Các cách bảo vệ dữ liệu cá nhân trong một tổ chức. Bảo vệ thông tin cá nhân

Một tập hợp các biện pháp có tính chất khác nhau, được thực hiện để chủ động chống lại khả năng truy cập trái phép vào dữ liệu cá nhân, bao gồm các biện pháp quản lý, bảo vệ phần cứng hiệu quả, tạo thành nền tảng cho Hệ thống bảo vệ dữ liệu cá nhân (PDPS) hoạt động hiệu quả.

Mục tiêu của việc giới thiệu một bộ biện pháp hoạt động đáng tin cậy là:

Tuân thủ chính xác các yêu cầu tuân thủ quy định Luật liên bang“Về việc bảo vệ dữ liệu cá nhân”, các quy định của pháp luật đã được phê duyệt đảm bảo mức độ bảo mật phù hợp cho dữ liệu cá nhân được sử dụng;

Xây dựng hướng dẫn quy định việc thực hiện các quy tắc nhất định khi chuyển đổi dữ liệu cá nhân đã sử dụng, đảm bảo sự bảo vệ của chúng.

• Những vấn đề cần giải quyết
• Thiết bị sử dụng
• Lĩnh vực ứng dụng

Việc phát triển và triển khai hệ thống bảo vệ dữ liệu cá nhân (PDSDS) là một chuỗi các hoạt động quản lý và kỹ thuật nhằm đảm bảo bảo vệ toàn diện thông tin được Luật Liên bang công nhận ngày 27 tháng 7. Dữ liệu cá nhân 2006 N 152-FZ.

Nhà điều hành, là các cơ quan chính phủ và doanh nghiệp thương mại thực hiện các hoạt động với dữ liệu cá nhân, quan tâm đến việc xử lý an toàn, từ đó nhận ra sự cần thiết phải triển khai hệ thống bảo vệ.

Có tính đến kinh nghiệm tích lũy trong quá trình thực hiện các dự án tạo SZPDn, có thể xác định được một số lợi thế quan trọng từ việc triển khai hệ thống:

Trước hết là giảm thiểu triệt để rủi ro pháp lý và danh tiếng phát sinh do không tuân thủ luật pháp hiện hành liên quan đến sự an toàn của dữ liệu cá nhân.

Điểm quan trọng thứ hai là việc xây dựng hệ thống bảo vệ dựa trên cơ sở khoa học cho phép bạn xử lý dữ liệu cá nhân của nhân viên và khách hàng mà không lo sợ cho sự an toàn của họ. Điều này có thể trở thành lợi thế cạnh tranh mạnh mẽ khi làm việc với thông tin bí mật của cá nhân và thông tin chỉ dành cho mục đích sử dụng chính thức (nội bộ). Một hệ thống bảo vệ an ninh được xây dựng tốt sẽ dễ dàng đối phó với các mối đe dọa phổ biến nhất - nó ngăn chặn tác động của phần mềm độc hại, ngăn chặn hành vi trộm cắp cơ sở dữ liệu khách hàng, điều thường được các nhân viên bị sa thải thực hiện.

Yếu tố thứ ba thúc đẩy việc triển khai PPSD hiệu quả là việc tạo ra hình ảnh của công ty về một đối tác đáng tin cậy, người có thể tin cậy để đảm bảo tính bảo mật của dữ liệu cá nhân.

Như các nhà phân tích chỉ ra, những vụ bê bối thường xuyên liên quan đến rò rỉ thông tin bí mật, buộc bạn phải chú ý đến hệ thống bảo mật khi lựa chọn đối tác đối tác. Các thỏa thuận hợp tác hoặc điều kiện đấu thầu đã trở nên phổ biến, đòi hỏi SPD phải tuân thủ các quy định hiện hành bằng văn bản.

Chúng ta không nên quên rằng một PPSD hiệu quả sẽ đảm bảo tính liên tục của tất cả các quy trình kinh doanh trong chính công ty, loại bỏ khả năng xảy ra khiếu nại của khách hàng, khiếu nại chính đáng của nhân viên và mệnh lệnh đe dọa từ các cơ quan giám sát theo quy định.

Các giai đoạn công việc để tuân thủ 152-FZ

1. Kiểm kê, phân tích đầy đủ về trạng thái cấu trúc thông tin liên quan đến việc xử lý dữ liệu cá nhân.

Việc kiểm tra trước dự án như vậy cung cấp thông tin khách quan về các quy trình liên quan đến việc xử lý dữ liệu cá nhân trong công ty và các biện pháp bảo vệ chúng. Các chuyên gia về Tầm nhìn Mở ở bắt buộc tất cả các tài liệu chính thức đều được kiểm tra, tính thường xuyên của các hoạt động được phát triển để tuân thủ các yêu cầu của khung pháp lý liên quan đến bảo mật dữ liệu được sử dụng trong công việc truy cập hạn chế.

2. Tạo ra khái niệm về hệ thống bảo mật được sử dụng để bảo vệ dữ liệu cá nhân, cung cấp cho khách hàng những khuyến nghị hợp lý để tối ưu hóa việc xử lý dữ liệu cá nhân và đảm bảo an toàn cho thông tin bí mật.

Ở giai đoạn làm việc này, các chuyên gia có trình độ sẽ đánh giá những lựa chọn khả thi thực hiện dự án, xác định điểm khởi đầu để thực hiện dự án và thiết lập những hạn chế nhất định về quy mô của dự án được đưa vào thực tế. Các vấn đề chính được xác định và cơ sở lý luận cho các giải pháp đề xuất được tạo ra. Khách hàng nhận được danh sách các thành phần phần mềm và phần cứng của hệ thống an toàn thông tin đang được phát triển, kèm theo thông tin bắt buộc về chi phí cho từng hạng mục.

3. Làm rõ mức độ thực sự bảo mật PD

Trong quá trình làm việc, loại mối đe dọa có thể có đối với dữ liệu cá nhân được bảo vệ sẽ được xác định, dựa trên hệ thống thông tin cụ thể, thành phần dự kiến ​​của dữ liệu cá nhân và số lượng đối tượng có thể có được chỉ định. Có tính đến toàn bộ khối lượng thông tin nhận được, trạng thái thực của hệ thống bảo mật dữ liệu cá nhân sẽ được xác định.

4. Phát triển mô hình các mối đe dọa có thể xảy ra đối với hệ thống bảo mật dữ liệu cá nhân, tạo mô hình kẻ tấn công

Tài liệu được cung cấp cho khách hàng là danh sách có hệ thống các mối đe dọa có thể xảy ra đối với tính bảo mật của dữ liệu cá nhân khi làm việc với họ trong hệ thông thông tinà dữ liệu cá nhân (ISPDn). Các mối đe dọa đối với tính bảo mật của dữ liệu cá nhân (PDS) có thể phát sinh do hành động cố ý hoặc vô tình của các cá nhân, hoạt động của các cơ quan tình báo nước ngoài hoặc các tổ chức chuyên gián điệp, các nhóm tội phạm chuyên biệt chuẩn bị tấn công bảo mật PD sẽ ảnh hưởng đến các quyền và quyền tự do của cả xã hội và nhà nước hoặc công dân.

5. Xây dựng Điều khoản tham chiếu cho việc xây dựng SZPDn

Thông số kỹ thuật cụ thể để xây dựng cấu trúc thông tin cụ thể của hệ thống bảo vệ dữ liệu xác định mục đích của nó, các mục tiêu theo đuổi, các yêu cầu hỗ trợ kỹ thuật và tổ chức, kế hoạch phát triển và tạo trực tiếp hệ thống bảo vệ dữ liệu.

6. Tạo dự án SZPDn

Tài liệu dự án được tạo ở giai đoạn triển khai SPDn này cung cấp cho công việc có tính đến các tiêu chuẩn về bảo mật dữ liệu với quyền truy cập hạn chế theo quy định.

7. Xây dựng tài liệu tổ chức và hành chính

Bộ tài liệu quy định các quy tắc xử lý và bảo vệ dữ liệu cá nhân bao gồm hàng chục quy định hành chính và tổ chức cần thiết để đảm bảo tất cả các quy trình làm việc và an toàn dữ liệu cá nhân tuân thủ các tiêu chuẩn của pháp luật hiện hành.

8. Cung cấp công cụ bảo mật thông tin phần mềm và phần cứng

Khách hàng được cung cấp các phần mềm và phần cứng để triển khai SPDn, đã được kiểm tra và tuân thủ các yêu cầu của pháp luật Liên bang Nga về các biện pháp bảo mật thông tin.

9. Lắp đặt, cấu hình thiết bị bảo vệ thông tin

Ở giai đoạn triển khai SZPDn này, thiết bị được cài đặt, phần mềm được cài đặt với các cài đặt phù hợp. Kết quả của công việc được thực hiện là khách hàng sẽ nhận được một bộ hệ thống bảo vệ thông tin tương thích với hệ thống đã sử dụng cấu trúc thông tinđể làm việc với PD.

10. Đánh giá hiệu quả của các biện pháp được thực hiện để tạo bảo vệ hiệu quả dữ liệu cá nhân

Việc xác định tính hiệu quả của các biện pháp bảo mật đã phát triển đối với dữ liệu bị hạn chế được thực hiện trước khi đưa hệ thống bảo vệ dữ liệu vào hoạt động. Việc kiểm tra kiểm soát hệ thống vận hành trong các công trình thương mại phải được thực hiện 3 năm một lần.

11. Chứng nhận ISPD đã qua sử dụng tuân thủ yêu cầu an toàn thông tin hiện đại

Chứng nhận ISPD bao gồm một bộ kiểm tra tổ chức và kỹ thuật (kiểm tra chứng nhận) nhằm xác nhận việc tuân thủ các yêu cầu bảo mật thông tin. Dành cho các tổ chức chính phủ.

Một trong những phân khúc đang phát triển nhanh chóng của thị trường CNTT trong nước là thương mại trực tuyến, nhờ tính dễ thực hiện về mặt kỹ thuật. của dự án này, minh bạch các quy trình kinh doanh. Thương mại điện tửđược công nhận là một loại hình kinh doanh hiệu quả và đầy hứa hẹn.

Vấn đề bảo mật thông tin cho các doanh nghiệp trên Internet không hề mất đi sự liên quan, ngược lại, số vụ hacker tấn công vào các tổ chức tài chính lớn đầu tư số tiền khổng lồ vào hệ thống bảo mật ngày càng gia tăng đòi hỏi phải có những biện pháp kịp thời. Đây là cách để đạt được điều này và ở mức chi phí có thể chấp nhận được.

Nhiều người, đặc biệt là ở giai đoạn đầu, không có cơ hội thu được số tiền đáng kể từ doanh thu bằng cách đầu tư vào hệ thống bảo mật thông tin. Hoạt động kinh doanh này còn mới, chưa biết những cạm bẫy có thể xảy ra và các đặc điểm cụ thể của hoạt động kinh doanh trên Internet đòi hỏi phải thay đổi liên tục.

Kết quả là, một hệ thống bảo mật được tạo ra, nhưng nó được phát triển “thông qua người quen” hoặc đặt hàng với một người làm việc tự do, tốt nhất là một studio web đã đăng ký chính thức. Đã mua lại rồi giải pháp làm sẵn nó cũng không thể được coi là cung cấp mức độ bảo mật nghiêm túc vì có nhiều câu hỏi về việc tích hợp nó vào cơ sở hạ tầng CNTT hiện có.

Hoặc có lẽ chúng ta nên suy nghĩ xem liệu hệ thống tương tự cung cấp mức độ bảo mật thích hợp? Bản thân doanh nhân có đủ trình độ chuyên môn cần thiết để xác định trình độ đào tạo của “hacker Internet” không? Công việc như vậy có thể giảm thiểu rủi ro có thể xảy ra? Thật không may, trong hầu hết các trường hợp, câu trả lời là không.

Mặc dù không có yêu cầu đặc biệt nghiêm ngặt nào từ phía người tiêu dùng về sự an toàn của dữ liệu cá nhân mà họ chuyển đến cửa hàng trực tuyến khi mua hàng, nhưng đây không thể là chỉ số chính để lựa chọn phương pháp tổ chức xử lý và lưu trữ dữ liệu đó. thông tin bí mật. Người mua thường không có cơ hội đánh giá hiệu quả hoạt động của việc bảo vệ dữ liệu cá nhân của mình. Có, hiện tại, đây không phải là điều đáng lo ngại, vì giá cả hấp dẫn, mô tả sản phẩm đẹp mắt và giao hàng ưu đãi đã đạt được mục tiêu của họ.

Hầu hết khán giả mua hàng thậm chí không thắc mắc họ gửi dữ liệu cá nhân của mình đi đâu. Đó có thể là một doanh nhân cá nhân hoặc một doanh nhân tư nhân đang phát triển hoạt động kinh doanh Internet của riêng mình. Hay đó là bộ phận web của một nhà bán lẻ lớn? điện tử dân dụng. Đương nhiên, thái độ bảo mật thông tin trong một chuỗi bán lẻ lớn nghiêm ngặt hơn so với một doanh nhân đôi khi phải giao hàng độc lập cho khách hàng.

Đáng chú ý là, bất chấp mối đe dọa đánh cắp thông tin bí mật ngày càng gia tăng, niềm tin vào thương mại trực tuyến vẫn không ngừng tăng lên. Người mua nhập thông tin về bản thân bằng cách điền vào mẫu đơn đặt hàng, đôi khi không cần lo lắng về việc nhân viên cửa hàng sẽ xử lý việc đó như thế nào. Hoặc có thể nhu cầu đối với các quy trình kinh doanh hiện tại không quá lớn?

Việc dư thừa dữ liệu được yêu cầu phải tuân theo Luật Liên bang-152, vì có sự khác biệt giữa tính chất và khối lượng thông tin nhận được với các nhiệm vụ xử lý hiện tại đối với các quy trình kinh doanh được cung cấp trong cửa hàng trực tuyến.

Trình độ phát triển kỹ thuật của thương mại Internet hiện đại cho phép giả định việc sử dụng hệ thống CRM, nhờ đó có thể lưu dữ liệu về khách hàng để tương tác sau này với họ và cung cấp sản phẩm mới. Nhưng điều này có cần thiết đối với mức độ tương tác sau bán hàng với người mua không?

Theo Luật Liên bang 152, thông tin cá nhân chỉ có thể được lưu trữ trong khoảng thời gian cần thiết để xử lý. Sau khi thực hiện mua hàng hoặc từ chối, tất cả dữ liệu cá nhân phải bị hủy vì việc lưu trữ chúng không tương ứng với các đặc điểm cụ thể của quy trình kinh doanh đang được thực hiện. Có nghi ngờ gì rằng thực tế không có ai làm việc này.

Luật Liên bang 152 có các điều khoản đe dọa đến sự tồn tại của thương mại trực tuyến. Bất kỳ cơ quan thanh tra nào cũng có thể yêu cầu chủ sở hữu cửa hàng trực tuyến cung cấp văn bản cho phép công dân sử dụng dữ liệu cá nhân của mình trong công việc. Không có ai cho phép tương tự trong viết không cung cấp, nhiều nhất họ chỉ giới hạn ở một lưu ý về việc làm quen với các quy định của cửa hàng.

