Из Интернетов. Формы документов ПДн

Добрый день, дорогие читатели! Меня часто спрашивают, где можно найти шаблоны документов по ПДн, информации на эту тему действительно не хватает. В законе и подзаконных актах можно найти только требования и общие слова - но как это потом изложить на бумаге? К сожалению, специфика нашей работы такова - делиться документами с работы мы не можем, значит нужно искать крупицы информации в открытом доступе. 

В связи с этим представляю вам новую рубрику - "Из Интернетов". В ней я буду рассказывать о шаблонах, "рыбах", рекомендациях и шпаргалках, которые мне удалось найти в сети.

Итак, первый документ, который показался мне полезным - Приказ Росстандарта от 25.07.2013 N 249-к "О реализации требований постановления Правительства Российской Федерации от 21 марта 2012 г. N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами". 

Документ содержит:

1. Правила обработки персональных данных, устанавливающие процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, а также определяющие для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований (Приложение N 1);
2. Правила рассмотрения запросов субъектов персональных данных или их представителей (Приложение N 2);
3. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами (Приложение N 3);
4. Правила работы с обезличенными персональными данными совместно с Перечнем должностей федеральной государственной гражданской службы Федерального агентства по техническому регулированию и метрологии, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных (Приложение N 4);
5. Перечень информационных систем персональных данных, обрабатываемых в Федеральном агентстве по техническому регулированию и метрологии (Приложение N 5);
6. Перечень должностей федеральной государственной гражданской службы, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным, включая доступ в информационных системах (Приложение N 6);
7. Должностную инструкцию лица, ответственного за организацию обработки персональных данных (Приложение N 7);
8. Обязательство о неразглашении информации, содержащей персональные данные (Приложение N 8);
9. Форму согласия федерального государственного гражданского служащего на обработку персональных данных (Приложение N 9);
10. Форму разъяснения субъекту персональных данных юридических последствий отказа предоставить свои персональные данные (Приложение N 10);
11. Порядок доступа служащих в помещения, в которых ведется обработка персональных данных (Приложение N 11).

Как видите, полезных форм достаточно много. Сам документ можно почитать здесь или здесь. Надеюсь, что ресурс окажется полезным, если у вас есть ссылки на актуальные шаблоны, присылайте, я с удовольствием их размещу. Всего вам доброго!

Душечкина Ольга. Солнечный февраль. Источник

http://vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов, а также ответы на вопросы читателей.

Как понять, что перед вами специалист по ИБ?

Добрый вечер, дорогие читатели! Окончание отпуска - для меня всегда время философских размышлений о мире вообще и профессии в частности. Сегодня долго ломала голову над тем, как быстро отличить "настоящего" специалиста по ИБ от "ненастоящего". Пришла к определенному выводу. 

Допустим, перед нами некий Петя, неизвестно его образование, стаж работы, деловые качества. Как же определить его профессионализм максимально быстро? Это очень просто. Задаем всего один вопрос: "Что нужно сделать, чтобы защитить информацию"? Если Петя не задумываясь отвечает про установку антивируса и настройку файерволов - это айтишник. Настоящий ибэшник скажет про "комплексный подход", гуру загадочно промолчит.

Настоящий и ненастоящий (источник)

http://vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов, а также ответы на вопросы читателей.

Лица ИБ. Сергей Борисов

Добрый вечер, дорогие читатели! Сегодня мне хочется представить Вам свой новый проект "Лица ИБ", в котором известные специалисты расскажут о себе в формате ответов на вопросы. Первым человеком, о котором мне хотелось бы Вам рассказать, будет Сергей Борисов - блогер из Краснодара, в его постах всегда много полезной и тщательно проработанной информации.

Родился в 1982 году в Екатеринбурге, позднее переехал в Краснодар. Окончил УРГУ по специальности Компьютерная безопасность. Участвовал в составе университетской команды ХакерДом в CTF, семинарах и другой активности. 

Работаю в области ИБ уже порядка 12 лет - сначала в ТЭК, двух банках, а последние 6 лет в системной интеграции.

с 2010 года веду блог http://sborisov.blogspot.ru/

               

25 вопросов интервью:

1. Расскажи немного о себе. Какое у тебя было место работы, чем ты занимаешься сейчас?

