Мой поход в Роскомнадзор

В связи с тем, что необходимо подавать данные об ответственном за обработку персональных данных лице, решила я сходить в Роскомнадзор и отнести им информационное письмо об изменениях в уведомлении. Как составить такое письмо я писала ранее здесь. Однако я допустила ошибку в связи с тем, что наивно полагала аналогичными пункты: 

7) описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;

11) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.

Как мне объяснила специалист из Росконадзора - это разные вещи и указывать необходимо разную информацию. Причем, если Вы ранее посылали информацию о мерах защиты и она была указана в Вашем уведомлении в реестре, то сейчас ситуация изменилась и эти данные не отображаются, зато появились пустые поля, которые необходимо заполнить до января 2013 года. 

Пример уведомления

Итак, что же нужно писать в пункте про меры (18.1, 19): это назначение ответственного лица, издание локальных документов, внутренний контроль, оценка вреда (?), ознакомление работников, определение угроз безопасности, применение средств защиты, прошедших процедуру оценки соответствия и т.д (см. ФЗ "О персональных данных").

Сведения об обеспечения безопасности персональных данных по требованиям Правительства - это не требования согласно планируемым документам, а как мне вчера объяснили - Постановление 687 и Постановление 781. Причем даже выдали памятку о том, что примерно нужно писать в этом пункте :)

Обязательного требования предоставлять информацию о классификации системы нет. На мой вопрос по поводу введения новых уровней был ответ, что этим занимается другая организация, они не в курсе дела. Так что мне посоветовали классифицировать ИСПДн по приказу трех. А еще сказали, что вносить изменения можно частями: определили ответственного - подали изменения в уведомление, такие изменения можно делать хоть каждый месяц.

Разграничение доступа и парольная политика

Доброе утро! Сегодня в журнале "Директор по безопасности" вышли две мои статьи, одна из них в открытом доступе: http://www.s-director.ru/magazine/archive/viewdoc/2012/7/583.html. 

Анонс статьи:

Первый рубеж, который должен преодолеть злоумышленник, заключается в подборе пароля для доступа к данным. Если пароль слабый или хранится в открытом виде, то попытка взлома информационной системы будет успешной, при этом неважно, какие средства защиты информации установлены в системе, так как авторизация с нужными правами уже произошла.

Специалист по защите информации ОАО «Красноярсккрайгаз» ответит на следующие вопросы:

• Как упорядочить доступ сотрудников к ресурсам корпоративной сети? 

• Почему разграничение доступа и парольная политика важны для любой компании? 

• Как узнать, сколько времени понадобится для взлома пароля? 

• Где и как лучше всего хранить пароли?

Вторая статья доступна только читателям журнала - ссылка.

Внесение изменений в уведомление

Хочу напомнить операторам, что до 1 января 2013 года необходимо подать уведомление по новой форме: 

2.1. Операторы, которые осуществляли обработку персональных данных до 1 июля 2011 года, обязаны представить в уполномоченный орган по защите прав субъектов персональных данных сведения, указанные в пунктах 5, 7.1, 10 и 11 части 3 статьи 22 настоящего Федерального закона, не позднее 1 января 2013 года.

(часть 2.1 введена Федеральным законом от 25.07.2011 N 261-ФЗ)

(ст. 25, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 25.07.2011) "О персональных данных")

По ФЗ новая форма включает в себя:
1) наименование (фамилия, имя, отчество), адрес оператора;

2) цель обработки персональных данных;

3) категории персональных данных;

4) категории субъектов, персональные данные которых обрабатываются;

5) правовое основание обработки персональных данных;

6) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;

7) описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;

7.1) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты;

8) дата начала обработки персональных данных;

9) срок или условие прекращения обработки персональных данных;

10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;

11) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.

[Отредактировано в связи с полученной информацией] О том, что хочет видеть Роскомнадзор в уведомлении можно прочитать в моем посте здесь. Для того, чтобы подать информацию об ответственном лице и принятых мерах, необходимо воспользоваться формой информационного письма о внесении изменений в уведомление - ссылка. Заполнять необходимо только те графы, которые необходимо изменить. Но есть и обязательные для заполнения сведения: 

1. Наименование (фамилия, имя, отчество) оператора; 
2. Адрес оператора;
3. Регистрационный номер записи в Реестре; 
4. Основания изменений;
5. Регионы;
6. ИНН;
7. Коды: ОГРН. 

Дополнительная информация в нашем случае:

1. Ответственный за организацию обработки персональных данных;
2. Номера контактных телефонов, почтовые адреса и адреса электронной почты ответственного за организацию обработки персональных данных.

После формирования уведомления, его необходимо распечатать, заверить у руководителя организации, поставить печать, а затем отправить в региональное отделение Роскомнадзора. Это можно сделать как заказным письмом, так и лично. Следить за состоянием уведомления можно с помощью уникального номера и ключа, которые присваиваются документу автоматически. Страница для отслеживания состояния уведомления - ссылка.