Vì không cần phải tiếp xúc trực tiếp trong giao dịch trực tuyến, ngoại trừ cuộc gặp của người mua với người chuyển phát nhanh để giao hàng, nên việc tuân thủ Luật Liên bang số 152 chỉ có thể được đảm bảo bằng cách cá nhân hóa dữ liệu cá nhân của người tiêu dùng và điều này đòi hỏi phải điều chỉnh các quy trình kinh doanh hiện tại.

Không còn nghi ngờ gì nữa rằng một công cụ tiện lợi giúp đơn giản hóa việc truy cập vào nhiều dịch vụ thông tin các công ty, cổng thông tin doanh nghiệp được công nhận một cách chính đáng. Với mạng lưới chi nhánh và văn phòng phát triển nằm cách xa trụ sở chính và số lượng đối tác kinh doanh đáng kể, phương tiện liên lạc tối ưu là kết nối qua các kênh VPN có mức độ bảo mật phù hợp. Tuy nhiên, việc lựa chọn một giải pháp công nghệ cao như vậy khá tốn kém và không phải công ty nào cũng có được. Trong trường hợp không có tiền miễn phí cho kết nối an toàn, nhiều hơn nữa một cách đơn giản công việc là một điểm truy cập từ Internet.

Một tính năng đặc biệt của cổng thông tin công ty, thậm chí có tính đến cấp độ khác nhau cơ sở hạ tầng, là nơi lưu trữ cả thông tin bí mật của nhân viên, khách hàng của công ty và đối tác kinh doanh của pháp nhân, đồng thời lưu trữ thông tin tài chính của chính công ty, việc tiết lộ thông tin này có thể gây thiệt hại. Việc tổ chức hiệu quả tất cả các quy trình xử lý dữ liệu cá nhân phải tính đến việc các mục tiêu và phương pháp xử lý dữ liệu cho từng nhóm đối tượng là khác nhau. Đó là một cách tiếp cận khác biệt để chuyển đổi dữ liệu truy cập bị hạn chế cần được đưa vào khái niệm bảo mật doanh nghiệp.

Không còn nghi ngờ gì nữa, tình hình tài chính của công ty tạo ra một cổng thông tin công ty giúp thu hút các lập trình viên có kinh nghiệm cho công việc hoặc mua một giải pháp làm sẵn và được thử nghiệm nhiều lần. Tuy nhiên, không nên quên rằng bảo mật mã không phải là tham số duy nhất cần được tính đến khi phát triển hệ thống hiệu quả bảo mật thông tin. Qua nhìn chung, bảo mật thông tin phải được ban lãnh đạo công ty nhìn nhận là một phần không thể thiếu hệ thống chung bảo vệ.

Trong vài năm qua, số lượng người dùng mạng xã hội phổ biến trên RuNet đã tăng với tốc độ chưa từng thấy, vượt mốc 50 triệu. Lượng dữ liệu cá nhân khổng lồ được tích lũy trên mạng xã hội đòi hỏi phải có sự kiểm soát thích hợp, đó là điều mà các quy định của Luật Liên bang-152 yêu cầu.

Bất chấp ấn tượng đầu tiên rằng thông tin có sẵn trên mạng xã hội có thể được coi là “có sẵn công khai”, mỗi năm, lượng dữ liệu ngày càng tăng được pháp luật phân loại là “dữ liệu cá nhân bí mật”.

Việc trộm tài khoản mạng xã hội không phải là hiếm ở nước ngoài và ở Nga. Hàng trăm ngàn tài khoản có sẵn cho những kẻ tấn công. Số vụ tấn công của hacker trên mỗi truyền thông xã hội không giảm, các chuyên gia lưu ý rằng tội phạm mạng thường xuyên chú ý đến phần này của Internet.

Các âm mưu lừa đảo theo định hướng xã hội có tiềm năng lớn, sử dụng các cuộc tấn công lừa đảo, gửi thư rác và lừa đảo cho mục đích của chúng. Toàn bộ bộ công cụ của tội phạm mạng hiện đại này có thể dẫn đến việc đánh cắp dữ liệu bí mật, điều này được tạo điều kiện thuận lợi bởi sự cả tin và thiếu kinh nghiệm của con người. Quản trị viên phương tiện truyền thông xã hội cần tiến hành giám sát liên tục, xác định sự cố và loại bỏ hậu quả của chúng.

Dịch vụ ngân hàng Internet ngày càng trở nên phổ biến trong ngành ngân hàng Nga, hàng chục tổ chức tài chính cung cấp đầy đủ dịch vụ như vậy. Điều này là do thiếu một nền tảng tích hợp thống nhất và mức độ tự động hóa chưa đủ của nhiều tổ chức.

Giống như các ứng dụng web thông thường, các dịch vụ ngân hàng trực tuyến và hệ thống thanh toán điện tử đều dựa trên kiến ​​trúc máy khách-máy chủ chung. Người ta nhận thấy rằng “liên kết yếu” của sự tương tác như vậy chính xác là người dùng và những thiết bị mà người đó quản lý tài khoản của chính mình sử dụng.

Thật không may, người tiêu dùng không có cơ hội đánh giá khách quan tất cả những rủi ro chắc chắn phát sinh khi quản lý. tài khoản ngân hàng về khoảng cách. Chưa kể thực hiện các biện pháp phòng ngừa an toàn thích hợp. Vì vậy, các ngân hàng phải nâng cao kiến ​​thức của khách hàng về những vấn đề này.

Đáng chú ý là những kẻ tấn công chú ý đến ngân hàng Internet thường không nhằm mục đích đánh cắp tiền, vì các tổ chức tài chính cung cấp bảo mật tối đa cho các giao dịch mà để có được quyền truy cập vào dữ liệu cá nhân của khách hàng. Chính nhờ điều này mà các âm mưu lừa đảo với thẻ ngân hàng, các phương thức trộm cắp tài chính khác. Nhiều chuyên gia cho rằng trên thị trường chợ đen, việc ghi chép tài khoản khách hàng đơn giản cũng có giá trị riêng.

Thống kê cho thấy rõ ràng rằng việc tạo ra và vận hành dịch vụ ngân hàng Internet ở nhiều cơ cấu không tuân thủ các quy tắc và quy tắc của ngành. Thông thường, mỗi tổ chức tài chính đã phát triển nó một cách độc lập và các tiêu chuẩn hiện tại chỉ mang tính chất tư vấn.

Việc Luật Liên bang 152 có hiệu lực đã tạo ra những vấn đề đáng kể cho nhiều ngân hàng, do việc kiểm soát của cơ quan quản lý đối với sự an toàn của dữ liệu cá nhân đang được thắt chặt, điều này đòi hỏi phải cải thiện hệ thống bảo mật hiện có. Cho dù hiệp hội các ngân hàng có cố gắng trì hoãn việc bắt đầu áp dụng Luật Liên bang 152 như thế nào thì việc tuân thủ các quy định của nó vẫn trở nên cần thiết.

Được thông qua vào ngày 27 tháng 7 năm 2006 Luật liên bang số 152-FZ “Về dữ liệu cá nhân”để đảm bảo bảo vệ các quyền và tự do của con người và công dân khi xử lý dữ liệu cá nhân của mình, bao gồm cả việc bảo vệ quyền riêng tư, bí mật cá nhân và gia đình. Một trong những lý do dẫn đến việc áp dụng luật này là do có nhiều trường hợp đánh cắp cơ sở dữ liệu dữ liệu cá nhân trong các cơ quan chính phủ và thương mại cũng như việc bán chúng rộng rãi.

Thuật ngữ “dữ liệu cá nhân” có nghĩa là gì?

Định nghĩa về dữ liệu cá nhân (PD) cũng đã được tìm thấy trước khi luật được thông qua, chẳng hạn như trong “Danh sách thông tin bí mật” đã được phê duyệt Nghị định của Tổng thống Liên bang Nga số 188 ngày 6 tháng 3 năm 1997:

Thông tin bí mật bao gồm: thông tin về các sự kiện, sự kiện và hoàn cảnh trong đời sống riêng tư của một công dân, cho phép xác định danh tính của người đó (dữ liệu cá nhân), ngoại trừ thông tin có thể được phổ biến trên các phương tiện truyền thông đại chúng phương tiện thông tin đại chúng trong các trường hợp do luật liên bang quy định.

Tuy nhiên, luật pháp đã bổ sung nó. Bây giờ, theo FZ-152, dữ liệu cá nhân - bất kỳ thông tin nào liên quan đến một cá nhân được xác định hoặc xác định dựa trên thông tin đó (chủ đề của dữ liệu cá nhân), bao gồm họ, tên, họ bảo trợ, năm, tháng, ngày và nơi sinh, địa chỉ, gia đình, xã hội, địa vị tài sản, giáo dục, nghề nghiệp, thu nhập, các thông tin khác.

Như vậy, dữ liệu cá nhân trước hết là dữ liệu hộ chiếu, thông tin về tình trạng hôn nhân, thông tin về giáo dục, số TIN, giấy chứng nhận bảo hiểm hưu trí nhà nước, bảo hiểm y tế, thông tin về hoạt động công việc, tình trạng xã hội và tài sản, thông tin về thu nhập. Hầu như mọi tổ chức đều có dữ liệu như vậy.

Khi nộp đơn xin việc, đây là dữ liệu từ bộ phận nhân sự của nhà tuyển dụng, được nhân viên ghi trong thẻ cá nhân, tự truyện và các tài liệu khác điền khi ký kết hợp đồng lao động.

Khi trẻ vào mẫu giáo, trường học, đại học, v.v. cơ sở giáo dục Nhiều bảng câu hỏi và biểu mẫu cũng được điền vào, trong đó chỉ ra dữ liệu của cả đứa trẻ (ví dụ: dữ liệu giấy khai sinh) và cha mẹ của nó (cho đến nơi làm việc, chức vụ đang giữ).

Khi điều trị tại cơ sở y tế, không chỉ cần nêu rõ dữ liệu hộ chiếu mà còn phải cung cấp thông tin về quyền lợi, bảo hiểm y tế, thông tin về các phương pháp điều trị trước đó và kết quả xét nghiệm. Ở nhiều cơ sở y tế, hồ sơ bệnh nhân ngoại trú/nội trú được sao chép điện tử.

Và tất cả dữ liệu này, theo luật hiện hành, đều được bảo vệ.

Bắt đầu bảo vệ từ đâu, và nó có cần thiết không?

Tính bảo mật của dữ liệu cá nhân là yêu cầu bắt buộc đối với người điều hành hoặc người khác có quyền truy cập vào dữ liệu cá nhân để không cho phép phân phối dữ liệu đó mà không có sự đồng ý của chủ thể dữ liệu cá nhân hoặc sự hiện diện của cơ sở pháp lý khác ( FZ-152).

Nhà điều hành - cơ quan nhà nước, cơ quan thành phố, pháp nhân hoặc cá nhân tổ chức và/hoặc thực hiện việc xử lý dữ liệu cá nhân, cũng như xác định mục đích và nội dung của việc xử lý dữ liệu cá nhân ( FZ-152).

Hệ thống thông tin dữ liệu cá nhân (PDIS) là một hệ thống thông tin là tập hợp dữ liệu cá nhân có trong cơ sở dữ liệu, cũng như các công nghệ thông tin và phương tiện kỹ thuật, cho phép xử lý dữ liệu cá nhân đó bằng các công cụ tự động hóa hoặc không sử dụng các công cụ đó ( FZ-152).

Xử lý dữ liệu cá nhân là các hành động (thao tác) với dữ liệu cá nhân, bao gồm thu thập, hệ thống hóa, tích lũy, lưu trữ, làm rõ (cập nhật, thay đổi), sử dụng, phân phối (bao gồm cả chuyển giao), cá nhân hóa, chặn, hủy dữ liệu cá nhân ( FZ-152).

Khi xử lý dữ liệu cá nhân, nhà điều hành phải thực hiện mọi biện pháp tổ chức và kỹ thuật cần thiết để bảo vệ dữ liệu cá nhân khỏi bị truy cập trái phép hoặc vô tình, phá hủy, sửa đổi, chặn, sao chép, phân phối dữ liệu cá nhân cũng như khỏi các hành động trái pháp luật khác.

Cần phải làm gì để bảo vệ dữ liệu cá nhân?

Trước hết, cần xác định hệ thống thông tin dữ liệu cá nhân nào tồn tại và loại dữ liệu cá nhân nào được xử lý trong đó.

Phân loại hệ thống thông tin dữ liệu cá nhân

Để hiểu tầm quan trọng của vấn đề bảo vệ dữ liệu cá nhân và cũng để chọn phương pháp cần thiết và các phương pháp bảo vệ dữ liệu cá nhân, nhà điều hành cần phân loại hệ thống thông tin. Thứ tự phân loại được xác định theo đơn đặt hàng FSTEC của Nga, FSB của Nga và Bộ Thông tin và Truyền thông Nga số 55/86/20 ngày 13 tháng 2 năm 2008.

Vì vậy, nhà điều hành thành lập một ủy ban (theo lệnh của người đứng đầu tổ chức), sau khi phân tích dữ liệu ban đầu sẽ đưa ra quyết định chỉ định lớp thích hợp cho ISPD. Trong quá trình phân loại, những điều sau đây được xác định:

• danh mục dữ liệu cá nhân được xử lý;
• khối lượng dữ liệu cá nhân được xử lý;
• loại hệ thống thông tin;
• cấu trúc của hệ thống thông tin và vị trí của các phương tiện kỹ thuật;
• chế độ xử lý dữ liệu cá nhân;
• các chế độ phân định quyền truy cập của người dùng;
• Sự sẵn có của các kết nối với mạng sử dụng chung và (hoặc) mạng lưới trao đổi thông tin quốc tế.

Dựa theo đơn hàng số 55/86/20, tất cả các hệ thống thông tin (IS) được chia thành tiêu chuẩn và đặc biệt.

Hệ thống thông tin điển hình là hệ thống thông tin chỉ yêu cầu đảm bảo tính bảo mật của dữ liệu cá nhân.

Hệ thống thông tin đặc biệt là hệ thống thông tin trong đó, bất kể nhu cầu đảm bảo tính bảo mật của dữ liệu cá nhân, cần phải đảm bảo ít nhất một trong các đặc điểm bảo mật của dữ liệu cá nhân ngoài tính bảo mật (bảo vệ khỏi bị phá hủy, sửa đổi, chặn, v.v.) như các hành động trái phép khác).

Trên thực tế, hóa ra thực tế không có hệ thống thông tin tiêu chuẩn nào, vì trong hầu hết các trường hợp, ngoài tính bảo mật, việc đảm bảo tính toàn vẹn và sẵn có của thông tin cũng cần thiết. Ngoài ra, các hệ thống đặc biệt phải bao gồm:

• hệ thống thông tin trong đó dữ liệu cá nhân liên quan đến tình trạng sức khỏe của chủ thể dữ liệu cá nhân được xử lý;
• hệ thống thông tin cung cấp sự chấp nhận chỉ dựa trên xử lý tự động các quyết định về dữ liệu cá nhân làm phát sinh hậu quả pháp lý liên quan đến chủ thể dữ liệu cá nhân hoặc ảnh hưởng đến quyền và lợi ích hợp pháp của người đó.

