пятница, 29 ноября 2019 г.

Собираем вопросы на совместный вебинар с Сергеем Борисовым

Добрый день, коллеги! Отличная новость! Скоро мы с Сергеем Борисовым проведем новый вебинар. О чем он будет? Обо всем, что вам интересно! Никакой темы, никаких докладов, только ответы на ваши вопросы. Но есть одно условие! Чтобы мы могли качественно подготовиться, вопросы нужно присылать заранее.
Какие вопросы у нас уже есть? Про аттестацию ГИС, про согласие, поручение на обработку и базовые определения в теме ПДн. 
Ждем новые интересные вопросы (в личные сообщения или в комментариях)!
Ориентировочная дата вебинара - середина декабря. 


Про прошедшие вебинары:

Все что касается темы СКЗИ будет рассмотрено на отдельном вебинаре, к которому мы сейчас активно готовимся, но он пройдет позже.


Ну и как же без саморекламы? Чтобы приобрести мою книгу "Персональные данные: как перестать беспокоиться и начать защищать?", обратитесь ко мне в личные сообщения:
Вконтакте: https://vk.com/shudrova
telegram: @KseniaShudrova
instagram: @boyarinya_marshmelova

четверг, 21 ноября 2019 г.

Как написать и продавать книгу по ИБ. Мой опыт

Добрый день, коллеги! 13 ноября стартовали продажи моей электронной книги "Персональные данные: как перестать беспокоиться и начать защищать?" Для меня это был опыт новый и достаточно стрессовый. Первую книгу "Персональные данные: что было, что будет, чем сердце успокоится..." с 2015 года я распространяю бесплатно, изначально каждая ее глава была статьей на портале sec.ru. Доход был не великий, да я о нем и не думала, просто хотела поделиться своими знаниями.

Когда села за вторую книгу, решила действовать по накатанной - пишу, предлагаю какому-нибудь посреднику для публикации в открытом доступе. Или даже так - пишу, конвертирую в pdf и выкладываю. Но, когда начала писать, поняла, что работы очень много, на многие месяцы ежедневного труда. Если быть точной, начала писать в марте, а закончила в ноябре. Поэтому было принято нелегкое для меня решение брать деньги за книгу. Думаю, многие люди, которые никогда не занимались предпринимательской деятельностью, меня поймут - самому назначать цену своему продукту очень сложно. Привыкаешь, что тебя всегда оценивает работодатель или заказчик, а ты соглашаешься или нет. Еще сложнее вначале заниматься рекламой, то есть предлагать свой товар. Но втягиваешься быстро! 
Я уверена, что среди вас также есть люди, у которых накопился хороший материал и есть желание написать и продавать книгу. Но непонятно: с чего начать? Поделюсь своим опытом. 
Итак, какие проблемы пришлось решать.
1. Структура книги. Вопрос, который я не могла решить в течение многих месяцев. Если вы читали первую книгу, то знаете, что весь текст разделен на объемные темы, а внутри темы повествование идет в хронологическом порядке. Откуда есть пошла защита персональных данных, так сказать. В этот раз я категорически не хотела придерживаться такой структуры, а как по-другому сделать не знала. В какой-то момент я просто перестала думать о структуре и занималась сырым текстом. А потом мне попались на глаза книги об уходе за детьми. Как здорово все изложено: текст разделен на проблемы, можно читать с любого места, как справочник! Я поняла, что это то, что нужно. Оставалось дело за малым - определить основные проблемы. Но это меня ночью разбуди, я вам скажу, в чем боль специалиста по защите ПДн. 
2. Форма представления информации. Путем долгих размышлений пришла к выводу, что лучше делать больше текста и дополнять его исключительно там, где нужно таблицами и рисунками. Все-таки людям нужен текст, нужны выводы и цитаты, а также практические советы, на этом я и сосредоточилась. Поэтому в книге нет веселой инфографики. Здесь как говорится на вкус и цвет, лично мне нравится, когда сухо и по делу.
3. Объем материала. Материала у меня больше, чем на книгу, это понятно. После первых редакций его осталось 169 страниц, но в итоге книга вышла объемом 115 страниц. Почему так? Ушло все неактуальное и спорное, все, что может запутать. Никакого текста "для общего развития".
4. Актуализация материала. Это очень важно, при финальной вычитке нужно проверить каждый закон и подзаконный акт на актуальность, каждую цитату. Моргнешь, а в 17 приказ уже внесли изменения.
5. Формат книги. Вначале рассылала только docx, специально, чтобы читатель мог поправить содержимое при выходе новых документов, выделить цветом, скопировать что-то. Потом стала прикладывать дополнительно pdf. 
6. Редактура после продажи. Читатель обнаружил опечатки, я их все поправила и 17 ноября разместила в соц сетях объявление, что вышлю по требованию редактированную версию. Отправлять каждому не стала, так как покупателей очень много и заявки приходят во всех мессенджерах, а критичных правок нет, где-то лишняя буква, где-то запятая. Если вы купили до 17 ноября и вам важно, чтобы опечаток не было, напишите мне, обязательно отправлю свежий вариант.
7. Электронная или бумажная. Пришла к выводу, что лучше продавать электронную книгу, так как законодательство быстро меняется, а издание книги - дело небыстрое. Да и нужна ли бумажная версия? Может быть потом я об этом подумаю.
8. Посредник или напрямую. Сначала очень хотелось продавать книгу через посредника, но когда я увидела размер роялти (порядка 25% для неисключительных прав), то поняла, что придется сильно задирать цену. А этого мне делать категорически не хотелось. Поэтому понадеялась на себя и свой личный бренд, продаю тем, кто меня знает напрямую. Зато цена всего 200 рублей (для получения такой же выгоды через посредника пришлось бы продавать за 700-800 рублей). А значит книгу могут себе позволить даже студенты.
9. Сбор отзывов. Об этом я напишу вам отдельно. Я получила огромное количество идей для будущих постов, пообщалась с очень интересными людьми. Каждый второй покупатель делится своим опытом в защите ПДн и это очень вдохновляет!
10. Выгодно или нет. В финансовом плане скорее нет, чем да. Но это если посчитать количество времени, которое затрачено на написание книги и доход от ее продажи. С точки зрения вдохновения и радости от того, что твои знания пригодились, что люди голосуют рублем, с точки зрения всех добрых слов, которые мне написал каждый покупатель - это бесценно! За 8,5 лет ведения блога я немного охладела к написанию постов, очень сложно поддерживать на высоком уровне энтузиазм, когда ты работаешь бесплатно. Продажа книги вдохновила меня очень сильно! Я хочу писать и благодаря вашим отзывам знаю, о чем стоит рассказать в первую очередь. 


