Не нашли информацию, которую искали? Заполните форму и мы ответим вам в течение пары часов.
Версия для печати

Защита персональных данных. Федеральный закон № 152-ФЗ

На сегодняшний день системы защиты информации очень востребованы как среди государственных, так и среди коммерческих организаций. Персональные данные нуждаются в надежной защите ввиду повсеместно распространившихся краж информации, превратившихся в проблему мирового масштаба.

Серьезность и острота проблемы потребовали от органов государственной власти принятия конкретных мер по ее урегулированию. В 2007 году в России вступил в силу Федеральный закон «О персональных данных» (№ 152-ФЗ), направленный на обеспечение всех необходимых мер по защите информации, используемой коммерческими и государственными организациями.

В соответствии с 152-ФЗ, каждое предприятие должно обеспечить защиту персональных данных своих сотрудников, клиентов и партнеров и принять все необходимые меры во избежание следующих правонарушений:

  • кража персональных данных;
  • изменение;
  • блокирование;
  • копирование;
  • разглашение информации и другие незаконные действия, указанные в 152-ФЗ.

Поскольку под понятие «Персональные данные» попадают такие данные о человеке, как фамилия, имя, отчество, дата и место рождения, адрес, семейное, социальное и имущественное положение, образование, профессия, информация о доходах и многое другое – система защиты персональных данных нужна фактически любой организации. В случае нарушения положений закона № 152-ФЗ о защите персональных данных компания может быть привлечена к судебному разбирательству (вплоть до приостановления действий, аннулирования соответствующих лицензий), а виновные лица – к гражданской, уголовной, административной, дисциплинарной ответственности . Согласно закону № 152-ФЗ, информационные системы персональных данных должны быть приведены в соответствие с требованиями законодательства не позднее 1 января 2011 года.

Какие компании попадают под особое внимание регулирующих органов?

Под особым вниманием со стороны регулирующих органов оказываются:

  • Государственные организации или организации со значительной долей государственного участия;
  • Организации нефтегазовой отрасли;
  • Организации, обрабатывающие данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных убеждений, состояния здоровья;
  • Организации, обрабатывающие данные более чем 100 000 субъектов персональных данных;
  • Организации, работающие на рынке с высокой и «некорректной» конкуренцией (с использованием административного ресурса).

Решение «Микротест» по защите персональных данных

Защита персональных данных работника в компании – обширный комплекс мероприятий. Специалисты «Микротест» предлагают решение по обеспечению комплексной защиты персональных данных, при котором персональные данные обрабатываются в соответствии с требованиями российского законодательства.

Компания «Микротест» предлагает поэтапный подход к решению задач, по которому защита персональных данных осуществляется от создания комплекта регламентных документов в части обработки персональных данных до разработки и внедрения информационных систем защиты персональных данных.

Как это реализовать на практике и чем мы можем вам в этом помочь?

Используя поэтапный подход «Микротест» разделяет проект на несколько основных шагов. На выполнение каждого этапа отводится определенный срок и устанавливаются контрольные точки. По окончанию каждого этапа Исполнитель предоставляет Заказчику результаты проделанных работ, а также, при необходимости, список работ по предстоящему этапу.

Ввиду сжатых сроков специалисты компании «Микротест» приступают к созданию системы защиты персональных данных в течение недели после подписания договора и в срок до 1 января 2011 готовят компанию к проверке на предмет соответствия требованиям информационной безопасности.

Шаг 1. Предпроектный анализ систем обработки персональных данных

На первом этапе необходимо провести предварительный анализ существующих информационных систем предприятия и установить перечень персональных данных, обрабатываемых на предприятии, цели обработки персональных данных, а также сроки их обработки и хранения.

Ваша компания может сделать это самостоятельно, изучив закон «О персональных данных» и пару десятков связанных с ним законодательных актов. Но в этом случае Вы должны быть готовы потратить на это значительное количество времени, средств. Альтернативой этому пути является обращение к экспертам в области защиты персональных данных, которые сделают все необходимое, чтобы для вас выполнение закона №152-ФЗ обошлось в минимальные сроки и средства.

