Персональные данные vs "удалёнка"

Цифровая трансформация в части перехода на удаленную работу в последний месяц сильно ускорилась, а освоение новых навыков пошло в массы. При этом перед организациями начали вставать вопросы о том, как при "удалёнке" правильно защитить права субъектов персональных данных.

Далее буду приводить действительные для всех отраслей требования с креном в отрасль образования. Уже длительное время ей занимаюсь и даже готовил 2 года назад курс из семи семинаров/вебинаров для школ и детских садов региона (если кому интересно, ссылку могу прислать). Образование – одна из отраслей, где есть потенциал для перевода части обучения в дистанционную форму. Для обучения могут использоваться сервисы электронной почты, онлайн-чаты, системы управления онлайн-обучением, системы для проведения видеоконференций, вебинаров и другие. Кое-что простое, типа электронных дневников существует массово давно, но и здесь зачастую есть вопросы, которые обозначены ниже.

Изложим подробнее проблему и решения. 152-ФЗ, как и европейское законодательство, требует, чтобы персональные данные обрабатывались на законной основе, в объеме, который соответствует целям, и защищались. При этом такие условия должны быть заранее установлены операторами персональных данных. 

Методика ранжирования кандидатов в президенты по Гартнеру?

А что если применить для ранжирования кандидатов в президенты методику Гартнера? В Magic Quadrant имеется две шкалы: Completeness of vision и Ability to execute. В общем-то, если поразбирать дальше по критериям каждую эту составляющую и оценивать кандидатов, то в верхнем правом квадрате для нашей страны остался бы лишь один кандидат. 
А если взять Америку, то например текущий президент не дотягивает пока по части Ability to Execute и оказался бы в нижнем правом квадрате, причем ближе к середине, т.к. vision у неопытных кандидатов всегда ниже, чем у опытных. И кстати на выборах ведь не рассказывают про Ability to Execute, только про vision. Ability to Execute в таких высоких позициях, определяется командой кандидата. 
Интересно вообще такую методику применять к выбору кандидатов на должности, в проекты и т.п.

О пачке документов по "Персональным данным" и четырех кашах.

Идет небольшой проект и заказчик накидывает нам порцию за порцией уже разработанные документы: свои, от вышестоящей организации, еще какие-то. Говорит, "может это поможет нам ускориться". Хорошо, открываем их, сравниваем, находим много недоработок, но и многое с иной точки зрения. В итоге работа превращается в анализ, выделение цветом и сращивание нескольких каш: заказчика, еще кого-то, нормативной и нашей :) Бывает просто с Консультанта или еще откуда-то с Инета надергают. И вот поди померяйся... Не могу сказать, что оно позволяет ускорить работу, но обычно до 20-30% времени проекта уходит на это.

Что с новыми требованиями ФСТЭК к МЭ?

С сертификацией софтовых межсетевых экранов по требованиям ФСТЭК всё продолжает быть непросто. А ведь требования действуют окончательно уже с конца апреля. В реестре ФСТЭК пока фигурируют аппаратные межсетевые экраны типа А и Б, в т.ч. иностранные - Cisco ASA 5585 и коммутатор HP 5500. А вот по софтовым что интересно, в мае и июне ФСТЭК выдала два сертификата ПО СТАРЫМ требованиям РД: на SecretNet Studio и Виток-МЭ3. Еще есть несколько записей с мартовским и апрельским номерами, но с датой регистрации 30.11.2016. Интересно, если в марте ФСТЭК регил сертификаты МЭ по РД ноябрём 2016, а в мае уже текущей датой, то что последует за этим? Возврат РД? А иначе невозможно работать же...