Vì vậy, dựa trên kết quả phân tích dữ liệu ban đầu, ủy ban sẽ chỉ định lớp tương ứng cho hệ thống dữ liệu cá nhân:

lớp 1 (K1) - hệ thống thông tin vi phạm đặc điểm nhất định tính bảo mật của dữ liệu cá nhân được xử lý trong đó có thể dẫn đến hậu quả tiêu cực đáng kể cho chủ thể của dữ liệu cá nhân;

loại 2 (K2) - hệ thống thông tin vi phạm các đặc điểm bảo mật cụ thể của dữ liệu cá nhân được xử lý trong đó có thể dẫn đến hậu quả tiêu cực cho chủ thể của dữ liệu cá nhân;

loại 3 (K3) - hệ thống thông tin vi phạm các đặc điểm bảo mật cụ thể của dữ liệu cá nhân được xử lý trong đó có thể dẫn đến hậu quả tiêu cực nhỏ cho chủ thể của dữ liệu cá nhân;

loại 4 (K4) - hệ thống thông tin vi phạm các đặc điểm bảo mật cụ thể của dữ liệu cá nhân được xử lý trong đó không dẫn đến hậu quả tiêu cực cho chủ thể của dữ liệu cá nhân.

Kết quả phân loại được ghi lại trong Đạo luật phân loại ISPD, trong đó chỉ ra loại ISPD (tiêu chuẩn, đặc biệt), loại được chỉ định cho ISPD và các điều kiện trên cơ sở đưa ra quyết định.

Như đã đề cập, việc phân loại là cần thiết để lựa chọn thêm các phương pháp và phương tiện bảo vệ dữ liệu cá nhân được xử lý trong ISPD, vì các tài liệu của FSTEC và FSB thiết lập mỗi lớp với các yêu cầu riêng để bảo vệ ISPD mà chúng ta sẽ nói đến sau.

Sự đồng ý của PD để xử lý

Tiếp theo, bạn cần tiến hành xử lý dữ liệu này, nhưng trước khi việc xử lý chúng là hợp pháp, cần phải có sự đồng ý của chủ thể dữ liệu cá nhân để xử lý (do đó luật pháp ngăn chặn việc thu thập và sử dụng bất hợp pháp dữ liệu cá nhân):

Điều 6 của Luật Liên bang-152:

Việc xử lý dữ liệu cá nhân có thể được thực hiện bởi nhà điều hành với sự đồng ý của chủ thể dữ liệu cá nhân, ngoại trừ các trường hợp sau:

1) việc xử lý dữ liệu cá nhân được thực hiện trên cơ sở luật liên bang quy định mục đích của nó, các điều kiện để lấy dữ liệu cá nhân và phạm vi đối tượng có dữ liệu cá nhân phải xử lý, cũng như xác định quyền hạn của nhà điều hành;

2) việc xử lý dữ liệu cá nhân được thực hiện nhằm mục đích thực hiện hợp đồng, một trong các bên là đối tượng của dữ liệu cá nhân;

3) việc xử lý dữ liệu cá nhân được thực hiện cho mục đích thống kê hoặc khoa học khác, với điều kiện bắt buộc phải ẩn danh dữ liệu cá nhân;

4) việc xử lý dữ liệu cá nhân là cần thiết để bảo vệ tính mạng, sức khỏe hoặc các lợi ích quan trọng khác của chủ thể dữ liệu cá nhân, nếu không thể có được sự đồng ý của chủ thể dữ liệu cá nhân;

5) việc xử lý dữ liệu cá nhân là cần thiết để phân phối bưu phẩm tổ chức dịch vụ bưu chính, để các nhà khai thác viễn thông giải quyết với người sử dụng dịch vụ liên lạc về các dịch vụ liên lạc được cung cấp, cũng như xem xét các khiếu nại từ người sử dụng dịch vụ liên lạc;

6) việc xử lý dữ liệu cá nhân được thực hiện vì mục đích hoạt động nghề nghiệp của nhà báo hoặc vì mục đích hoạt động khoa học, văn học hoặc sáng tạo khác, với điều kiện là các quyền và quyền tự do của chủ thể dữ liệu cá nhân không bị vi phạm;

7) dữ liệu cá nhân phải công bố theo luật liên bang sẽ được xử lý, bao gồm dữ liệu cá nhân của những người nắm giữ các vị trí trong chính phủ, các vị trí trong cơ quan dân sự tiểu bang, dữ liệu cá nhân của các ứng cử viên cho các vị trí được bầu ở tiểu bang hoặc thành phố.

Vì vậy, nếu trường hợp xử lý dữ liệu cá nhân của chúng tôi được quy định trong Phần 2 Điều 6 của Luật Liên bang số 152 thì việc xin phép là không cần thiết.

Cũng cần được hướng dẫn Bộ luật Lao động, Chương 14. Ví dụ: người sử dụng lao động có quyền nhận và xử lý dữ liệu về đời sống riêng tư của nhân viên chỉ khi có sự đồng ý bằng văn bản của anh ta ( Điều 86 phần 4 Bộ luật Lao động).

Dựa theo Điều 9 của Luật Liên bang-152 Cần phải có sự đồng ý của chủ thể dữ liệu cá nhân để xử lý dữ liệu cá nhân của mình bằng văn bản. Sự đồng ý bằng văn bản của chủ thể dữ liệu cá nhân phải bao gồm:

Họ, tên, tên đệm, địa chỉ của chủ thể dữ liệu cá nhân, số tài liệu chính chứng minh danh tính của người đó, thông tin về ngày cấp của tài liệu được chỉ định và cơ quan cấp;

Tên (họ, tên, tên đệm) và địa chỉ của người điều hành nhận được sự đồng ý của chủ thể dữ liệu cá nhân;

Mục đích xử lý dữ liệu cá nhân;

Danh sách dữ liệu cá nhân để xử lý được sự đồng ý của chủ thể dữ liệu cá nhân;

Danh sách các hành động với dữ liệu cá nhân được chấp thuận, mô tả chung các phương pháp được nhà điều hành sử dụng để xử lý dữ liệu cá nhân;

Khoảng thời gian mà sự đồng ý có hiệu lực, cũng như thủ tục rút lại sự đồng ý.

Quy định quy định thủ tục xử lý và bảo vệ dữ liệu cá nhân

Vì vậy, nhà điều hành đã nhận được sự đồng ý (nếu cần) cho việc xử lý dữ liệu cá nhân - dữ liệu cá nhân có thể được xử lý. Nhưng, theo Bộ luật lao động Và FZ-152 cần xây dựng (nếu có, hoàn thiện theo quy định của Luật Liên bang) quy định về thủ tục lưu trữ, xử lý và bảo vệ dữ liệu cá nhân. Hãy gọi nó là Quy định về đảm bảo an toàn dữ liệu cá nhân. Quy định về đảm bảo an toàn dữ liệu cá nhân là văn bản nội bộ (cục bộ) của tổ chức. Văn bản này không có hình thức chặt chẽ nhưng phải đáp ứng yêu cầu TK Và FZ-152, và do đó, nó phải chỉ ra:

Quy định về bảo đảm an toàn thông tin cá nhân được người đứng đầu tổ chức hoặc người được người đứng đầu ủy quyền phê duyệt và có hiệu lực thi hành theo lệnh của người đứng đầu. Người sử dụng lao động có nghĩa vụ cho nhân viên làm quen với Quy định chống lại chữ ký.

Danh sách những người được phép xử lý dữ liệu cá nhân

Ngoài ra, cần lập danh sách những người được phép xử lý dữ liệu cá nhân, tức là. danh sách những người (theo chức vụ) cần truy cập vào dữ liệu cá nhân để thực hiện nhiệm vụ chính thức của mình. Trước hết, đây là những nhân viên dịch vụ nhân sự, vì họ thu thập và tạo ra dữ liệu về nhân viên cũng như nhân viên kế toán. Ngoài ra, người đứng đầu các đơn vị cơ cấu (ví dụ: trưởng phòng ban) có thể truy cập thông tin này - và điều này cũng cần được phản ánh trong danh sách. Tuy nhiên, tất cả họ đều có quyền yêu cầu không phải bất kỳ dữ liệu nào mà chỉ những dữ liệu cần thiết để thực hiện các chức năng công việc cụ thể (ví dụ: để tính lợi ích về thuế, bộ phận kế toán sẽ không nhận được tất cả thông tin về nhân viên mà chỉ nhận được dữ liệu về số người phụ thuộc của anh ta). Vì vậy, nên viết ra một danh sách tài nguyên thông tin, mà người dùng được phép.

Danh sách những người được ủy quyền xử lý dữ liệu cá nhân có thể được lập dưới dạng phụ lục của Quy định về đảm bảo an toàn dữ liệu cá nhân hoặc một tài liệu riêng biệt, được người quản lý phê duyệt.

Thông báo Roskomnadzor

Hơn nữa theo quy định của Điều 22 FZ-152 Trước khi xử lý dữ liệu cá nhân, nhà điều hành có nghĩa vụ thông báo cho cơ quan có thẩm quyền để bảo vệ quyền của chủ thể dữ liệu cá nhân (ngày nay là Dịch vụ Giám sát Truyền thông, Công nghệ Thông tin và Liên bang). các phương tiện thông tin đại chúng(Roskomnadzor)) về ý định xử lý PD, ngoại trừ các trường hợp được quy định Phần 2 Điều 22 Luật Liên bang-152:

Nhà điều hành có quyền xử lý dữ liệu cá nhân mà không cần thông báo cho cơ quan có thẩm quyền để bảo vệ quyền lợi của chủ thể dữ liệu cá nhân:

1) liên quan đến chủ thể dữ liệu cá nhân có mối quan hệ lao động với nhà điều hành;

2) được nhà điều hành nhận được liên quan đến việc ký kết thỏa thuận mà chủ thể dữ liệu cá nhân là một bên, nếu dữ liệu cá nhân không được phân phối hoặc cung cấp cho bên thứ ba mà không có sự đồng ý của chủ thể dữ liệu cá nhân và được sử dụng bởi nhà điều hành chỉ để thực hiện thỏa thuận đã chỉ định và ký kết hợp đồng với chủ thể dữ liệu cá nhân;

3) liên quan đến các thành viên (người tham gia) của một hiệp hội công cộng hoặc tổ chức tôn giáo và được xử lý bởi hiệp hội công cộng hoặc tổ chức tôn giáo có liên quan hoạt động theo luật pháp của Liên bang Nga, để đạt được các mục đích hợp pháp được quy định trong các tài liệu cấu thành của họ, với điều kiện là dữ liệu cá nhân sẽ không được phổ biến nếu không có sự đồng ý bằng văn bản của chủ thể dữ liệu cá nhân;

4) là dữ liệu cá nhân được cung cấp công khai;

5) chỉ bao gồm họ, tên và tên viết tắt của chủ thể dữ liệu cá nhân;

6) cần thiết cho mục đích nhập một lần đối tượng dữ liệu cá nhân vào lãnh thổ nơi nhà điều hành đặt trụ sở hoặc cho các mục đích tương tự khác;

7) được đưa vào các hệ thống thông tin dữ liệu cá nhân, theo luật liên bang, có trạng thái là hệ thống thông tin tự động của liên bang, cũng như trong các hệ thống thông tin dữ liệu cá nhân của tiểu bang được tạo ra để bảo vệ an ninh tiểu bang và trật tự công cộng;

8) được xử lý mà không sử dụng các công cụ tự động hóa theo luật liên bang hoặc các đạo luật pháp lý quy định khác của Liên bang Nga thiết lập các yêu cầu để đảm bảo an toàn cho dữ liệu cá nhân trong quá trình xử lý và tôn trọng quyền của chủ thể dữ liệu cá nhân

Yêu cầu thông báo được quy định tại Phần 3 Điều 22 FZ-152. Bạn có thể điền biểu mẫu thông báo xử lý (về ý định xử lý) dữ liệu cá nhân bằng điện tử trên trang web Roskomnadzor: http://rsoc.ru/personal-data/p181/

Bây giờ bạn có thể bắt đầu xử lý dữ liệu cá nhân, đồng thời giải quyết vấn đề khó khăn và rắc rối nhất - đảm bảo tính bảo mật của dữ liệu cá nhân trong quá trình xử lý.

Đảm bảo tính bảo mật của dữ liệu cá nhân trong quá trình xử lý

Các biện pháp bảo vệ thông tin tốn nhiều công sức và có thể dẫn đến chi phí tài chính đáng kể do cần phải:

Nhận (nếu cần) giấy phép bảo vệ kỹ thuật thông tin bí mật Thông tin FSTEC Nga;

Mời người được FSTEC cấp phép của Nga thực hiện các biện pháp nhằm tạo ra hệ thống bảo vệ ISPD và/hoặc chứng nhận hệ thống đó theo yêu cầu bảo mật thông tin;

Cử nhân viên chịu trách nhiệm đảm bảo an toàn thông tin tham gia các khóa đào tạo nâng cao về vấn đề an toàn thông tin và/hoặc thuê chuyên gia bảo mật thông tin;

Cài đặt được chứng nhận theo yêu cầu Quỹ FSTEC bảo vệ thông tin (IPI), phương tiện bảo vệ thông tin mật mã (CIPF) được FSB chứng nhận tùy thuộc vào loại ISPDn.

Một số việc bạn có thể tự làm, nhưng ở những việc khác, tốt hơn hết bạn nên tin tưởng vào các chuyên gia. Nhưng cần phải bảo vệ dữ liệu cá nhân, bằng cách này hay cách khác.

Điều 19, Luật Liên bang-152:

Khi xử lý dữ liệu cá nhân, nhà điều hành có nghĩa vụ thực hiện các biện pháp tổ chức và kỹ thuật cần thiết để bảo vệ dữ liệu cá nhân khỏi bị truy cập trái phép hoặc vô tình, phá hủy, sửa đổi, chặn, sao chép, phân phối dữ liệu cá nhân cũng như khỏi các hành động trái pháp luật khác.

