Защита персональных данных

В условиях цифровизации общества большое количество информации о нас хранится в различных базах данных компаний, социальных сетей и государственных организаций. Поэтому защита персональных данных - важная задача для бизнеса любого масштаба.

Компания УЦ ПРОФИ - это команда профессионалов в области защиты информации, предоставляющая комплексные решения в сфере обеспечения безопасности персональных данных в соответствии с требованиями законодательства РФ.

Закон о защите персональных данных

Федеральный закон от 27 июля 2006 года №152-ФЗ «О персональных данных» (152-ФЗ) - основной нормативный документ сфере защиты личных данных граждан. Он дает определения, устанавливает требования по работе с ними.

Согласно 152-ФЗ, персональные данные (ПДн) – это любые сведения, по которым можно установить человека. Сюда входят базовые идентификаторы – ФИО, документы, удостоверяющие личность, контактные данные: где проживает, способы связи, прочие детали для распознавания.

Закон определяет особенности обработки ПДн, ограничения на их использование без согласия субъекта, права и обязанности субъектов данных и операторов, порядок передачи, ответственность за нарушения.

Особое внимание уделяется защите персональных данных при их обработке. Закон обязывает всех участников обработки соблюдать нормы и защищать информацию о личной жизни граждан.

Законодательство в сфере защиты персональных данных распространяется на все организации, включая государственные органы, которые осуществляют обработку ПДн на территории Российской Федерации.

Обработка ПДн

Согласно 152-ФЗ обработкой персональных данных считается любое действие с ними.

Способы обработки ПДн

Как и другие данные, ПДн можно обрабатывать, т.е:

• Собирать - получать информации от человека, которому она принадлежит.
• Записывать - автоматизированным методом, так и вручную
• Систематизировать -упорядочивать ПДн для эффективного управления
• Накапливать, хранить - сберегать с помощью физических устройств до уничтожения
• Уточнять - обновлять или изменять;
• Извлекать - копировать с цифровых устройств на бумажные носители;
• Передавать - предоставлять доступ третьим лицам,
• Обезличивать - закрывать часть ПДн для невозможности идентификации человека
• Блокировать - приостанавливать на время обработку;
• Уничтожать - полностью удалять без возможности восстановления.

Методы обработки

Существует два основных метода обработки ПДн, каждый из которых имеет свои особенности и требования к реализации:

• Автоматизированная обработка. Подразумевает использование компьютеров, серверов, мобильных устройств, других электронных средств для работы с ПДн. Это могут быть БД, CRM-системы, электронный документооборот, прочие программные решения.
• Неавтоматизированная обработка. В этом случае персональные данные хранятся и обрабатываются на бумажных носителях. Это личные дела сотрудников, анкеты, заявления, договоры и другие документы в физическом виде.

Независимо от выбранного способа обработки, операторы ПДн несут ответственность за нарушения - несанкционированный доступ, утечку, искажение. Государственный контроль защиты персональных данных осуществляет Федеральная служба по надзору в сфере связи (Роскомнадзор).

Перечень персональных данных, подлежащих защите

Каждая компания самостоятельно определяет объем и категории персональных данных, нуждающихся в защите, исходя из специфики своей деятельности и целей обработки. Полный список защищаемых ПДн должен быть документально зафиксирован, т.е. утвержден приказом организации.

Одной из наиболее распространенных целей обработки ПДн является ведение кадрового делопроизводства организации. Он требует сбора и хранения информации о сотрудниках. Обычно это ФИО работника, дата и место рождения, домашний адрес, сведения о составе семьи, паспортные данные, СНИЛС, ИНН, информация о банковских счетах, сведения о заработной плате.

При составлении списка организация должна учитывать требования законодательства, специфику своей деятельности, потенциальные риски информационной безопасности. Перечень персональных данных, подлежащих защите необходимо регулярно пересматривать и актуализировать.

