Блог Сергея Борисова про ИБ

Недавно для учреждений здравоохранения делал краткий обзор изменений законодательства РФ за 2017 год. Презентация выступления ниже, возможно кому-то будет полезной. Отдельно хочу обратить внимание на подборку изменений в федеральных законах где так или иначе упоминаются персональные данных. Нажмите чтобы увидеть все 20 ФЗ с изменениями Федеральный закон от 29.07.2017 N 214-ФЗ "О проведении эксперимента по развитию курортной инфраструктуры в Республике Крым, Алтайском крае, Краснодарском крае и Ставропольском крае"  ...обязаны осуществлять учет плательщиков курортного сбора и освобождаемых от уплаты курортного сбора лиц, которым были оказаны услуги, указанные в пункте 3 части 1 статьи 3 настоящего Федерального закона, с соблюдением требований Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных   данных ". Федеральный закон от 29.07.2017 N 217-ФЗ "О ведении гражданами садоводства и огородничества для собственных нужд и о внесении изменен...

В предыдущих частях 1 и 2 мы начали рассматривать реестр операторов ПДн. Сегодня продолжим с с рассмотрения наиболее популярных характеристик обработки ПДн сообщаемых операторами. К сожалению, в реестре не ведется анализ отраслей, к которым относятся операторы ПДн, что не позволяет проводить сравнение со статистикой общего количества организаций, действующих в определенных отраслях. Сопоставление целей, оснований и категорий субъектов ПДн позволяет проводить хотя бы косвенный анализ. Например, что из примерно 100 тыс. образовательных организаций РФ, в реестре зарегистрированы 45-69 тыс.   Как я говорил в первой части, информация в реестре хаотическая. Пришлось достаточно сильно её дополнительно обрабатывать, фильтровать и типизировать. Цели обработки ПДн Основания обработки ПДн Категории субъектов ПДн Категории ПДн Выше приведена статистика, так как она есть – что вносили операторы ПДн, без анализа корректности и уместности той или иной инфо...

В предыдущей части мы начали рассматривать реестр операторов ПДн. Сегодня продолжим с нарушителями законодательства о ПДн, которых можно выявить, едва взглянув на Реестр. 1. В связи с изменениями в № 152-ФЗ, внесенными от 25.07.2011 № 261-ФЗ, каждому оператору необходимо было определить лицо, ответственное за организацию обработки ПДн, принять дополнительные меры, определенные статьей 18.1 152-ФЗ и уведомить РКН о назначенном лице и принятых мерах. Как видно по результатам анализа, в Реестре имеется 113 931 (на момент анализа) операторов, нарушающих это требование. И далее несколько примеров таких операторов:  2. В связи с изменениями в № 152-ФЗ, внесенными от 21.07.2014 № 242-ФЗ и в ступившему в силу 1 сентября 2015 г. требовалось перенести все БД в РФ и уведомить Роскомнадзор о местах нахождения БД с ПДн.   Как видно по результатам анализа, 267 306 (на момент анализа) операторов нарушает это требование и всё ещё не сообщила о месте нах...

Роскомнадзором ведется реестроператоров персональных данных , где каждый гражданин может проверить ключевую информацию об обработке персональных данных у конкретного оператора. Эти данные РКН мог бы также использовать в рамках своих полномочий и обязанностей, но мы давно уже не видели какой-то интересной сводной аналитики по операторам ПДн. Я решил исправить этот недочет. Выгрузил пару месяцев назад данные реестра с открытых данных, провел анализ и хочу поделится с вами некоторыми интересными результатами. 1. В текущем виде реестр представляет из себя некую хаотическую массу информации. Вроде поля у всех одинаковые, но каждый может писать в них всё что заблагорассудится, без какой-либо типизации. Плюс со временем менялись рекомендации, но к уже ранее внесенной информации они никак не применялись. В результате имеем не фактически не поддающиеся анализу и сравнению данные Сравните, например, данные оператора с рег. номером 08-0000106 и 77-17-005506 . Они различаются по объем...