• “Các quy định về đảm bảo an toàn dữ liệu cá nhân trong quá trình xử lý trong hệ thống thông tin dữ liệu cá nhân” đã được phê duyệt theo Nghị định của Chính phủ Liên bang Nga số 781 ngày 17 tháng 11 năm 2007.
• “Quy định về đặc thù của việc xử lý dữ liệu cá nhân được thực hiện mà không sử dụng các công cụ tự động hóa” đã được phê duyệt theo Nghị định của Chính phủ Liên bang Nga số 687 ngày 15 tháng 9 năm 2008.
• “Yêu cầu đối với phương tiện truyền thông vật chất dữ liệu sinh trắc học cá nhân và công nghệ lưu trữ dữ liệu đó bên ngoài hệ thống thông tin dữ liệu cá nhân”, được phê duyệt bởi Nghị định của Chính phủ Liên bang Nga số 512 ngày 6 tháng 7 năm 2008.
• Các yêu cầu và khuyến nghị đặc biệt về bảo vệ kỹ thuật thông tin bí mật (STR-K), được phê duyệt theo lệnh của Ủy ban Kỹ thuật Nhà nước Nga số 282 ngày 30 tháng 8 năm 2002 (DSP)
• Mô hình cơ bản về các mối đe dọa đối với tính bảo mật của dữ liệu cá nhân trong quá trình xử lý chúng trong hệ thống thông tin dữ liệu cá nhân ngày 15 tháng 2 năm 2008 (Trích xuất, khi xem xét các mối đe dọa rò rỉ thông tin qua các kênh bên bức xạ điện từ và nhiễu (PEMIN) phải được sử dụng phiên bản đầy đủ của tài liệu này - ván dăm)
• Phương pháp xác định các mối đe dọa hiện tại đối với tính bảo mật của dữ liệu cá nhân trong quá trình xử lý chúng trong hệ thống thông tin dữ liệu cá nhân ngày 15 tháng 2 năm 2008 (Dấu “để sử dụng chính thức” đã bị xóa theo Quyết định của FSTEC ngày 16 tháng 11 năm 2009)
• Khuyến nghị về đảm bảo an toàn dữ liệu cá nhân trong quá trình xử lý trong hệ thống thông tin dữ liệu cá nhân ngày 15 tháng 2 năm 2008 (Dấu “sử dụng chính thức” đã bị xóa theo Quyết định của FSTEC ngày 11 tháng 11 năm 2009)
• Các biện pháp chính để tổ chức và đảm bảo về mặt kỹ thuật an toàn dữ liệu cá nhân được xử lý trong hệ thống thông tin dữ liệu cá nhân ngày 15 tháng 2 năm 2008 (Dấu “sử dụng chính thức” đã bị xóa theo Quyết định của FSTEC ngày 11 tháng 11 năm 2009)
• Khuyến nghị về phương pháp để đảm bảo an toàn cho dữ liệu cá nhân bằng các công cụ mật mã khi xử lý chúng trong hệ thống thông tin dữ liệu cá nhân bằng các công cụ tự động hóa. FSB, ngày 21 tháng 2 năm 2008
• Các yêu cầu tiêu chuẩn để tổ chức và đảm bảo chức năng mã hóa (mật mã) có nghĩa là được thiết kế để bảo vệ thông tin không chứa thông tin cấu thành bí mật nhà nước trong trường hợp sử dụng chúng để đảm bảo an toàn cho dữ liệu cá nhân trong quá trình xử lý trong hệ thống thông tin dữ liệu cá nhân. FSB, ngày 21 tháng 2 năm 2008

Chúng tôi sẽ không xem xét chi tiết tất cả các yêu cầu phải đáp ứng để đảm bảo tính bảo mật của dữ liệu cá nhân khi được xử lý trong ISPD - có rất nhiều yêu cầu trong số đó và chúng phụ thuộc rất nhiều vào ISPD cụ thể. Chúng ta hãy tập trung vào những điểm chính thường gây khó khăn cho người vận hành.

Giấy phép - để có được hay không để có được?

Pháp luật cũng như các tài liệu của FSTEC cho chúng tôi biết những điều sau:

Điều 16, phần 6 của Luật Liên bang-149“Về thông tin, công nghệ thông tin và bảo vệ thông tin” ngày 27/7/2006:

Luật liên bang có thể thiết lập các hạn chế đối với việc sử dụng một số công cụ bảo mật thông tin nhất định và việc thực hiện một số loại hoạt động nhất định trong lĩnh vực bảo mật thông tin.

Điều 17, phần 1, khoản 11 của Luật Liên bang-128“Về việc cấp phép một số loại hoạt động” ngày 8/8/2001:

Theo Luật Liên bang này, việc cấp phép phải tuân theo các loại sau hoạt động: các hoạt động bảo vệ kỹ thuật thông tin bí mật.

Nghị định của Chính phủ Liên bang Nga số 504“Về việc cấp phép cho hoạt động bảo vệ kỹ thuật thông tin bí mật” ngày 15 tháng 8 năm 2006.

Bảo vệ kỹ thuật đối với thông tin bí mật được hiểu là một tập hợp các biện pháp và (hoặc) dịch vụ để bảo vệ thông tin đó khỏi bị truy cập trái phép, bao gồm thông qua các kênh kỹ thuật, cũng như khỏi những ảnh hưởng đặc biệt lên thông tin đó nhằm mục đích phá hủy, bóp méo hoặc chặn quyền truy cập vào thông tin đó. Nó.

Các sự kiện chính của FSTEC

Điều 3.14

Theo quy định của Luật Liên bang số 128 “Về cấp phép một số loại hoạt động” và các yêu cầu của Nghị định Chính phủ số 504 “Về cấp phép hoạt động bảo vệ kỹ thuật thông tin bí mật”, nhà điều hành ISPDn khi thực hiện các biện pháp để đảm bảo bảo mật dữ liệu cá nhân (thông tin bí mật) trong quá trình xử lý ở các lớp ISPDn 1, 2 và 3 (hệ thống phân tán) phải có giấy phép thực hiện các hoạt động bảo vệ kỹ thuật thông tin bí mật theo cách thức quy định.

Ngoài ra, người đứng đầu bộ phận FSTEC của Nga, Igor Grigorievich NAZAROV, đã trả lời câu hỏi về sự cần thiết phải có giấy phép tại bàn tròn do tạp chí “Connect! Thế giới Truyền thông" (http://www.connect.ru/article.asp?id=9406):

Câu hỏi: Các nhà khai thác xử lý dữ liệu cá nhân trong ISPD có cần phải xin giấy phép để bảo vệ kỹ thuật thông tin bí mật không?

Igor Nazarov: Theo các tài liệu của FSTEC, cần có giấy phép đối với các nhà khai thác dữ liệu cá nhân thực hiện độc lập các hoạt động đó trên hệ thống thông tin loại 1, loại 2 và hệ thống phân tán theo địa lý loại 3, theo quy định, đây là những hệ thống thông tin lớn của nhà nước. Đồng thời, đối với các phòng khám, nhà trẻ, nhà thuốc, v.v. có ISPD hạng 3 và 4 thì không cần phải có giấy phép đó.

Theo Nghị định của Chính phủ Liên bang Nga ngày 17 tháng 11 năm 2007 số 781, nếu nhà điều hành ISPDn ký kết thỏa thuận thực hiện các biện pháp liên quan về bảo vệ thông tin (PD) với người được ủy quyền - người được cấp phép của FSTEC của Nga thì không bắt buộc phải có giấy phép.

Vì vậy đối với tổ chức nhỏ Thay vì xin giấy phép FSTEC cho TZKI, sẽ hiệu quả hơn về mặt chi phí nếu thuê người được cấp phép FSTEC, người sẽ thực hiện tất cả các công việc cần thiết để thực hiện các biện pháp đảm bảo an toàn cho dữ liệu cá nhân (tạo hệ thống bảo vệ ISPD, chứng nhận) .

Đối với các tổ chức lớn (như nhà khai thác viễn thông, ngân hàng lớn, v.v.), việc tự mình xin giấy phép và thực hiện tất cả các công việc cần thiết sẽ có lợi hơn.

Thủ tục cấp phép thực hiện hoạt động bảo vệ kỹ thuật thông tin mật được xác định “Quy định về cấp phép hoạt động bảo vệ kỹ thuật thông tin mật"(được phê duyệt theo Nghị định của Chính phủ Liên bang Nga ngày 15 tháng 8 năm 2006 số 504). Yêu cầu để có được giấy phép:

a) sự hiện diện trong đội ngũ nhân viên của người xin giấy phép (người được cấp phép) của các chuyên gia có trình độ học vấn cao hơn giáo dục chuyên nghiệp trong lĩnh vực kỹ thuật an toàn thông tin hoặc giáo dục nghề (kỹ thuật) cao hơn hoặc trung cấp và những người đã được đào tạo lại hoặc đào tạo nâng cao về các vấn đề kỹ thuật an toàn thông tin;

b) sự hiện diện của cơ sở dành cho người nộp đơn xin cấp phép (người được cấp phép) để thực hiện các hoạt động được cấp phép tuân thủ các tiêu chuẩn và yêu cầu kỹ thuật về bảo vệ thông tin kỹ thuật được thiết lập theo các hành vi pháp lý quy định của Liên bang Nga và thuộc sở hữu của người đó theo quyền sở hữu hoặc trên cơ sở pháp lý khác;

c) sự hiện diện, trên bất kỳ cơ sở pháp lý nào, của thiết bị sản xuất, thử nghiệm và kiểm soát đã trải qua quá trình xác minh (hiệu chuẩn), đánh dấu và chứng nhận đo lường theo luật pháp của Liên bang Nga;

đ) sử dụng hệ thống tự động xử lý thông tin bí mật cũng như các phương tiện bảo vệ thông tin đó đã vượt qua quy trình đánh giá sự phù hợp (được chứng nhận và (hoặc) chứng nhận theo yêu cầu bảo mật thông tin) theo luật pháp của Liên bang Nga;

e) việc sử dụng các chương trình máy tính điện tử và cơ sở dữ liệu nhằm thực hiện các hoạt động được cấp phép trên cơ sở thỏa thuận với người giữ bản quyền;

f) sự sẵn có của các hành vi pháp lý quy định, các tài liệu quy định, phương pháp luận và phương pháp luận về các vấn đề bảo vệ thông tin kỹ thuật theo danh sách do Dịch vụ Kiểm soát Kỹ thuật và Xuất khẩu Liên bang thiết lập.

Các giai đoạn tạo SZPDn

Dựa theo Những sự kiện chính về tổ chức và hỗ trợ kỹ thuật bảo mật dữ liệu cá nhân được xử lý trong hệ thống thông tin dữ liệu cá nhân do FSTEC ban hành, việc tạo hệ thống bảo vệ dữ liệu cá nhân (PDPS) bao gồm các giai đoạn sau:

1 Giai đoạn tiền dự án

1.1 Kiểm tra đối tượng tin học hóa:

• thiết lập nhu cầu xử lý PD trong ISPD;
• xác định danh sách dữ liệu cá nhân cần bảo vệ;
• xác định các điều kiện về vị trí của ISPD so với ranh giới của vùng kiểm soát (CA);
• xác định cấu hình và cấu trúc liên kết của ISPD nói chung và của nó các thành phần riêng lẻ; kết nối vật lý, chức năng và công nghệ cả trong ISPD và với các hệ thống khác nhiều cấp độ khác nhau và các cuộc hẹn;
• xác định các phương tiện và hệ thống kỹ thuật được sử dụng trong ISPD được bảo vệ, các điều kiện về vị trí của chúng;
• định nghĩa toàn hệ thống, đặc biệt và áp dụng phần mềm, được sử dụng trong ISPD được bảo vệ;
• xác định phương thức xử lý thông tin trong ISPD nói chung và từng thành phần riêng lẻ;
• thực hiện việc phân loại ISPD;
• xác định mức độ tham gia của nhân viên vào quá trình xử lý (thảo luận, truyền tải, lưu trữ) thông tin, tính chất tương tác của họ với nhau;
• xác định và tổng hợp danh sách các lỗ hổng, mối đe dọa an toàn thông tin, đánh giá mức độ liên quan của các mối đe dọa an toàn thông tin;
• phát triển người mẫu riêng các mối đe dọa.

1.2 xây dựng các thông số kỹ thuật để tạo ra SZPD, trong đó phải bao gồm:

• chứng minh sự cần thiết phải phát triển SPDn;
• dữ liệu nguồn của ISPD về mặt kỹ thuật, chương trình, thông tin và tổ chức;
• lớp ISPDn;
• một liên kết đến các tài liệu quy định, có tính đến việc SPPD sẽ được phát triển và ISPD được chấp nhận đi vào hoạt động;
• đặc tả các hoạt động và yêu cầu đối với SPDn;
• danh sách các công cụ bảo mật thông tin đã được chứng nhận để sử dụng;
• biện minh cho việc phát triển các công cụ bảo mật thông tin của riêng chúng tôi nếu việc sử dụng các công cụ bảo mật thông tin được chứng nhận có sẵn trên thị trường là không thể hoặc không thực tế;
• thành phần, nội dung và thời gian làm việc ở các giai đoạn xây dựng và triển khai SPDn.

2. Giai đoạn thiết kế và triển khai SZPDn

2.1 phát triển dự án tạo SZPDn;

2.2 xây dựng các biện pháp tổ chức và kỹ thuật để bảo vệ thông tin phù hợp với yêu cầu;

2.3 mua các công cụ bảo mật thông tin được chứng nhận;

2.4 phát triển và triển khai hệ thống giấy phép để người dùng và nhân viên tiếp cận thông tin được xử lý trong ISPD;

2.5 cài đặt và cấu hình thông tin và thiết bị thông tin;

2.6 xác định các bộ phận và người chịu trách nhiệm vận hành các phương tiện bảo mật thông tin, đào tạo những người được chỉ định về các công việc cụ thể để bảo vệ dữ liệu cá nhân;

2.7 phát triển tài liệu vận hành cho ISPD và các công cụ bảo mật thông tin, cũng như tài liệu về tổ chức và hành chính về bảo mật thông tin (quy định, lệnh, hướng dẫn và các tài liệu khác);

2.8 thực hiện các biện pháp khác nhằm bảo vệ thông tin.

3. Giai đoạn thực thi SZPDn

3.1 vận hành thử các công cụ bảo mật thông tin kết hợp với phần cứng và phần mềm khác để kiểm tra hiệu suất của chúng như một phần của ISPD;

3.2 các cuộc kiểm tra nghiệm thu thiết bị an toàn thông tin dựa trên kết quả vận hành thử nghiệm có thực hiện chứng chỉ nghiệm thu;

3.3 đánh giá sự tuân thủ của ISPD với các yêu cầu về an toàn thông tin - chứng nhận (tuyên bố) theo yêu cầu về an toàn thông tin.

4. Bảo trì, hỗ trợ hệ thống an toàn thông tin

Tài liệu tổ chức và hành chính để bảo vệ dữ liệu cá nhân

Ngoài các giải pháp kỹ thuật cho hệ thống bảo vệ dữ liệu cá nhân đang được tạo ra, nhà điều hành phải đảm bảo xây dựng các tài liệu tổ chức và hành chính sẽ điều chỉnh tất cả các vấn đề mới nổi liên quan đến việc đảm bảo tính bảo mật của dữ liệu cá nhân trong quá trình xử lý tại ISPD và hoạt động của ISPD. SPPD. Có khá nhiều tài liệu như vậy, những tài liệu chính là:

1. Các quy định về đảm bảo an toàn dữ liệu cá nhân - ở đầu bài viết, chúng tôi đã đề cập đến mục đích và thành phần của tài liệu này. Để đề phòng, chúng tôi lặp lại - nó sẽ chỉ ra:

Mục đích và mục tiêu trong lĩnh vực bảo vệ dữ liệu cá nhân;

Khái niệm và thành phần dữ liệu cá nhân;

Dữ liệu này được tích lũy và lưu trữ trong những đơn vị cấu trúc nào và trên phương tiện nào (giấy, điện tử);

Cách thu thập và lưu trữ dữ liệu cá nhân;

Cách chúng được xử lý và sử dụng;

Ai (theo vị trí) trong công ty có quyền truy cập vào chúng;

Nguyên tắc bảo vệ dữ liệu cá nhân, bao gồm cả việc truy cập trái phép;

Quyền của nhân viên để đảm bảo việc bảo vệ dữ liệu cá nhân của họ;

Trách nhiệm tiết lộ thông tin bí mật liên quan đến dữ liệu cá nhân của nhân viên.

