Защи?та персона?льных да?нных — комплекс мер технического, организационного и организационно-технического характера, направленных на защиту сведений, относящихся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных).
Обработка персональных данных - действия (операции) с персональными данными, включающие в себя сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе и передачу), обезличивание, блокирование, уничтожение персональных данных.
Закон «О персональных данных» разрешает вести обработку персональных данных без подачи уведомления в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных в следующих случаях:
- если предприятие обрабатывает персональные данные граждан, которых связывают с предприятием трудовые отношения;
- при наличии договора с субъектом персональных данных, на основании которого персональные данные не распространяются и не предоставляются третьим лицам без согласия субъекта персональных данных и используются предприятием исключительно для исполнения указанного договора;
- если персональные данные относятся к членам общественного объединения или религиозной организации, действующими в соответствии с законодательством РФ, при условии, что персональные данные не будут распространяться без письменного согласия субъектов персональных данных;
- если персональные данные являются общедоступными;
- если персональные данные включают в себя только фамилии, имена и отчества субъектов персональных данных;
- если персональные данные необходимы для однократного пропуска на территорию предприятия;
- персональные данные включены в информационные системы персональных данных, имеющих статус федеральных автоматизированных информационных систем, а также государственных информационных систем, созданных в целях защиты безопасности государства и общественного порядка;
- персональные данные обрабатываются без использования средств автоматизации.
Итак, кредитным кооперативам уведомлять Роскомнадзор не нужно.
Комплекс мероприятий по обеспечению защиты персональных данных пайщиков должен состоять из организационных и технических мер защиты информации.
Организационные меры по защите персональных данных включают в себя:
разработка организационно – распорядительных документов, которые регламентируют весь процесс получения, обработки, хранения, передачи и защиты персональных данных (например):
- Положение об обработке персональных данных;
- Положение по защите персональных данных;
- Регламент взаимодействия с субъектами персональных данных;
- Регламент взаимодействия при передаче персональных данных третьим лицам;
- Инструкции администраторов безопасности персональных данных;
- Инструкции пользователей по работе с персональными данными;
перечень мероприятий по защите персональных данных:
- определение круга лиц, допущенного к обработке персональных данных;
- организация доступа в помещения, где осуществляется обработка ПДн;
- разработка должностных инструкций по работе с персональными данными;
- установление персональной ответственности за нарушения правил обработки ПДн;
- определение продолжительности хранения ПДн и т.д.
Меры организационного характера осуществляются на предприятии независимо от того, нужно подавать уведомление в Роскомнадзор или нет, обработка ПДн осуществляется с использованием средств автоматизации или без использования таких средств. В каждой организации перечень мероприятий и документов может варьироваться в зависимости от специфики обработки ПДн, организационной структуры и других особенностей конкретного предприятия. Реализация организационных мер защиты информации осуществляется с учетом категорий персональных данных – чем выше категория, тем выше требования их защиты.
Техническая защита персональных данных
Технические меры защиты информации предполагают использование программно - аппаратных средств защиты информации. При обработке ПДн с использованием средств автоматизации применение технических мер защиты является обязательным условием, а их количество и степень защиты определяется в процессе предпроектного обследования информационных ресурсов предприятия.
Технические средства защиты информации делятся на два основных класса:
средства защиты информации от несанкционированного доступа (НСД) (системы разграничения доступа к информации; антивирусная защита; межсетевые экраны; средства блокировки устройств ввода-вывода информации, криптографические стредства и т.п.);
средства защиты информации от утечки по техническим каналам (использование экранированных кабелей; установка высокочастотных фильтров на линии связи; установка активных систем зашумления и т.д.).
В отличие от организационных мер, техническая защита информации является сложным и трудоемким делом, при выполнении которого требуется соблюдать определенные условия, а именно:
- для выполнения работ по технической защите конфиденциальной информации (а персональные данные относятся к сведениям конфиденциального характера) требуются лицензии на выполнение такого вида деятельности;
- требуется тщательное обследование информационных ресурсов предприятия в соответствии с методическими рекомендациями ФСТЭК (определение перечня ПДн, подлежащих защите; определение состава и структуры каждой информационной системы ПДн (ИСПДн); анализ уязвимых звеньев и возможных угроз безопасности ПДн; оценка ущерба от реализации угроз безопасности ПДн; анализ имеющихся в распоряжении мер и средств защиты ПДн);
- на основании проведенного обследования осуществляется обоснование требований по обеспечению безопасности ПДн (разработка модели угроз и модели нарушителя безопасности ПДн; определение класса информационных систем ПДн; при необходимости обосновывается использование средств шифрования);
- далее проводятся работы по проектированию, созданию и вводу в эксплуатацию системы защиты ПДн (разработка перечня мероприятий по защите ПДн в соответствии с выбранным классом ИСПДн; согласование документов с регуляторами; разработка технического задания на создание системы защиты ПДн; развертывание и ввод в эксплуатацию системы защиты ПДн);
- аттестация (сертификация) информационных систем ПДн по требованиям безопасности информации (для ИСПДн 1-го и 2-го классов требуется аттестация соответствия требованиям информационной безопасности; сертификация средств защиты информации). Работы по аттестации (сертификации) выполняются при наличии соответствующих лицензий.