Согласие или несогласие

О согласии на обработку ПДн сегодня снова полемизировал с одним главным бухгалтером. "Вот везде это согласие нам дают, вот в 1С даже типовая форма есть и т.д. и т.п." Если везде - это культура. А Роскомнадзор проверяет 0,01% организаций и результаты этих проверок говорят о том, что культура должна быть другой! Однако 0,01% это же не 90%, по мнению главного бухгалтера.
Но! Согласие может быть отозвано. Поэтому есть одна единственная проверка, рекомендуемая Роскомнадзором: "Что с …вами будет, если субъект отзовет согласие?" Вы прекратите обрабатывать ПДн или нет? А если не прекратите, то значит есть причины, есть основания и согласие не нужно! Есть исключения, например видеонаблюдение - для него оснований нет и согласие нужно. Но можете ли вы без видеонаблюдения, если люди будут отзывать согласия? Если не можете, то включите эту позицию в трудовой договор и основание появится, а согласие не потребуется! Это условие труда такое, это безопасность. Но в такой договор в ряде случаев включается до 15 подобных видеонаблюдению ситуаций: охранные меры, банковские карты, медицинское обслуживание, страхование, обучение, мониторинг за пользователями в сети, привлечение аутсорсеров, передача отчетности через 3-и лица и тд и тп. Только прошерстив все договоры и соглашения, поговорив с многими представителями организации, выявляешь это.

В обычной жизни и её текучке людям конечно не до этого, что и подтвердилось в вышеобозначенной беседе ;(.

Политика обработки ПДн для сайта

Многие спрашивают про политику обработки ПДн на сайте. Привожу ниже шаблон. С ним мы проходили с клиентами проверки Роскомнадзора несколько раз. Она короткая, т.к. длинные политики никто не читает. Да и выверить их сложно. Часто видим копипасты, в которых есть ошибки, например включающие среди действий с ПДн их распространение. Это неправильно!
Что нужно сделать:
1. Корректно заполнить политику, указав актуальные название Оператора, цели, действия с ними человеческим языком. Например, если нет онлайн-чата или звонков, то уберите, если есть кабинет, то добавьте и опишите его. Часто сайт используется лишь для отправки информации по открытым каналам, а далее их обработка ведется оператором у себя на ПК. В политике нужно отразить кратко физику процесса. В примере учтены провайдеры и хостинг, что есть у большинства операторов.
2. Если есть формы на сайте, то в них перед кнопкой отправки требуется организовать галочку с подписью "Согласен с политикой обработки персональных данных (ссылка на политику)".
Удачи!
---------
Политика
обработки персональных данных
с использованием официального сайта Наименование организации
г. Киров «__»__________ 201__ г.
Настоящая Политика содержит общие сведения об обработке и защите персональных данных, которые Наименование организации (далее – Оператор персональных данных или Оператор) может получить от физического лица (субъекта персональных данных, далее – Пользователя), пользующегося услугами сайта http://_______________________ и его сервисов (далее – Сайт).
Понятия «персональные данные», «субъект персональных данных», «оператор персональных данных», «обработка персональных данных» используются в соответствии с их определениями в ст. 3 закона от 26.07.2006 г. № 152-ФЗ «О персональных данных».
Целью обработки персональных данных является оказание Пользователю услуг в электронном виде с помощью форм обращений и заявок, размещенных на Сайте:
 доступность услуг;
 информирование;
 осуществление обратной связи с целью улучшения качества обслуживания.
Персональные данные Пользователя обрабатываются в объеме, указанном в формах на сайте и предоставленном Пользователем по личной инициативе. Персональные данные, необходимость обработки которых отсутствует, удаляются и не обрабатываются.
Помимо указанных данных Оператор может собирать информацию об используемых Пользователем браузере, версии операционной системы, параметрах экрана, шрифтах с целью улучшения качества услуг, предоставляемых сайтом Оператора.
Основанием для обработки персональных данных является согласие Пользователя.
Оператор может применять персональные данные в статистических целях и для опубликования на сайте при условии их обезличивания.
Обработка персональных данных Оператором осуществляется до достижения целей обработки.
В процессе сбора и обработки персональных данных с использованием указанного Сайта производится их передача по открытым каналам связи сети Интернет через операторов связи и провайдеров услуг хостинга указанного Сайта. Помимо этого, персональные данные Пользователя могут передаваться при использовании услуг Онлайн-чата и Онлайн-звонков поставщикам таких сервисов в сети Интернет.
Оператор применяет правовые, организационные и технические меры для соблюдения конфиденциальности и обеспечения безопасности персональных данных, включающие в себя соглашения с контрагентами, установление правил доступа к персональным данным, использование средств защиты информации, а также контроль и оценку эффективности применяемых мер и их усовершенствование.
Оператор несет ответственность за обеспечение защиты прав субъектов персональных данных в соответствии с законодательством РФ.
В случае возникновения вопросов, связанных с обработкой персональных данных Оператором, запрос ответственному лицу можно направить по следующим контактным данным:
- адрес: индекс, город, улица, дом/строение, кабинет.
- тел/факс: телефон
- электронная почта: адрес электронной почты
Пользователь имеет право:
- получить информацию, касающуюся обработки его персональных данных Оператором, в том числе информацию о третьих лицах, имеющих доступ к персональным данным;
- получить доступ к своим персональным данным по запросу ответственному лицу Оператора;
- просить уточнения, блокирования и уничтожения своих персональных данных при условии подтверждения факта неточности данных либо неправомерности их обработки;
- отозвать свое согласие на обработку персональных данных, если обработка осуществлялась исключительно на его основании, и прекращение обработки не нарушает законных прав и интересов Оператора;
- отозвать свое согласие на обработку персональных данных в целях продвижения на рынке товаров, работ и услуг, оказываемых Оператором, путем осуществления прямых контактов с Пользователем с помощью средств связи и требовать немедленного прекращения такой обработки;
- получить разъяснение основания обработки его персональных данных без его согласия в случаях, определённых законодательством РФ;
- на защиту своих прав и интересов в отношении персональных данных.
Утвержденная редакция Политики доступна любому пользователю сети Интернет по следующему адресу: http://_____________________________.
При внесении изменений в Политику, Оператор уведомляет об этом Пользователей путем размещения новой редакции Политики на Сайтах не позднее, чем за 10 дней до вступления в силу соответствующих изменений.
Директор _______________________ /______________________

Проект доктрины ИБ РФ - предложения

Ознакомился с проектом доктрины ИБ РФ и, поскольку это возможно, внес свои предложения. По крайней мере сайт сообщил, что "сообщение принято". Итак:

1. Важным считаю выделение в Доктрине ИБ такого существенного интереса РФ, как "ЗАЩИТА ОПЫТА". Данный момент никоим образом не обозначен ни среди угроз, ни среди интересов, ни среди мер, ни среди сил ИБ. Однако, Опыт - это наиболее затратная составляющая в любой сфере.  Более того, украсть опыт можно только одним способом - перетянуть команду специалистов. Опыт НЕ КОПИРУЕТСЯ в привычном смысле. В отсутствие опыта любые проекты стоят гораздо дороже и выполняются дольше, а ИБ - не обеспечивается!!! В связи с этим Доктрина должна обратить на Защиту/Накопление/Сохранение Опыта пристальное внимание.
2. В п.8.в. не приводится такой интерес РФ, как достижение широкого признания в мире отечественной ИТ-индустрии, включающей электронику, аппаратное и программное обеспечение.
3. Среди угроз ИБ не обозначена явно, но являющаяся ключевой угроза, связанная с низкой компетентностью (недостаточно выделенной компетентностью) и отсутствием культуры ИБ. Понятие компетентности не приводится, но оно должно концептуально включать: образование, обучение, навыки и опыт.
4. п.23.перечисление п.1: ИТ должны составлять существенную долю не только ВВП, но и экспорта, обеспечивая диверсификацию экспорта.
5. п.23.перечисление п.3: независимость также должна достигаться путем активного участия в системе международной стандартизации, в которой по объективным показателям РФ сегодня практически не участвует. Угроза состоит в том, что РФ принимает ИТ по итогу, по факту. Ввиду неготовности к новым стандартам это может приводить к невозможности быстрой модернизации.
6. п.6.д. Средства ИБ - отмечен традиционный набор средств, но считаю необходимым выделить "правовые" и "образовательные" средства ИБ, как имеющее существенное отличие от собственно организационных и технических.

P.S. К сожалению интерфейс сайта Совета безопасности не позволяет отправить больше. Пришлось формулировать сжато.

Личная эффективность каждого кроется в Числе Данбара - 150

До 150 одновременно поддерживаемых социальных связей может иметь человек - это число выведено в 1990-х британским ученым Робином Данбаром. В ряде исследований оно колеблется от 100 до 230.

Что значат эти 150, если рассматривать их несколько шире и в контексте эффективности управления?

Всё просто: для каждого из нас оно означает физиологическое ограничение на нашу эффективность.

Управление по ощущению - ощущению перспективы!

В 2015 году готовили такой доклад на одну из международных научных конференций в области инноваций и межотраслевого взаимодействия. Для нас данный подход имеет значение уже давно и уже прошло лет пять как мы его сформулировали. Но вот некоторым слушателям доклада "управление по ощущению" показалось новинкой и даже вызвало улыбку. Привожу доклад здесь. Язык академический.

Итак, тезисы доклада.

Локомотивы клентской базы

Пообщался на днях с одноклассником - он сейчас занимается научными исследованиями в США в области ИТ-стартапов. И вот к какому выводу вновь прихожу.

Возможно ли массовое появление малых инновационных фирм в отсутствие локомотивов? НЕТ. В США локомотивы - корпорации IBM, Microsoft, Cisco, Google, Apple и масса других. В Германии - автоиндустрия. Вокруг них и на их технологической платформе образуются множества фирм. А у нас?

Попробую определить понятие локомотива, чтобы стало ясно.

Локомотив - это тот, кто создает гарантированный и интенсивный рост клиентской базы. Это - ключевая идея, которую я уловил из беседы. Это и есть условие для массового входа инновационных стартапов. И локомотив и стартапы одержимы коммерческим успехом. Локомотив имеет устойчивую долгосрочную стратегию успеха, проверенную временем.

Ясно, что к локомотивам относятся только мощные структуры, в т.ч. государство.
Локомотив должен иметь уже широкую экосистему для продвижения своей платформы, систему образования, партнерства.

Чем крупнее государство, регион, корпорация и чем более оно централизованное в формировании своей политики, тем более мощные локомотивы оно может предложить субъектам предпринимательства.
Чем меньше государство, регион, корпорация и чем более оно децентрализованное, тем меньше эти возможности.

А если речь идет о сообществах, движениях, федерациях, то чаще всего, по-видимому, они не имеют центра силы, а значит и общей потенции к запуску таких локомотивов.

Open Source проекты нельзя отнести к локомотивам. Хотя их поддерживают правительства стран, но это в глобальном масштабе ничего не меняет. Они слишком малы, чтобы соответствовать понятию "локомотив".

Таким образом, вывод один. Если мы хотим, чтобы у нас появилось массовое что-то, то наиболее эффективный путь - создавать локомотивы.

И что интересно, реклама не поможет, если их не будет ;)

Ну а постулаты о том, что "рынок отрегулирует", тоже, как видим далеки от реальности.

В общем-то здесь ответ на вопрос, почему кругом одни продавцы, но никто ничего не производит. Практически ничего.

Положение по организации обработки ПДн. Мое

В очередной раз пересматриваю положение по персональным данным. В нём обычно включаю такой раздел: "Организация обработки ПДн". Структура раздела после сегодняшего переформатирования получилась уже такая (версия около 15-й):

1. Цель организации обработки персональных данных
2. Политика в отношении обработки персональных данных
3. Сферы ответственности
4. Установление и пересмотр требований к обработке персональных данных
5. Контроль условий обработки ПДн
6. Организация обработки ПДн в подразделениях
7. Ограничение и контроль доступа к персональным данным
8. Ключевые требования к сотрудникам
9. Основные обязанности, полномочия и ответственность сотрудников
10. Контроль изменения в статусе и условиях работы сотрудников
11. Ознакомление и инструктаж сотрудников
12. Порядок доступа сотрудников в помещения
13. Согласование документов, определяющих порядок обработки ПДн
14. Меры по защите информации

Набор и содержание разделов продиктован необходимостью описать то, что нужно делать на управленческом уровне. Такая методичка: чтобы оно не застопорилось, не начавшись.
Конечно, внедрение положений этих тоже может застопориться - это уже вопрос к тому, считаете ли Вы политику бумажкой или всё-таки деятельностью :)

Однако я не видал положений такого содержания... И поскольку из перечисления ничего не понятно, то, как будут доходить руки, в ближайшее время буду выкладывать по одному :)

UPD: 4 страницы этот документ.

Странности надзора

В 2015 году произошли два существенных изменения в надзоре по Персональным данным:

1.       Мораторий на плановые проверки в 2016 – 2018 годах для Малого бизнеса и ИП.