2. Tổ chức hệ thống tiếp nhận và đăng ký những người được ủy quyền làm việc với PD trong ISPD, - Danh sách những người được ủy quyền xử lý PD (danh sách theo vị trí những người cần tiếp cận PD để thực hiện nhiệm vụ chính thức) và Ma trận truy cập (nên phản ánh quyền hạn của người dùng trong việc thực hiện hành động cụ thể liên quan đến các nguồn thông tin ISPD cụ thể - đọc, viết, điều chỉnh, xóa). Cả hai tài liệu đều được người quản lý phê duyệt.

3. Mô hình mối đe dọa riêng (nếu có một số ISDN thì mô hình mối đe dọa sẽ được phát triển cho từng ISDN) - được phát triển dựa trên kết quả khảo sát sơ bộ. FSTEC của Nga cung cấp Mô hình cơ bản các mối đe dọa đối với tính bảo mật của dữ liệu cá nhân trong quá trình xử lý chúng trong hệ thống thông tin dữ liệu cá nhân, theo đó, khi tạo mô hình riêng tư, cần xem xét những điều sau:

Nguy cơ rò rỉ thông tin qua kênh kỹ thuật;

Các mối đe dọa truy cập trái phép liên quan đến hành động của những người vi phạm có quyền truy cập vào ISPD và thực hiện các mối đe dọa trực tiếp trong ISPD. Trong trường hợp này, cần coi người dùng ISPD hợp pháp là những người có khả năng vi phạm;

Các mối đe dọa truy cập trái phép liên quan đến hành động của những người vi phạm không có quyền truy cập ISPD, thực hiện các mối đe dọa từ các mạng truyền thông công cộng bên ngoài và (hoặc) mạng trao đổi thông tin quốc tế.

Mô hình mối đe dọa được phát triển được người quản lý phê duyệt.

4. Dựa trên mô hình mối đe dọa ISPD đã được phê duyệt, cần xây dựng các yêu cầu để đảm bảo an toàn cho dữ liệu cá nhân khi được xử lý trong ISPD. Các yêu cầu, giống như mô hình mối đe dọa, là một tài liệu độc lập phải được người đứng đầu tổ chức phê duyệt.

Để phát triển mô hình về các mối đe dọa và yêu cầu, nhà điều hành nên mời các chuyên gia từ các tổ chức được cấp phép của FSTEC.

5. Hướng dẫn về việc đảm bảo tính bảo mật của dữ liệu cá nhân trong quá trình xử lý dữ liệu đó tại ISPD.

Ngoài ra, trước khi thực hiện mọi biện pháp bảo vệ dữ liệu cá nhân, nhà điều hành phải chỉ định một quan chức hoặc (nếu hệ thống thông tin đủ lớn) một đơn vị cơ cấu chịu trách nhiệm đảm bảo an toàn cho dữ liệu cá nhân. Quyết định bổ nhiệm được chính thức hóa theo lệnh của người đứng đầu. Nhiệm vụ, chức năng, quyền hạn của cán bộ (đơn vị) chịu trách nhiệm đảm bảo an ninh PD được xác định bằng các văn bản hành chính, tổ chức nội bộ ( mô tả công việc, quy định).

Những gì cần thiết để được chứng nhận và những gì không?

Thường có quan niệm sai lầm rằng tất cả phần mềm được sử dụng đều phải được chứng nhận và việc chứng nhận rất tốn kém và mất thời gian.

Tuy nhiên, không có tài liệu nào quy định vấn đề bảo vệ dữ liệu cá nhân nêu rõ rằng tất cả phần mềm đều phải được chứng nhận. Các công cụ bảo mật thông tin phải được chứng nhận theo yêu cầu của FSTEC của Nga, nhưng không phải hệ thống, ứng dụng hoặc phần mềm đặc biệt không liên quan đến việc bảo vệ ISPD.

Igor Nazarov:...chứng nhận giám sát việc không tuân thủ thông tin không tuân thủ liên quan đến chức năng bảo mật, cụ thể là các biện pháp bảo mật và không phải tất cả phần mềm được sử dụng trong hệ thống thông tin (http://www.connect.ru/article.asp ?id=9406).

Ngày nay, các tài liệu của FSTEC, có thể xem trên trang web của Dịch vụ Kiểm soát Xuất khẩu và Kỹ thuật Liên bang, cho chúng tôi biết những thông tin sau về vấn đề này:

ISPD chỉ được sử dụng các phương tiện kỹ thuật và hệ thống bảo vệ được chứng nhận theo yêu cầu an toàn thông tin.

Những sự kiện chính…

Khoản 4.2:... ISPD phải giám sát sự hiện diện của các khả năng không được khai báo trong phần mềm và phần cứng, đồng thời phân tích tính bảo mật của phần mềm hệ thống và ứng dụng.

Khoản 4.3:Đối với phần mềm được sử dụng để bảo vệ thông tin trong ISPD (các công cụ bảo mật thông tin, bao gồm cả những công cụ được tích hợp trong phần mềm ứng dụng và toàn hệ thống), phải đảm bảo mức độ kiểm soát thích hợp đối với việc không có dữ liệu không tuân thủ trong đó.

Do đó, không cần phải chứng nhận hệ thống và phần mềm ứng dụng nếu nó không liên quan đến quy trình bảo mật thông tin - việc này có thể được thực hiện theo yêu cầu của nhà điều hành.

Thực tiễn tạo ra các hệ thống bảo vệ dữ liệu cá nhân cho thấy cần phải sử dụng phần mềm được cấp phép (hệ thống, ứng dụng và phần mềm đặc biệt) và các công cụ bảo mật thông tin và chống vi-rút được chứng nhận (đây có thể là thông tin bảo mật thông tin từ dữ liệu cá nhân, các sản phẩm chống vi-rút , tường lửa, công cụ phát hiện xâm nhập, công cụ phân tích bảo mật, tương ứng với một lớp cụ thể). Nếu các công cụ bảo mật thông tin mật mã (CIPF) được cài đặt trong ISPD thì chúng cũng phải được chứng nhận theo yêu cầu của FSB của Nga.

Cần lưu ý rằng chỉ người được cấp phép FSTEC mới có quyền cài đặt thông tin bảo mật thông tin được chứng nhận và người được cấp phép FSB mới có quyền cài đặt CIPF.

Chứng nhận

Giai đoạn cuối cùng của việc tạo ra hệ thống bảo vệ ISPD phải là chứng nhận (tuyên bố về sự phù hợp) - một bộ các biện pháp tổ chức và kỹ thuật, do đó, thông qua một tài liệu đặc biệt - Giấy chứng nhận sự phù hợp (Kết luận), người ta xác nhận rằng ISPD đáp ứng các yêu cầu của tiêu chuẩn hoặc các văn bản quy định và phương pháp luận khác về bảo mật thông tin. Việc có Chứng nhận Tuân thủ hợp lệ sẽ có quyền xử lý thông tin với mức độ bảo mật thích hợp trong khoảng thời gian được quy định trong Chứng nhận Tuân thủ.

Câu hỏi: Ai có thể chứng nhận nơi làm việc tuân thủ các yêu cầu của pháp luật và văn bản quy định trong lĩnh vực dữ liệu cá nhân?

Igor Nazarov: Những người được cấp phép FSTEC có giấy phép hoạt động trong lĩnh vực bảo vệ kỹ thuật thông tin bí mật có quyền chứng nhận ISPDn tuân thủ các yêu cầu bảo mật thông tin (http://www.connect.ru/article.asp?id=9406).

Chứng nhận cung cấp kiểm tra toàn diện (kiểm tra chứng nhận) nguồn dữ liệu thông tin trong điều kiện hoạt động thực tế để đánh giá sự tuân thủ của bộ biện pháp bảo vệ đã được áp dụng với mức độ bảo mật dữ liệu cá nhân cần thiết.

TRONG nhìn chung Chứng nhận ISPD theo yêu cầu an toàn thông tin bao gồm các giai đoạn sau:

Phân tích dữ liệu ban đầu về ISPD được chứng nhận;

Tiến hành kiểm tra chuyên môn về hệ thống thông tin và phân tích tài liệu đã phát triển để đảm bảo tính bảo mật của dữ liệu cá nhân nhằm tuân thủ các yêu cầu của tài liệu quy định và phương pháp luận;

Thực hiện các bài kiểm tra chứng nhận toàn diện của ISPD trong điều kiện vận hành thực tế bằng cách sử dụng thiết bị và phần mềm giám sát đặc biệt để giám sát an ninh chống truy cập trái phép;

Phân tích kết quả của các bài kiểm tra chứng nhận phức tạp, việc chuẩn bị và phê duyệt Kết luận và Giấy chứng nhận phù hợp dựa trên kết quả chứng nhận.

Một điểm quan trọng là trong trường hợp có thay đổi về điều kiện và công nghệ xử lý PD, nhà điều hành có nghĩa vụ thông báo cho tổ chức được cấp phép đã tiến hành chứng nhận PD. Sau đó, tổ chức được cấp phép quyết định về sự cần thiết phải tiến hành kiểm tra bổ sung hiệu quả của hệ thống bảo vệ ISPD.

Trách nhiệm và rủi ro do không tuân thủ yêu cầu pháp luật

Nếu không đáp ứng các yêu cầu đảm bảo an toàn dữ liệu cá nhân, nhà điều hành có thể phải đối mặt với nguy cơ khiếu nại dân sự từ khách hàng hoặc nhân viên.

Do đó, điều này có thể ảnh hưởng đến danh tiếng của công ty, cũng như dẫn đến việc buộc phải đình chỉ (chấm dứt) quá trình xử lý PD, khiến công ty và (hoặc) người quản lý của công ty phải chịu trách nhiệm hành chính hoặc các loại trách nhiệm pháp lý khác, và, trong một số điều kiện nhất định, phải chịu trách nhiệm pháp lý đình chỉ hoặc thu hồi giấy phép. Ngoài ra, theo Luật Liên bang, những người vi phạm các yêu cầu phải chịu các hình phạt dân sự, hình sự, hành chính, kỷ luật và các hình phạt khác. pháp luật quy định Trách nhiệm RF ( Điều 24 FZ-152):

Kỷ luật (Bộ luật Lao động Liên bang Nga, điều 81, 90, 195, 237, 391);

Hành chính (Bộ luật Liên bang Nga về vi phạm hành chính, điều 5.27, 5.39, 13.11-13.14, 13.19, 19.4-19.7, 19.20, 20.25, 32.2);

Hình sự (Bộ luật Hình sự Liên bang Nga, điều 137, 140, 155, 171, 183, 272, 273, 274, 292, 293).

Ngày 19 tháng 1 năm 2009 3:59 chiều

Andrey Shcherbkov

Sau khi ban hành Nghị định của Chính phủ Liên bang Nga số 781 “Về việc phê duyệt Quy định đảm bảo an toàn dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân trong hệ thống thông tin dữ liệu cá nhân” ngày 17 tháng 11 năm 2007 và lệnh chung của Dịch vụ Liên bang về Kiểm soát Kỹ thuật và Xuất khẩu, FSB Liên bang Nga và Bộ Công nghệ Thông tin và Truyền thông Liên bang Nga ngày 13 tháng 2 năm 2008 số 55/86/20 “Về việc phê duyệt quy trình phân loại hệ thống thông tin dữ liệu cá nhân” (sau đây gọi tắt là “Thủ tục…”) có hai vấn đề phát sinh trước khi dịch vụ phát triển và vận hành hệ thống thông tin (IS) xử lý dữ liệu cá nhân gần như thắc mắc của Hamlet:

● cách phân loại IP nhằm bảo vệ dữ liệu cá nhân;

● cách chọn công cụ bảo mật thông tin để bảo vệ dữ liệu cá nhân trong các hệ thống này.

“Quy trình…” nêu rõ rằng “việc phân loại hệ thống thông tin được thực hiện bởi các cơ quan chính phủ, chính quyền thành phố, pháp nhân và cá nhân tổ chức và (hoặc) thực hiện việc xử lý dữ liệu cá nhân, cũng như xác định mục đích và nội dung của việc xử lý dữ liệu cá nhân.” Điều này có nghĩa là dữ liệu cá nhân (PD) sẽ phân loại nó người sở hữu, đây là sự trợ giúp nghiêm túc cho việc lựa chọn khách quan các phương pháp và phương tiện bảo vệ dữ liệu cá nhân, đồng thời tạo cơ sở khách quan để đối thoại với các cơ quan kiểm tra về tính đầy đủ của các biện pháp mà tổ chức thực hiện để bảo vệ dữ liệu cá nhân.

Khi phân loại IP dùng để xử lý dữ liệu cá nhân, dữ liệu ban đầu sau đây sẽ được tính đến:

● âm lượng PD đã xử lý (số lượng đối tượng có dữ liệu cá nhân được xử lý trong IS);

● đặc điểm bảo mật của dữ liệu cá nhân được xử lý trong hệ thống thông tin do chủ sở hữu hệ thống thông tin chỉ định;

● cấu trúc của hệ thống thông tin;

● sự sẵn có của các kết nối IS tới các mạng truyền thông công cộng và (hoặc) mạng trao đổi thông tin quốc tế;

● Chế độ xử lý PD;

● phương thức phân định quyền truy cập của người sử dụng hệ thống thông tin;

● vị trí của nguồn thông tin kỹ thuật.

Trước hết, hãy xác định những gì cấu thành dữ liệu cá nhân. Đây là thông tin có tính chất khác nhau về các cá nhân cụ thể. Lưu ý rằng chúng ta chỉ đang nói về thông tin trong Dạng điện tử, được nhập, lưu trữ, xử lý và truyền đi trong hệ thống thông tin. Thông tin này được chia thành bốn loại chính:

Ví dụ: họ riêng là dữ liệu thuộc loại thứ 4, sự kết hợp giữa họ và địa chỉ là thứ ba, họ, địa chỉ, số bảo hiểm và số thẻ là dữ liệu thứ hai và nếu hồ sơ y tế điện tử được thêm vào dữ liệu này thì kết quả là dữ liệu cá nhân chỉ thuộc về loại đầu tiên.

Dựa trên sự phân loại này, có thể khẳng định rằng bất kỳ dữ liệu y tế nào, cũng như hồ sơ nhân sự có chứa cột “quốc tịch” (và đây hầu như đều là các bảng câu hỏi và câu hỏi hợp lệ). tờ giấy cá nhân hồ sơ nhân sự hiện đang được sử dụng) phải được phân loại vào loại đầu tiên. Cũng rõ ràng là các phần dữ liệu cá nhân hầu như luôn có một danh mục nhỏ hơn tổng thể của chúng. Ngay cả thông tin chi tiết về sức khỏe của một cá nhân cũng có thể vô nghĩa nếu không biết họ của người đó hoặc dữ liệu khác liên kết rõ ràng thông tin này với bệnh nhân.

Khối lượng PD được xử lý có thể nhận các giá trị sau:

1 - hệ thống thông tin xử lý đồng thời dữ liệu cá nhân của hơn 100.000 thực thể hoặc dữ liệu cá nhân của các thực thể trong khu vực Liên bang Nga hoặc toàn bộ Liên bang Nga; ·

2 - hệ thống thông tin xử lý đồng thời dữ liệu cá nhân từ 1.000 đến 100.000 đối tượng hoặc dữ liệu cá nhân của các đối tượng làm việc trong khu vực kinh tế của Liên bang Nga, trong cơ quan chính phủ, sống trên địa bàn đô thị;

3 - hệ thống thông tin xử lý đồng thời dữ liệu của dưới 1000 đối tượng hoặc dữ liệu cá nhân của các đối tượng của một tổ chức cụ thể.