Резюме. Порекомендовала бы я вам писать книгу? Да, обязательно! Сама работа над книгой помогает упорядочить свои знания, узнать новое, составить шпаргалку для себя же. Ну а с каждым скачиванием или продажей ваша самооценка будет расти, а с ним и вдохновение к дальнейшей работе. Успеха вам в трудах!

Большое спасибо всем, кто купил!
Если желание купить возникло прямо сейчас, вы можете обратиться ко мне в личные сообщения:

Вконтакте: https://vk.com/shudrova
telegram: @KseniaShudrova
instagram: @boyarinya_marshmelova

среда, 13 ноября 2019 г.

Персональные данные. Моя новая книга

Добрый день, дорогие читатели! Вчера вышла моя вторая электронная книга о персональных данных: "Персональные данные: как перестать беспокоиться и начать защищать?" 
20 тем, 115 страниц. 

Содержание:

Введение    3
Немного фактов обо мне        4
Зачем защищать персональные данные?   4
1. Определения    8
2. Оператор и обработчик      15
3. Законодательная база          17
4. Классификация ИСПДн      23
5. Согласие 27
6. Уведомление    31
7. Политика обработки ПДн   33
8. Неавтоматизированная обработка         34
9. Перечень документов         39
10. ИСПДн и ГИС         43
11. Модель угроз 49
12. Требования к оператору   56
13. Криптография          64
14. Лицензия, сертификат, аттестация       70
15. Вред субъекту          78
16. GDPR    80
17. Сроки    96
18. Проверки        99
19.Нарушения      107
20. Cудебная практика  111
Заключение          115



Чтобы приобрести книгу, обратитесь ко мне в личные сообщения:
Вконтакте: https://vk.com/shudrova
Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova
instagram: @boyarinya_marshmelova

понедельник, 7 октября 2019 г.