Сейчас работаю в системном интеграторе РосИнтеграция. Перед этим работал в системном интеграторе Микротест.

Курирую наиболее сложные проекты по информационной безопасности, участвую в разработке и продвижении новых продуктов, провожу семинары и обучения для заказчиков.

2. Что является вдохновением для блога, где ты черпаешь идеи?

Как правило повод – это интересные кейсы на работе, интересные новости или изменения законодательства в области ИБ

3. Какой интересный случай из практики первым приходит тебе в голову?

Пару дней назад общался по работе со спецами по ИБ из одного регионального Минздрава на тему выполнения требований законодательства. Казалось бы, все просто - есть требования, бери и выполняй. Но разошлись в трактовках буквально по всем возможным пунктам. Не зря говорят – сколько специалистов, столько и мнений. 

4. Какие темы в ИБ больше всего интересны?

Безопасность персональных данных, ГИСов, web приложений и анализ защищенности.

5. Что сложнее - выступать или писать?

Пока писать легче, так как выступать приходилось реже. Последнее время стараюсь и по выступлениям наверстать.

6. Самое большое достижение в работе?

Сложно выделить что-то конкретное, так как много проектов, и каждый выполненный считаю за достижение. Из последнего – это, пожалуй, разработка концепции ИБ для одного министерства, разработка next generation комплекта политик ИБ, разработка проекта СЗПДн крупной промышленной компании.

Неплохим достижением считаю блог http://sborisov.blogspot.ru/, хотя к работе он не совсем имеет отношение.  

7. Какие вопросы чаще всего задают читатели?

В блоге чаще всего поправляют, когда я был не прав или забыл про что-нибудь.

По электронной почте иногда просят подсказать какое-нибудь хорошее решение для нестандартной ситуации или какого-нибудь совета типа “с чего начинать изучение ИБ?”

8. Кого из блогеров читаешь?

Мои любимые блогеры у меня всегда отображаются в блоге справа. Из тех, кто писал в последние 2 недели это: Шудрова, Сторчак, Прозоров, Лукацкий, Бодрик, Емельянников, Комаров, Ригель.

9. Какие тренды в ИБ наиболее актуальны для Краснодара?

Последнее время приходилось больше общаться с гос-ами: для них это в первую очередь выполнение требований законодательства в области ИБ, проблема импортозамещения и автоматизация организационных мероприятий по ИБ.

Кроме этого немаленький интерес вызвала тема защиты web приложений.   DLP решения также хорошо востребованы.

10. Любишь ли ты домашних животных?

Да.

11. Самая интересная книга по ИБ?

Давно уже не читал научных книг по ИБ, не считая прошлогоднего комментария РКН. Предпочитаю киберпанк. Например, Паутину от Мерси Шелли.

12. Самая интересная художественная книга?

Читаю как классическую прозу, так и фантастику/фентези. Наиболее приятные впечатления остались от Лабиринтов Эхо Макса Фрая.

13. Есть желание преподавать?

Желание есть и периодически удается его реализовать.

14. Ты бы отнес себя к организационщикам или технарям?

К технарям я себя не могу отнести. Даже когда речь шла о создании систем защиты и внедрении технических мер, мне чаще приходилось участвовать в проектировании, нежели в пусконаладочных работах или эксплуатации. 

15. Самый смешной случай из практики?

Смешного в ИБ мало. Из забавного вспоминается случай во время обследования ИСПДн – в одном из филиалов крупной компании у администратора на мониторе был замечен и сфотографирован на телефон список ключевых серверов с административными паролями. Администратор сразу позвал директора безопасности и далее была увлекательная дискуссия об этике работы с паролями и сбора свидетельств аудита.

16. Если не ИБ, то чем бы занимался?

В ИТ также есть много интересного: ЦОДы, корпоративные сети и сервисы. А может быть инструктор по горным лыжам … или путешествовал  …

17. Когда ты понял, что стал настоящим специалистом?

Стал ли? У меня ещё нет свидетельств этого.

В какой-то момент обнаружил что в компании я один из самых опытных сотрудников по ИБ и нужно делиться опытом с “молодыми” кадрами.  Потом, когда наши пути с коллегами разошлись, продолжил делиться опытом уже публично в блоге.

