|
|
@@ -1,108 +0,0 @@
|
|
|
-# Oбщиe трeбoвaния пo зaщитe пeрсoнaльных дaнныx
|
|
|
-
|
|
|
-
|
|
|
-Источник фотографии: https://www.cibit.ru/news/26-06-25/
|
|
|
-
|
|
|
-Введение
|
|
|
-
|
|
|
-В современную цифровую эпоху персональные данные (ПДн) стали одним из самых ценных активов. Их сбор, обработка и хранение осуществляются практически всеми организациями — от малого бизнеса до транснациональных корпораций и государственных органов. Неправомерное использование или утечка этих данных может привести к серьезным последствиям: финансовым потерям, репутационному ущербу, мошенничеству и нарушению частной жизни граждан. В связи с этим законодательства большинства стран устанавливают строгие требования по защите персональных данных.
|
|
|
-
|
|
|
-Настоящий доклад рассматривает общие, фундаментальные требования к защите персональных данных, которые являются основой для большинства современных правовых режимов, таких как GDPR в Европейском союзе и Федеральный закон № 152-ФЗ в России.
|
|
|
-
|
|
|
-# 1. Основные принципы обработки персональных данных
|
|
|
- 
|
|
|
-
|
|
|
- Источник фотографии: https://www.cibit.ru/
|
|
|
-
|
|
|
-Любая система защиты ПДн строится на базовых принципах, которые определяют философию и логику правового регулирования.
|
|
|
-
|
|
|
-Законность, справедливость и прозрачность: Обработка данных должна осуществляться на законных основаниях (например, с согласия субъекта, для исполнения договора или по требованию закона). Процессы должны быть справедливыми, а информация о целях, способах и сроках обработки — доступной и понятной для субъекта данных.
|
|
|
-
|
|
|
-Ограничение цели (целеполагание): Данные должны собираться для конкретных, заранее определенных и законных целей. Их дальнейшая обработка в целях, несовместимых с первоначальными, не допускается. Нельзя собирать данные "про запас".
|
|
|
-
|
|
|
-Минимизация данных: Объем собираемых данных должен быть адекватным, релевантным и ограниченным целями обработки. Необходимо собирать только те данные, которые действительно нужны.
|
|
|
-
|
|
|
-Точность: Персональные данные должны быть точными и при необходимости обновляться. Оператор обязан принимать разумные меры для удаления или исправления неточных данных.
|
|
|
-
|
|
|
-Ограничение хранения: Данные должны храниться в форме, позволяющей идентифицировать субъекта, не дольше, чем этого требуют цели обработки. После достижения целей данные подлежат уничтожению или обезличиванию.
|
|
|
-
|
|
|
-Целостность и конфиденциальность: Оператор обязан обеспечить защиту данных от несанкционированного или незаконного доступа, уничтожения, изменения, блокирования, копирования и распространения. Это достигается путем внедрения соответствующих технических и организационных мер.
|
|
|
-
|
|
|
-Подотчетность: Оператор несет ответственность за соблюдение вышеуказанных принципов и должен быть в состоянии продемонстрировать это соответствие (например, путем ведения документации, журналов и проведения аудитов).
|
|
|
-
|
|
|
-# 2. Правовые основания для обработки персональных данных
|
|
|
-
|
|
|
-
|
|
|
-Источник фотографии: https://www.advgazeta.ru/ag-expert/advices/bitva-za-personalnye-dannye/
|
|
|
-
|
|
|
-Обработка ПДн является законной только при наличии одного из следующих оснований:
|
|
|
-
|
|
|
-Согласие субъекта: Добровольное, конкретное, информированное и однозначное согласие физического лица на обработку его данных. Согласие должно быть легко отзываемым.
|
|
|
-Исполнение договора: Обработка необходима для заключения или исполнения договора, стороной которого является субъект данных.
|
|
|
-Соблюдение юридической обязанности: Обработка требуется для выполнения оператором обязанностей, возложенных на него законодательством (например, налоговая отчетность, кадровый учет).
|
|
|
-Защита жизненно важных интересов: Обработка необходима для защиты жизни, здоровья или других жизненно важных интересов субъекта или иного лица.
|
|
|
-Выполнение задач в общественных интересах: Обработка осуществляется в рамках выполнения государственных или муниципальных функций.
|
|
|
-Законные интересы оператора: Обработка необходима для соблюдения законных интересов оператора или третьей стороны, за исключением случаев, когда над этими интересами преобладают интересы и основные права и свободы субъекта данных.
|
|
|
-# 3. Организационные меры защиты
|
|
|
-
|
|
|
-
|
|
|
-Источник фотографии: https://blog.infra-tech.ru/organizatsionnye-mery-zashchity-info/
|
|
|
-
|
|
|
-По мимо технических средств для обеспечения полной безопасности. Ключевую роль играют и организационные меры:
|
|
|
-
|
|
|
-Разработка внутренней нормативной документации:
|
|
|
-Политика в отношении обработки персональных данных: Публичный документ, разъясняющий подходы компании к обработке ПДн.
|
|
|
-Локальные нормативные акты: Положения,
|
|
|
-
|
|
|
-инструкции, регламенты, определяющие порядок доступа, хранения, уничтожения данных и другие процедуры.
