Блог Сергея Борисова про ИБ

В предыдущих частях 1 и 2 мы начали рассматривать реестр операторов ПДн. Сегодня продолжим с с рассмотрения наиболее популярных характеристик обработки ПДн сообщаемых операторами. К сожалению, в реестре не ведется анализ отраслей, к которым относятся операторы ПДн, что не позволяет проводить сравнение со статистикой общего количества организаций, действующих в определенных отраслях. Сопоставление целей, оснований и категорий субъектов ПДн позволяет проводить хотя бы косвенный анализ. Например, что из примерно 100 тыс. образовательных организаций РФ, в реестре зарегистрированы 45-69 тыс.   Как я говорил в первой части, информация в реестре хаотическая. Пришлось достаточно сильно её дополнительно обрабатывать, фильтровать и типизировать. Цели обработки ПДн Основания обработки ПДн Категории субъектов ПДн Категории ПДн Выше приведена статистика, так как она есть – что вносили операторы ПДн, без анализа корректности и уместности той или иной инфо...

В предыдущей части мы начали рассматривать реестр операторов ПДн. Сегодня продолжим с нарушителями законодательства о ПДн, которых можно выявить, едва взглянув на Реестр. 1. В связи с изменениями в № 152-ФЗ, внесенными от 25.07.2011 № 261-ФЗ, каждому оператору необходимо было определить лицо, ответственное за организацию обработки ПДн, принять дополнительные меры, определенные статьей 18.1 152-ФЗ и уведомить РКН о назначенном лице и принятых мерах. Как видно по результатам анализа, в Реестре имеется 113 931 (на момент анализа) операторов, нарушающих это требование. И далее несколько примеров таких операторов:  2. В связи с изменениями в № 152-ФЗ, внесенными от 21.07.2014 № 242-ФЗ и в ступившему в силу 1 сентября 2015 г. требовалось перенести все БД в РФ и уведомить Роскомнадзор о местах нахождения БД с ПДн.   Как видно по результатам анализа, 267 306 (на момент анализа) операторов нарушает это требование и всё ещё не сообщила о месте нах...

Роскомнадзором ведется реестроператоров персональных данных , где каждый гражданин может проверить ключевую информацию об обработке персональных данных у конкретного оператора. Эти данные РКН мог бы также использовать в рамках своих полномочий и обязанностей, но мы давно уже не видели какой-то интересной сводной аналитики по операторам ПДн. Я решил исправить этот недочет. Выгрузил пару месяцев назад данные реестра с открытых данных, провел анализ и хочу поделится с вами некоторыми интересными результатами. 1. В текущем виде реестр представляет из себя некую хаотическую массу информации. Вроде поля у всех одинаковые, но каждый может писать в них всё что заблагорассудится, без какой-либо типизации. Плюс со временем менялись рекомендации, но к уже ранее внесенной информации они никак не применялись. В результате имеем не фактически не поддающиеся анализу и сравнению данные Сравните, например, данные оператора с рег. номером 08-0000106 и 77-17-005506 . Они различаются по объем...

С момента выхода предыдущей заметки про уведомление РКН набралось информация об ошибках и проблемах с электронной формой уведомления РКН.  Вопросы возникали и по предыдущей версии уведомления в электронной форме, но сейчас их количество превысили критическую массу. Для анализа также использовались примеры заполнения офлайн уведомления от РКН (примеров заполнения онлайн нет) Заметка в видео варианте Давайте посмотрим : ·          Общие сведения –> Описание мер, предусмотренных статьями 18.1. и 19 Федерального закона «О персональных данных» В пояснении по данному пункту требуется внести данные об используемых СКЗИ (наименования, рег. номера, уровень криптозащиты и т.п.) при этом приводится ссылка на неактуальные Методические рекомендации ФСБ №149/5-144 от 2008 г. Пояснение явно устарело! Забыли обновить? Так как ниже необходимо заполнять информацию по СКЗИ для каждой отдельной ИС. Также в пояснении к данному пункту ...

Роскомнадзор наконец выпустил долгожданный приказ о внесении изменений в административный регламент РКН поведению реестра операторов ПДн . Изменения 152-ФЗ, требующие указывать местонахождение БД с ПДн вступили в силу летом текущего года, и Роскомнадзор уже требовал с операторов указывать эти данные в уведомлении. А вот какие именно данные надо указывать и в каком именно месте уведомления – ответа не было. Новый приказ решает эти проблемы – поменялась форма уведомления в бумажном и электронном виде .  С бумажной формой все просто. Добавилось 2 строчки в которых нужно указать: страну, адрес местонахождения БД, наименование ИС (базы данных). А вот на операторов, решившие отправить уведомление в электронной форме берут на себя большую нагрузку: ·          Помимо адреса БД, нужно указать - собственность ЦОДа, сведения об организации ответственно за хранение данных ·          П...