> В данной статье мы будем разбираться с основными нормативно-правовыми актами в сфере ИБ, которые регулируют обработку ПДН в ИС, поэтому открывайте форточку, будет душно.
Для начала стоит четко понимать, что такое данные (информация), почему они персональные и как они обрабатываются
В наше время практически каждый онлайн-сервис требует предоставления персональных данных (далее ПДН), иногда эти данные могут быть максимально чувствительные, например вы наверняка не хотите, чтобы в электронной очереди к врачу отображалось ваше полное ФИО, фотография и проблема, с которой вы пришли. В связи с этим возникла потребность в регулировании обработки ПДН.
В России основными регуляторами считаются следующие органы:
1. Федеральная служба безопасности (
2. Федеральная служба по техническому и экспортному контролю (
3. Министерство цифрового развития, связи и массовых коммуникаций (
4. Роскомнадзор (
Так как мы акцентируем внимание на вариант, в котором рассматривается обработка ПДН с помощью информационной системы (с оператором или без него), то в этом случае мы сразу должны обратиться к
ИСПДн?
Требованиями к защите ПДн при их обработке в информационных системах (
Категории обрабатываемых персональных данных (ПДн) подразделяются на 4 группы:
Что, где защищать и как классифицировать мы поняли, но от чего защищать?
Существует всего три типа актуальных угроз:
И, наконец мы добрались до первой картинки в этой статье - таблице уровней защищенности ПДН
Одной из задач, которую предстоит выполнить, является установление категории ПДн , подразделяемые на группы:
Для начала стоит четко понимать, что такое данные (информация), почему они персональные и как они обрабатываются
Именно такое определение дается в
Ссылка скрыта от гостей
Спорить с ним я, конечно же, не буду, но заострю внимание на нем, так как именно на него будут опираться все остальные документы. Также запомним, что в РФ есть три типа секретности сведений составляющих государственную тайну, и соответствующие этим степеням грифы секретности для носителей указанных сведений: "особой важности", "совершенно секретно" и "секретно". Это четко прописано в
Ссылка скрыта от гостей
В наше время практически каждый онлайн-сервис требует предоставления персональных данных (далее ПДН), иногда эти данные могут быть максимально чувствительные, например вы наверняка не хотите, чтобы в электронной очереди к врачу отображалось ваше полное ФИО, фотография и проблема, с которой вы пришли. В связи с этим возникла потребность в регулировании обработки ПДН.
В России основными регуляторами считаются следующие органы:
1. Федеральная служба безопасности (
Ссылка скрыта от гостей
) - включается в регулирование вопросов, связанных с защитой персональных данных в контексте национальной безопасности, а также криптографии.2. Федеральная служба по техническому и экспортному контролю (
Ссылка скрыта от гостей
) - отвечает за обеспечение технической защиты информации, включая персональные данные, которые могут быть классифицированы как государственная тайна.3. Министерство цифрового развития, связи и массовых коммуникаций (
Ссылка скрыта от гостей
) - разрабатывает, внедряет стандарты и нормативные акты, касающиеся защиты персональных данных в цифровой сфере.4. Роскомнадзор (
Ссылка скрыта от гостей
) - основной регулятор в области защиты персональных данных. Роскомнадзор контролирует соблюдение законодательства о персональных данных, рассматривает жалобы граждан и принимает меры по защите прав субъектов персональных данных.Так как мы акцентируем внимание на вариант, в котором рассматривается обработка ПДН с помощью информационной системы (с оператором или без него), то в этом случае мы сразу должны обратиться к
Ссылка скрыта от гостей
. В данном достаточно объемном документе устанавливается состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (ИСПДн). Данный приказ затрагивает Оператора осуществляющего обработку персональных данных, а также лица, осуществляющее обработку персональных данных по поручению оператора в соответствии с законодательством Российской Федерации. Но если простыми словами, то в данном документе говорится о том, что данные, представляющие государственную тайну - не должны передаваться по открытой беспроводной сети в торговом центре, а должны быть защищены определенным образом.ИСПДн?
На данном этапе мы понимаем, что есть какая-то система, которая обрабатывает ПДН, но безопасно ли доверять одной системе обрабатывать все возможные ПДН? Конечно же, нет. Для этого была придумана классификация, позволяющая определить класс защищенности ИСПДн.
Требованиями к защите ПДн при их обработке в информационных системах (
Ссылка скрыта от гостей
) установлены 4 уровня защищенности персональных данныхКатегории обрабатываемых персональных данных (ПДн) подразделяются на 4 группы:
- 1 группа — специальные категории ПДн, к которым относятся информация о национальной и расовой принадлежности субъекта, о религиозных, философских либо политических убеждениях, информацию о здоровье и интимной жизни субъекта;
- 2 группа — биометрические ПДн, то есть данные, характеризующие биологические или физиологические особенности субъекта и используемые для установления личности, например, фотография или отпечатки пальцев;
- 3 группа — общедоступные ПДн, то есть сведения о субъекте, полный и неограниченный доступ к которым предоставлен самим субъектом;
- 4 группа — иные категории ПДн, не представленные в трех предыдущих группах.
- обработка персональных данных работников (субъектов, с которыми ваша организация связана трудовыми отношениями);
- обработка персональных данных субъектов, не являющихся работниками вашей организации.
- менее 100 000 субъектов;
- более 100 000 субъектов;
Что, где защищать и как классифицировать мы поняли, но от чего защищать?
Существует всего три типа актуальных угроз:
- угрозы 1-го типа связаны с наличием недекларированных (недокументированных) возможностей в системном ПО, используемом в ИСПДн;
- угрозы 2-го типа связаны с наличием недекларированных возможностей в прикладном ПО, используемом в ИСПДн;
- угрозы 3-го типа не связаны с наличием недекларированных возможностей в программном обеспечении, используемом в ИСПДн.
И, наконец мы добрались до первой картинки в этой статье - таблице уровней защищенности ПДН
Одной из задач, которую предстоит выполнить, является установление категории ПДн , подразделяемые на группы:
- Первая категория включает специальные ПДн. Сюда относятся, прежде всего, данные о состоянии здоровья, принадлежности к определенной расе или вероисповеданию, а также философские и политические взгляды.
- Ко второй категории относятся биометрические персональные данные, позволяющие идентифицировать человека по особенностям его физиологии, например, отпечатку пальцев, рисунку сетчатки глаза, фотографии и т.д. Чтобы пользоваться такими ПДн легально, необходимо предварительно получить письменное согласие субъекта (кроме ситуаций, когда дело касается вопросов национальной безопасности, судебного производства или расследования преступлений).
- Третья категория представлена общедоступной информацией о гражданине, которую он сам предоставляет для обработки. Речь идет о дате рождения, Ф.И.О., адресе, телефоне, образовании, профессии и других сведениях, опубликованных на страничках социальных сетей, в справочниках и т.д.
- В четвертую категорию входят те личные сведения, которые нельзя включить ни в оду из других групп.
