ФЗ-152 „За защита на личните данни“ се прилага за всички съществуващи субекти: физически и юридически лица, федерални органи на държавната власт и местно самоуправление. Всъщност, този закон обхваща всякакви организации, които обработват информация и лични данни на граждани на Руската федерация, независимо от формата на собственост и размера на организацията.
Понякога организацията може да открие изненадващо за себе си първоначално неявни информационни системи за лични данни (ПДн). Например, компанията се счита за оператор на лични данни, ако на нейния сайт има форми за обратна връзка, регистрация, авторизация и други форми за събиране на данни, по които може да се идентифицира субектът.
Контролът и надзорът относно спазването на изискванията на федералния закон „За личните данни“ се осъществяват от регулаторите:
- Роскомнадзор по отношение на защитата на правата на субектите на личните данни;
- ФСБ на Русия по отношение на изпълнението на изискванията в областта на криптографията;
- ФСТЕК на Русия по отношение на спазването на изискванията за защита на информацията от неразрешен достъп и изтичане по технически канали.
Тъй като ФЗ „За личните данни“ е само основата на правното осигуряване на защитата на ПДн, неговите изисквания впоследствие бяха конкретизирани в актове на правителството на Руската федерация и Министерството на връзките, и в други нормативно-методически документи на регулаторите.
Федералните органи, регулиращи дейността в сферата на обработката на лични данни
- Роскомнадзор (Федерална служба за надзор в сферата на връзките и масовите комуникации) — осъществява контрол и надзор за съответствието на обработката на ПДн с изискванията на законодателството.
- ФСТЕК на Русия (Федерална служба за технически и експортен контрол) — установява методи и средства за защита на информацията с използване на технически средства.
- ФСБ на Русия (Федерална служба за безопасност на Русия) — установява методи и средства за защита на информацията в пределите на своите правомощия (сфера на ползване на криптографските средства за защита на информацията)
Всяка организация, която обработва лични данни, се сблъсква с проблема за приведението на информационните си системи в съответствие с изискванията на законодателството. Защитата на личните данни е един от най-актуалните въпроси, и то не само в Русия, а и в другите страни.
Видове лични данни
Според ФЗ-152, личните данни са всяка информация, свързана с определено или определима за основата на такава информация физическо лице (субект на лични данни). Например: име и фамилия, дата и място на раждане, адрес, семейно, социално, имотно положение, образование и т.н.
Личните данни се разделят на няколко категории:
Специални
ЛДн, свързващи се с расова, национална принадлежност, политически възгледи, религиозни или философски убеждения, здравословно състояние, интимен живот
Биометрични
ЛДн, които характеризират физиологични и биологични особености на човека, на основата на които може да се установи неговата личност и които се използват от оператора за установяване на личността на субекта на личните данни
Други
ЛДн, свързваща се с пряко или косвено определено или определимо физическо лице и която не попада в изброените по-горе категории
Обществено достъпни
ЛДн, получени от обществени източници, в които данните са публикувани с писмено съгласие на субекта на личните данни
Обработка на лични данни е всяко действие (операция) или съвкупност от действия с лични данни с помощта на автоматизирани средства или без тях, включително:
- събиране,
- записване,
- систематизиране,
- натрупване,
- съхранение,
- уточняване (обновяване, изменение),
- извличане,
- използване,
- предаване (разпространение, предоставяне, достъп),
- анонимизиране,
- блокиране,
- изтриване,
- уничтожаване на лични данни.
Отговорност за нарушения
Според член 24 от ФЗ-152, лицата носят отговорност за нарушаване на закона в съответствие с законодателството на Руската федерация.
При проверка на компанията, регулаторите се ръководят от ФЗ-152 и редица подзаконови актове. Проверките могат да бъдат както планови, така и непланови — по факти на нарушения, а също така и за контрол на предходно издадено предписание за тяхното отстраняване.
Лицата, които нарушават изискванията за защита на личните данни, могат да понесат не само гражданска и дисциплинарна, но също така административна и дори наказателна отговорност.
Как да отговорим на изискванията на ФЗ-152?
Следователно компания или организация, която обработва лични данни или друга информация с ограничен достъп, трябва да защитава тази информация в съответствие с законодателството. Това изисква не само сериозен опит, знания и умения, но е свързано и с технически трудности и значителни разходи.
Според официалното определение, одобрено от ФСТЭК, «…Сигурността на личните данни е състояние на защита на личните данни, характеризиращо се със способността на потребителите, техническите средства и информационните технологии да осигуряват конфиденциалността, целостта и достъпността на личните данни при тяхната обработка в информационните системи за лични данни…»
За да се изпълнят организационните, правните и техническите изисквания на ФЗ-152, е необходимо да се проучи не само самият закон, но и неговите подзаконови актове, да се разбере какви мерки точно трябва да се предприемат. Специалистите по аутсорсинг могат да анализират процесите на обработка на лични данни в компанията, да съставят необходимите документи, да внедрят средства за защита и т.н.
Комплексната система за защита на информацията включва:
- Средства за предотвратяване на пробиви (IDS).
- Междусетеви защитни стени (FW).
- Защита от зловреден софтуер.
- Система за мониторинг и регистриране на събитията по сигурността.
- Система за криптографска защита на комуникационните канали (шифроване).
- Средства за защита на виртуалната среда, система за защита от несанкциониран достъп (НСД), идентификация и управление на достъпа.