Theo đặc điểm bảo mật của dữ liệu cá nhân được xử lý trong hệ thống thông tin, hệ thống thông tin được chia thành tiêu chuẩn và đặc biệt. Đầu tiên là các hệ thống thông tin chỉ yêu cầu hỗ trợ sự riêng tư dữ liệu cá nhân.

Đặc tính “bảo mật” có nghĩa là chỉ người được dự định mới có thể xử lý (nhập, lưu trữ, xử lý và chuyển giao) PD ở dạng điện tử. Để đảm bảo tính bảo mật khi truyền dữ liệu cá nhân qua mạng, trong đó có Internet, cần sử dụng mã hóa dữ liệu.

Hệ thống thông tin đặc biệt là những hệ thống thông tin trong đó, bất kể nhu cầu đảm bảo tính bảo mật của dữ liệu cá nhân, cần phải đảm bảo ít nhất một trong các đặc điểm bảo mật của dữ liệu cá nhân ngoài tính bảo mật (ví dụ: tính toàn vẹn hoặc tính sẵn có). Đặc tính “toàn vẹn” có nghĩa là dữ liệu cá nhân chỉ được thay đổi theo cách được quản lý, ví dụ, việc thay đổi hồ sơ bệnh án điện tử chỉ có thể được thực hiện bởi bác sĩ được ủy quyền và trong mọi trường hợp khác, thông tin trong hồ sơ bệnh án không được phép bị thay đổi. Khi truyền qua mạng, tính toàn vẹn được đảm bảo bằng việc sử dụng chữ ký số điện tử.

Đặc tính “sẵn sàng” có nghĩa là công việc với PD phải được cung cấp cho một lượng dữ liệu và người dùng nhất định tuân thủ các quy định về thời gian đã thiết lập. Nói cách khác, “tính sẵn sàng” là một công thức khác của độ tin cậy của hệ thống. Cũng lưu ý rằng việc nói về khả năng truy cập trong các mạng mở là gần như vô nghĩa - không một nhà cung cấp nào sẽ cung cấp quyền truy cập được đảm bảo vào dữ liệu hoặc việc truyền dữ liệu không bị gián đoạn.

Hệ thống thông tin đặc biệt bao gồm: ·

● IP trong đó dữ liệu cá nhân liên quan đến tình trạng sức khỏe của đối tượng được xử lý; ·

● IP quy định việc áp dụng, chỉ dựa trên việc xử lý dữ liệu cá nhân tự động, các quyết định làm phát sinh hậu quả pháp lý liên quan đến đối tượng hoặc ảnh hưởng đến quyền và lợi ích hợp pháp của đối tượng đó.

Theo cấu trúc của chúng, hệ thống thông tin xử lý dữ liệu cá nhân được chia thành: ·

● để tự trị (không kết nối với IS khác) dùng để xử lý dữ liệu cá nhân (máy trạm tự động); ·

● đối với các tổ hợp máy trạm tự động, được hợp nhất thành một IS duy nhất bằng phương tiện liên lạc mà không sử dụng công nghệ truy cập từ xa (hệ thống thông tin cục bộ); ·

● đến các tổ hợp máy trạm tự động và (hoặc) hệ thống thông tin cục bộ, được kết hợp thành một hệ thống thông tin duy nhất bằng phương tiện liên lạc sử dụng công nghệ truy cập từ xa (hệ thống thông tin phân tán).

Dựa trên sự hiện diện của kết nối với mạng truyền thông công cộng và (hoặc) trao đổi thông tin quốc tế, hệ thống thông tin được chia thành hệ thống có kết nối và hệ thống không có kết nối.

Dựa trên thực tế là bắt buộc phải đảm bảo tính bảo mật dữ liệu, chúng tôi có thể xác định các yếu tố cần thiết của hệ thống thông tin để xử lý dữ liệu cá nhân.

Trước hết, hệ thống thông tin phải xác định người dùng và có thể thiết lập các cơ quan có thẩm quyền riêng để người dùng truy cập vào dữ liệu cá nhân, tức là có hệ thống nhận dạng, xác thực và kiểm soát truy cập.

Thứ hai, cần đảm bảo việc bảo vệ dữ liệu cá nhân có thể bị xa lánh khỏi hệ thống. Ví dụ, việc truyền thông tin sang phương tiện di động cần được kiểm soát. Rất có thể trong một số trường hợp cần phải tính đến khả năng bị trộm cắp, mất mát (mất mát) Thiết bị máy tính với dữ liệu cá nhân. Trong trường hợp này, việc mã hóa PD được lưu trữ trên phương tiện máy tính cũng là bắt buộc.

Nếu hệ thống có kết nối với các mạng mở hoặc liên quan đến trao đổi dữ liệu, thì bắt buộc phải sử dụng mã hóa dữ liệu và chữ ký số điện tử, cũng như cung cấp biện pháp bảo vệ chống lại các cuộc tấn công từ mạng bên ngoài, bao gồm cả tính năng bảo vệ chống vi-rút.

Để mã hóa và Chữ ký điện tử các khóa và chứng chỉ được sử dụng do chính người dùng tạo ra và đăng ký với cái gọi là cơ quan chứng nhận.

Rất tâm điểm- đăng ký các hành động với dữ liệu cá nhân, một mặt giúp xác định những người chịu trách nhiệm về việc rò rỉ dữ liệu của họ, mặt khác, tạo ra động lực tâm lý cho hoạt động chính xác với họ.

Hệ thống thông tin xử lý dữ liệu cá nhân có thể được gán một trong các lớp sau: ·

● loại 1 (K1) - IP vi phạm các đặc điểm bảo mật cụ thể của dữ liệu cá nhân được xử lý trong đó có thể dẫn đến hậu quả tiêu cực đáng kể cho chủ thể của dữ liệu cá nhân;

● loại 2 (K2) - IP vi phạm các đặc điểm bảo mật cụ thể của PD được xử lý trong đó có thể dẫn đến hậu quả tiêu cực cho chủ thể của dữ liệu cá nhân;

● loại 3 (K3) - IP vi phạm các đặc điểm bảo mật cụ thể của dữ liệu cá nhân được xử lý trong đó có thể dẫn đến hậu quả tiêu cực nhỏ cho chủ thể của dữ liệu cá nhân;

● loại 4 (K4) - IP vi phạm các đặc điểm bảo mật được chỉ định của dữ liệu cá nhân được xử lý trong đó không dẫn đến hậu quả tiêu cực cho chủ thể của dữ liệu cá nhân.

Bảng 1.

	Lớp IP tùy thuộc vào khối lượng dữ liệu được xử lý

Thứ nhất, từ “Trật tự…” kéo theo sự tồn tại Thể loại dữ liệu cá nhân. Thật hợp lý để thực hiện sự tổng hợp cơ sở dữ liệu trong IS chứa PD thành các phần không chồng chéo chứa dữ liệu thuộc các danh mục khác nhau. Ngoài ra, IS để xử lý PD phải là chia thành các đường nét, chỉ chứa dữ liệu từ một danh mục. Điều này hoàn toàn có thể thực hiện được vì các cá nhân được xác định duy nhất bằng số hộ chiếu hoặc TIN hoặc số chính sách bảo hiểm y tế, cho phép cơ sở dữ liệu y tế và các mảng khác được lập chỉ mục một cách rõ ràng. Vì vậy, cần phải tuân theo nguyên tắc rằng trong mỗi mạch IS để xử lý dữ liệu cá nhân cần phải sử dụng sản phẩm được chứng nhận của một lớp, và các đường viền phải là bị cô lập từ nhau.

Có thể nói rằng hầu hết các hệ thống thông tin xử lý dữ liệu cá nhân (đặc biệt là cho mục đích y tế) sẽ đặc biệt, tức là họ cần đảm bảo không chỉ tính bảo mật mà còn cả chính trực các đặc tính an toàn và độ tin cậy khác là bắt buộc.

Khi phân phối IP để xử lý dữ liệu cá nhân, ngay cả khi cần đảm bảo chỉ sự riêng tư theo “Thủ tục…” sẽ được yêu cầu bảo vệ dữ liệu cá nhân được truyền và lưu trữ. Điều này hoàn toàn tuân thủ các yêu cầu hiện tại của FSB Liên bang Nga đối với các hệ thống thông tin tự động nhằm bảo vệ thông tin bí mật không cấu thành bí mật nhà nước, cụ thể là quy định “tất cả thông tin bí mật truyền qua các kênh liên lạc phải được bảo vệ; thông tin truyền qua các kênh liên lạc phải được mã hóa bằng công cụ bảo vệ thông tin mật mã (CIPF) hoặc sử dụng các kênh liên lạc an toàn để truyền tải. Thông tin được ghi lại trên các phương tiện truyền thông xa lạ phải được bảo vệ.”

Yêu cầu cuối cùng chắc chắn có thể áp dụng cho các hệ thống thông tin dữ liệu cá nhân biệt lập không có kênh truyền dữ liệu cá nhân, tức là cho các máy trạm riêng lẻ xử lý dữ liệu cá nhân.

Điều này có nghĩa là để xử lý dữ liệu cá nhân, hệ thống thông tin phải được chứng nhận ở cấp độ không thấp hơn AK2 trong phân loại của FSB của Liên bang Nga. Ví dụ: Windows XP được bảo vệ bằng gói cập nhật Secure Pack Rus tương ứng với lớp này. Các phương tiện bảo mật phải bao gồm các phương tiện bảo vệ thông tin mật mã (CIPF) thuộc loại không thấp hơn KS2.

Dựa trên điều này, đối với bất kỳ hệ thống thông tin PD nào xử lý các danh mục PD cao hơn loại thứ 4 (chắc chắn sẽ bao gồm tất cả các hệ thống xử lý PD y tế), sẽ cần phải thực hiện tất cả các yêu cầu của lớp AK2 trong phân loại của FSB của Liên bang Nga.

Từ kiến ​​trúc của IP PD có đủ số lượng lớn PD đã xử lý (chỉ báo 1 hoặc 2) chắc chắn sẽ có thành phần máy chủ, thành phần này cũng cần được bảo vệ. Trong trường hợp này, tất cả thông tin bí mật được lưu trữ trên phương tiện từ tính của máy trạm và máy chủ phải được bảo vệ, đáp ứng các yêu cầu của loại AK3.

Vì vậy, chúng tôi có thể đề xuất một chiến lược hoàn toàn hợp lý để bảo vệ dữ liệu cá nhân, bao gồm các chiến lược sau: Bảng. 1 được điền như sau (xem Bảng 2).

Ban 2.

	Lớp IP tùy thuộc vào khối lượng dữ liệu được xử lý
	Không thấp hơn AK3	Không thấp hơn AK3	Không thấp hơn AK3

Ghi chú. “-” có nghĩa là không có yêu cầu nào cả.

Vì vậy, để bảo vệ dữ liệu cá nhân thuộc loại đầu tiên, bao gồm tất cả dữ liệu y tế, cần sử dụng các phương tiện bảo vệ thuộc loại không thấp hơn AK3 và các phương tiện bảo vệ bằng mật mã thuộc loại không thấp hơn KS3.

Để trang bị thực tế cho IP các phương tiện bảo mật, chúng tôi có thể đề xuất các sản phẩm được điều chỉnh đặc biệt để bảo vệ dữ liệu cá nhân và có các giấy phép cần thiết (chứng chỉ và kết luận). Đây chủ yếu là Secure Pack Rus và các công cụ bảo vệ mật mã thuộc dòng CryptoPro.

Bây giờ chúng ta hãy thử ước tính chi phí trang bị cho một nơi làm việc để xử lý PD. Nếu không giảm giá, giá của gói Secure Pack Rus là khoảng 2.000 rúp, trong khi các công cụ bảo vệ mật mã của dòng CryptoPro đã được bao gồm trong gói này. Hơn nữa, để bảo vệ thông tin cá nhân được lưu trữ trên máy tính của bạn, bạn nên mua một trong các gói bảo vệ dữ liệu CryptoPro EFS, Secure Pack Explorer hoặc Crypto Explorer. Giá của mỗi sản phẩm này dao động từ 600 đến 1000 rúp. Tổng cộng, việc bảo vệ một nơi làm việc mà không tính đến việc cài đặt và cấu hình sẽ tiêu tốn khoảng 3.000 rúp, và việc cài đặt và điều chỉnh các chương trình theo truyền thống sẽ tăng thêm 10-15% chi phí.

Thông thường, chúng ta có thể phân biệt “mười bước thần bí trên con đường” dẫn đến một hệ thống xử lý dữ liệu cá nhân an toàn.

1. Xác định những thành phần IP cần được bảo vệ trước tiên. Trước tiên, hãy tìm hiểu chính xác dữ liệu cá nhân nào cần được bảo vệ và dữ liệu đó hiện nằm ở đâu trong hệ thống của bạn. Sau đó kiểm tra xem nơi làm việc của mỗi nhân viên có thực sự cần bảo vệ dữ liệu hay không. Việc phân bổ các máy tính riêng biệt để làm việc có thể dễ dàng hơn thông tin cá nhân, cái gì cần được bảo vệ đặc biệt đáng tin cậy? Hãy nhớ rằng máy tính kết nối Internet không phải là nơi tốt nhất để lưu trữ dữ liệu cá nhân!

2. Đánh giá hiện trạng an toàn thông tin. Mức độ thỏa đáng là bao nhiêu? Nếu có thể, hãy tiến hành kiểm tra bảo mật bên ngoài hệ thống của bạn. Phân loại IP của bạn theo hướng dẫn ở trên. So sánh những phát hiện của bạn với những phát hiện của kiểm toán bên ngoài.

3. Xác định ai hiện chịu trách nhiệm đảm bảo bảo vệ quyền sở hữu trí tuệ. Có thể thu hẹp vòng tròn những người mà độ tin cậy của sự bảo vệ này phụ thuộc vào không? Đồng thời, hãy nhớ rằng - sự an toàn không thể phụ thuộc vào một người! Hãy chắc chắn chỉ định kiểm toán viên, ví dụ, bác sĩ trưởng có thể giám sát công việc của các chuyên gia trong việc điền và di chuyển PD.

4. Hãy chỉ trích các yêu cầu của kỹ thuật viên nếu họ nhất quyết đòi cài đặt phần cứng bảo mật. Cũng xin lưu ý rằng việc sử dụng các công cụ mật mã là một công việc khá nghiêm túc. Điều quan trọng là phải hiểu: việc duy trì các công cụ mã hóa và sử dụng chữ ký số có ảnh hưởng đến hoạt động kinh doanh cốt lõi của công ty bạn không? Cũng xin lưu ý rằng không phải mọi nhân viên đều có thể hoặc nên mã hóa dữ liệu.