Угрозы и требования. Теория и практика. Запись вебинара

Добрый вечер, дорогие читатели! Мы с Сергеем Борисовым провели второй межблогерский вебинар. На этот раз темой была связь угроз и требований. Мой доклад был посвящен теории, а доклад Сергея - практике. Сергей сегодня уже писал о вебинаре, а также смонтировал и выложил запись.
Какие моменты вебинара я бы отметила?
1. Новая платформа решила проблемы со звуком практически для всех участников (за редким исключением).
2. Мы не смогли уложиться в заявленный час, так как было очень много вопросов. Это очень радует! Выбрать лучший вопрос было сложно, конечно, победила дружба! Но кружку получит только Мирослав. Мы уже связались с ним и получили адрес для отправки подарка.
3. Проголосовать за новую тему можно здесь.
Желаю приятного и полезного просмотра!

Вступайте в группу ВК: https://vk.com/kshudrova

четверг, 12 сентября 2019 г.

Документация по защите персональных данных

Добрый день, коллеги! Мне часто задают вопрос - какие документы нужно сделать для того, чтобы защитить персональные данные в организации. 
Начнем с Федерального закона "О персональных данных", какие документы следуют из его положений?
• Порядок восстановления ПДн (пп. 7 п. 2 ст. 19 152-ФЗ). Такой документ часто требуют при проверке, но многие забывают его сделать. Это может быть часть положения о защите персональных данных;
• Журнал учета действий (пп. 8 п. 2 ст. 19 152-ФЗ). Проще всего - электронный, если нужно - распечатаете;
• Заключение об оценке вреда субъекту (пп. 5 п. 1 ст. 18.1 152-ФЗ). Здесь правил нет, делаете как считаете нужным;
• Заключение об оценке эффективности принимаемых мер (пп. 4 п. 2 ст. 19 152-ФЗ). Нужно оценить те меры, которые приняты для защиты персональных данных: закрывают ли они актуальные угрозы;
• Модель доступа к ПДн (пп. 8 п. 2 ст. 19 152-ФЗ). Полезная вещь, особенно если есть разные уровни доступа;
• Модель угроз (пп. 1 п. 2 ст. 19 152-ФЗ). Если вы слушали наш совместный вебинар с Сергеем Борисовым, то знаете, что вопрос о необходимости модели угроз - спорный.;
• Политика обработки персональных данных (пп. 2 п. 1 ст. 18.1 152-ФЗ). Сделайте обязательно;
• Положение об обработке ПДн (пп. 2 п. 1 ст. 18.1 152-ФЗ). Сделайте обязательно;
• Поручение на обработку персональных данных (п. 3, ст. 6 152-ФЗ). Понадобится, если решите передать персональные данные на обработку третьему лицу;
• Порядок контроля за принимаемыми мерами безопасности (пп. 9 п. 2 ст. 19 152-ФЗ). Может быть частью положения о ПДн;
• Порядок ознакомления с нормативной документацией (пп. 6 п. 1 ст. 18.1 152-ФЗ). Сделайте такой порядок и постоянно проводить ознакомление персонала, основной ошибкой является отсутствие листов ознакомления или отсутствие подписей в них;
• Порядок применения правовых, организационных и технических мер по обеспечению безопасности ПДн (пп. 3 п. 1 ст. 18.1 152-ФЗ). Может быть частью положения;
• Порядок реагирования на инциденты (пп. 6 п. 2 ст. 19 152-ФЗ). Может быть частью положения;
• Порядок учета машинных носителей (пп. 5 п. 2 ст. 19 152-ФЗ). Лучше сделать, например, чтобы была возможность реагировать на вынос домой рабочих флешек с базами клиентов;
• Приказ о назначении лица, ответственного за организацию обработки (пп. 1 п. 1 ст. 18.1 152-ФЗ). Нужно сделать;
• Уведомление об обработке персональных данных (ст. 22 152-ФЗ). Скорее всего придется сделать;
• Форма согласия на обработку персональных данных (ст. 9 152-ФЗ). Сделайте разные на все случаи обработки.

