понедельник, 19 ноября 2018 г.

Кандидатская диссертация. Мой опыт

Добрый день, дорогие читатели! Сегодня я хотела бы поделиться с вами своим опытом защиты кандидатской диссертации. В сети не так легко найти полную последовательность действий при защите, поэтому у меня было очень много вопросов. Надеюсь, мои заметки будут вам полезны
В январе 2011 года я закончила Сибирский государственный аэрокосмический университет имени академика М.Ф. Решетнева, кафедру безопасности информационных технологий по специальности "Информационная безопасность телекоммуникационных систем". В феврале уже была аспирантом-заочником на кафедре информационно-управляющих систем того же СибГАУ. 
Учиться я начала по специальности 05.13.01 - "Системный анализ, управление и обработка информации (космические и информационные технологии)". Для того, чтобы поступить в аспирантуру, сдавала экзамены по философии, иностранному языку и специальности. Порядок обучения в аспирантуре сейчас сильно изменился, поэтому останавливаться на нем подробно не буду. Закончила аспирантуру в 2015 году, имея за плечами опыт работы руководителя по гранту, сданные кандидатские минимумы и публикации, простые и ВАК. После окончания аспирантуры я продолжала свои исследования, публиковала их результаты и дописывала работу. 
Осенью 2016 года я представила свою работу на внутреннем семинаре, получила множество замечаний и конструктивную критику. С осени 2016 года по июнь 2017 я исправляла замечания и наконец вышла на предзащиту. Результатом предзащиты были новые замечания, требование написать еще одну статью ВАК, которая и была написана летом (к защите у меня было 4 статьи ВАК и одно свидетельство о регистрации программы для ЭВМ). В сентябре 2017 года состоялась вторая предзащита, на ней были высказаны новые замечания и рекомендовано выходить на защиту. В октябре 2017 у меня родился сын. С сентября 2017 шла работа с замечаниями внутренних экспертов. В конце концов в ходе переписки и личных встреч были устранены все замечания к работе. 
В мае 2018 года появились готовые диссертация и автореферат. Работа была рассмотрена в университете, по ней выдано заключение. Файлы диссертации и автореферата были отправлены в аспирантуру, вместе с заявлениями о принятии диссертации к защите и о размещении на сайте университета. Работа прошла проверку на заимствования. 
В результате 22 мая диссертация была выложена на сайт университета, 6 июня там же было опубликовано решение о принятии диссертации к защите, размещен автореферат. Была назначена ведущая организация, оппоненты и дата защиты - 19 октября. Параллельно информация появилась на сайте ВАК.
Диссертационная работа и автореферат были отданы в печать. Диссертация оформлялась в жесткий переплет А4, авторефераты в маленькую книжечку формата А5 с двусторонней печатью. Экземпляры диссертации были отправлены оппонентам, в ведущую организацию, в библиотеку. Авторефераты - экспертам (которых мы искали совместно с научным руководителем и консультантом) и в библиотеки. По завершении отправки почтовых отправлений с меня взяли список отправки с почтовым штемпелем (такое спрашивают не везде). Отправка экземпляров диссертации и автореферата закончилась 8 сентября (нужно было уложиться не позднее, чем за месяц до защиты).
Потом была работа по получению отзывов от экспертов, оппонентов и ведущей. Оригиналы отзывов должны быть получены соискателем и размещены на сайте не позднее, чем за 10 дней до защиты. У меня было 6 отзывов экспертов, отзыв оппонента и ведущей. Параллельно велась работа по организации доставки оппонентов - помощь в бронировании отеля, самолета, оформление документов на оплату расходов им от университета. На моей защите присутствовал только один оппонент, это допустимо. Но если оба оппонента не приезжают, тогда защита не проводится.
К защите нужно было подготовить раздаточный материал с распечаткой слайдов и проектом заключения диссертационного совета, саму презентацию, доклад и ответы на замечания. Доклад на защите не должен превышать 15 минут, но лучше, если он будет еще меньше, приблизительно 12 минут. После доклада идут вопросы от диссертационного совета, на них нужно ответить по существу. Затем начинается дискуссия. Члены диссертационного совета высказывают свое мнение. Потом начинается тайное голосование (черные шары и белые шары - метафора, используются обычные листы, а жаль). У меня было 16 голосов из 16 "за". 
После защиты у соискателя есть месяц, чтобы подготовить стенограмму своей защиты. У меня была с этим небольшая проблема - диктофон три раза разряжался и некоторые данные пришлось выуживать из видеозаписи, которая ведется на протяжении всей защиты (поэтому лучше подстраховаться и записывать на несколько устройств). Но в конце концов стенограмма была готова и отправлена, вместе с экземпляром диссертации, автореферата и документами, записанными на диски. Корочка придет ориентировочно в мае-июне 2019 года.
Вот в общем-то и все, так я и стала кандидатом технических наук: 10 лет работы над темой (еще с университета), 7 лет написания текста диссертации. Думаю, что можно все сделать гораздо быстрее, но у меня было множество параллельных проектов. Всем соискателям - удачной защиты!