5. Đảm bảo trật tự an ninh cho phòng khám của bạn. Đặt chế độ đảm bảo mức độ bảo mật thông tin cần thiết nhưng không đi quá xa. Ví dụ, mọi người không nên bị tước đi khả năng sử dụng điện thoại di động. Việc cấm nhân viên truy cập email và Internet vì mục đích cá nhân cũng không phù hợp. Đồng thời, nên quy định quy trình mang phương tiện flash và máy tính xách tay của riêng bạn vào lãnh thổ của công ty hoặc sử dụng phương tiện có sẵn trong Gói bảo mật. chức năng Rus vô hiệu hóa các ổ USB không được quản trị viên cho phép sử dụng

6. Yêu cầu chuyên gia CNTT lập kế hoạch làm việc rõ ràng cho việc tạo và cấu hình hệ thống bảo mật. Yêu cầu biện minh cho sự cần thiết phải mua thêm thiết bị an ninh. Nhấn mạnh vào việc đảm bảo rằng các điều chỉnh bảo mật sẽ không ảnh hưởng đến hoạt động cơ bản của hệ thống.

7. Giám sát việc thực hiện kế hoạch tạo lập hệ thống an ninh.

8. Lắng nghe ý kiến ​​của bác sĩ và nhân viên - các biện pháp an toàn có ảnh hưởng đến công việc và hoạt động cốt lõi của họ không?

9. Duy trì và kiểm tra trạng thái bảo mật PD, đồng thời củng cố lòng trung thành của nhân viên tham gia bảo mật.

10. Hãy bình tĩnh trước những đổi mới trong lĩnh vực an ninh - chủ nghĩa bảo thủ lành mạnh sẽ giúp bạn tiết kiệm tiền.

Ngày 9 tháng 6 năm 2011 lúc 05:20

Thực hành bảo vệ dữ liệu cá nhân

• Bảo mật thông tin

Hệ thống bảo mật thông tin cục bộ NSD

SZI NSD là tên viết tắt của phương tiện bảo vệ thông tin khỏi bị truy cập trái phép. Được sử dụng để ngăn chặn các hành động trái phép của người dùng có quyền truy cập vào máy trạm ISPD. Bao gồm các cơ chế như kiểm soát tải từ phương tiện di động(ổ CD/DVD, ổ flash), điều khiển thiết bị (để không thể kết nối ổ flash bên trái và thông tin rò rỉ), thực hiện kiểm soát truy cập bắt buộc (không bắt buộc đối với ISPD). Tôi sẽ chỉ cung cấp những công cụ mà cá nhân tôi đã làm việc cùng:
1) Mạng bí mật. Nó có thể được cung cấp có hoặc không có bảng điều khiển tải. Nó hoạt động thông qua secpol.msc nên có thể không hoạt động trên các phiên bản Home (Home chắc chắn không hoạt động trên Windows XP và tôi chưa thử nghiệm Vista và Windows 7). Khá dễ sử dụng, có cơ chế điều khiển thiết bị tốt nhất mà tôi từng thấy. Có một phiên bản mạng được thiết kế để tích hợp vào cấu trúc miền.
2) Người giám hộ NT. Cơ chế tốt nhất kiểm soát truy cập bắt buộc. Việc vận hành khó khăn hơn (do thực tế là không thể vô hiệu hóa một số cơ chế bảo vệ). Không có phiên bản trực tuyến.
3) Khóa Dallas. Nó mất tất cả các tham số đã thảo luận trước đó, ngoại trừ khả năng triển khai bình thường tùy chọn mạng trong mạng không miền.
Đúng như tên gọi, số tiền này được sử dụng để máy cục bộ. Không có gì để thêm ở đây.

Tường lửa

Mục đích, tôi nghĩ, là rõ ràng. Ngoài ra, nếu một ISPD được tường lửa chia thành hai phần thì chúng có thể được gọi chính xác là hai ISPD khác nhau. Để làm gì? Nếu bạn rơi vào loại đầu tiên theo số lượng đối tượng dữ liệu cá nhân được xử lý, thì bằng cách chia ISPD thành hai phần, bạn sẽ giảm số lượng đối tượng được xử lý trong mỗi ISPD và sẽ không nhận được K1 nữa mà là K2. Hiện tại có một số tường lửa được chứng nhận trên thị trường:
1) Tường lửa cá nhân VipNet. Chỉ là một tường lửa cá nhân, không có bất kỳ kiểu cách đặc biệt nào. Chỉ quản lý cục bộ. Không có cơ chế kiểm soát tập trung. Để bắt đầu, nó yêu cầu mật khẩu, nếu bạn không nhập mật khẩu, nó sẽ không khởi động.
2) Tường lửa văn phòng VipNet. Điều tương tự, nhưng hỗ trợ nhiều card mạng, cho phép bạn cài đặt nó trên một cổng và sử dụng nó để phân đoạn ISPD.
3) SSPT-2. Tổ hợp phần mềm và phần cứng chạy trên FreeBSD, nhưng không ai cho phép bạn truy cập vào hệ điều hành đó. Nó hoạt động nhanh chóng và hỗ trợ lọc theo nhiều tham số. Nó có một tính năng khó chịu - các quy tắc được áp dụng trong danh sách từ trên xuống dưới và các quy tắc nằm ở trên cùng có mức độ ưu tiên cao hơn. Điều này không được phản ánh trong tài liệu; nó được phát hiện bằng thực nghiệm. Được quản lý cả từ bảng điều khiển cục bộ và thông qua giao diện web.
4) APKSh "Lục địa". Nói chung, đây không phải là tường lửa mà là một bộ định tuyến mật mã nhưng có chức năng tường lửa. Về mặt kiến ​​trúc tương tự như SSPT-2, nhưng không có quyền kiểm soát từ bảng điều khiển cục bộ - chỉ thông qua bảng điều khiển dành cho quản trị viên đặc biệt. Tại cái gì, tại thiết lập ban đầu bạn phải chỉ định giao diện mà máy tính của quản trị viên sẽ được kết nối.
Ngoài ra, Security Code còn phát hành thêm hai sản phẩm - ITU+ HIPS "Security Studio Endpoint Protection" và Trust Access, một hệ thống tường lửa phân tán kết hợp tường lửa và phân đoạn bằng xác thực Kerberos. Vì tôi chưa phải làm việc với những sản phẩm này nên tôi sẽ chỉ cung cấp liên kết đến mô tả của chúng:
Tin cậyTruy cập
SSEP
Ngoài ra, việc sản xuất một sản phẩm khác đã được chứng nhận - Stonegate Tường lửa/VPN. Sản phẩm của công ty Phần Lan Stonesoft. Nó cũng đi kèm với một mô-đun mã hóa CryptoPRO được đính kèm, cho phép bạn sử dụng nó như một giải pháp VPN được chứng nhận.

CIPF

Chúng cũng là phương tiện bảo vệ bằng mật mã. Ngoài Tường lửa/VPN Stonegate đã được đề cập, còn có hai giải pháp VPN khác:
1) Tùy chỉnh VipNet. Nó là tổ hợp của VipNet Administrator - chương trình quản lý, VipNet Coorder - máy chủ VPN có chức năng tường lửa và VipNet Client - máy khách VPN và tường lửa. Chương trình quản lý chỉ được sử dụng để tạo khóa và chứng chỉ; quản lý cài đặt tường lửa chỉ có thể thực hiện cục bộ. Chỉ RDP tích hợp mới có thể trợ giúp quản trị. Điều này bao gồm tin nhắn nội bộ và thư nội bộ. Ưu điểm duy nhất là sạch sẽ giải phap băng phân mêm, có thể dễ dàng tích hợp vào cơ sở hạ tầng hiện có.
2) APKSh "Lục địa". Về nguyên tắc, tôi đã nói về anh ấy rồi. Tôi chỉ nói thêm rằng phiên bản mới nhất của ứng dụng khách (Continent-AP) hiện có chức năng bức tường lửa và thậm chí còn có một ứng dụng khách dành cho Linux. Bản thân các cổng tiền điện tử chỉ được quản lý từ bảng điều khiển dành cho quản trị viên nhưng từ xa. Các tính năng cũng bao gồm thực tế là bắt đầu thiết lập(nghĩa là chuyển cấu hình mạng và khóa sang cổng mật mã) được thực hiện cục bộ bằng cách cấp cho nó một ổ đĩa flash từ tất cả các cổng. thông tin cần thiết. Nếu bạn mắc lỗi khi tạo cấu hình và đã gửi cổng mật mã tới điểm từ xa- sau đó bạn sẽ không thể kết nối với nó từ xa và sửa chữa bất cứ điều gì; bạn sẽ phải tạo lại cấu hình và bằng cách nào đó chuyển nó đến một điểm từ xa.

Về cơ bản thì nó là thế này Mô tả ngắn tất cả các thiết bị bảo vệ được chứng nhận mà tôi biết. Tôi hy vọng thông tin này sẽ hữu ích cho cộng đồng.

Sau khi ban hành Nghị định của Chính phủ Liên bang Nga số 781 “Về việc phê duyệt Quy định đảm bảo an toàn dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân trong hệ thống thông tin dữ liệu cá nhân” ngày 17 tháng 11 năm 2007 và lệnh chung của Dịch vụ Liên bang về Kiểm soát Kỹ thuật và Xuất khẩu, FSB Liên bang Nga và Bộ Công nghệ Thông tin và Truyền thông Liên bang Nga ngày 13 tháng 2 năm 2008 số 55/86/20 “Về việc phê duyệt quy trình phân loại hệ thống thông tin dữ liệu cá nhân” (sau đây gọi tắt là “Quy trình…”), có hai vấn đề phát sinh trước khi dịch vụ phát triển và vận hành hệ thống thông tin (IS) xử lý dữ liệu cá nhân gần như câu hỏi của Hamlet:

• cách phân loại IP nhằm bảo vệ dữ liệu cá nhân;
• cách chọn công cụ bảo mật thông tin để bảo vệ dữ liệu cá nhân trong các hệ thống này.

“Thủ tục…” nêu rõ rằng “việc phân loại hệ thống thông tin được thực hiện bởi các cơ quan nhà nước, cơ quan thành phố, pháp nhân và cá nhân tổ chức và (hoặc) thực hiện việc xử lý dữ liệu cá nhân, cũng như xác định mục đích và nội dung về việc xử lý dữ liệu cá nhân.” Điều này có nghĩa là dữ liệu cá nhân (PD) sẽ phân loại nó người sở hữu, đây là sự trợ giúp nghiêm túc cho việc lựa chọn khách quan các phương pháp và phương tiện bảo vệ dữ liệu cá nhân, đồng thời tạo cơ sở khách quan để đối thoại với các cơ quan kiểm tra về tính đầy đủ của các biện pháp mà tổ chức thực hiện để bảo vệ dữ liệu cá nhân.

Khi phân loại IP dùng để xử lý dữ liệu cá nhân, dữ liệu ban đầu sau đây sẽ được tính đến: ·

• loại dữ liệu cá nhân được xử lý trong hệ thống thông tin; ·
• âm lượng PD đã xử lý (số lượng đối tượng có dữ liệu cá nhân được xử lý trong IS); ·
• đặc điểm bảo mật của dữ liệu cá nhân được xử lý trong hệ thống thông tin do chủ sở hữu hệ thống thông tin quy định; ·
• cấu trúc hệ thống thông tin; ·
• sự sẵn có của các kết nối IS tới các mạng truyền thông công cộng và (hoặc) các mạng trao đổi thông tin quốc tế; ·
• chế độ xử lý PD; ·
• phương thức phân định quyền truy cập của người sử dụng hệ thống thông tin; ·
• vị trí của hệ thống thông tin kỹ thuật.

Trước hết, hãy xác định những gì cấu thành dữ liệu cá nhân. Đây là thông tin có tính chất khác nhau về các cá nhân cụ thể. Lưu ý rằng chúng ta chỉ đang nói về thông tin ở dạng điện tử được nhập, lưu trữ, xử lý và truyền đi trong hệ thống thông tin. Thông tin này được chia thành bốn loại chính: ·

• loại 1 - PD liên quan đến chủng tộc, quốc tịch, quan điểm chính trị, niềm tin tôn giáo và triết học, tình trạng sức khỏe, đời sống tình cảm; ·
• loại 2 - PD cho phép xác định đối tượng của dữ liệu cá nhân và thu thập thông tin về đối tượng đó Thông tin thêm, ngoại trừ dữ liệu cá nhân thuộc loại 1; ·
• loại 3 - dữ liệu cá nhân cho phép xác định chủ thể của dữ liệu cá nhân; ·
• loại 4 - PD ẩn danh và (hoặc) công khai.

Ví dụ: họ riêng là dữ liệu thuộc loại thứ 4, sự kết hợp giữa họ và địa chỉ là thứ ba, họ, địa chỉ, số bảo hiểm và số thẻ là dữ liệu thứ hai và nếu hồ sơ y tế điện tử được thêm vào dữ liệu này thì kết quả là dữ liệu cá nhân chỉ thuộc về loại đầu tiên.

Dựa trên sự phân loại này, có thể khẳng định rằng bất kỳ dữ liệu y tế nào, cũng như hồ sơ nhân sự có cột “quốc tịch” (và đây hầu như là tất cả các bảng câu hỏi và bảng thông tin cá nhân hiện có cho hồ sơ nhân sự hiện đang được sử dụng), phải được phân loại vào loại đầu tiên . Cũng rõ ràng là các phần dữ liệu cá nhân hầu như luôn có một danh mục nhỏ hơn tổng thể của chúng. Ngay cả thông tin chi tiết về sức khỏe của một cá nhân cũng có thể vô nghĩa nếu không biết họ của người đó hoặc dữ liệu khác liên kết rõ ràng thông tin này với bệnh nhân.

Khối lượng PD được xử lý có thể lấy các giá trị sau: ·

1. - hệ thống thông tin xử lý đồng thời dữ liệu cá nhân của hơn 100.000 đơn vị hoặc dữ liệu cá nhân của các đơn vị trong khu vực Liên bang Nga hoặc toàn Liên bang Nga; ·
2. - hệ thống thông tin xử lý đồng thời dữ liệu cá nhân từ 1.000 đến 100.000 đối tượng hoặc dữ liệu cá nhân của các đối tượng làm việc trong khu vực kinh tế của Liên bang Nga, trong cơ quan chính phủ, sống trên địa bàn đô thị; ·
3. - hệ thống thông tin xử lý đồng thời dữ liệu của dưới 1000 đối tượng hoặc dữ liệu cá nhân của các đối tượng của một tổ chức cụ thể.

Theo đặc điểm bảo mật của dữ liệu cá nhân được xử lý trong hệ thống thông tin, hệ thống thông tin được chia thành tiêu chuẩn và đặc biệt. Đầu tiên là các hệ thống thông tin chỉ yêu cầu hỗ trợ sự riêng tư dữ liệu cá nhân.

Đặc tính “bảo mật” có nghĩa là chỉ người được dự định mới có thể xử lý (nhập, lưu trữ, xử lý và chuyển giao) PD ở dạng điện tử. Để đảm bảo tính bảo mật khi truyền dữ liệu cá nhân qua mạng, trong đó có Internet, cần sử dụng mã hóa dữ liệu.

