пятница, 17 сентября 2021 г.

Зачем защищать персональные данные?

 Доброй пятницы, коллеги! Предлагаю вам собственноручно отобранные картинки-вырезки на тему защиты персональных данных. Их можно будет вставлять в ваши презентации для руководства и обосновывать бюджеты на ИБ.

Итак, зачем обрабатывать персональные данные?

Причины на мой взгляд две. Первая - получать выгоду от защиты персональных данных.

1. Безопасность ПДн продавать как услугу:

источник

2. Повышать свою репутацию среди клиентов, например, стать добросовестным оператором:
источник
3. Получить преимущество перед конкурентами, чтобы клиент мог выбрать нас осознанно:
источник
Вторая причина защищать персональные данные - это минимизация рисков.
4. Чтобы не пришлось оплачивать штрафы:
источник
5. Чтобы не пришлось возмещать ущерб за утечку персональных данных:
источник
6. Чтобы субъекты не отзывали свои согласия на обработку персональных данных:
источник

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova

понедельник, 13 сентября 2021 г.

Новый порядок аттестации объектов информатизации

 Добрый день, коллеги! Сегодня на сайте ФСТЭК России появилось информационное сообщение от 2 сентября 2021 г. N 240/24/4303 "Об утверждении порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну". Сам порядок находится в разделе Документы/Акты.

Ссылка на раздел сайта ФСТЭК России

Порядок утвержден Приказом ФСТЭК России № 77 от 29.04.2021, вступил в силу 01 сентября 2021 года и касается аттестации систем, в которых обрабатывается конфиденциальная информация (не составляющая ГТ). 

Порядок может применяться для ИСПДн, если ее владелец решит, что систему нужно аттестовать.


Установлено, что срок проведения работ по аттестации не может превышать 4 месяцев.  Объемная предаттестационная подготовка документов сюда не входит, поэтому срок вполне реальный. В разделе 3 указан состав документации, которую нужно предоставить органу по аттестации, список довольно внушительный.
Сам орган по аттестации готовит программу и методики аттестационных испытаний, заключение по результатам аттестационных испытаний, протоколы аттестационных испытаний и аттестат соответствия требованиям по защите информации. Содержание этих документов подробно рассматривается в порядке. 
Важно отметить, п. 31 - аттестат соответствия выдается на весь срок эксплуатации объекта информатизации.

В приложениях приведены формы основных документов (технического паспорта, акта классификации, аттестата соответствия). Обратите внимание на содержание разделов.

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova



пятница, 25 июня 2021 г.

Персональные данные: оператор, субъект и регулятор, а может интегратор, как понять всех?

Добрый день, коллеги! Сегодня я хотела бы поднять давно мучающую меня тему: насколько специалисты по ИБ предвзяты во взгляде на защиту персональных данных? В основном мы представляем интересы оператора, реже - организации, оказывающей услуги по информационной безопасности. Достаточно ли этого? Давайте рассуждать вместе.

С какой стороны на персональные данные смотрю я? С 2009 года приходилось быть работником на разных предприятиях, даже в организации, оказывающей услуги. Но большую часть моего опыта составляет работа в интересах операторов. Книги написаны также с целью помочь работникам операторов, им же посвящены выступления и посты. Точка регулятора известна мне из небольшого личного опыта общения, а также из обширного опыта коллег (спасибо всем, кто делится личным, дальше моей головы информация не уходит). 

А что с субъектом? Так как каждый из нас им является, то полагаю, что точку зрения субъекта интуитивно мы все понимаем. Когда-то я даже писала статьи для проекта Росконтроль, посты в Инстаграм на тему "просто о ваших персональных данных"

И все равно каждый раз, когда ко мне обращаются с вопросами, то мысленно ответы я подбираю из 4 отдельных архивов: "Ответы для субъектов", "Ответы для специалистов", "Ответы по проверкам" и "Как заработать на услугах по защите ПДн". Со временем стало ощущаться некое расчетверение моей личности. Приведу пример.

На подъезде висит список должников ЖКХ. Что с этим делать?

Позиция для субъекта. Это незаконно, ссылаясь на положения ФЗ 152 "О персональных данных" обратитесь с требованием убрать данные о вас, можно даже судиться.

Позиция для оператора. Если вы хотите легализовать такие списки, то вам нужно обезличить информацию в них (например, указать общий долг по подъезду), либо собрать согласия со всех жильцов, либо обращаться к каждому должнику напрямую.

