|
|
@@ -0,0 +1,95 @@
|
|
|
+# Oбщиe трeбoвaния пo зaщитe пeрсoнaльных дaнныx
|
|
|
+
|
|
|
+
|
|
|
+Источник фотографии: https://www.cibit.ru/news/26-06-25/
|
|
|
+
|
|
|
+Введение
|
|
|
+
|
|
|
+В современную цифровую эпоху персональные данные (ПДн) стали одним из самых ценных активов. Их сбор, обработка и хранение осуществляются практически всеми организациями — от малого бизнеса до транснациональных корпораций и государственных органов. Неправомерное использование или утечка этих данных может привести к серьезным последствиям: финансовым потерям, репутационному ущербу, мошенничеству и нарушению частной жизни граждан. В связи с этим законодательства большинства стран устанавливают строгие требования по защите персональных данных.
|
|
|
+
|
|
|
+Настоящий доклад рассматривает общие, фундаментальные требования к защите персональных данных, которые являются основой для большинства современных правовых режимов, таких как GDPR в Европейском союзе и Федеральный закон № 152-ФЗ в России.
|
|
|
+
|
|
|
+# 1. Основные принципы обработки персональных данных
|
|
|
+ 
|
|
|
+
|
|
|
+ Источник фотографии: https://www.cibit.ru/
|
|
|
+
|
|
|
+Любая система защиты ПДн строится на базовых принципах, которые определяют философию и логику правового регулирования.
|
|
|
+
|
|
|
+Законность, справедливость и прозрачность: Обработка данных должна осуществляться на законных основаниях (например, с согласия субъекта, для исполнения договора или по требованию закона). Процессы должны быть справедливыми, а информация о целях, способах и сроках обработки — доступной и понятной для субъекта данных.
|
|
|
+
|
|
|
+Ограничение цели (целеполагание): Данные должны собираться для конкретных, заранее определенных и законных целей. Их дальнейшая обработка в целях, несовместимых с первоначальными, не допускается. Нельзя собирать данные "про запас".
|
|
|
+
|
|
|
+Минимизация данных: Объем собираемых данных должен быть адекватным, релевантным и ограниченным целями обработки. Необходимо собирать только те данные, которые действительно нужны.
|
|
|
+
|
|
|
+Точность: Персональные данные должны быть точными и при необходимости обновляться. Оператор обязан принимать разумные меры для удаления или исправления неточных данных.
|
|
|
+
|
|
|
+Ограничение хранения: Данные должны храниться в форме, позволяющей идентифицировать субъекта, не дольше, чем этого требуют цели обработки. После достижения целей данные подлежат уничтожению или обезличиванию.
|
|
|
+
|
|
|
+Целостность и конфиденциальность: Оператор обязан обеспечить защиту данных от несанкционированного или незаконного доступа, уничтожения, изменения, блокирования, копирования и распространения. Это достигается путем внедрения соответствующих технических и организационных мер.
|
|
|
+
|
|
|
+Подотчетность: Оператор несет ответственность за соблюдение вышеуказанных принципов и должен быть в состоянии продемонстрировать это соответствие (например, путем ведения документации, журналов и проведения аудитов).
|
|
|
+
|
|
|
+# 2. Правовые основания для обработки персональных данных
|
|
|
+
|
|
|
+
|
|
|
+Источник фотографии: https://www.advgazeta.ru/ag-expert/advices/bitva-za-personalnye-dannye/
|
|
|
+
|
|
|
+Обработка ПДн является законной только при наличии одного из следующих оснований:
|
|
|
+
|
|
|
+Согласие субъекта: Добровольное, конкретное, информированное и однозначное согласие физического лица на обработку его данных. Согласие должно быть легко отзываемым.
|
|
|
+Исполнение договора: Обработка необходима для заключения или исполнения договора, стороной которого является субъект данных.
|
|
|
+Соблюдение юридической обязанности: Обработка требуется для выполнения оператором обязанностей, возложенных на него законодательством (например, налоговая отчетность, кадровый учет).
|
|
|
+Защита жизненно важных интересов: Обработка необходима для защиты жизни, здоровья или других жизненно важных интересов субъекта или иного лица.
|
|
|
+Выполнение задач в общественных интересах: Обработка осуществляется в рамках выполнения государственных или муниципальных функций.
|
|
|
+Законные интересы оператора: Обработка необходима для соблюдения законных интересов оператора или третьей стороны, за исключением случаев, когда над этими интересами преобладают интересы и основные права и свободы субъекта данных.
|
|
|
+# 3. Организационные меры защиты
|
|
|
+
|
|
|
+
|
|
|
+Источник фотографии: https://blog.infra-tech.ru/organizatsionnye-mery-zashchity-info/
|
|
|
+
|
|
|
+По мимо технических средств для обеспечения полной безопасности. Ключевую роль играют и организационные меры:
|
|
|
+
|
|
|
+Разработка внутренней нормативной документации:
|
|
|
+Политика в отношении обработки персональных данных: Публичный документ, разъясняющий подходы компании к обработке ПДн.