18. Есть ли у ИБшников профдеформация?

Есть. Чаще задумываешься о рисках того или иного начинания. Оцениваешь. Принимаешь и вперед.

19. Что будет с ИБ в России через пять лет? Какие тренды ты бы выделил?

Об этом я недавно писал в своем блоге http://sborisov.blogspot.ru/2015/04/2020-1.html

Хотя в России всегда на первом месте будет ИБ compliance (соответствие требованиям законодательства)

20. Кому не стоит работать специалистом по ИБ?

Всем стоит идти работать специалистами по ИБ. Но рискованным и доверчивым натурам будет сложнее всего.

21. Что в нашей работе самое интересное?

ИБ как и ИТ–технологии в последнее время активно развивается, видоизменяется. Есть возможность постоянно изучать и применять что-то новое.

22. Что наоборот вызывает скуку?

Наиболее защищенный вариант системы – это когда запрещено все, что не разрешено отдельно. А ещё лучше – просто все запрещено. Иногда такой подход вызывает скуку. 

23. Любимое изречение про ИБ?

Обычно не пользуюсь афоризмами или изречениями в ИБ. Вспоминается только “Безопасность — это процесс, а не результат” от Брюса Шнаера.

24. В чем главная задача специалиста по ИБ?

Выполнять задачи бизнеса / государства мерами и средствами ИБ.

25. Что можешь посоветовать начинающим специалистам?

Не ждите пока что-то само на вас свалится. Используйте любую возможность для получения знаний и опыта. В области ИБ предостаточно книг, блогов, агрегаторов новостей, публичных стандартов и лучших практик, а СЗИ большинства производителей доступны для тестирования. 

Спасибо Сергею за участие, на мой взгляд интервью получилось интересным, кто будет следующим - пока секрет. А какие вопросы интересуют вас?

Страница ВК: vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов.

Хозяйке на заметку. Безопасность онлайн шопинга

Добрый вечер, дорогие читатели! Почти три года назад я опубликовала введение в "Информационную безопасность для домохозяек" (ссылка) и хоть за это время новые главы так и не появились, но подвижки к развитию проекта есть. На днях вышла третья статья для широкого круга читателей, посвященная безопасности интернет платежей - ссылка. Надеюсь, эта небольшая памятка будет Вам полезной!

Рыбина-Егорова Алена. Этюд. Источник

Страница ВК: vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов.

Оффтоп. Подвожу итоги года. С наступающим!

Добрый вечер, дорогие читатели! В конце года принято подводить итоги и строить планы на будущий год, я всецело поддерживаю эту традицию. 

Хочу сказать, что 2015-й был замечательным и очень насыщенным. Удалось увидеть лично многих людей, которых раньше знала лишь виртуально: Андрея Прозорова, Максима Степченкова, Дмитрия Мананникова, Сергея Вахонина, Андрея Брызгина, Александра Германовича. Надеюсь в следующем году пополнить этот список :) 

Выделить однозначное событие года в плане карьеры я не могу, запоминающихся моментов было несколько. В личной жизни - это, конечно, переезд в собственное жилье. Желаю каждому, у кого пока нет своего дома, обрести его в следующем году!

В 2015м я стала автором Делового Квартала Красноярск и сайта Росконтроль, на одном я пишу для бизнеса, на другом - для субъектов ПДн. Это очень полезный опыт, помогает не зацикливаться на точке зрения оператора. 

За этот год я увидела новые города: Череповец, Юбилейный (Королев), Енисейск, Лесосибирск, Томск, Иркутск, каждый из них оставил о себе приятное впечатление и желание путешествовать по России дальше, мечта следующего года - Санкт-Петербург, если повезет, еще Казань и Владивосток. Ну и обязательно проездом в Москву, уж очень она красивая :)

В плане диссертации за год сделано много, формально - опубликована одна статья ВАК (третья), а по факту работа приобрела целостность и начала складываться в единую картину. Самая главная мечта в плане карьеры на следующий год - защититься и получить свою степень кандидата технических наук. Всем учащимся желаю успешных сессий, защиты дипломов и диссертаций!

Кроме научной статьи вышла в этом году и одна международная статья со специалистом из Узбекистана Антоном Ракитским, надеюсь, в следующем году сотрудничать с авторами разных стран. Сам процесс совместной подготовки материала и дискуссии вокруг него - это полезный опыт. 

В 2015м году мне посчастливилось выступить в качестве спикера 4 раза: на кафедре Безопасности информационых технологий СибГАУ с личным семинаром, на Антитерроре в качестве эксперта по защите информации и два раза на конференции Код ИБ (в Новосибирске и Иркутске). Выступать мне нравится, и я с удовольствием возьму эту часть жизни с собой в новый год, особенно жду Код ИБ в Красноярске 8 сентября. Мероприятия такого уровня в нашем городе еще не проводилось, будет круто!

Ну и как же не упомянуть о моей первой книге, посвященной персональным данным, на ее написание ушло больше полугода и я рада, что могу предоставлять ее всем желающим бесплатно и в электронном виде. В следующем году буду вносить в нее изменения по мере выхода новых нормативных документов, на сегодняшний момент приведенные в книге данные актуальны. 

Также в этом году я повышала квалификацию в ЦБИ, об этом учебном центре была наслышана, и он оправдал свои ожидания. Весело провела время на Квесте по ИБ в СибГАУ. А на прошлой неделе заняла второе место за длинную косу. Все остальное время года занимали любимая работа, семья и друзья, ну и, конечно же кот :) Вот такой был год, спасибо ему за все хорошее! 

А вам спасибо, что читаете, пишете мне свои вопросы и пожелания, это очень приятно! Хочу пожелать вам, чтобы мечты исполнялись и чудеса происходили! Всего самого доброго! С наступающим!

Код ИБ Иркутск

Код ИБ Новосибирск

Страница ВК: vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов.

План разработки документов ФСТЭК на 2016 год

Добрый день, дорогие читатели! Алексей Лукацкий поделился ссылкой на Выписку ФСТЭК о планах по разработке документов на 2016 год, не смотря на то, что я уже говорила об этом в своей группе ВК, хотелось бы еще раз обратиться к этой теме. В следующем году нас ждут следующие документы:

1. Проект постановления Правительства Российской Федерации «О внесении изменений в Положение о лицензировании деятельности по разработке и производству средств защиты конфиденциальной информации»;
2. Проект постановления Правительства Российской Федерации «О внесении изменений в Положение о лицензировании деятельности по технической защите конфиденциальной информации»;
3. Проект приказа ФСТЭК России «О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. N 17»;
4. Проект приказа ФСТЭК России «Об утверждении требований к межсетевым экранам»;
5. Проект приказа ФСТЭК России «Об утверждении требований безопасности информации, предъявляемым к операционным системам»;
6. Проект приказа ФСТЭК России «Об утверждении требований безопасности информации, предъявляемым к системам управления базами данных».

 Какие выводы можно сделать? Изменится порядок лицензирования в отношении разработки и производства СЗИ, а также деятельности по ТЗКИ, поменяется 17 приказ ФСТЭК, будут утверждены требования к межсетевым экранам (думаю, по аналогии с антивирусами), появятся требования безопасности информации для операционных систем и баз данных. А это значит, что постепенно происходит стандартизация и упорядочивание по всем направлениям информационной безопасности, разрабатываются требования для различных видов средств защиты. Также с появлением требований к механизмам защиты ОС и СУБД отпадет большая часть вопросов к разделению доступа встроенными средствами при проведении процедуры аттестации. Какие изменения будут в 17 приказе, я могу пока только гадать, но что-то мне подсказывает, что они как раз коснутся новых требований к межсетевым экранам. Поживем, увидим.

Страница ВК: vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов.

Квест по ИБ в Красноярске или как я была проверяющей

Добрый день, дорогие читатели! 12 декабря в Сибирском государственном аэрокосмическом университете прошел 2-й Квест по ИБ. 

Участвовали студенты СибГАУ, студенты СФУ и команда специалистов по защите информации СибГАУ. Сразу скажу, мероприятие мне очень понравилось и превзошло мои ожидания, наверное, сказалось, что проводили не первый раз и все недостатки были учтены. Квест представлял собой сочетание заданий по социальной инженерии и взлому информационных систем с элементами логических задач.