Позиция по проверкам. Надо смотреть судебную практику, но я вам сразу скажу, она однозначна: список вешать нельзя.

Позиция для оказывающих услуги. Предложите альтернативу: разработать форму согласия на распространение и другие документы.

И вот стала меня мысль беспокоить: а на чьей стороне я?

Конечно, как субъект, я не могу быть за вопиющие нарушения и необоснованный сбор информации. Как специалист и блогер я на стороне оператора и против раздувания бюджета на информационную безопасность. Как человек, ценящий порядок и "контроль фрик", я рада, что есть регуляторы, которые за всем присматривают. Как человеку "давно и бескорыстно любящему деньги" мне понятны мысли о желании заработать. 

Должно быть что-то общее, четыре части паззла под названием "Защити персональные данные" должны сложиться. 

Я искала, что бы это могло быть? Все, что нашла - это инициатива от Роскомнадзора "Кодекс добросовестных практик. На 25.06.21 в ней состоит 9621 организация, а в реестре операторов находится 425 816 организаций. Чуть больше 2%. 

Мне захотелось заняться вопросом объединения интересов субъекта и бизнеса. Сейчас, когда мы видим, как тут и там возникают все новые базы данных с информацией о нас (в том числе с данными о состояния здоровья), эта задача стала очень актуальной. Мы больше не можем рассуждать лишь с позиции "самого быстрого и дешевого способа защиты", "бумажек достаточно". Нужен системный подход. Защита персональных данных становится чем-то вроде экологии, больше нельзя осуществлять ее "для галочки".

Это такая большая и сложная мысль, что я думала ее несколько месяцев и ни к чему конкретно не пришла. Но некоторые идеи появились. 

1. В блоге и группе ВК постараюсь отвечать на вопросы также с точки зрения субъекта, для баланса, так сказать.

2. Ранее мы с Сергеем Борисовым говорили об идее пригласить Дениса Лукаша. Денис предложил рассмотреть интересные вопросы по защите персональных данных с точки зрения бизнеса. Думаю, такой подход будет шире, чем погружение лишь в профессиональные нюансы для специалистов по информационной безопасности. Узнаем о юридической стороне вопроса. (Дата и время межблогерского вебинара уточняется)

3. ... Укажите ваш вариант. Я серьезно, думаю, что это как раз тот случай, когда вы можете смело писать мне. Давайте вместе создадим "новый мир", в котором будут уживаться все точки зрения на защиту персональных данных.

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova


Гималаи. Рассвет в горах. Н.К. Рерих. Источник



суббота, 22 мая 2021 г.

Издание бумажной книги. Мой опыт

Добрый день, коллеги! Ранее я писала о своем опыте создания и продажи электронных книг здесь. В этом вопросе ясность достигнута, менять пока ничего не хочу. Но мне всегда было интересно, как издать бумажную книгу, все-таки хочется подержать плоды своих трудов в руках. Расскажу вам о своих экспериментах. 

Из четырех моих книг выбрана была "Мысли про... информационную безопасность и жизнь". Во-первых, потому что почти художественная и легко читаемая. Во-вторых, потому что бесплатная и лежит в открытом доступе, то есть от публикации я ничего не потеряю. 

Публиковать решила в Ridero, так как это самый простой, на мой взгляд, вариант. Создала бесплатный аккаунт, загрузила текст, выбрала формат книги. Потом издательство предложило мне определить цену товара. Я заложила 0 в роялти для бумажной и электронной версии, чтобы оставить цену минимально возможной. К сожалению, даже при небольшой выручке (порядка 10-50 рублей с книги) цена очень сильно увеличивается. Поэтому 0, собственно говоря, она и так доступна для скачивания бесплатно.

Что в итоге?

  1. Авторские права на книгу остались у меня, публиковать я ее по-прежнему могу где угодно.
  2. Появилась страница книги, где ее можно заказать как в электронном (ЛитРес, Amazon), так и в бумажном формате (Ozon, AliExpress). Оба форматы доступны и на сайте Ridero (доставка платная). 
  3. Есть возможность заплатить за бесплатную электронную книгу по "Цене читателя". Из доната будет вычтена комиссия сервиса. Также напомню, что донатить мне лично можно в группе ВК либо по запросу реквизитов (режим самозанятости есть).
  4. У книги есть уникальный номер ISBN.