Подписывайтесь на страницу ВК: https://vk.com/kshudrova

пятница, 16 ноября 2018 г.

Свежее от ФСТЭК

1. Об обновлении документов ФСТЭК России по сертификации средств защиты информации и аттестации объектов информатизации https://fstec.ru/127-lenta-novostej/1656-informatsionnoe-soobshchenie-18
2. Перечень органов по аттестации
https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty-po-sertifikatsii/153-sistema-sertifikatsii/590-perechen-organov-po-attestatsii-n-ross-ru-0001-01bi00
3. Государственный реестр сертифицированных СЗИ
https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty-po-sertifikatsii/153-sistema-sertifikatsii/591-gosudarstvennyj-reestr-sertifitsirovannykh-sredstv-zashchity-informatsii-n-ross-ru-0001-01bi00
4. План проверок 2019
https://fstec.ru/eksportnyj-kontrol/planovye-proverki/1728-plan-provedeniya-planovykh-proverok-na-2019-god

Присоединяйтесь к странице ВК:
https://vk.com/kshudrova

пятница, 9 ноября 2018 г.

Книги по персональным данным

Добрый день, дорогие читатели! 19 октября я защитила кандидатскую диссертацию и теперь веду блог уже как кандидат технических наук. Надеюсь это обстоятельство повлияет на качество заметок :)  О своем опыте защиты и написания диссертации я напишу чуть позже, а сегодня хотела бы поделиться с вами списком интересных книг по персональным данным. Речь пойдет о книгах, посвященных вопросам российского законодательства в области персональных данных. 

Вот, что удалось найти из более-менее свежей литературы (после 2012 года):

  1. А.И. Савельев, Научно-практический постатейный комментарий к Федеральному закону «О персональных данных», 2017 г. - 470 стр. Книга для изучения вопроса с юридической стороны.
  2. А. С. Дупан (Гутникова), Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет, 2016 г. - 440 стр. Монументальное исследование, много информации о зарубежном опыте.
  3. Михаил Брауде-Золотарев, Виталий Негородов, Евгения Сербина, Иван Волошкин, Персональные данные в государственных информационных ресурсах, 2016 г. - 60 стр.
  4. М. Ю. Рытов, В. И. Аверченков, Т. Р. Гайнулин, Защита персональных данных в организации,  2016 г. - 124 стр.
  5. Персональные данные работников организации и их защита - К.М. Саматов, 2016 г. - 90 стр.
  6. Федеральный закон "О персональных данных": научно-практический комментарий. Под редакцией А.А. Приезжевой, 2015 г. – 177 стр. От коллектива Роскомнадзора.
  7. Сабанов А.Г., Зыков В.Д., Мещеряков Р.В., Рылов С.П.,Шелупанов А.А., Защита персональных данных в организациях здравоохранения, 2012 г. - 206 стр.
  8. Борисов М., Особенности защиты персональных данных в трудовых отношениях, 2018 г. – 224 стр.


 Бесплатные:

  1. White Paper о ФЗ №152, 2018 г. - https:// www.cloud4y.ru/newsletter/Персональные_данные_WhitePaper_Cloud4Y.pdf.
  2. А.С. Исаев, Е.А. Хлюпина, Правовые основы организации защиты персональных данных,  2014 г.  - https://books.ifmo.ru/file/pdf/1570.pdf.
  3. Книга К. Шудрова "Персональные данные: что было, что будет, на чем сердце успокоится…", 2015 г. - https://drive.google.com/file/d/0B6P_r3uvsC07ZGhFTlZpTDBnMGc/view. Моя книга.


 А какие книги по защите персональных данных читаете Вы?
Пьер Огюст Ренуар. Читающая девочка. Источник

https://vk.com/kshudrova - подписывайтесь на официальную страницу ВК.





четверг, 11 октября 2018 г.

Алгоритм изучения нормативной документации по персональным данным

Добрый день, коллеги! Хочу поделиться с Вами шпаргалкой, которая помогает выбрать минимально необходимый для изучения набор нормативной документации.

