Вы используете устаревший браузер!

Страница может отображаться некорректно.

Persona (non) grata

Persona (non) grata

Другие выпуски этой рубрики (59)
  • добавить в избранное
    Добавить в закладки

Защита ПДн – чья забота?

Прочитали: 4497 Комментариев: 53 Рейтинг: 71

19 февраля 2019

Кто должен защищать персональные данные?

Вопреки устоявшемуся мнению – все, кто хоть как-то пропускает их в любом их виде через свои устройства и компьютеры. Федеральный закон № 152-ФЗ это однозначно определяет: «оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных». Так что с точки зрения закона любой частный пользователь должен защищать ПДн – если, естественно, у него так или иначе образуется набор данных, позволяющих определить субъекта ПДн, и он не сохраняет их лично для себя. Другой вопрос – насколько это реально и когда это будут проверять.

Действие настоящего Федерального закона не распространяется на отношения, возникающие при:

  1. обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;
  2. организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации.

То есть если вы сохранили личные данные лично для себя, Федеральный закон № 152-ФЗ не требует их защиты, а вот если вы сделали репост или поделились сплетней или переслали контакт (а кто этого не делает?), требования закона встают в полный рост.

Важно! Штрафы за несоблюдение закона о персональных данных достаточно высоки, так что не рекомендуем частным пользователям хранить персональные данные в большом количестве. Во избежание…

Что такое обработка персональных данных? Если мне пришло письмо с фоткой, а я его сразу удалил – это считается обработкой? Еще одна цитата: «обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных». Таким что если вам пришло письмо – это уже обработка с использованием средств автоматизации. И это логично, так как хакер это письмо может перехватить, а доступ к подписи письма, IP-адресу отправителя или вашей базе контактов позволит ему достаточно точно вычислить субъекта персональных данных.

Что такое автоматизированная обработка персональных данных? «Обработка персональных данных с помощью средств вычислительной техники». Требования закона не распространяются на обработку ПДн без использования таких средств.

Что такое ИСПДн? «Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств». Если кратко, то это совокупность компьютеров, устройств и систем, где обрабатываются ПДн. И это – именно те компьютеры, устройства и системы, которые нужно защищать согласно требованиям закона. Да, если часть ваших компьютеров никак не обрабатывает ПДн, согласно Федеральному закону № 152-ФЗ их защищать не нужно. Что, впрочем, не означает, что их не нужно защищать согласно другим законам и требованиям.

Должен ли я использовать для защиты только сертифицированные версии? Да, однозначно. Об этом говорит Постановление Правительства от 1 ноября 2012 г. N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»:

Для обеспечения 4-го уровня («Антивирусная правДА!» отмечает: и более высокого тоже) защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Тоже довольно дискуссионный пункт: что есть прошедшие процедуру оценки соответствия? Но в практике это как раз сертифицированные версии продуктов.

Должен ли я использовать в ИСПДн антивирус? На этот вопрос отвечает Приказ ФСТЭК от 18 февраля 2013 г. № 21:

8. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:

  • идентификация и аутентификация субъектов доступа и объектов доступа;
  • управление доступом субъектов доступа к объектам доступа;
  • ограничение программной среды;
  • защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные (далее – машинные носители персональных данных);
  • регистрация событий безопасности;
  • антивирусная защита.

Как видим, фраза достаточно однозначная и не допускающая толкований. Никаких «могут входить». Правда, на практике состав мер защиты выбирается в зависимости от признанных актуальными угроз. Например, если для доступа к ПДн используются тонкие клиенты, на которые нет возможности доустановить какие-либо средства защиты, то антивирус на них может не использоваться. Но таких случаев мало, и если антивирус можно установить, то сделать это необходимо.

Какой антивирус выбрать? Вот тут грустно. Состав мер антивирусной защиты описывается в том же 21-м приказе:

8.6. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.

VI. Антивирусная защита (АВЗ)
АВЗ.1 Реализация антивирусной защиты
АВЗ.2 Обновление базы данных признаков вредоносных компьютерных программ (вирусов)

Источник

Мягко говоря, негусто. Более подробно требования к антивирусной защите описываются в Профилях антивирусной защиты, на соответствие которым сертифицируются антивирусы, но и там требований маловато.

Поэтому, как это ни печально, но для защиты закон допускает использование только «просто антивируса (но сертифицированного)». От современных угроз такие решения должного уровня защиты не обеспечивают.

#персональные_данные #законодательство #антивирус #безопасность

Антивирусная правДА! рекомендует

  1. На трех страничках нереально описать все нюансы, связанные с защитой персональных данных, поэтому, если вам что-то интересно – спрашивайте в комментариях.
  2. Не только требования защиты ПДн подразумевают использование сертифицированных средств. Есть, скажем, требования защиты конфиденциальных данных, критически важных объектов…

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии

 
На страницу: