13 сентября 2021
На этой странице будут публиковаться или обновляться практические аспекты по соответствию требованиям 152-ФЗ в формате вопрос-ответ.
До регистрации статуса Оператора ПДн компания должна определить и указать типы обрабатываемых ПДн. Они классифицируются на:
В отношении к каждому типу обозначить:
Мы не рекомендуем излишне детализировать процессы и системы, в которых происходит обработка.
Также для каждого типа ПДн указываются общие сведения о наличииотсутствии ИСПДн (Информационной Системы Персональных данных), наличииотсутствии СУБД ПДн (т.к. бывают процессы «на бумаге», например кадровый архив). Важно понимать, что регулятор вправе запросить детализацию по предоставленной информации (в случае уведомления о проверке), либо отклонить заявление на регистрацию при недостаточности сведений.
Если ИСПДн находится у юридического лица, не относящегося к государственной структуре или не ведет обмена данными с госструктурами, то такое юридическое лицо вправе самостоятельно выбирать компоненты своей ИСПДн и нет жесткого требования по отказу от использования ПО с открытым кодом. Но для каждой ИСПДн и СУБД ПДн, внутренней документацией (например Приказы) должны быть назначены Администратор(-ы), Оператор(-ы), Пользователь(-и).
При этом регулятор ищет возможность рассмотреть систему именно с Оператором или Пользователем ИСПДн при очном визите. Рекомендуется сформировать рабочую команду с ответственным по каждой системе, чтобы при проверке не передали ложной информации (банально по непониманию).
Модель угроз и сканирование в основном предполагает не угрозы информационной безопасности, а угрозы при обработке, хранении и передаче ПДн. Они, несомненно, связаны с используемыми тех. средствами, но при подготовке документации Модели Угроз технические средства могут не указываться, процессы описываются схематично, модель составляется также.
Угрозы подразумевают классификацию по группам от 1 до 3, где:
Обычно этого не требуется. Сертифицированное ФСТЭК ПО обязательно к использованию в государственных организациях, организациях военного назначения и др. специфических видах деятельности. В случае если компания не входит в этот перечень, то нет жестких требований к сертификации ПО. Более того, сертификация – процесс времени, и версия сертифицированного ПО зачастую отстает от актуальной версии. Следовательно, если сертифицированное ПО не обязательно, то лучше его не использовать.
В соответствии с законодательством Российской Федерации о персональных данных в ИСПДн для защиты ПДн необходимо применять средства защиты информации, прошедшие процедуру оценки соответствия в любой из предусмотренных законодательством о техническом регулировании форм.
Только для обеспечения безопасности персональных данных, обрабатываемых в государственных информационных системах, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации. Это означает, что для информационных систем персональных данных, не имеющих статуса государственных, обязательная сертификация средств защиты по требованиям безопасности является необязательной.
Согласно законодательству о техническом регулировании, существует множество форм оценки соответствия, среди которых можно назвать ввод в эксплуатацию, испытания, декларирование соответствия, государственный контроль и надзор, добровольная сертификация и т.п. В случае отсутствия явного указания, установленного Указом Президента, Федеральным законом или Постановлением Правительства, на форму оценки соответствия, ее форму оператор персональных данных выбирает самостоятельно. В том случае, если оператор персональных данных принимает решение о применении средств защиты информации, прошедших процедуру оценки соответствия в форме обязательной сертификации, то должны применяться средства защиты информации, соответствующие требованиям Приказа ФСТЭК №21.
Для негосударственных и невоенных предприятий достаточно подтверждения в документации Модели угроз и методов защиты, наличия средств защиты, с указанием типов или методов:
При этом при очной проверке Регулятор запрашивает справки с описанием конкретных систем, их администраторов, просит скриншоты приложений.
Обезличивание ПДн необходимо при трансграничной передаче ПДн, а также при допуске к обработке ПДн операторовконтрагентов и т.п., не декларированных как авторизованные к этой обработке. В остальном случае этого не требуется при наличии должной документации.
Обезличивание ПДн достаточно комплексный техпроцесс (либо ручной и рутинный) и редко может быть актуален для оператора ПДн.
Технические требования описываются в приказе ФСТЭК России от 18.02.2013 N 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных». Но описанные требования очень обтекаемые: конкретные модели оборудования, технологий и протоколов не описаны.
