Руководство по защите персональных данных Cisco

Информационный бюллетень Решения Cisco для защиты персональных данных Проблема Мы постоянно находимся под контролем различных государственных и муниципальных органов власти, коммерческих и правоохранительных структур. Паспортные столы и поликлиники, банки и пенсионные фонды, гостиницы и ЖЭКи, ГИБДД и избирательные комиссии, кадровые агентства и HR-подразделения работодателей… Все они собирают, группируют, анализируют, систематизируют, передают, получают персональные данные о нас. И не всегда они прилагают усилия для охраны этих сведений; зачастую теряя их или продавая мошенникам и нечистым на руку покупателям.

Защита персональных данных (ПДн) последние годы была и остается одной из острейших проблем в информационной сфере и взаимоотношениях государства, граждан и бизнеса. Постоянные утечки информации из государственных органов, банков, операторов связи и медицинских учреждений, продажа этих данных в Интернете или на компьютерных лотках; все это наносит ущерб и нарушает основные права на неприкосновенность частной жизни, дарованные каждому гражданину Конституцией РФ. Обзор законодательства по персональным данным Для защиты основных свобод и прав граждан разные государства Европы приняли различные нормативно-правовые акты.

Не стала исключением и Россия, где с 3-го января 2007 года вступил в действие Федеральный Закон РФ от 27 июля 2006 года №152-ФЗ «О персональных данных». Он направлен на реализацию конституционных положений, закрепляющих право каждого на неприкосновенность частной жизни и свободу информации, а также международных обязательств Российской Федерации по ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных в соответствие с Федеральным Законом от 19 декабря 2005 года №160 «О ратификации конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных».

Законом предусматриваются общие унифицированные требования к сбору и обработке персональных данных физических лиц во всех сферах, где используются эти данные, принципы трансграничной передачи персональных данных, а также меры государственного контроля за деятельностью государственных органов, органов местного самоуправления, юридических и физических лиц, связанной с обработкой персональных данных. Рисунок 1. Структура нормативно-правовых актов в области защиты персональных данных © Cisco Systems, Inc, 2007 г. С сохранением всех прав. В данном документе содержится информация, свободно распространяемая компанией Cisco. Стр. 1 из 7

Стр. 1

Информационный бюллетень В соответствии со статьей 19 Федерального Закона «О персональных данных» Правительство Российской Федерации выпустило Постановление от 17 ноября 2007 г. N 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», которое определило общие требования по защите персональных данных, дальнейшая детализация которых была дана в нормативных правовых актах и методических документах Федеральной службы безопасности (ФСБ) и Федеральной службы по техническому и экспортному контролю (ФСТЭК): ● Приказ ФСТЭК, ФСБ и Мининформсвязи от 13 февраля 2008 г.

№55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных» ● «Методика определения актуальных угроз безопасности персональных данных при их обработке, в информационных системах персональных данных», утвержденная ФСТЭК 14 февраля 2008 года. ● «Базовая модель угроз безопасности персональных данных при их обработке, в информационных системах персональных данных», утвержденная ФСТЭК 14 февраля 2008 года.

● «Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных ● «Рекомендации по обеспечению безопасности персональных данных при их данных», утвержденные ФСТЭК 14 февраля 2008 года. обработке, в информационных системах персональных данных», утвержденные ФСТЭК 14 февраля 2008 года. ● «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утвержденные ФСБ 21 февраля 2008 года.

● «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащих сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в персональных системах персональных данных», утвержденные ФСТЭК 21 февраля 2008 года. Неисполнение данных нормативных актов влечет за собой гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность. Таблица 1.

Меры наказания за невыполнение требований законодательства по защите персональных данных © Cisco Systems, Inc, 2007 г. С сохранением всех прав. В данном документе содержится информация, свободно распространяемая компанией Cisco. Стр. 2 из 7 Статья Нормативно- Название статьи Максимальная мера наказания правовой акт 5.27 КоАП Нарушение законодательства о труде 50.000 руб. + приостановление деятельности на срок до 90 суток + дисквалификация должностного лица до 3-х лет 5.39 КоАП Отказ в предоставлении или предоставление неполной или ложной информации, затрагивающей гражданина 1.000 руб 13.11 КоАП Нарушение порядка сбора, хранения, использования и распространения ПДн 10.000 руб