В предыдущей заметке мы обсудили спорные моменты, связанные с ведением “перечней лиц” в ИБ. В комментариях в блоге, facebook высказывались противоположные версии о необходимости ФИО. РКН по всей видимости пока решили никого не трогать, так как есть более значимые, с их точки зрения нарушения. Взглянем на проблему чуть шире. В обязательных требованиях по ПДн и СКЗИ, помимо необходимости утверждения перечней лиц, есть ещё необходимость сохранения некоторых других свидетельств выполнения требуемых мероприятий: журналов, актов, ... В современных организациях (особенно после диджитализации) хотелось бы максимально избежать бумажной работы и бумажных документов, тем самым существенно сократить накладные расходы на эксплуатацию системы ИБ. Перечни и журналы хотелось бы вести в электронном виде в excel или какой-то информационной системе, отчеты готовить в виде писем или презентаций и т.п. Но так чтобы не нарушать при этом требований. Разработчики же нормативных актов стараются...

Ранее эта проблема уже обсуждалась , но всё ещё остается актуальной. Итак. Статьей 88 ТК РФ, Постановлением правительства №687, Постановлением правительства №1119, Постановлением правительства №211, приказом ФСБ №378 требуется установить и утвердить перечень лиц, допущенных к обработке ПДн. Перечней может быть один, а может быть несколько (по допуску к разным ИСПДн, неавтоматизированной обработке ПДн, местам хранения ПДн, в помещения с СКЗИ, к работе с СКЗИ), не суть. Если организация достаточно большая, то в следствии текучки и кадровых перемещений приходится регулярно обновлять такие перечни.  Необходимо каждый день собирать информацию об изменениях, готовить приказ об утверждении перечня и утверждать его у руководителя Оператора. В целях минимизации трудозатрат, небольшая часть встреченных мной организаций предпочитает вести перечни допущенных к … лиц включающие только должность и наименование подразделения.     Несколько лет назад региональное управление Р...

Периодически случается встречать организации, в которых персональные данные (ПДн) обрабатываются на объектах, подпадающих по требования обеспечения транспортной безопасности (ТБ), причем требования к ТБ полностью выполнены, а к требованиям ПДн только подступаются. Что кстати не удивительно, учитывая более серьезную ответственность в области ТБ и более серьезный государственный контроль.   Вполне резонный вопрос таких организаций – как мы можем использовать уже полностью реализованные меры ТБ для защиты ПДн и выполнения требований ПДн?   Был проведен анализ требований ТБ на предмет соответствия требованиям ПДн. К слову сказать, система НПА в области транспортной безопасности достаточно разветвленная и зависит от видов транспорта.  Не буду её всю здесь приводить, отмечу только что хотя и детальные требования для разных видов транспорта определяются отдельными ПП РФ и приказами регуляторов, но во многом они совпадают.  Приведу результаты сравнения требова...

Не смог пройти мимо, раз уж поправки в КоАП были утверждены и опубликованы . Пункт статьи 13.11 КоАП РФ Штраф до Гражданин Должностное лицо Юр. лицо 1. Обработка ПДн без оснований или несовместимая с целями сбора ПДн 3 тыс. руб. 10 тыс. руб. 50 тыс. руб. 2. Обработка ПДн без согласия (или неверное согласие) в письменной форме, когда оно необходимо 5 тыс. руб. 20 тыс. руб. 75 тыс. руб. 3. Не опубликование политики обработки и требований защиты 1 тыс. руб. 6 тыс. руб. 30 тыс. руб. 4. Не предоставление информации субъекту ПДн 2 тыс. руб. 6 тыс. руб. 40 тыс. руб. 5. Невыполнение законных требований субъекта ПДн по уточнению, блокированию или удалению 2 тыс. руб. 10 тыс. руб. 45 тыс. руб. 6. Невыполнение требований к безопасному хранению при неавтомат...