СЗПДн. Анализ. Сколько раз нужно посчитать сотрудников?

СЗПДн. Анализ. Сколько раз нужно посчитать сотрудников?

Продолжаем цикл не новых, но ещё актуальных проблем – сколько раз и как нужно учесть сотрудников, участвующих в обработке ПДн?  

Давайте посмотрим как это нужно делать в государственных и муниципальных учреждениях, в соответствии с ПП 221:

“б) утверждают актом руководителя государственного или муниципального органа следующие документы:

перечень должностей служащих государственного или муниципального органа, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным;”

Акт – это скорее всего приказ.  Определяем сотрудников, работающих с ПДн, формируем перечень их должностей – скорее всего делать нужно будет 1 раз, далее он будет меняться редко, скорее при изменении орг. структуры.

Непонятно почему осуществление доступа отделили от обработки ПДн? В соответствии с 152-ФЗ доступ – это один из видов обработки ПДн, а точнее один из видов передачи ПДн.

Давайте посмотрим, что по этому поводу в ПП 1119:

“13. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей”

Тут уже сложнее. Во-первых, нужен уже не перечень должностей, а перечень лиц. То есть учитывать придется конкретных сотрудников. Причем имеющих доступ в конкретную ИС. То есть, получаем что нужно вести нужно несколько перечней, и все они будут регулярно меняться. И все нужно утверждать руководителем организации.  

И опять же вопрос, почему учитываем только имеющих доступ, а не осуществляющих обработку?

Давайте теперь заглянем в ПП 687:

“13. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработкуперсональных данных либо имеющих к ним доступ.”

Опять перечень конкретных сотрудников, причем с указанием категорий ПДн.

Посмотрим, есть ли какие-то уточнения в приказе ФСБ России №378:

“5. В соответствии с пунктом 13 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N1119 (далее - Требования к защите персональных данных), для обеспечения 4 уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей; …

8. Для выполнения требования, указанного в подпункте "в" пункта 5 настоящего документа, необходимо:

а) разработать и утвердить документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходимдля выполнения ими служебных (трудовых) обязанностей;

б) поддерживать в актуальном состоянии документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей.”

Опять перечень сотрудников. На всякий случай уточняется что его нужно поддерживать в актуальном состоянии.

Теперь предположим, что у нас в качестве мер защиты используются СКЗИ, обеспечения удаленный доступ к ИСПДн с ноутбуков и мобильных устройств или если персональные межсетевые экраны с функциями VPN клиентов используются для организации выделенной защищенной подсети. Исходя из своего опыта могу сказать, что количество пользователей СКЗИ составляет 20% - 100% от количества пользователей ИСПДн. Придется ли считать их ещё раз?

Приказ ФСБ России №378:

“5. В соответствии с пунктом 13 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N1119 (далее - Требования к защите персональных данных), для обеспечения 4 уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения; …

6. Для выполнения требования, указанного в подпункте "а" пункта 5 настоящего документа, необходимо обеспечение режима, препятствующего возможности неконтролируемого проникновения или пребывания в помещениях, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключевой, аутентифицирующей и парольной информации СКЗИ (далее - Помещения), лиц, не имеющих права доступа в Помещения, которое достигается путем:

…в) утверждения перечня лиц, имеющих право доступа в Помещения.”

Приказ ФАПСИ (ФСБ России) №152:

19.        Физические лица допускаются к работе с СКЗИсогласно перечню пользователей СКЗИ, утверждаемому соответствующим обладателем конфиденциальной информации. До такого утверждения техническая возможность использования СКЗИ лицами, включенными в данный перечень, должна быть согласована с лицензиатом ФАПСИ.

Лицензиаты ФАПСИ в рамках, согласованных с обладателями конфиденциальной информации полномочий по доступу к конфиденциальной информации имеют право утверждать такой перечень в отношении подчиненных им должностных лиц.”

То есть нужно утверждать перечень пользователей СКЗИ, а также перечни доступа в Помещения.

Подведем итог: при обработке ПДн нам нужно подготовить и утвердить руководителем организации 5 перечней разного содержания, связанного с лицами, обрабатывающими ПДн. А эти перечни будут регулярно меняться в связи с увольнением и приемом на работу новых сотрудников или кадровыми перемещениями внутри организации.

Можно ли и нужно ли совмещать это все в одном перечне, включающем в себя перечень лиц, должности, ИСПДн, категории ПДн, СКЗИ, помещения или все-таки вести отдельные перечни? Неплохим вариантом мне представляется учет всех этих данных в каком-то одном месте (системе, БД) из которой автоматически может генерироваться несколько подходящих нам перечней и передаваться на утверждение.

А как вы ведете учет лиц?

Убыток МойОфис вырос почти до 9 млрд рублей после пересдачи отчетности

У «МойОфис» дела идут не очень. Разработчик российского аналога Microsoft Office пересмотрел финансовую отчетность за 2025 год и почти вдвое увеличил размер чистого убытка — с 4 до 8,82 млрд рублей. Исправленная отчётность была опубликована 18 июня.

При этом выручка осталась прежней — 1,02 млрд рублей, что почти на 50% меньше, чем годом ранее.

Причина резкого ухудшения финансового результата — переоценка нематериальных активов. Их стоимость уменьшилась почти на 4,9 млрд рублей, а эта сумма перекочевала в статью «Прочие расходы», из-за чего итоговый убыток фактически удвоился.

В компании уверяют, что это лишь техническая корректировка бухгалтерского учета и она никак не повлияет на дальнейшую работу. По словам представителя НОТ, разработка продуктов продолжается: недавно вышли обновления «Документы настольные» и «МойОфис для дома», а обязательства перед заказчиками выполняются в полном объеме.

Однако независимые юристы и эксперты считают масштаб корректировки весьма необычным. По их мнению, столь серьёзное снижение стоимости нематериальных активов может говорить о пересмотре оценки того, насколько эти разработки способны приносить доход в будущем.

История выглядит особенно показательно на фоне слов Евгения Касперского, который недавно признал, что «МойОфис» остается убыточным активом, а импортозамещение в сегменте офисного ПО не работает. После кратковременного успеха в 2022 году, когда компания вышла в прибыль на фоне ухода Microsoft, финансовые показатели снова начали ухудшаться.

Параллельно в компании идет масштабная реструктуризация. Согласно обновленной отчетности, прекращена разработка Mailion, «МойОфис Почта», Squadus и «Документы Онлайн». Основной фокус теперь сделан на текстовом редакторе, таблицах и презентациях.

По данным профсоюза, с конца марта численность сотрудников сократилась более чем в три раза — примерно с 1073 до 278 человек. В НОТ подтверждают завершение сокращений, но заявляют, что оставшейся команды будет достаточно для дальнейшей разработки ключевых продуктов.

Пока крупнейшими заказчиками «МойОфис» остаются «Росатом» и ВТБ, однако компании явно предстоит доказать рынку, что ставка только на офисный пакет позволит вернуть бизнес к окупаемости.

RSS: Новости на портале Anti-Malware.ru