Какой ты специалист по ЗИ? (тест-шутка)

Дорогие читатели, с праздником! С днем защиты информации! Желаю Вам всего самого лучшего и предлагаю пройти шуточный тест от меня - ссылка. Безопасности и надежности Вам и вашим семьям!

 

Источник

Страница ВК: http://shudrova.blogspot.ru/ - ссылки на свежие посты и интересные материалы других авторов.

 

Перехожу на темную сторону: пишу для субъектов ПДн

Добрый день,  дорогие читатели! Я стала экспертом сайта Росконтроль.  Давно хотела писать не только для специалистов, но и для субъектов.  Оказалось, что это совсем непросто: каждое определение нужно пояснять своими словами, да и точка зрения субъекта и оператора в корне отличается. Мой первый просветительский опыт вы можете увидеть здесь. Приятного чтения! 

Источник

Страница ВК: http://vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов.                             

Как быстро проверить согласие на обработку ПДн?

Добрый день, дорогие читатели! Думаю, что многим приходится проверять формы согласия на соответствие Федеральному закону "О персональных данных" (от контрагентов и при появлении новых задач). Такая работа достаточно монотонная и отнимает время. Чтобы ее немного упростить, я составила себе шпаргалку, чтобы проверять быстрее. Делюсь с вами:

 

1) КТО? фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) ЗА КОГО? фамилия, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3) КОМУ? наименование или фамилия, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 6) наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

4) ЗАЧЕМ? цель обработки персональных данных;

5) КАКИЕ? перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

7) ЧТО БУДУТ ДЕЛАТЬ? перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) НА СКОЛЬКО? срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) СОГЛАСЕН? подпись субъекта персональных данных.

И маленькое стихотворение для Вас, чтобы лучше запоминалось:

Кот принес сове листок,
Что еж согласен на учет:
Кто сколько яблок приволок.
Сова составила отчет:
Где ФИО, адрес, документ
И положила до зимы,
А если будет инцидент -
Совы прикрыты все тылы.
(с) Шудрова К.

Всем хороших выходных!

Страница ВК: http://vk.com/kshudrova - ссылки на все свежие посты и интересные материалы других авторов.

Конференция Роскомнадзора

Добрый вечер, дорогие читатели! 10 ноября прошла VI Международная конференция "Защита персональных данных". Видеотрансляцию конференции можно увидеть, перейдя по ссылке (доступна только до 10 декабря, так что поторопитесь). Видео аж 6 часов, но справа есть удобное меню для переключения между сюжетами. Обратите внимание примерно в 02:20 представитель РКН рассказывает об итогах контроля в области ПДн (805 проверок за 2015 год, из них плановых - 746), в 02:23 он отмечает типичные нарушения, выявленные у операторов. Примерно в 02:36 выступает представитель ФСТЭК, в 02:52 - представитель ФСБ. На конференции выступал в качестве модератора М.Ю. Емельянников, его впечатления можно прочитать здесь и здесь.

 

Страница блога ВК: http://vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов.

Вопрос читателя. Информация ограниченного доступа

Здравствуйте, дорогие читатели! Сегодня я хочу предложить Вашему вниманию два письма читателя Сергея Симонова об определении информации ограниченного доступа.

 

Добрый день. Озадачился я недавно вопросом что такое ИОД (информация ограниченного доступа). В ГИС помимо ПДн есть и коммерческая тайна, и служебная информация… да мало ли что ещё есть… НО! Требования по защите проработаны только для ПДн. Для служебной тайны вообще нет своего закона, хотя о нем говорят с 2004 года. Вот ФСТЭК и озаботился защитой всего (в том числе и ПДн) в ГИС запихав в понятие ИОД все виды конфиденциальной информации по УП №188. (абстрактно запихал) Однако, формулировки что такое ИОД я не нашёл. Так что же такое ИОД? В своих поисках выявил огромное количество формулировок: сообщения ограниченного доступа, служебные сведениями ограниченного распространения, сведения ограниченного доступа… Нашел ли я ответ? Думаю что да. Взгляните, может будет интересно. Возможно я упустил что-то. Что-то лежавшее на поверхности.

Поискав ещё немного обнаружил любопытное толкование ИОД на сайте http://www.wikisec.ru/

3. В составе информации ограниченного доступа различают сведения, составляющие государственную тайну, и конфиденциальную информацию. Информации ограниченного доступа подразделяется на секретную и конфиденциальную.

Также Сергей прислал майнд-карту: ссылка (не обращайте внимание, если браузер ругается, это не вирус :))
 

2 письмо

Обсудил с коллегами свою схему. Принял критику. Судя по моей схеме в ГИС обрабатывается только ПДн, служебная информация ограниченного распространения, Комм.Т. Но это не так. Так же присутствует общедоступная информация (скажем, о деятельности организации публикуемая в виде отчетов на офф сайте) и согласно ФЗ-149 ст.8. п.4. «Не может быть ограничен доступ к: 3) информации о деятельности государственных органов и органов местного самоуправления, а также об использовании бюджетных средств (за исключением сведений, составляющих государственную или служебную тайну)».

Согласно тому же 149 ФЗ ст5. п2. «Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа)».

Вот и получается что доступ к ПДн/КоммТ ограничен ФЗ-152/ ФЗ- 98.

Однако не понятно, что делать со служебной информацией ограниченного распространения. Отдельного ФЗ по ней нет. Однако несть целая россыпи приказов ФСТЭК\ФСБ по необходимости её защиты. Но это приказы и методические рекомендации, а не федеральные законы. Получается что служебная информация ограниченного распространения это не ИОД?