Вместе с тем, 152-ФЗ устанавливает, когда защита ПДн необязательна:

• если ПДн подверглись процедуре обезличивания, то есть нельзя определить, к какому физическому лицу они относятся.
• для общедоступных ПДн, которые были добровольно размещены в публичном доступе с разрешения владельца.

Способы и меры защиты персональных данных

152-ФЗ возлагает на операторов ответственность по обеспечению защиты обрабатываемых ПДн внедрением правовых, управленческих, технологических решений.

Способы защиты персональных данных, приведены в части 2 статьи 19 152-ФЗ. Их выбор зависит от того, как обрабатываются ПДн - в информационных системах или вручную.

Типы мер защиты персональных данных делятся на организационные и технические.

Организационные меры защиты ПДн

К ним относятся разработка и внедрение политики безопасности, закрепление ответственности за нарушение, обучение сотрудников правилам обработки, установка доступа к информации, регулярные аудиты, контроль за выполнением стандартов безопасности. Организационные меры применяются при любом типе обработки информации – автоматическом или ручном.

Технические меры защиты ПДн

Эти меры внедряют, когда ПДн обрабатываются в информационной системе. Они помогают защитить их от утечек и кибератак. Это такие средства, как:

• брандмауэры, затрудняющие доступ к информации;
• система аутентификации сотрудников, имеющих доступ к данным;
• логирование действий при обработке данных,
• антивирусная защиты;
• шифрование данных при хранении и передаче;
• средства предотвращения утечки данных по физическим каналам.

Требования к средствам аппаратного и программного обеспечения для предотвращения нарушения доступа к личной информации граждан регламентирует ФСТЭК.

Утечки персональных данных

Это неправомерное случайное или намеренное распространение персональных данных. С утечками может столкнуться любая организация. Киберпреступники постоянно совершенствуют методы взлома, используя социальную инженерию, фишинговые атаки и программы-вымогатели.

Причиной компрометации может быть недостаточная защищенность системы или человеческий фактор – например, утеря документов с персональными данными сотрудников.

Что делать если произошла утечка персональных данных:

1. Уведомить Роскомнадзор. На это даётся одни сутки. В обращении необходимо описать ситуацию: суть происшествия, факторы возникновения, потенциальный ущерб, список предпринятых действий по минимизации последствий.
2. Сформировать комиссию по расследованию. В нее включают сотрудников службы безопасности, технических специалистов, руководителя отдела, где произошла утечка данных
3. Запустить служебное расследование. Комиссия должна выяснить источник проблемы, оценить масштаб ущерба, определить виновных лиц, разработать комплекс защитных мер.
4. Направить отчет в Роскомнадзор о проведенной проверке. На это даётся трое суток.

Если организация допустила утечку данных своих клиентов или сотрудников, ей придется заплатить административный штраф за утечку персональных данных.

Ответственность за нарушение 152-ФЗ

Ряд норм, содержащихся в кодексах, устанавливают ответственность за нарушение закона о персональных данных

За неправомерные действия с личной информацией граждан согласно КОАП (статья 13.11), виновное лицо несет ответственность в виде предостережения либо денежного штрафа.

Закон о защите персональных данных строго охраняет конфиденциальность ПДн. 137-я статья УК РФ накладывает ответственность за сбор и публикацию ПДн без разрешения человека. Это касается устных выступлений, размещения в СМИ, творческих работах. Статья 272 УК защищает информационные базы - за нарушение целостности информации также грозит уголовная ответственность.

Преимущества обращения в УЦ ПРОФИ

Центр информационной безопасности УЦ ПРОФИ является лицензиатом ФСБ и ФСТЭК, а наши эксперты обладают многолетним опытом построения и внедрения систем защиты информации в различных отраслях.

Мы предлагаем полный спектр услуг - аудит ИБ существующих систем, разработку политик безопасности, поставку и настройку средств защиты, обучение персонала, регулярный мониторинг и оперативное реагирование на инциденты.

Доверьте защиту профессионалам - мы гарантируем полное соответствие требованиям 152-ФЗ.