечек информации по техническим каналам,
  • Доступ к информации должен быть под постоянным контролем, исключающим любое несанкционированное проникновение к ней,
  • В штате оператора должно быть минимум двое сотрудников, имеющих диплом, подтверждающих их право работать с конфиденциальной информацией,
  • Все объекты (сотрудники, компьютеры, ПО, помещения), которые участвуют в обработке конфиденциальной информации, должны быть аттестованы.

Помимо указанных требований, организация обязана иметь у себя набор нормативно-правовой документации (для служебного пользования). Так же требуется удостоверить право собственности (аренды) помещения, которое будет аттестовано для работы с конфиденциальной информацией.
Срок получения лицензии от момента подачи всех документов на уже сертифицированное помещение может быть до полугода.

Все эти пункты отнимают массу времени, средств, однако без этого нельзя получить право работать с конфиденциальной информацией.

Если говорить о помещении и о сотрудниках, то здесь более-менее вопросов не возникает.
Интерес и потенциальные сложности вызывает защита информационных систем и в целом всего ПО, которое находится в защищенном помещении под контролем сертифицированных сотрудников.

Как известно из прошлой статьи , большинство операционных систем, которые востребованы на рынке из семейства Windows являются сертифицированными. К примеру, то, что предлагаем своим клиентам мы на виртуальных серверах – Windows Server 2012 R2 Datacenter обладает сертификатом 3367. Так же многие ОС семейства Linux сертифицированы ФСТЭКом. С офисными приложениями так же вопроса не возникает. Полный список ПО здесь fstec.ru/component/attachments/download/489

Казалось бы, вопрос с ПО решен. Но не все так просто.

Представьте, что у вас серьезный сервер, не важно, арендуется ли он или в Вашей собственности. Вы на нем создаете выделенные виртуальные сервера для своих работников. То есть используете какое-либо средство виртуализации, что часто бывает и в бухгалтериях, и в аналитических департаментах крупных компаний.

Здесь нужно знать, что наличие сертифицированной ОС на физическом сервере не тянет за собой автоматической сертификации всех виртуальных серверов, так как они создаются с помощью гипервизора и это — слабое звено в защите данных.

Изучив список ФСТЭКа, вы увидите, что гипервизоры не входят в перечень сертфицированного ПО, а значит необходимо озаботится его защитой. В данном случае Вам поможет установка средства защиты VGate для Hyper-V. Однако это не дешевое удовольствие — Vgate будет стоить от 100 000 рублей на один физический сервер.

Это не считая затрат на специальное ПО для защиты серверов, которое компания обязана установить при прохождении аттестации технических средств.
Таким образом, если Вам необходима лицензия ФСТЭКа, Вы должны быть готовы к значительным временным и материальным затратам.

При этом в процессе развития Вашего предприятия, Вы поймете, что можно и нужно разделить внутренние векторы развития компании, клиентов по принципу – достаточно внутренних политик и лицензии Роскомнадзора или обязательна лицензия ФСТЭК. Естественно, у вас разные классы клиентов и ценовая политика для них.

Подробнее именно об алгоритме получения лицензии ФСТЭКа можно ознакомиться в очень детальном руководстве bis-expert.ru/sites/default/files/miscellaneous/practic_licenc_fstec.pdf.

В конце статьи хочу напомнить, что разделение клиентов по принципу «ФСТЭК – не ФСТЭК» не должно «расслабить» Вас в отношении клиентов «без ФСТЭКа». С того момента, как только Вы предоставили услугу связи, начали сбор данных – Вы под регуляцией Роскомнадзора и 152-ого ФЗ. Потому стандарт ответственности при работе с данными должен быть одинаково высок для всех клиентов.