Я, конечно же, приобрела один экземпляр для себя. За 357 рублей на Ozon, так на сегодняшний день дешевле всего. Тиража нет, печатается по требованию. Выглядит готовая книга вот так:


В заключение могу сказать, что итоговый результат мне понравился. Но поиски вариантов издания книг я не оставлю. Для нулевой роялти цена высоковата, по-моему, книжка ведь совсем маленькая, 58 страниц. Но вариант очень бюджетный для начинающих, на всю процедуру издания у меня ушло 357 рублей (стоимость одного экземпляра). Так что могу порекомендовать этот сервис для ваших книг.

А вы что-нибудь издавали в бумаге? Расскажите о своем опыте в комментариях, это будет очень ценная для многих из нас информация. Все-таки мечта о написании книги есть почти у каждого :)


Для приобретения моих электронных книг, а также по любым вопросам и предложениям пишите:

Вконтакте: https://vk.com/shudrova
telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova




воскресенье, 28 марта 2021 г.

10 лет блогу. Итоги и планы

 Добрый день, коллеги! 10 лет назад, 28 марта 2011 года я завела этот блог. 10 лет! Мне было 23 года, в феврале 2011 я получила диплом специалиста по защите информации, в марте поступила в аспирантуру. С сентября 2010 работала единственным специалистом по информационной безопасности на предприятии. Я выполняла множество интересных задач и поэтому в какой-то момент решила, что мой голос очень важен, что нужно делиться своим опытом. 

Что было за эти 10 лет? 

  • 350 постов в блоге. 
  • 60 статей в журналах и порталах. Особая благодарность Ольге Поповой за подход к делу. Успеха в делах! С вами работать одно удовольствие!
  • Создала Группу ВКонтакте (1521 участник). Очень профессиональное и вежливое сообщество. За дружеской атмосферой я слежу строго:)
  • Написала 4 книги по информационной безопасности (две из них в открытом доступе). По вопросам приобретения: ВконтактеFacebooktelegram: @KseniaShudrova, instagram: @boyarinya_marshmelova. 

  • Записала Подкаст об информационной безопасности. Здесь можно скачать запись 152 ФЗ "О персональных данных за 1 час. 
  • Комментарии в различных изданиях. Например, как защитить интимные фото (для невских новостей).
  • Комментарии на радио. Спасибо, Татьяне Шокаревой за интересный опыт!
  • Выступления на оффлайн и онлайн мероприятиях с докладами и мастер-классами. Спасибо отдельное и большое Сергею Шустикову и Ирине Лонкиной. Ваша организация мероприятий для меня пример идеально сделанной работы, а ваше гостеприимство - добрая память для всей нашей семьи. Ждем в наших краях, всегда на связи!
  • Мария Сидорова, когда-то ориентир и кумир, а теперь уже настоящий друг, доверила мне руководство Красноярским отделением RISC, Маша, надеюсь я не подвожу тебя, нашу команду и все наше сообщество. Буду стараться дальше! Всегда ждем встречи!
  • Мною был придуман хэштег #в_регионах_есть_иб для поддержки специалистов не из столицы. В группе ВК я стараюсь почаще публиковать вакансии для разных городов, специалисты и работодатели должны находить друг друга.
  • В 2018 году я защитила кандидатскую диссертацию по системному анализу. Это было трудно, но того стояло. Теперь я знаю, что могу. И каждый день радуюсь приписке "кандидат технических наук" к своей фамилии.
  • Благодаря Вячеславу Золотареву сбылась моя мечта детства - я преподавала в университете. Да еще и в должности доцента, да еще и у студентов магистратуры. Ребята, вы в моем сердечке, ваше 2е место во всероссийском чемпионате - заслуженная победа! Впереди новые свершения! 
  • В 2019 году мы с Сергеем Борисовым создали проект Межблогерский вебинар. Все видео в октрытом доступе. У нас было много замечательных гостей, а в апреле ждет вебинар с Евгением Царевым. Будет круто! Подробности в группе ВК у меня, в соцсетях Сергея.
  • Я ответила на много, очень много вопросов. Какие-то приходили в личные сообщения, другие мне писали в комментариях к блогу, многие мы обсуждали всем сообществом в группе ВК. 
  • Заслужила звание любимого блогера в рейтинге securitylab в ноябре 2016 года. Помню, как мне читатель скинул ссылку на итоги голосования, я была удивлена и обрадована очень. Сохранила себе скриншот на память, большое спасибо всем читателям за оценку моего труда. И спасибо securitylab за все новогодние подарки, вы создаете праздничное настроение уже который год!
  • Самый популярный пост блога - Приучение к лотку и защита информации. Помню, как буквально "проснулась знаменитой" после публикации. Два года до этого мои посты замечали, но это был настоящий скачок. Именно после этой заметки пошли предложения о сотрудничестве, выросло количество читателей, их активность.
  • Отдельно отмечу свой проект "Лица ИБ". Сколько замечательных людей рассказало о себе! Обязательно прочитайте интервью с Владимиром Безмалым.
  • Я консультировала, читала курсы, писала, читала, настраивала, анализировала, рекомендовала и т.д.