- Система за анализ на защитеността / откриване на уязвимости и др.
Освен това, комплексната информационна сигурност предполага не само технически, но и организационни мерки.
Облак ФЗ-152: особености на реализацията
Множество руски доставчици предлагат услуги за предоставяне на облачна инфраструктура за разполагане на информационни системи в съответствие с изискванията на федералното законодателство, свързани с личните данни. При разполагане на системите на клиента в облака, доставчикът поема решения по множество въпроси на информационната безопасност, включително и свързани със защитата на личните данни. При миграция в облака, той осигурява защита на ИТ инфраструктурата, което освобождава клиента от част от задълженията му. Например, доставчикът изпълнява изискванията на ФЗ-152, свързани с защитата на виртуализационната среда.
Доставчиците също могат да предлагат експертна подкрепа на клиентите при решаване на задачата за защита на данните: да определят необходимото ниво на защита и съответно да предлагат вариант за реализация; да разработват документация за изпълнение на изискванията на законодателството на Руската федерация.
Защитеното облако помага за оптимизиране на разходите на организацията, намалявайки разходите за изграждане и поддръжка на ИТ инфраструктура и вътрешна система за защита на информацията. Обикновено квалифицирани експерти осигуряват цялостна техническа поддръжка и подкрепа, включително консултации и разработка на пакет от документи за атестация пред регулаторните органи, а платформа за предоставяне на услуги отговаря на строги технически стандарти и удовлетворява необходимите организационни изисквания. Клиентите могат да се възползват от услуги по подготовка на необходимата документация и защита на личните данни на ниво приложения и операционна система.
Предвидени са също така процеси за управление на рисковете и уязвимостите, разследване на инциденти, вътрешни и външни одити на сигурността, както и редовен мониторинг и тестване на мрежата, системите и процесите на ИБ. Квалифицирани специалисти осигуряват денонощно съдействие на ИТ инфраструктурата.
В съвкупност тези мерки осигуряват спазването на федералното законодателство относно защитата на личните данни.
Сертифицирана платформа
IBS DataFort предлага такава услуга на базата на . Цялата техническа част, администрирането и средствата за виртуализация на тази платформа отговарят на нормите и изискванията на ФЗ-152.
Архитектура на защитеното облако IBS DataFort.
Платформата осигурява гарантирана защита на ИСПДн (до 1-во ниво на защитеност включително), ГИС (до 1-ви клас на защитеност включително) и сигурно съхранение на данни в ЦОД Tier III. На платформата се прилагат сертифицирани защитни стени, средства за откриване и предотвратяване на прониквания (IDS/IPS), криптиране на комуникационните канали (Гост VPN), антивирусна защита, средства за защита от неавторизиран достъп, защита на виртуализационната среда, както и средства за сканиране на уязвимости.
— също така подходящо решение за тези, които имат високи изисквания към конфиденциалността и защитата на данните, искат да укрепят своята бизнес репутация или да получат конкурентно предимство, като потвърдят високото ниво на информационна сигурност.
Как да "преминете" в такова облако? Възможна ли е "безпроблемна миграция"? Напълно. Например, IBS DataFort извършва безопасен пренос на ИСПДн в своето защитено облако, минимизирайки престой и влияние върху бизнес процесите на компанията (включително от чуждестранни площадки).
Привеждане на ИТ инфраструктурата в съответствие с ФЗ-152
Процесът по привеждане на ИТ инфраструктурата на клиента в съответствие с изискванията на ФЗ-152 започва с одит и оценка на текущото ниво на защита.
Одитът на ИТ инфраструктурата на клиента включва проверка на процесите на обработка и защита на ПДн и проверка на ИСПДн на възложителя. Съставя се доклад за проверката с подробен опис на процесите на обработка на ПДн от техническа гледна точка.
Работите предвиждат също моделиране на заплахи и нарушители, както и съставяне на акт за определяне на нивото на защита за ИСПДн. На базата на резултатите от одита се съставя частно ТЗ за системата за защита на ИСПДн и определящо изискванията към проектираната система.
Разработва се набор от политики, инструкции, регламенти и други документи за защита на ПДн. При това специалистите се опитват да оптимизират разходите на клиента за внедряване на средства за защита.
IBS DataFort предлага услуги по подготовка на документация и защита на ИСПДн за спазване на федералното законодателство по защита на личните данни и може да помогне в подготовката и преминаването на атестация (ИСПДн, ГИС, АС).
Атестацията се извършва от независими одитори, притежаващи лицензии от ФСТЕК и ФСБ на Русия. Преминаването на такава атестация потвърджава надеждната защита на личните данни на партньорите и клиентите на компанията от външни заплахи и комплексно спазване на изискванията на регулаторите. Важно е, че клиентите получават удобството на "едно гише": всичко се осигурява от една компания — IBS DataFort.
За оператора на лични данни това означава готовност за проверки от Роскомнадзор, ФСТЕК и ФСБ, изключване на рисковете от блокиране на ресурси, отсъствие на претенции и санкции от регулатора.
Тази услуга е актуална за много категории клиенти от държавния и корпоративния сектор и може да бъде търсена от оператори на лични данни, които искат да приведат дейността си в съответствие с законодателството. Разполагането на ИС в затворения сегмент на инфраструктурата на доставчика, атестован по всички необходими стандарти и изисквания, освобождава клиента от необходимостта самостоятелно да организира всички работи.
Източник: habr.com