Но согласно 149-ФЗ ст.9, п.4. конфиденциальность служебной информация соблюдать надо.

 

В качестве своего комментария могу сказать, что ситуация со служебной тайной действительно неоднозначная. Несмотря на то, что данную пометку повсеместно используют, на уровне законов требования защиты не закреплены. Как мы знаем, термин "конфиденциальная информация" хоть и часто встречается в жизни, но в законодательстве определены "сведения конфиденциального характера". Неоднозначность понятийного аппарата в информационной безопасности приводит к различным спорам и вызывает недопонимание специалистами друг друга.

 

17 мгновений законодательства

Добрый день, дорогие читатели! До сих пор продолжаю разбирать свои заметки, сегодня на глаза попался доклад с Код ИБ :) В процессе подготовки к выступлениям, я выделила наиболее интересные документы в области персональных данных за последнее время, думаю, что этот список может оказаться Вам полезным.

Федеральные законы:

1. Федеральный закон от 21.07.2014 N 242-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях";

2. Федеральный закон Российской Федерации от 13 июля 2015 г. N 264-ФЗ "О внесении изменений в Федеральный закон "Об информации, информационных технологиях и о защите информации" и статьи 29 и 402 Гражданского процессуального кодекса Российской Федерации" (право забвения);

3. Федеральный закон от 29 июня 2015 г. N 193-ФЗ "О внесении изменений в статью 183 Уголовного кодекса Российской Федерации".

Постановления Правительства:

4. Постановление Правительства РФ от 06.07.2015 N 676 "О требованиях к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации";

5. Постановление Правительства РФ от 19.08.2015 N 857 "Об автоматизированной информационной системе "Реестр нарушителей прав субъектов персональных данных" (вместе с "Правилами создания, формирования и ведения автоматизированной информационной системы "Реестр нарушителей прав субъектов персональных данных").

Приказы Роскомнадзора:

6. Приказ Роскомнадзора от 22.07.2015 N 85 "Об утверждении формы заявления субъекта персональных данных о принятии мер по ограничению доступа к информации, обрабатываемой с нарушением законодательства РФ в области персональных данных";

7. Приказ Роскомнадзора от 22.07.2015 N 84 "Об утверждении Порядка взаимодействия оператора реестра нарушителей прав субъектов персональных данных с провайдером хостинга и Порядка получения доступа к информации, содержащейся в реестре нарушителей прав субъектов персональных данных, оператором связи" (Зарегистрировано в Минюсте России 14.08.2015 N 38532).

Инициативы ФСТЭК и ФСБ:

8. ФСБ Методические рекомендации по разработке НПА, определяющих угрозы безопасности ПДн, актуальные при обработке ПДн в ИСПДн, эксплуатируемых при осуществлении соответствующих видов деятельности 31.03.2015 149/7/2/6-432;

9. Банк данных угроз безопасности информации (Информационное сообщение о банке данных угроз безопасности информации от 6 марта 2015 г. N 240/22/879).

Другое:

10.  Сайт http://персональныеданные.дети/;

11.  Комиксы про Роскомнадзор;

12.  Книга комментариев к Федеральному закону «О персональных данных».

 Проекты:

13. Методика определения угроз безопасности информации в информационных системах.

14. Проект Постановления Правительства РФ «Об утверждении Положения о государственном контроле и надзоре за соответствием обработки ПДн требованиям законодательства Российской Федерации».

15. О внесении изменений в Кодекс Российской Федерации об административных правонарушениях (в части уточнения положений, устанавливающих ответственность за нарушение законодательства о персональных данных).

16. Проект отраслевой модели угроз безопасности персональным данных от Банка России.

17. Проект Новая редакция доктрины информационной безопасности.

И, напоследок, картинка от Роскомнадзора, который сегодня празднует год в соцсетях.

 

Страница ВК: http://vk.com/kshudrova - свежие посты блога и интересные материалы других авторов.

Вопрос читателя. Передача персональных данных в военкомат

Добрый вечер, дорогие читатели! Сегодня хочу поднять тему передачи персональных данных в военкомат. Представляю Вашему вниманию вопрос читатели и мой ответ на него.

 

Вопрос:
Добрый день, Ксения! Военкомат, ссылаясь на закон о воинской обязанности, п1.ст4. по-моему (организации обязаны предоставлять сведения на призывников необходимые для деятельности военкомата по призыву) запрашивает то одни, то другие ПДН в нужном им формате, зачастую даже не имеющиеся в делах без дополнительного сбора информации. Закон от 98 года, указанная статья в последующих редакциях изменений не претерпела, где то защищаем, требуем согласия, даже в милицию по мотивированному запросу только, а тут вынь да положь, и вроде как законно, но....как говорится меня терзают смутные сомнения, задал вопрос на форум ПДН, но ни одного ответа, написал письмо в РКН, но ждать месяц ответа. Очень бы хотелось услышать Ваше мнение по данному вопросу.

 

Ответ:

Здравствуйте! Пункт 2 статьи 6 Федерального закона № 152-ФЗ "О персональных данных" подразумевает обработку персональных данных без согласия в случае осуществления и выполнения оператором, возложенных на него функций и обязанностей. Обрабатывать данные воинского учета нужно по Федеральному закону № 53-ФЗ "О воинской обязанности и военной службе", как Вы и указали. Передача данных - частный случай обработки, значит передавать можно. К тому же, согласно статьи 7 ФЗ № 152 операторы не должны передавать данные, если иное не предусмотрено законом. А законом, как мы уже выяснили, предусмотрено данные передавать. Мое мнение - все законно.

 

А как считаете Вы?

 

Страница ВК: http://vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов.