СЗПДн. Анализ. Сколько раз нужно посчитать сотрудников?

СЗПДн. Анализ. Сколько раз нужно посчитать сотрудников?

Продолжаем цикл не новых, но ещё актуальных проблем – сколько раз и как нужно учесть сотрудников, участвующих в обработке ПДн?  

Давайте посмотрим как это нужно делать в государственных и муниципальных учреждениях, в соответствии с ПП 221:

“б) утверждают актом руководителя государственного или муниципального органа следующие документы:

перечень должностей служащих государственного или муниципального органа, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным;”

Акт – это скорее всего приказ.  Определяем сотрудников, работающих с ПДн, формируем перечень их должностей – скорее всего делать нужно будет 1 раз, далее он будет меняться редко, скорее при изменении орг. структуры.

Непонятно почему осуществление доступа отделили от обработки ПДн? В соответствии с 152-ФЗ доступ – это один из видов обработки ПДн, а точнее один из видов передачи ПДн.

Давайте посмотрим, что по этому поводу в ПП 1119:

“13. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей”

Тут уже сложнее. Во-первых, нужен уже не перечень должностей, а перечень лиц. То есть учитывать придется конкретных сотрудников. Причем имеющих доступ в конкретную ИС. То есть, получаем что нужно вести нужно несколько перечней, и все они будут регулярно меняться. И все нужно утверждать руководителем организации.  

И опять же вопрос, почему учитываем только имеющих доступ, а не осуществляющих обработку?

Давайте теперь заглянем в ПП 687:

“13. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработкуперсональных данных либо имеющих к ним доступ.”

Опять перечень конкретных сотрудников, причем с указанием категорий ПДн.

Посмотрим, есть ли какие-то уточнения в приказе ФСБ России №378:

“5. В соответствии с пунктом 13 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N1119 (далее - Требования к защите персональных данных), для обеспечения 4 уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей; …

8. Для выполнения требования, указанного в подпункте "в" пункта 5 настоящего документа, необходимо:

а) разработать и утвердить документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходимдля выполнения ими служебных (трудовых) обязанностей;

б) поддерживать в актуальном состоянии документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей.”

Опять перечень сотрудников. На всякий случай уточняется что его нужно поддерживать в актуальном состоянии.

Теперь предположим, что у нас в качестве мер защиты используются СКЗИ, обеспечения удаленный доступ к ИСПДн с ноутбуков и мобильных устройств или если персональные межсетевые экраны с функциями VPN клиентов используются для организации выделенной защищенной подсети. Исходя из своего опыта могу сказать, что количество пользователей СКЗИ составляет 20% - 100% от количества пользователей ИСПДн. Придется ли считать их ещё раз?

Приказ ФСБ России №378:

“5. В соответствии с пунктом 13 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N1119 (далее - Требования к защите персональных данных), для обеспечения 4 уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения; …

6. Для выполнения требования, указанного в подпункте "а" пункта 5 настоящего документа, необходимо обеспечение режима, препятствующего возможности неконтролируемого проникновения или пребывания в помещениях, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключевой, аутентифицирующей и парольной информации СКЗИ (далее - Помещения), лиц, не имеющих права доступа в Помещения, которое достигается путем:

…в) утверждения перечня лиц, имеющих право доступа в Помещения.”

Приказ ФАПСИ (ФСБ России) №152:

19.        Физические лица допускаются к работе с СКЗИсогласно перечню пользователей СКЗИ, утверждаемому соответствующим обладателем конфиденциальной информации. До такого утверждения техническая возможность использования СКЗИ лицами, включенными в данный перечень, должна быть согласована с лицензиатом ФАПСИ.

Лицензиаты ФАПСИ в рамках, согласованных с обладателями конфиденциальной информации полномочий по доступу к конфиденциальной информации имеют право утверждать такой перечень в отношении подчиненных им должностных лиц.”

То есть нужно утверждать перечень пользователей СКЗИ, а также перечни доступа в Помещения.

Подведем итог: при обработке ПДн нам нужно подготовить и утвердить руководителем организации 5 перечней разного содержания, связанного с лицами, обрабатывающими ПДн. А эти перечни будут регулярно меняться в связи с увольнением и приемом на работу новых сотрудников или кадровыми перемещениями внутри организации.

Можно ли и нужно ли совмещать это все в одном перечне, включающем в себя перечень лиц, должности, ИСПДн, категории ПДн, СКЗИ, помещения или все-таки вести отдельные перечни? Неплохим вариантом мне представляется учет всех этих данных в каком-то одном месте (системе, БД) из которой автоматически может генерироваться несколько подходящих нам перечней и передаваться на утверждение.

А как вы ведете учет лиц?

Мошенники устроили распродажу невостребованных новогодних подарков

Киберполиция Санкт-Петербурга предупреждает о новой волне мошенничества в мессенджерах. Обманщики от имени крупных ретейлеров предлагают по бросовым ценам купить «зависшие» новогодние подарки — электронику и бытовую технику.

Новая приманка служит единственной цели: заполучить СМС-код на доступ к онлайн-банкингу. Откликнувшихся злоумышленники просят его прислать, чтобы подтвердить бронь, оплату либо участие в мифической акции.

Киберкопы призывают россиян к бдительности и советуют проверять щедрые посулы в официальных источниках. Крупные торговые сети, как правило, анонсируют распродажи и скидки на своих сайтах и в аккаунтах; можно также уточнить информацию по опубликованному контактному телефону.

Одноразовые коды из СМС и пуш-уведомлений добросовестные продавцы никогда не запрашивают. Если вы уже его передали, следует незамедлительно связаться с банком, сменить пароль, заблокировать операции по счету и провести проверку на предмет подозрительных списаний, а также несанкционированного оформления подписок и кредитов.

По всей видимости, принимаемые властями меры противодействия мошенничеству, а также информационно-просветительская работа экспертов и правоохраны приносят свои плоды, и доходы мошенников, обычно возрастающие в сезон праздничных распродаж, стали падать.

Чтобы удержаться на плаву, аферистам приходится постоянно придумывать новые приманки и совершенствовать их, в том числе с помощью ИИ, и использовать малейший предлог для проведения атак в попытках добрать то, что не удалось привычно украсть в преддверии больших праздников.

RSS: Новости на портале Anti-Malware.ru