2.       Выведен из под действия ФЗ-294 «контроль и надзор за обработкой персональных данных».

И начались странности!!!

Оценка соответствия. Часть 2. Компетентностная

Согласно принятым в 2013 году нормативным документам ФСТЭК сложилась некоторая система то ли понимания, то ли недопонимания, а что нужно делать, проводя "оценку соответствия ИСПДн в установленной форме".

Оценка соответствия. Часть 1. Системно-обозревательная

На днях давал разъяснения специалисту одного из кировских учреждений по поводу тех или иных способов организации защищенного взаимодействия подведомственных учреждений.
В общем-то ситуация обычная, когда Заказчик, выбирая решения (а в итоге и политику) в данной области, получает реплики (взгляды на строительство) из нескольких источников. Источники эти могут быть различной степени компетентности и погруженности в вопрос защиты информации. Одним нужно ехать, другим шашечки, а третьим бюджетную экономию.
Зачастую выходит так, что никому из них не нужно всё вместе. Хотя ИБ - это как раз ВСЁ ВМЕСТЕ.

Про неживое положение по обработке ПДн

В общем-то почти от каждого клиента получаю вопросы о том, какими должны быть положение о персональных данных и политика. Некоторые специалисты перед тем, как задать такой вопрос, готовятся и находят различные варианты в Интернете, а также берут у коллег. Часто просят сравнить - сравниваем :)

Знаем мы многие варианты, но почему-то меня большинство из них не устраивают, когда начинаю сравнивать со своим положением :)

Доверие или объем документации?

Главная проблема при внедрении стопки документов (по персональным данным, в частности) заключена в том, что целевая аудитория их читать не будет. Не то что бы читать - прочитать-то они прочитают, и даже распишутся, что прочитали, как требует того Трудовой кодекс, но не будут они по документации жить!? В принципе не будут. Исполнять они документацию не будут. В этом проблема :(

Почему?

Рассмотрим один из аспектов проблемы.

Почему ISO 9001 не совместим с отечественными реалиями

Крайне важным требованием к системам менеджмента качества (СМК) согласно ISO 9001 является ПРОЗРАЧНОСТЬ процессов менеджмента.

Что это значит? На первый взгляд - еще одно избитое нашими реалиями слово. Поясню, почему оно избито реалиями.

Не только в "вайфай" по паспорту, но и на сайты по паспорту?

Очень много вопросов вызвали у экспертов (1,2) последние июльские поправки в ФЗ-149, а также в постановление Правительства РФ "Об утверждении правил оказания телематических услуг связи".

 

Что ясно: постановление в новой редакции действительно для Операторов связи, является основным нормативным документом, которым они руководствуются при осуществлении своей лицензионной деятельности по предоставлению телематических услуг связи Абонентам(попросту - Интернета). При этом оно опосредованно - через договоры - распространяется формально на всех остальных юр. лиц, ИП, физ.лиц, потребляющих услуги связи.

 

Пункт 22.1. вносит новые требования к договорам, по которым Абоненты (юр.лица и ИП) обязаны передавать Оператору связи перечни пользователей подключения к Интернет (ФИО, адрес, паспорт). Раз в квартал.

 

О примерном перечне документов, запрашиваемых Роскомнадзором в проверках, и его развитии

В руки попали две версии списка документов, которые запрашивает Роскомнадзор у коммерческих организаций при проверке в области персональных данных.
Списки от 2012 и от 2013 года решил сравнить.
Зеленым отметил то, что не изменилось, Синим - новое, а Красным - то, что из списка исчезло.

Девальвация информационной безопасности ИТ-инфраструктур

Если посмотреть данные Positive Tech, то 74% инфраструктур ведущих компаний могут быть взломаны снаружи с использованием двух уязвимостей. Это ведущих! Не ведущих, а СМБ - 90%. Цифры говорят сами за себя. Так же само за себя говорит статистика целенаправленных атак. Они стали частыми. Мы с этим сталкиваемся и случаи банальны и грустны - в большинстве через ОДНУ уязвимость.

Давайте теперь возьмем в аналогию распространенность Windows = 99% и связанную с этим вирусописательскую активность в сравнении с нераспространенными ОС. Улавливаете взаимосвязь?