Стр. 2

Информационный бюллетень Таблица 1. Меры наказания за невыполнение требований законодательства по защите персональных данных (продолжение) Примечание: КОАП – Кодекс об административных правонарушениях УК – Уголовный Кодекс ТК – Трудовой Кодекс. Детальные технические требования по защите персональных данных Согласно перечисленным выше документам, выбор мероприятий и глубина их проработки по защите персональных данных зависит от типа и класса обрабатывающей их информационной системы. Полный список технических мер реализуется в виде соответствующих подсистем защиты персональных данных и выглядит следующим образом:

● обеспечение целостности, ● управление доступом, ● регистрация и учет, ● межсетевое экранирование, ● обнаружение вторжений, © Cisco Systems, Inc, 2007 г. С сохранением всех прав. В данном документе содержится информация, свободно распространяемая компанией Cisco. Стр. 3 из 7 Статья Нормативно- Название статьи Максимальная мера наказания правовой акт 13.12 КоАП Нарушение правил защиты или использование несертифицированных средств защиты или нарушение условий лицензии ФСТЭК / ФСБ 20.000 руб. + конфискация + приостановление деятельности на срок до 90 суток 13.13 КоАП Деятельность в области защиты ПДн без лицензии ФСТЭК / ФСБ 20.000 руб.

+ конфискация 13.14 КоАП Разглашение персональных данных 5.000 руб. 19.4 КоАП Невыполнение требований или воспрепятствование исполнению обязанностей ФСТЭК 10.000 руб. 19.5 КоАП Невыполнение в срок требований надзорного органа или ФСТЭК 500.000 руб. + дисквалификация должностного лица до 3-х лет 19.6 КоАП Непринятие мер по устранению нарушений 500 руб. 19.7 КоАП Непредставление или представление в неполном или искаженном виде в Россвязькомнадзор сведений об операторе ПДн 5.000 руб. 19.20 КоАП Осуществление деятельности без лицензии или с нарушением ее условий 20.000 руб. + приостановление деятельности на срок до 90 суток 137 УК Нарушение неприкосновенности частной жизни 300.000 руб.

+ исправительные работы на срок до 240 часов + арест до 6-ти месяцев 171 УК Незаконное предпринимательство 300.000 руб. + обязательные работы на срок до 1-го года + арест до 6-ти месяцев + лишение права занимать должность на срок до 5-ти лет 81 ТК Разглашение охраняемой законом тайны увольнение 90 ТК Нарушение норм получения, обработки и защиты ПДн увольнение 237 ТК Неправомерные действия или бездействия работодателя Размер возмещения морального ущерба определяет суд

Стр. 3

Информационный бюллетень ● антивирусная защита, ● анализ защищенности, ● криптографическая защита, ● защита от утечек по техническим каналам. Реализация законодательства по персональным данным с помощью Cisco Self-Defending Network Решения Cisco в области защиты объединены в стратегию самозащищающейся сети Cisco Self-Defending Network. Ее идея достаточно проста: в настоящее время поддержание целостности и конфиденциальности корпоративной информации, включая и персональные данные, а также непрерывности бизнеса в течение всего жизненного цикла бизнес- и организационных процессов является ключом к успеху любой компании.

Значение информации и контроля доступа к ней еще никогда не было так велико. Таким образом, задачей системы безопасности является предоставление своевременного доступа законным пользователям с одновременной возможностью обнаружения и предотвращения вторжений и иных нарушений безопасности на всех уровнях информационной системы. Современные сети должны реагировать на такие нарушения, сохраняя свою доступность, надежность и функциональность. Вместо того чтобы становиться жертвой, инфраструктура должна быть способна «поглощать» атаки и сохранять работоспособность, подобно иммунной системе человека, позволяющей организму функционировать при наличии в нем вирусов и бактериальных инфекций.

Рисунок 2. Стратегия самозащищающейся сети Cisco Self-Defending Network Концепция самозащищающейся сети Cisco Self-Defending Network — это сквозная стратегия корпоративной или ведомственной обороны, поскольку она является основой для защиты всех данных, приложений и бизнес-процессов. Она представляет собой основную составляющую стратегии организаций по управлению рисками нарушения информационной безопасности, поскольку она предоставляет комплексный и системный подход к проблеме сетевой безопасности, поддерживающий общепризнанные в отрасли механизмы контроля и передовые методы безопасности, соответствующие требованиям российских регуляторов.

Этот подход позволяет организациям защитить персональные данные, усовершенствовать механизмы управления операционными и информационными рисками и обеспечить их соответствие нормативным документам. © Cisco Systems, Inc, 2007 г. С сохранением всех прав. В данном документе содержится информация, свободно распространяемая компанией Cisco. Стр. 4 из 7

Стр. 4