|
|
|
+Локальные нормативные акты: Положения,
|
|
|
+
|
|
|
+инструкции, регламенты, определяющие порядок доступа, хранения, уничтожения данных и другие процедуры.
|
|
|
+
|
|
|
+Назначение ответственного лица: В организации должно быть назначено лицо, ответственное за организацию обработки персональных данных. Это может быть отдельный сотрудник (Data Protection Officer, DPO) или возложение обязанностей на одного из существующих работников. Его задачи — контроль за соблюдением законодательства, консультирование сотрудников и взаимодействие с надзорными органами.
|
|
|
+
|
|
|
+Обучение и повышение осведомленности персонала: Все сотрудники, имеющие доступ к персональным данным, должны быть ознакомлены с требованиями законодательства и внутренними правилами. Необходимо проводить регулярные тренинги по информационной безопасности, чтобы минимизировать риски, связанные с человеческим фактором (например, фишинг, социальная инженерия).
|
|
|
+
|
|
|
+Управление доступом: Должна быть внедрена система разграничения прав доступа к персональным данным. Принцип "необходимого знания" (need-to-know) означает, что сотрудник получает доступ только к тем данным, которые ему необходимы для выполнения его должностных обязанностей.
|
|
|
+
|
|
|
+Учет и аудит: Необходимо вести учет всех операций с персональными данными, включая сбор, изменение, передачу и удаление. Регулярные внутренние и внешние аудиты помогают выявлять уязвимости и несоответствия в системе защиты.
|
|
|
+
|
|
|
+Реагирование на инциденты: Должен быть разработан и утвержден план действий на случай утечки данных или других инцидентов безопасности. План должен включать процедуры по выявлению, локализации, устранению последствий инцидента, а также по уведомлению надзорных органов и субъектов данных в установленные законом сроки.
|
|
|
+
|
|
|
+# 4. Технические меры защиты
|
|
|
+
|
|
|
+
|
|
|
+Источник фотографии: https://blog.infra-tech.ru/sistema-zashchity-personalnyh-dannyh/
|
|
|
+
|
|
|
+Технические меры являются практической реализацией требований безопасности и направлены на защиту данных на уровне инфраструктуры.
|
|
|
+
|
|
|
+Идентификация и аутентификация: Использование паролей, двухфакторной аутентификации, биометрических данных для контроля доступа к информационным системам.
|
|
|
+Антивирусная защита: Установка и регулярное обновление антивирусного программного обеспечения на всех рабочих станциях и серверах.
|
|
|
+Межсетевое экранирование (Firewalls): Защита периметра сети от несанкционированного внешнего доступа.
|
|
|
+Шифрование данных: Применение криптографических средств для защиты данных при их хранении (на дисках, в базах данных) и передаче (по сетям связи, через интернет). Это одна из самых надежных мер защиты.
|
|
|
+Резервное копирование и восстановление: Создание регулярных резервных копий данных для обеспечения их доступности и возможности восстановления в случае сбоев, атак или физического повреждения носителей.
|
|
|
+Защита от несанкционированного доступа к физическим носителям: Контроль доступа в помещения, где расположены серверы и архивы (серверные комнаты, дата-центры), использование сейфов для хранения носителей информации.
|
|
|
+Обезличивание (псевдонимизация и анонимизация): Технические процедуры, после которых становится невозможным или затруднительным определить принадлежность данных конкретному субъекту без использования дополнительной информации.
|
|
|
+
|
|
|
+
|
|
|
+# Список используемой литературы:
|
|
|
+
|
|
|
+1.Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Является базовым документом, определяющим принципы обработки (законность, ограничение цели, минимизация, точность, ограничение хранения), правовые основания (согласие, договор, юридическая обязанность) и обязанности оператора по обеспечению безопасности, включая публикацию политики конфиденциальности
|
|
|
+
|
|
|
+2.Трудовой кодекс Российской Федерации (Глава 14, статьи 85–90). Регулирует общие требования при обработке персональных данных работников, порядок их получения, хранения и передачи, а также гарантии защиты
|
|
|
+
|
|
|
+3.Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Определяет уровни защищенности и конкретные технические меры (идентификация, шифрование, межсетевое экранирование).
|
|
|
+
|
|
|
+4.Приказы ФСТЭК России (в частности, № 21 от 18.02.2013). Устанавливают состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах.
|
|
|
+
|
|
|
+5.Приказ ФСБ России от 10.07.2014 № 378. Регламентирует состав и содержание мер по обеспечению безопасности при использовании средств криптографической защиты информации.
|
