Система законодательства о защите персональных данных.
Сегодня в России трудно найти компанию, где работа с персональными данными осуществлялась бы по старинке, то есть без использования информационных технологий. Данные о сотрудниках компании, клиентах, партнерах обрабатываются в различных информационных системах: бухгалтерского и кадрового учета, документооборота, ERP и CRM...
В соответствии с отечественным и международным законодательством, вошедшим в правовую систему России, персональные данные подлежат обязательной защите.
Эта статья посвящена обзору актуальных требований в сфере защиты подобных данных, а также возможных подходов к обеспечению их безопасности.
Актуальность решения задачи защиты персональных данных
Ведение любого бизнеса сопряжено с различными рисками: операционными, финансовыми, кредитными. В отдельную категорию принято выделять риски, связанные с регулирующими органами. Сюда относится и риск несоблюдения установленных правил защиты персональных данных. Какую же стратегию снижения такого риска стоит выбрать? Можно считать, что для крупного и среднего бизнеса оптимальным является снижение риска путем построения (начала работ по построению) системы обеспечения безопасности персональных данных либо совершенствование корпоративной системы информационной безопасности для сегмента информационной системы (ИС), в которой осуществляется обработка персональных данных с учетом законодательных требований. Такая стратегия может оказаться предпочтительной, если исходить из следующих фактов. Во-первых, негативные последствия для бизнеса в случае допущения грубых нарушений в вопросе защиты персональных данных могут быть крайне тяжелыми — одним из наихудших, но вполне реальных сценариев возможного развития событий является административное приостановление деятельности организации от нескольких дней до 90 суток. А во-вторых, следует отметить, что в планах регулирующих органов на 2009 год вопросам проведения государственного контроля за соблюдением требований в области защиты персональных данных уделено достаточно большое внимание.
Законодательство РФ в сфере защиты персональных данных
Сегодня день иерархию документов, регламентирующих вопросы защиты персональных данных при их автоматизированной обработке в информационных системах, можно представить следующим образом.
- Федеральный закон от 27 июля 2006 года № 152-ФЗ "О персональных данных".
- Федеральный закон от 19 декабря 2005 года № 160-ФЗ "О ратификации конвенции совета Европы о защите физических лиц при автоматизированной обработке персональных данных".
- Указ Президента Российской Федерации от 6 марта 1997 года № 188 "Об утверждении перечня сведений конфиденциального характера".
- Постановление Правительства РФ от 17 ноября 2007 года № 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных".
- Приказ ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 года № 55/86/20 "Об утверждении порядка проведения классификации информационных систем персональных данных".
- Нормативно-методический документ (НМД) ФСТЭК России "Основные мероприятия по организации..." от 15 февраля 2008 года.
- НМД ФСТЭК России "Рекомендации по обеспечению безопасности..." от 15 февраля 2008 года.
- НМД ФСТЭК России "Базовая модель угроз безопасности..." от 15 февраля 2008 года.
- НМД ФСТЭК России "Методика определения актуальных угроз безопасности..." от 15 февраля 2008 года.
Стоит отметить, что четыре документа, изданных ФСТЭК России в феврале этого года, имеют пометку "Для служебного пользования" и не подлежат опубликованию в открытых источниках. Для их получения оператор персональных данных должен обратиться в Управление ФСТЭК России по своему федеральному округу.
Как защищать персональные данные?
Ответ на этот вопрос является классическим — защиту персональных данных, обрабатываемых в информационных системах, требуется осуществлять на основе системы защиты персональных данных (СЗПДн).
СЗПДн должна представлять собой совокупность организационных мер, а также технических и программных средств защиты персональных данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, несанкционированного распространения. Методологическая основа построения системы защиты персональных данных излагается в нормативно-методических документах ФСТЭК России и ФСБ России. Говоря о конкретном перечне защитных мер, подлежащих реализации в рамках системы защиты персональных данных, надо сказать, что он является дифференцированным, зависящим от установленного класса защищенности информационной системы, обрабатывающей персональные данные. Класс информационной системы выбирается в соответствии с данной таблицей.
Самыми распространенными классами ИС, обрабатывающих персональные данные, оказываются К2 и К3.
В качестве примера рассмотрим требования, предъявляемые к основным мероприятиям по технической защите персональных данных, которые должны быть реализованы в рамках системы защиты персональных данных в многопользовательских информационных систем 3-го класса (К3) с разными правами доступа пользователей к защищаемым информационным активам. Итак, согласно действующим требованиям в информационной системе данного класса, должны быть реализованы:
- идентификация и аутентификация пользователей по паролю длиной не менее 6 символов;
- управление доступом к защищаемой информации;
- регистрация в журналах аудита входа (выхода) в систему/из системы;
- учет носителей, содержащих конфиденциальную информацию (персональные данные) с регистрацией их выдачи/приема;
- целостность программных средств защиты информации от несанкционированного доступа;
- неизменность программной среды информационной системы;
- физическая охрана физических активов информационной системы, включая носители конфиденциальной информации;
- периодическое тестирование системы защиты персональных данных;
- механизмы восстановления системы защиты персональных данных;
- межсетевое экранирование — вне зависимости от наличия подключения к Интернету;
- антивирусная защита информационной системы.