|
|
|
-
|
|
|
-Назначение ответственного лица: В организации должно быть назначено лицо, ответственное за организацию обработки персональных данных. Это может быть отдельный сотрудник (Data Protection Officer, DPO) или возложение обязанностей на одного из существующих работников. Его задачи — контроль за соблюдением законодательства, консультирование сотрудников и взаимодействие с надзорными органами.
|
|
|
-
|
|
|
-Обучение и повышение осведомленности персонала: Все сотрудники, имеющие доступ к персональным данным, должны быть ознакомлены с требованиями законодательства и внутренними правилами. Необходимо проводить регулярные тренинги по информационной безопасности, чтобы минимизировать риски, связанные с человеческим фактором (например, фишинг, социальная инженерия).
|
|
|
-
|
|
|
-Управление доступом: Должна быть внедрена система разграничения прав доступа к персональным данным. Принцип "необходимого знания" (need-to-know) означает, что сотрудник получает доступ только к тем данным, которые ему необходимы для выполнения его должностных обязанностей.
|
|
|
-
|
|
|
-Учет и аудит: Необходимо вести учет всех операций с персональными данными, включая сбор, изменение, передачу и удаление. Регулярные внутренние и внешние аудиты помогают выявлять уязвимости и несоответствия в системе защиты.
|
|
|
-
|
|
|
-Реагирование на инциденты: Должен быть разработан и утвержден план действий на случай утечки данных или других инцидентов безопасности. План должен включать процедуры по выявлению, локализации, устранению последствий инцидента, а также по уведомлению надзорных органов и субъектов данных в установленные законом сроки.
|
|
|
-
|
|
|
-# 4. Технические меры защиты
|
|
|
-
|
|
|
-
|
|
|
-Источник фотографии: https://blog.infra-tech.ru/sistema-zashchity-personalnyh-dannyh/
|
|
|
-
|
|
|
-Технические меры являются практической реализацией требований безопасности и направлены на защиту данных на уровне инфраструктуры.
|
|
|
-
|
|
|
-Идентификация и аутентификация: Использование паролей, двухфакторной аутентификации, биометрических данных для контроля доступа к информационным системам.
|
|
|
-Антивирусная защита: Установка и регулярное обновление антивирусного программного обеспечения на всех рабочих станциях и серверах.
|
|
|
-Межсетевое экранирование (Firewalls): Защита периметра сети от несанкционированного внешнего доступа.
|
|
|
-Шифрование данных: Применение криптографических средств для защиты данных при их хранении (на дисках, в базах данных) и передаче (по сетям связи, через интернет). Это одна из самых надежных мер защиты.
|
|
|
-Резервное копирование и восстановление: Создание регулярных резервных копий данных для обеспечения их доступности и возможности восстановления в случае сбоев, атак или физического повреждения носителей.
|
|
|
-Защита от несанкционированного доступа к физическим носителям: Контроль доступа в помещения, где расположены серверы и архивы (серверные комнаты, дата-центры), использование сейфов для хранения носителей информации.
|
|
|
-Обезличивание (псевдонимизация и анонимизация): Технические процедуры, после которых становится невозможным или затруднительным определить принадлежность данных конкретному субъекту без использования дополнительной информации.
|
|
|
-
|
|
|
-# Вопросы
|
|
|
-
|
|
|
-Вопрос 1. Какие три базовых принципа обработки данных указаны в докладе?
|
|
|
-Ответ. Законность и прозрачность, минимизация данных (сбор только необходимого) и ограничение хранения (уничтожение после достижения целей).
|
|
|
-
|
|
|
-Вопрос 2. Назовите четыре правовых основания для обработки персональных данных.
|
|
|
-Ответ. Согласие субъекта, исполнение договора, соблюдение юридической обязанности (например, налоговой) и защита жизненно важных интересов.
|
|
|
-
|
|
|
-Вопрос 3. Какие три организационные меры защиты перечислены в тексте?
|
|
|
-Ответ. Назначение ответственного лица (DPO), обучение персонала для снижения человеческого фактора и разработка внутренней нормативной документации (политики, регламенты).
|
|
|
-
|
|
|
-Вопрос 4. Какие три технические меры защиты данных приведены в докладе?
|
|
|
-Ответ. Шифрование данных при хранении и передаче, двухфакторная аутентификация для контроля доступа и регулярное резервное копирование для восстановления информации.
|
|
|
-
|
|
|
-# Список используемой литературы:
|
|
|
-
|
|
|
-1.Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Является базовым документом, определяющим принципы обработки (законность, ограничение цели, минимизация, точность, ограничение хранения), правовые основания (согласие, договор, юридическая обязанность) и обязанности оператора по обеспечению безопасности, включая публикацию политики конфиденциальности
|
|
|
-
|
|
|
-2.Трудовой кодекс Российской Федерации (Глава 14, статьи 85–90). Регулирует общие требования при обработке персональных данных работников, порядок их получения, хранения и передачи, а также гарантии защиты
|
|
|
-
|
|
|
-3.Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Определяет уровни защищенности и конкретные технические меры (идентификация, шифрование, межсетевое экранирование).
|
|
|
-
|
|
|
-4.Приказы ФСТЭК России (в частности, № 21 от 18.02.2013). Устанавливают состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах.
|
|
|
-
|
|
|
-5.Приказ ФСБ России от 10.07.2014 № 378. Регламентирует состав и содержание мер по обеспечению безопасности при использовании средств криптографической защиты информации.
|
