И снова о ФЗ 152

Старший системный аналитик
ОАО Альфа Банк
г. Москва

Аннотация

В статье освещен актуальный в настоящее время многим компаниям вопрос, связанный с защитой персональных данных, обрабатываемых в информационных системах компании. В статье приведены рекомендации по классификации информационных систем персональных данных, а также по искусственному понижению их класса. Перечислены основные мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах. В заключении предложены типы средств защиты информации, которые могут быть использованы в компании с информационной системой персональных данных класса К2.

Abstract

The article elucidates the urgent at the present time, many companies issue associated with the protection of personal data processed in the information systems company. The paper presents recommendations for classification of information systems personal data, as well as the artificial lowering of their class. Are the main activities to ensure the security of personal data during their processing in information systems. In conclusion, suggested types of information security tools that can be used in company with the information system of personal Class Data K2.

Введение

7 ноября 2001 года Российская Федерация подписала конвенцию Европы о защите физических лиц при автоматизированной обработке персональных данных. Согласно этой конвенции, государством был принят Федеральный закон №152 «О персональных данных». По этому закону организации и компании, если они обрабатывают персональные данные (ПДн) людей такие, как: имя, фамилия, год рождения, адрес, группа крови и другие данные, должны эти данные защищать, с целью обеспечения защиты свободы и прав человека и гражданина. В соответствии с последними поправками, все компании, обрабатывающие ПДн, должны привести информационные системы персональных данных (ИСПДн) в соответствии с предъявленными требованиями до 1 января 2011 года.

Контролем над выполнением требований закона занимается Роскомнадзор, ФСТЭК и ФСБ России. В случае не выполнения предъявляемых требований, возможны различные наказания вплоть до прекращения деятельности компании.

Вопрос защиты персональных данных встал практически во всех компаниях России и многие из них уже привели свои ИСПДн в соответствии с требованиями законодательства. Но из-за кризиса 2008 года и нехватки бюджета на новые проекты, большинство компании все-таки отложили данный вопрос на потом, а некоторые вообще решили не заниматься столь «незначительным» вопросом. Но не стоит забывать, что недочеты, выявленные в ходе проверок Роскомнадзора, должны быть устранены в течение 2-х недель, а провести аудит систем, разработать модель угроз, установить необходимые средства защиты и разработать и утвердить необходимый пакет нормативной документации за такой короткий срок невозможно. Длительность проекта такого рода составляет от 3-х месяцев и больше (с момента исследования ИТ инфраструктуры компании).

В компании Х бюджет на проект по созданию системы защиты информационной системы персональных данных был выделен в 2010 году.

Компания средняя по размеру (менее 200 человек), предоставляет различные консалтинговые услуги. В ходе обследования систем было выявлено 4 информационных системы, обрабатывающих персональные данные сотрудников или клиентов:

• CRM
• 1С Бухгалтерия
• 1С Зарплата и управление персоналом
• Интранет (внутренняя корпоративная сеть)

Бизнес-подразделения компании имеют доступ к системам CRM и Интранет только на чтение, поэтому было принято решение не включать их в список пользователей, обрабатывающих персональные данные.

Основные пользователи, имеющие доступ к обработке персональных данных входят в состав следующих подразделений:

• Финансового отдела
• Отдела контакт-центр
• Отдела информационных технологий
• Отдела по работе с персоналом

В соответствии с ФЗ «О персональных данных» от 27 июля 2006 №152-ФЗ, ФЗ «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 №149-ФЗ, Постановлением Правительства Российской Федерации «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» от 17 ноября 2007 г. № 781, Приказом Федеральной службы по техническому и экспертному контролю, ФСБ РФ и Министерства информационных технологий и связи РФ «Об утверждении Порядка проведения классификации информационных систем персональных данных» от 13 февраля 2008 г. № 55/86/20, Приказом ФСТЭК России от 5 февраля 2010 г. № 58 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных» было принято решение о создании одной ИСПДн, состоящей из следующих систем:

• CRM
• 1C Бухгалтерия
• 1С Зарплата и Управление персоналом
• Интранет
• Средства защиты информации.

Мероприятия по обеспече