Шаг 2. Подготовка внутренних документов в области защиты персональных данных

Далее на основании полученных данных компании необходимо подготовить документы, необходимые для прохождения сертификации: «Модели угроз персональных данных» и «Акт классификации информационной системы персональных данных».

«Модель угроз» - это документ, определяющий характеристики основных угроз безопасности персональных данных, которые должны учитываться при проектировании и разработке систем защиты информации, проведении проверок защищенности персональных данных. «Акт(ы) классификации информационной системы персональных данных» описывает информационную систему или системы персональных данных и определяет ее класс. Класс информационной системы обработки персональных данных определяется на основании Приказа ФСТЭК, ФСБ, Мининформсвязи: «Порядок проведения классификации информационных систем персональных данных».

Специалисты «Микротест» готовят данные документы, как для специальных, так и для типовых систем персональных данных и проводят их рецензирование для прохождения сертификации ФСТЭК.

Шаг 3. Создание информационных систем защиты персональных данных

Согласно закону «О персональных данных», безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным.

Компетенции «Микротест» в области защиты информации позволяют обеспечить необходимый уровень безопасности информационных систем у своих заказчиков. Проектные работы по созданию системы защиты персональных данных выполняются поэтапно:

3.1. Разработка технического задания на систему защиты персональных данных;

3.2. Рецензирование системных, системно- технических и технорабочих проектов в соответствии с системой сертификации ФСТЭК;

3.3. Выполнение проектных работ по созданию системы персональных данных с использованием:

    • Управление и мониторинг;
    • Сертифицированные средства доступа;
    • Контроль доступа к сети;
    • Средства контроля утечек персональных данных;
    • Сертифицированные по РД ФСТЭК межсетевые экраны (Firewalls);
    • Сертифицированные ФСТЭК, ФСБ средства антивирусной защиты;

3.4 Подготовка ввода в эксплуатацию системы защиты персональных данных;

3.5 Проведение приемо-сдаточных испытаний системы защиты персональных данных;

3.6 Гарантийная и послегарантийная поддержка внедренной системы защиты персональных данных.

Шаг 4. Организация работы оператора по обработке персональных данных

Создание информационной системы защиты персональных данных – лишь один из этапов организации обработки персональных данных в компании. В процессе создания комплексной системы защиты персональных данных специалисты «Микротест» решают также следующие задачи:

4.1 Создание эксплуатационной и регламентной документации на систему защиты персональных данных;

4.2 Организация хранения персональных данных в других материальных носителях, обеспечивающих защиту от неправомерного или случайного доступа к ним;

4.3 Обеспечение возможности своевременно по запросу предоставлять информацию о персональных данных его законному владельцу – субъекту персональных данных, а также уполномоченным органам по защите прав субъектов персональных данных;

4.4 Подготовка уведомлений уполномоченных органов об обработке персональных данных.

Шаг 5. Аттестация информационной системы персональных данных в соответствии с указанным классом.

Защита персональных данных на финальном этапе создания системы представляет собой аттестацию информационной системы по требованиям защиты информации Федеральной службы по техническому и экспортному контролю (ФСТЭК).

На основании имеющихся лицензий специалисты «Микротест» имеют право проводить сертификацию объектов информатизации Заказчика и выдавать «Аттестат соответствия ФСТЭК России».

Также поскольку персональные данные относятся к классу конфиденциальной информации, оператор обработки персональных данных нуждается в лицензировании деятельности по технической защите конфиденциальной информации. Компания «Микротест» имеет Аттестат аккредитации как органа по аттестации средств защиты информации по требованиям безопасности информации ФСТЭК. Это позволяет компании «Микротест» проводить сертификацию своих заказчиков в области защиты конфиденциальной информации в информационных системах.

Результат создания комплексной системы защиты персональных данных

  • Система защиты персональных данных в организации построена в соответствии с требованиями законодательства;
  • Автоматизированная система защиты персональных данных аттестована на соответствие требованиям по защите персональных данных;
  • Компания-заказчик имеет на руках полный комплект проектной, эксплуатационной и внутренней регламентной документации до 01.01.2011;
  • Защита интересов клиентов и партнеров компании, предоставляющих конфиденциальную информацию, и, как следствие, установка с ними плодотворных и доверительных отношений.
Презентации по теме
Защита персональных данных с минимальными инвестициями
Задать вопрос