Кроме того вышла замуж, родила сына, переехала в пригород (небольшой город под Красноярском), сменила фамилию (по паспорту я Лебедева), мы переезжали с квартиру на квартиру, покупали недвижимость, поменяли машину, брали и гасили ипотеку, путешествовали, делали ремонт и обставляли свое жилье, отдыхали и работали. Блог появился благодаря поддержке моего мужа (тогда еще "жениха") и развивается благодаря ему. Роман читает мои посты, статьи, критикует, предлагает, обеспечивает техническое, транспортное и любое другое сопровождение. Любая идея из моей головы сразу попадает на рецензию к нему. Спасибо за все, а особенно за то, что мы всегда на одной волне!
Спасибо всей моей большой семье в целом и отдельно сестре, родителям, бабушке с дедушкой за то, что в минуты "я никогда не смогу" вы всегда говорите "ты сможешь". 

Спасибо читателям-коллегам, коллегам-блогерам, редакторам ИТ-изданий, со многими мы стали настоящими друзьями. Это лучший бонус от блога, я считаю.

Чего я хочу от следующих 10 лет? Хочу писать с удовольствием полезные тексты, осваивать новые форматы. Хочу издать "Мысли про..." в бумаге. Хочу, чтобы у меня брали интервью. 
Хочу, чтобы меня читали!

И напоследок пара мотивирующих фраз. Высказывайте свое мнение, делитесь опытом, даже если вы очень молоды, многого не знаете и очень боитесь критики. Всегда будет осуждение, кому-то вы будете не нравиться, в том числе без объективных причин. Но также вы найдете и единомышленников, людей, которые разделят вашу точку зрения. Все получится!



 

Про новую методику оценки угроз безопасности информации

 Добрый день, коллеги! Про новую методику оценки угроз безопасности информации у меня есть два материала:

1. Текстовый документ про моделирование угроз для информационных систем персональных данных, он же - 11 глава из моей книги. Это глава на замену. Если вы уже купили книгу в прошлой редакции, то просто замените часть текста в doc формате. Новым читателям будет отправлена актуальная версия. Текст главы самодостаточен и прекрасно читается в отрыве от целой книге. В открытом доступе.

2. Запись вебинара с Алексеем Лукацким о моделировании угроз. Дополнительные материалы можно взять здесь у Сергея Борисова.

Чего еще не хватает?

И.И. Левитан. Весна. Большая вода. Источник

По вопросам сотрудничества и приобретения моих книг (электронных):

Вконтакте: https://vk.com/shudrova
telegram: @KseniaShudrova
instagram: @boyarinya_marshmelova 




вторник, 9 февраля 2021 г.

Полезные материалы вебинара. Итоги 3-х лет и перспективы безопасности КИИ по 187-ФЗ

 Добрый день, дорогие читатели! 28 января мы с Сергеем Борисовым провели очередной межблогерский вебинар. На этот раз говорили не о персональных данных, а об объектах КИИ (критической информационной инфраструктуры). Для меня это тема новая, знаю ее по верхам, только названия основных документов и некоторые громкие судебные дела видела. Поэтому училась вместе со слушателями. А поучиться у Сергея и нашего гостя Валерия Комарова было чему! 


После вебинара осталось много ценных материалов. Делюсь ссылками:

Запись вебинара здесь.

Пост Валерия Комарова здесь.

Пост Сергея Борисова здесь.

Общая презентация здесь.

По итогам вебинара мы разыграли сувенир от RISC.

А на следующем вебинаре мы обсудим... Что? Решать вам! Пишите варианты в соцсетях мне и Сергею, присоединяйтесь к голосованию о выборе темы вебинара с Алексеем Лукацким в моей группе ВК.

До новых встреч!

По вопросам сотрудничества и приобретения моих книг (электронных):

Вконтакте: https://vk.com/shudrova
telegram: @KseniaShudrova
instagram: @boyarinya_marshmelova