Теперь посмотрим Постановление Правительства РФ от 21 марта 2012 г. N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" (с изменениями и дополнениями). Будьте внимательны, оно изменялось. 
Какие документы нужно сделать?
• правила обработки персональных данных. Может быть частью положения;
• правила рассмотрения запросов субъектов персональных данных. Также часть положения;
• правила осуществления внутреннего контроля. Часть положения;
• правила работы с обезличенными данными. Не знаю, стоит ли выделять в отдельный документ;
• перечень информационных систем персональных данных. Стоит сделать;
• перечни персональных данных. Полезный документ, высветит интересные бизнес-процессы;
• перечень должностей лиц, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных. Очень важный документ;
• перечень должностей лиц, замещение которых предусматривает осуществление обработки персональных данных. Стоит сделать;
• должностной регламент ответственного за организацию обработки персональных данных. Сделайте обязательно, чтобы не было путаницы, кто за что отвечает;
• типовое обязательство о неразглашении. Сделайте обязательно;
• типовая форма согласия на обработку персональных данных. Сделайте обязательно;
• порядок доступа в помещения, в которых ведется обработка персональных данных. Сделайте.

Продолжение следует...

Валентина Михайловна Валевская. Осенний натюрморт
Вступайте в группу ВК: https://vk.com/kshudrova

среда, 4 сентября 2019 г.

Угрозы и требования. Как их подружить?

Добрый день, коллеги! В августе прошел первый совместный вебинар с Сергеем Борисовым. Запись Вы можете посмотреть здесь. По итогам вебинара Красноярским отделением сообщества RISC была разыграна кружка с логотипом за самый интересный вопрос. Победителем стал Геннадий Аносов. Он свою кружку уже получил и прислал нам подтверждающее фото. 
После вебинара мы выбирали тему нового мероприятия. И выбрали. Лучшей на наш с Сергеем взгляд является "Соответствие угроз безопасности из БДУ мерам обеспечения информационной безопасности приказов ФСТЭК N17 и N21". Мы уже связались с коллегой и также скоро отправим ему кружку. А нас с вами ждет второй вебинар.
Вебинар так и будет называться "Угрозы и требования. Теория и практика". За теорию отвечает Ксения Шудрова:) Я расскажу Вам об угрозах и требованиях в информационной безопасности вообще, о том как связывать их между собой. Мы немного абстрагируемся от конкретных требований, ведь завтра они могут измениться, также как могут появиться и новые угрозы. Рассмотрим общие подходы, которые научат вас связывать любые требования с любыми угрозами. Это будет основа для Вашей дальнейшей работы. Но зачем теория без практики? Правильно, впереди самое интересное! За практику отвечает Сергей Борисов. Он расскажет, как же все-таки связаны угрозы из bdu и требования документов из приказов ФСТЭК 21 и 17. Вы увидите уникальный контент, содержащий очень полезные таблицы соответствия. Как такое можно пропустить?
Платформа пока определяется. Ориентировочная дата - 18 сентября 2019 года. Будет обязательная предварительная регистрация. Мероприятие поддержано Красноярским отделением RISC.

Всех ждем!

Присоединяйтесь к группе ВК, чтобы не пропустить самые свежие новости: https://vk.com/kshudrova

четверг, 22 августа 2019 г.

ПДн. Сайт Роскомнадзора. Как ориентироваться?

Добрый день, коллеги! Я часто обращаюсь к официальному сайту Роскомндаздора, но даже спустя десять лет активного серфинга по нему теряюсь во вкладках. Думаю, многим такая проблема знакома. Сетевые пути к полезным ресурсам сайта зачастую весьма причудливы. Значит, пришло время поделиться с вами шпаргалкой.
1. Заходим на сайт rkn.gov.ru, далее - Персональные данные.

Здесь есть некоторые ресурсы в быстром доступе. Например, рекомендации по составлению Политики обработки ПДн. Самый полный перечень находится на странице "Портал персональных данных" https://pd.rkn.gov.ru/
2. "Портал персональных данных". На главной странице читаем новости.
3. Годовые отчеты
4. Разъяснения консультативного совета ищите здесь:
В частности, 21 сентября было опубликовано разъяснение для субъектов.
5. Обратиться в Роскомнадзор можно здесь:
Сторона, которая присоединяется к Кодексу, предварительно направляет заявление о присоединении к Кодексу, подписанное его уполномоченным представителем, в адрес уполномоченного органа по защите прав субъектов персональных данных.
7. Нормативно-правовые акты можно искать здесь:
8. Проверить состояние уведомления можно здесь:
9. Видео контент здесь:
10. Полезные материалы можно взять здесь:
 11. И здесь:
13. На сайт региональных отделений можно найти интересную информацию:

Присоединяйтесь к группе блога ВК: https://vk.com/kshudrova