Hệ thống thông tin đặc biệt là những hệ thống thông tin trong đó, bất kể nhu cầu đảm bảo tính bảo mật của dữ liệu cá nhân, cần phải đảm bảo ít nhất một trong các đặc điểm bảo mật của dữ liệu cá nhân ngoài tính bảo mật (ví dụ: tính toàn vẹn hoặc tính sẵn có). Đặc tính “toàn vẹn” có nghĩa là dữ liệu cá nhân chỉ được thay đổi theo cách được quy định, ví dụ: chỉ bác sĩ được ủy quyền mới có thể thay đổi hồ sơ bệnh án điện tử và trong mọi trường hợp khác, thông tin trong hồ sơ bệnh án không được thay đổi . Khi truyền qua mạng, tính toàn vẹn được đảm bảo bằng việc sử dụng chữ ký số điện tử.

Đặc tính “sẵn sàng” có nghĩa là công việc với PD phải được cung cấp cho một lượng dữ liệu và người dùng nhất định tuân thủ các quy định về thời gian đã thiết lập. Nói cách khác, “tính sẵn sàng” là một công thức khác của độ tin cậy của hệ thống. Cũng lưu ý rằng việc nói về khả năng truy cập trong các mạng mở là gần như vô nghĩa - không một nhà cung cấp nào sẽ cung cấp quyền truy cập được đảm bảo vào dữ liệu hoặc việc truyền dữ liệu không bị gián đoạn.

Hệ thống thông tin đặc biệt bao gồm: ·

• IP nơi xử lý dữ liệu cá nhân liên quan đến tình trạng sức khỏe của đối tượng; ·
• IP quy định việc áp dụng, chỉ dựa trên việc xử lý tự động dữ liệu cá nhân, các quyết định làm phát sinh hậu quả pháp lý liên quan đến đối tượng hoặc ảnh hưởng đến quyền và lợi ích hợp pháp của đối tượng đó.

Theo cấu trúc của chúng, hệ thống thông tin xử lý dữ liệu cá nhân được chia thành: ·

• đến tự trị (không được kết nối với IS khác) dùng để xử lý dữ liệu cá nhân (máy trạm tự động); ·
• đến các tổ hợp máy trạm tự động được kết hợp thành một IS duy nhất bằng phương tiện liên lạc mà không sử dụng công nghệ truy cập từ xa (hệ thống thông tin cục bộ); ·
• đến các tổ hợp máy trạm tự động và (hoặc) hệ thống thông tin cục bộ, được tích hợp vào một hệ thống thông tin duy nhất bằng phương tiện liên lạc sử dụng công nghệ truy cập từ xa (hệ thống thông tin phân tán).

Dựa trên sự hiện diện của kết nối với mạng truyền thông công cộng và (hoặc) trao đổi thông tin quốc tế, hệ thống thông tin được chia thành hệ thống có kết nối và hệ thống không có kết nối.

Dựa trên thực tế là bắt buộc phải đảm bảo tính bảo mật dữ liệu, chúng tôi có thể xác định các yếu tố cần thiết của hệ thống thông tin để xử lý dữ liệu cá nhân.

Trước hết, hệ thống thông tin phải xác định người dùng và có thể thiết lập các cơ quan có thẩm quyền riêng để người dùng truy cập vào dữ liệu cá nhân, tức là có hệ thống nhận dạng, xác thực và kiểm soát truy cập.

Thứ hai, cần đảm bảo việc bảo vệ dữ liệu cá nhân có thể bị xa lánh khỏi hệ thống. Ví dụ, việc chuyển thông tin tới phương tiện di động. Rất có thể trong một số trường hợp cần phải tính đến khả năng bị trộm và mất (mất) thiết bị máy tính có dữ liệu cá nhân. Trong trường hợp này, việc mã hóa PD được lưu trữ trên phương tiện máy tính cũng là bắt buộc.

Nếu hệ thống có kết nối với các mạng mở hoặc liên quan đến trao đổi dữ liệu, thì bắt buộc phải sử dụng mã hóa dữ liệu và chữ ký số điện tử, cũng như cung cấp biện pháp bảo vệ chống lại các cuộc tấn công từ mạng bên ngoài, bao gồm cả tính năng bảo vệ chống vi-rút.

Để mã hóa và chữ ký điện tử, các khóa và chứng chỉ do chính người dùng tạo ra và đăng ký với cái gọi là cơ quan chứng nhận sẽ được sử dụng.

Một điểm rất quan trọng là việc đăng ký hành động với PD, một mặt giúp xác định những người chịu trách nhiệm về việc rò rỉ của họ, mặt khác, tạo động lực tâm lý để làm việc đúng đắn với họ.

Hệ thống thông tin xử lý dữ liệu cá nhân có thể được gán một trong các lớp sau: ·

• loại 1 (K1) - IP vi phạm các đặc điểm bảo mật cụ thể của dữ liệu cá nhân được xử lý trong đó có thể dẫn đến hậu quả tiêu cực đáng kể cho chủ thể của dữ liệu cá nhân; ·
• loại 2 (K2) - IP mà việc vi phạm các đặc điểm bảo mật được chỉ định của PD được xử lý trong đó có thể dẫn đến hậu quả tiêu cực cho chủ thể của dữ liệu cá nhân; ·
• loại 3 (K3) - IP vi phạm các đặc điểm bảo mật cụ thể của dữ liệu cá nhân được xử lý trong đó có thể dẫn đến hậu quả tiêu cực nhỏ cho chủ thể của dữ liệu cá nhân; ·
• loại 4 (K4) - IP vi phạm các đặc điểm bảo mật được chỉ định của dữ liệu cá nhân được xử lý trong đó không dẫn đến hậu quả tiêu cực cho chủ thể của dữ liệu cá nhân.

Bảng 1

Loại

Thứ nhất, từ “Trật tự…” kéo theo sự tồn tại Thể loại dữ liệu cá nhân. Thật hợp lý để thực hiện sự tổng hợp cơ sở dữ liệu trong IS chứa PD thành các phần không chồng chéo chứa dữ liệu thuộc các danh mục khác nhau. Ngoài ra, IS để xử lý PD phải là chia thành các đường nét, chỉ chứa dữ liệu từ một danh mục. Điều này hoàn toàn có thể thực hiện được vì các cá nhân được xác định duy nhất bằng số hộ chiếu hoặc TIN hoặc số chính sách bảo hiểm y tế, cho phép cơ sở dữ liệu y tế và các mảng khác được lập chỉ mục một cách rõ ràng. Vì vậy, cần phải tuân theo nguyên tắc rằng trong mỗi mạch IS để xử lý dữ liệu cá nhân cần phải sử dụng sản phẩm được chứng nhận của một lớp, và các đường viền phải là bị cô lập từ nhau.

Có thể nói rằng hầu hết các hệ thống thông tin xử lý dữ liệu cá nhân (đặc biệt là cho mục đích y tế) sẽ đặc biệt, tức là họ cần đảm bảo không chỉ tính bảo mật mà còn cả chính trực bắt buộc và các đặc điểm an toàn và độ tin cậy khác.

Khi phân phối IP để xử lý dữ liệu cá nhân, ngay cả khi cần đảm bảo chỉ sự riêng tư theo "Thủ tục..." bắt buộc phải bảo vệ dữ liệu cá nhân được truyền và lưu trữ. Điều này hoàn toàn tuân thủ các yêu cầu hiện tại của FSB Liên bang Nga đối với các hệ thống thông tin tự động nhằm bảo vệ thông tin bí mật không cấu thành bí mật nhà nước, cụ thể là quy định “tất cả thông tin bí mật truyền qua các kênh liên lạc phải được bảo vệ; thông tin truyền qua các kênh liên lạc phải được mã hóa bằng công cụ bảo vệ thông tin mật mã (CIPF) hoặc sử dụng các kênh liên lạc an toàn để truyền tải. Thông tin được ghi lại trên các phương tiện truyền thông xa lạ phải được bảo vệ.”

Yêu cầu cuối cùng chắc chắn có thể áp dụng cho các hệ thống thông tin dữ liệu cá nhân biệt lập không có kênh truyền dữ liệu cá nhân, tức là cho các máy trạm riêng lẻ xử lý dữ liệu cá nhân.

Điều này có nghĩa là để xử lý dữ liệu cá nhân, hệ thống thông tin phải được chứng nhận ở cấp độ không thấp hơn AK2 trong phân loại của FSB của Liên bang Nga. Ví dụ: Windows XP được bảo vệ bằng gói cập nhật Secure Pack Rus tương ứng với lớp này. Các phương tiện bảo mật phải bao gồm các phương tiện bảo vệ thông tin mật mã (CIPF) thuộc loại không thấp hơn KS2.

Dựa trên điều này, đối với bất kỳ hệ thống thông tin PD nào xử lý các danh mục PD cao hơn loại thứ 4 (chắc chắn sẽ bao gồm tất cả các hệ thống xử lý PD y tế), sẽ cần phải thực hiện tất cả các yêu cầu của lớp AK2 trong phân loại của FSB của Liên bang Nga.

Từ kiến ​​trúc PD IS, với số lượng PD được xử lý đủ lớn (chỉ số 1 hoặc 2), chắc chắn sẽ có một thành phần máy chủ nổi bật, thành phần này cũng sẽ cần được bảo vệ. Trong trường hợp này, tất cả thông tin bí mật được lưu trữ trên phương tiện từ tính của máy trạm và máy chủ phải được bảo vệ, đáp ứng các yêu cầu của loại AK3.

Vì vậy, chúng tôi có thể đề xuất một chiến lược hoàn toàn hợp lý để bảo vệ dữ liệu cá nhân, bao gồm các chiến lược sau: Bảng. 1 được điền như sau (xem Bảng 2).

ban 2

danh mục IP	Lớp IP tùy thuộc vào khối lượng dữ liệu được xử lý
	Không thấp hơn AK3	Không thấp hơn AK3	Không thấp hơn AK3

Ghi chú. “-” có nghĩa là không có yêu cầu nào cả.

Vì vậy, để bảo vệ dữ liệu cá nhân thuộc loại đầu tiên, bao gồm tất cả dữ liệu y tế, cần sử dụng các phương tiện bảo vệ thuộc loại không thấp hơn AK3 và các phương tiện bảo vệ bằng mật mã thuộc loại không thấp hơn KS3.

Để trang bị thực tế cho IP các phương tiện bảo mật, chúng tôi có thể đề xuất các sản phẩm được điều chỉnh đặc biệt để bảo vệ dữ liệu cá nhân và có các giấy phép cần thiết (chứng chỉ và kết luận). Đây chủ yếu là Secure Pack Rus và các công cụ bảo vệ mật mã thuộc dòng CryptoPro.

Bây giờ chúng ta hãy thử ước tính chi phí trang bị cho một nơi làm việc để xử lý PD. Nếu không giảm giá, giá của gói Secure Pack Rus là khoảng 2.000 rúp, trong khi các công cụ bảo vệ mật mã của dòng CryptoPro đã được bao gồm trong gói này. Hơn nữa, để bảo vệ thông tin cá nhân được lưu trữ trên máy tính của bạn, bạn nên mua một trong các gói bảo vệ dữ liệu CryptoPro EFS, Secure Pack Explorer hoặc Crypto Explorer. Giá của mỗi sản phẩm này dao động từ 600 đến 1000 rúp. Tổng cộng, việc bảo vệ một nơi làm việc mà không tính đến việc cài đặt và cấu hình sẽ tiêu tốn khoảng 3.000 rúp, và việc cài đặt và điều chỉnh các chương trình theo truyền thống sẽ tăng thêm 10-15% chi phí.

Thông thường, chúng ta có thể phân biệt “mười bước thần bí trên con đường” dẫn đến một hệ thống xử lý dữ liệu cá nhân an toàn.

1. Xác định những thành phần IP của bạn cần được bảo vệ trước tiên. Trước tiên, hãy tìm hiểu chính xác dữ liệu cá nhân nào cần được bảo vệ và dữ liệu đó hiện nằm ở đâu trong hệ thống của bạn. Sau đó kiểm tra xem nơi làm việc của mỗi nhân viên có thực sự cần bảo vệ dữ liệu hay không. Có lẽ sẽ dễ dàng hơn nếu phân bổ các máy tính riêng biệt để làm việc với thông tin cá nhân cần được bảo vệ đặc biệt đáng tin cậy? Hãy nhớ rằng máy tính kết nối Internet không phải là nơi tốt nhất để lưu trữ dữ liệu cá nhân!
2. Đánh giá hiện trạng an toàn thông tin. Mức độ thỏa đáng là bao nhiêu? Nếu có thể, hãy tiến hành kiểm tra bảo mật bên ngoài hệ thống của bạn. Phân loại IP của bạn theo hướng dẫn ở trên. So sánh những phát hiện của bạn với những phát hiện của kiểm toán bên ngoài.
3. Xác định ai hiện chịu trách nhiệm đảm bảo bảo vệ quyền sở hữu trí tuệ. Có thể thu hẹp vòng tròn những người mà độ tin cậy của sự bảo vệ này phụ thuộc vào không? Đồng thời, hãy nhớ rằng - sự an toàn không thể phụ thuộc vào một người! Hãy chắc chắn chỉ định kiểm toán viên, ví dụ, bác sĩ trưởng có thể giám sát công việc của các chuyên gia trong việc điền và di chuyển PD.
4. Hãy phê phán các yêu cầu của các chuyên gia nếu họ nhất quyết đòi cài đặt phần cứng bảo mật. Cũng xin lưu ý rằng việc sử dụng các công cụ mật mã là một công việc khá nghiêm túc. Điều quan trọng là phải hiểu: việc duy trì các công cụ mã hóa và sử dụng chữ ký số có ảnh hưởng đến hoạt động kinh doanh cốt lõi của công ty bạn không? Cũng xin lưu ý rằng không phải mọi nhân viên đều có thể hoặc nên mã hóa dữ liệu.
5. Đảm bảo trật tự an ninh cho phòng khám của bạn. Đặt chế độ đảm bảo mức độ bảo mật thông tin cần thiết nhưng không đi quá xa. Ví dụ, mọi người không nên bị tước đi khả năng sử dụng điện thoại di động. Việc cấm nhân viên truy cập email và Internet vì mục đích cá nhân cũng không phù hợp. Đồng thời, nên quy định quy trình mang phương tiện flash và máy tính xách tay của riêng bạn vào lãnh thổ của công ty hoặc sử dụng chức năng có sẵn trong Secure Pack Rus để vô hiệu hóa các ổ USB không được quản trị viên cho phép sử dụng
6. Yêu cầu các chuyên gia CNTT lập kế hoạch làm việc rõ ràng để tạo và cấu hình hệ thống bảo mật. Yêu cầu biện minh cho sự cần thiết phải mua thêm thiết bị an ninh. Nhấn mạnh vào việc đảm bảo rằng các điều chỉnh bảo mật sẽ không ảnh hưởng đến hoạt động cơ bản của hệ thống.
7. Giám sát việc thực hiện kế hoạch tạo ra một hệ thống an ninh.
8. Lắng nghe ý kiến ​​của bác sĩ và nhân viên - các biện pháp an toàn có ảnh hưởng đến công việc và hoạt động cốt lõi của họ không?
9. Duy trì và kiểm tra trạng thái bảo mật PD, đồng thời củng cố lòng trung thành của nhân viên an ninh.
10. Hãy bình tĩnh trước những đổi mới trong lĩnh vực an ninh - chủ nghĩa bảo thủ lành mạnh sẽ giúp bạn tiết kiệm tiền.