Обозначения
ФЗ 152 - Федеральный закон "О персональных данных" от 27.07.2006 N 152-ФЗ
687 ПП - Постановление Правительства РФ от 15 сентября 2008 г. N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации"
17 Пр ФСТЭК - Приказ ФСТЭК России от 11.02.2013 N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах"
378 Пр ФСБ - Приказ Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. N 378 г. "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности"
GDPR - General Data Protection Regulation
1119 ПП - Постановление Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных"
21 Пр ФСТЭК - Приказ ФСТЭК России от 18.02.2013 N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных"
13.11 КоАП - КоАП РФ Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных
Гл. 14 ТК - ТК РФ Глава 14. Защита персональных данных работника
Док-ты РКН - Документы Роскомнадзора и Минкомсвязи, например:
  • Приказ Роскомнадзора от 05.09.2013 N 996 "Об утверждении требований и методов по обезличиванию персональных данных" (вместе с "Требованиями и методами по обезличиванию персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ"),
  • "Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. N 996 "Об утверждении требований и методов по обезличиванию персональных данных",
  • Разъяснения: Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве,
  • Комментарий к Федеральному закону от 21 июля 2014 г. № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях»,
  • Методические рекомендации по организационной защите физическим лицом своих персональных данных,
  • Приказ Роскомнадзора от 30.05.2017 № 94 "Об утверждении методических рекомендаций по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения",
  • Приказ Минкомсвязи России от 13.08.2012 N 196 "Об утверждении Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля и надзора за соблюдением законодательства Российской Федерации о средствах массовой информации.


ВК: https://vk.com/kshudrova - подписывайтесь! Здесь Вы найдете ссылки на новости мира ИБ, интересные статьи разных авторов и мои размышления о защите информации.

понедельник, 20 августа 2018 г.

Код ИБ Красноярск

Добрый вечер, дорогие читатели! Близится осень и новый деловой сезон, а значит и конференция Код ИБ в Красноярске. Ура, уже совсем скоро! 

В этом году я буду куратором конференции, которая пройдет 04 октября в отеле Хилтон. Основную информацию о мероприятии можно посмотреть здесь. Жду всех специалистов в области информационной безопасности города Красноярска (и не только)! Помните, что участие для слушателей включает в себя обеды и кофе-брейки, а также можно посетить конференцию бесплатно.

Кроме вкусной еды обещаю интересные доклады экспертов и горячие дискуссии. Ну и сама, конечно, выступлю, как без меня-то. В прошлом году конференцию пришлось пропустить в связи с рождением сына, значит в этом буду выкладываться вдвойне :) Жду интересные вопросы, а также любые предложения по сотрудничеству. Может быть у вас есть уникальный опыт в области ИБ, и вы жаждете выступить? С удовольствием вас послушаем!


 Свежая информация о конференции будет появляться в группе ВК: https://vk.com/kshudrova

вторник, 14 августа 2018 г.

Специалист по защите персональных данных

Добрый день, дорогие читатели! Немного моего творчества - мысли типичного специалиста по защите персональных данных.
Вступайте в группу ВК: https://vk.com/kshudrova

четверг, 12 июля 2018 г.

Оператор или обработчик

Добрый день, дорогие читатели! Несмотря на то, что небо послало нам ФЗ "О персональных данных" уже 12 лет как, споры вокруг него не только не утихают, но и разгораются с новой силой. Очень часто приходят вопросы от специалистов с описанием какой-то жутко мудреной схемы обработки этих самых данных и припиской в конце: "А может мы и не оператор вовсе?" К сожалению, в большинстве своём надежды не оправдываются. Но почему же такие сомнения вообще возникают? Главная причина, на мой взгляд, одна - никто не хочет быть оператором. Здесь все понятно: комплекс организационно-технических мероприятий, работа с субъектами, с регуляторами - все это требует финансовых и временных вложений. С другой стороны манит лёгкая доля лица, обрабатывающего по поручению. Знай себе договор выполняй, а в ответе за все будет оператор.

Обратимся к определению:

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными

Таким образом, оператор:
- осуществляет обработку;
- может организовать обработку;
- определяет цели обработки;
- определяет состав персональных данных;
- определяет действия над персональными данными.

Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона.

То есть у лица, которое обрабатывает персональные данные по поручению, должно быть такое поручение, в котором оператор уже указал перечень действий и цели обработки. Если такое поручение есть, то все отлично. Сомнений нет - вы лицо, обрабатывающее персональные данные по поручению. А если его нет? Может быть оператор оказался недобросовестным и передал данные, не оформив все должным образом. В таком случае ошибку нужно исправить и поручение оформить. Но здесь важно понимать - получение данных не от субъекта напрямую не делает вас автоматически лицом, обрабатывающим персональные данные!

Если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 настоящей статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию...

Есть простая истина, которую многие забывают - базы персональных данных могут дублироваться у разных операторов. Из того, что у двух юрлиц одинаковые базы ПДн не следует, что одно юрлицо оператор, а второе обрабатывает по поручению.

На мой взгляд, вы оператор, если не сможете доказать обратное - предоставить поручение на обработку.

Заходите обсудить эту и другие темы по защите персональных данных ВК:

https://vk.com/kshudrova