Разные официальные формы уведомлений?

Сегодня на портале госуслуг обнаружила возможность подачи уведомления об обработке персональных данных. Рассмотрим функционал этого раздела.

Заходим на портал госуслуги в раздел электронные услуги. Обязательно выбираем пункт - услуги для юридических лиц, так как для физических набор услуг другой.

Рис. 1

Выбираем раздел "Министерство связи и массовых коммуникаций Российской Федерации", в нем нас интересует подраздел "Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций" (выделено красным на Рис. 2).

Рис. 2

И наконец в этом подразделе выбираем нужный нам пункт: "Ведение реестра операторов, осуществляющих обработку персональных данных".

Рис. 3

В нужном нам разделе находим раздел документы (Рис. 4):

Рис. 4

В раскрывающемся пункте "Уведомление" расположена кнопка "Шаблон для заполнения", при нажатии на нее скачивается файл формы уведомления.

Рис. 5

В этой форме присутствуют следующие пункты:

1. Наименование и адрес организации;
2. Правовое обоснование обработки персональных данных;
3. Цель обработки и категории ПДн;
4. Категории субъектов;
5. Перечень действий, описание способов обработки;
6. Список принятых мер;
7. Дата начала обработки и срок окончания обработки.

Также в этом разделе приведен пример заполнения формы. В качестве примера принятых мер указано:

Организационные меры: ограничение и аутентификация доступа к информационной системе, наличие должностных инструкций, содержащих требования сохранения конфиденциальности персональных данных. Технические меры: программно-аппаратный комплекс "Континент" (заводской номер, уровень криптографической защиты).

Если же мы посмотрим форму уведомления на портале персональных данных Роскомнадзора, то увидим дополнительные графы, которые отсутствовали в предыдущей форме:

1. Информация об ответственном лице;
2. Информация о классе системы персональных данных;
3. Пункт о трансграничной передаче.

В Приложении № 3 к "Административному регламенту Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных» есть форма уведомления, но она не такая как на сайте госуслуг и на портале персональных данных (там есть трансграничная передача). 

Чем руководствоваться оператору?..

Электронная подпись для физических лиц

Вчера меня попросили найти информацию о том, где можно сделать ЭП для физического лица (портал госуслуг) в Красноярске. Найти нужные адреса оказалось не так-то просто, поэтому хочу поделиться с читателями найденной информацией, вдруг кому-то пригодится. А вообще электронная подпись для портала госуслуг - дело хорошее, время должно экономиться изрядно. 

На самом портале размещена следующая информация:

Гражданин РФ может зарегистрировать Личный кабинет и в дальнейшем проходить авторизацию с использованием носителя электронной подписи, выданного удостоверяющим центром проекта «Электронное правительство» ОАО «Ростелеком», или доверенным удостоверяющим центром ФНС России, или иным удостоверяющим центром, входящим в пространство доверия Министерства связи и массовых коммуникаций РФ.

Значит искать надо в направлении Ростелекома, решила я :)

Оказывается услуга стартовала по стране год назад - 16 мая 2011 года (источник). В Сибири первым регионом стала Новосибирская область - апрель 2012 года (источник). В Красноярске 23 мая 2012 года в Ростелекоме ключ получил губернатор Лев Кузнецов (источник):
Для регистрации на едином портале госуслуг (www.gosuslugi.ru, госуслуги.рф) и оформления электронной подписи Льву Кузнецову потребовалось около 20 минут и 660 рублей (стоимость электронного носителя (e-token). Он предъявил специалисту свой паспорт, ИНН и страховое свидетельство Пенсионного фонда (СНИЛС). 

Ну и наконец чисто практическая информация (источник): 

Выдача USB-ключей в Красноярске производится в офисе продаж и обслуживания клиентов компании «Ростелеком» на ул. Диктатуры, 31. Получить ЭП здесь могут не только жители города и области, но и других регионов РФ.

Организационная защита персональных данных

Выкладываю свою презентацию с курсов, которые я читала для администрации Губернатора. Надеюсь, Вам будет полезной :)

Shudrova_pdn

View more presentations or Upload your own.

Работа, учеба и отпуск

Давно не писала я в свой блог - тому есть серьезные причины, а именно - сдача кандидатского минимума по английскому и по философии. Спешу похвастаться - оба предмета сданы на пятерки, дело за малым - написать и защитить-таки диссертацию :)

А после экзаменов был недельный отпуск в Новосибирске, где я была в первый раз и среди прочих достопримечательностей не забыла сфотографироваться со зданием ФСТЭК :-)

Между экзаменами меня пригласили провести лекцию по защите персональных данных для учебного центра при Губернаторе Красноярского края. Об этом расскажу чуть позже, сегодня после поезда много и серьезно писать просто лень:)