История

Есть страховая компания ООО «Кристалл», которая занимается махинациями и тайные агенты, собирающие доказательства противоправных действий фирмы по заданию органов, замаскированные под клиентов и соискателей. Офис работает в обычном режиме, есть страховщики (Евгений Кушко, Ольга Булатова, Екатерина Кальдина), системный администратор (Дмитрий Волков), директор (Ксения Олейник), охранник (Тамара Катасанова), секретарь (Антон Пятков) и андеррайтер (Арина Неб). Выясняется также, что как раз сейчас проходит проверка Роскомнадзора (проверяющего играю я).

Тайные агенты (команды) изображают клиентов и ходят на собеседования. Самое классное то, что жесткого сценария не было. Поэтому все развивалось само и достаточно органично. Причем было видно, как ребята вжились в роль, да и я с удовольствием занималась проверкой.

Локации

Кабинет директора (собеседования, совещания с офисом), приемная (место, где команды совещаются и «ломают сеть», ноутбуком пользоваться можно и нужно), серверная (здесь проходит стажировка на помощника системного администратора, офис (принимают клиентов), коридор (здесь бродит охранник и есть подсказка для задания с котиком).

команда студентов СибГАУ

команда специалистов СибГАУ

команда студентов СФУ

События

Действо длилось три часа, за это время произошло:

1. Совещание офиса и объявление: «К нам приехал РКН».

2. Работа с клиентами.

3. Проведение собеседований.

4. Проведение стажировки.

5. Отключение света (чтобы команды дособирали доказательства в конце игры).

5. Совещание офиса по поводу отключения света.

6. Итоговый конкурс танцев и награждение.

Задания на техническую часть включали подключение к Wi-fi, вскрытие архива и т.д. Логические задания - найди изображение кота, реши задачу Эйнштейна. Социальная инженерия - найди, укради, сфотай документы.

Впечатления

Запомнились некоторые забавные моменты, например, собеседования. Директор отлично исполнила свою роль. Стоит отметить, что организаторы нашли человека с реальным опытом работы руководителя в страховой организации. Я присутствовала на нескольких собеседованиях и видела, как Ксения то была жесткой, то очень доброй, выдавала интересны задания для кандидатов. Участники погрузились полностью, тушевались, путались и в конце собеседования некоторые не смогли даже сказать, как зовут директора.

Я думаю, что это полезный опыт для молодых специалистов, нужно учиться подавать себя. Очень понравился парень, который в ответ на стандартное в сфере продаж "продай мне эту папку с документами" просто забрал ее, написал номер своего телефона и ушел. В конце игры, так и не дождавшись звонка, пришел сам и шантажировал директора полученной информацией.

Еще очень крутой была девушка, которая предложила менеджеру в офисе помочь с прохождением проверки РКН, заявив, что у нее есть в этом опыт. Когда не получилось добыть информацию таким образом, переместилась к другому сотруднику и стала звать его на свидание.

Во время отключения света утащили все документы и даже пытались выдернуть шнур роутера.

Был еще момент, когда один участник сказал системному администратору, что прошел собеседование и прошел стажировку – социальная инженерия в чистом виде.

Иногда я развлекала себя проведением проверки персональных данных. Но я была очень ленивым проверяющим, который поверил, когда администратор сказал, что электронной базы нет, и все документы обрабатываются на бумаге.

Хочу отметить активность участников. Постоянно ходили на собеседования, пытались заключить договора на страхование (кстати, страховали информационные ресурсы, это круто!), тащили что могли, ломали точку доступа. 3 часа пролетели! Выиграла команда молодых специалистов из СибГАУ: Иван Земцов, Татьяна Саламатова и Людмила Полякова. С чем я их и поздравляю, а также две другие команды – соперники были достойные!

Организатор мероприятия Вячеслав Золотарев, к нему можно обратиться по вопросам участия в следующих квестах.

Спасибо за фотографии Полине Рыжовой.
Отзывы участников о квесте есть здесь и здесь.

страница блога ВК: http://vk.com/kshudrova - ссылки на свежие посты и интересные материалы других авторов.