Лаборатория информационной безопасности

Персональные данные: сравнительный анализ старой и новой нормативной базы

Рейтинг:   / 1

ПлохоОтлично 

Подробности

Категория: Юридические вопросы ИБ

Дата публикации: 19.07.2013 13:18

В предыдущей статье мы рассмотрели особенности и порядок действий оператора персональных данных согласно старой и новой правовой базе. Как было указано, важность сопоставления двух законодательств заключается в известном требовании регуляторов: ИСПДн, построенные по старому законодательству и прошедшие успешное согласование с ФСТЭК, могут не вливать доп. средства и не переделывать (а могут и переделать) свою информационную систему (ИСПДн), дабы соответствовать новым требованиям. В случае же реорганизации какой-либо ИСПДн или появления у организации новых ИСПДн, защищать персональные данные по новому законодательству придётся.

Таким образом, возникает вопрос, переделывать ли старую ИСПДн на новую сейчас или оставить это дело до реорганизации ИС? Тут важен момент: как часто меняется у организации структура хранения и обработки персональных данных в ИСПДн и на сколько эти изменения серьёзны / будут ли они входить в описанную старую документацию или же нет? В случае, если изменения предвидятся в скоро будущем, переходить на новую систему явно надо и лучше сделать это как можно скорее во избежание лишнего геморроя в будущем. Если же изменения происходят не предвидятся, можно пока подождать и сэкономить средства на введение доп. мер защиты. Хотя в некоторых особых случаях перевод ИСПДн на новые требования может сократить расходы (на использование защитных мер).

Итак, перейдём к анализу...

Сравнительный анализ

Особенности нового 152-ФЗ

Практически все нововведения и изменения в новой версии 152-го закона сводятся к появлению в нём отсутствующей ранее статьи 19 под названием "Меры по обеспечению безопасности персональных данных при их обработке". Что же эта статья содержит?

Например, появилось требование использования защитных средств, прошедших в установленном порядке процедуру оценки соответствия СЗИ (ст.19, ч. 2, п.3), а такая процедура в России пока что одна - сертификация. В некоторых случаях, когда использовать сертифицированные СЗИ не хочется и когда тип этих СЗИ отличается от межсетевых экранов, антивирусных средств и СКЗИ (криптосредств), то как было указано выше, это дело можно исключить через экспертное заключение оператора, имеющего лицензию на ТЗКИ. Появилась также процедура оценки эффективности мер защиты до ввода в эксплуатацию ИСПДн (п. 4). Реализуется очень легко в виде одной бумажки А4.

Кроме того, в тексте нового ФЗ появились следующие требования: физическая защита носителей и резервирование ПДн (аналогично ПП-781); разграничение и документирование прав доступа (переехало в 152-ФЗ из ПП-781); подсистема регистрации и учёта (аналогичный переезд); создание отраслевых моделей актуальных угроз (ч. 5; весьма интересное нововведение, учитывая, что в ПП-1119 сказано, что применение данных моделей является обязательным); назначение ответственного за обработку ПДн (аналогично ПП-781).

Особенности ПП-1119

Если деятельность оператора является отраслевой (в частности, регулируется ЦБ РФ), то модель актуальных угроз (здесь и далее буду употреблять этот термин в аналогии с «перечнем актуальных угроз») должна строиться в соответствии с составленной соответствующим исполнительным органом и согласованной у ФСТЭК отраслевой моделью (в частности, ЦБ РФ, отраслевая модель угроз которого есть и согласована со всеми регуляторами).

Определение специальных категорий ПДн и биометрии осталось прежним.

Определение типа угроз (1-3) производится оператором с учётом: возможного вреда субъекту ПДн и отраслевыми моделями угроз (т.е. по факту тип угрозы несложными манипуляциями можно всегда снизить до третьего).

Появилось разграничение между ИСПДн, обрабатывающих ПДн сотрудников оператора и ИСПДн субъектов ПДн (всех остальных), что упрощает защиту классических ИСПДн.

В старом законодательстве для ИСПДн К4 защитные меры можно было выбирать самостоятельно или не выбирать вообще (не защищать то есть). В ПП-1119 защищать ПДн надо (конкретные меры защиты предложены и в самом ПП, и в 21 приказе), начиная с 4-го уровня защищённости, в том числе – важно! – если данные общедоступные (т.к. они подпадают под 4 класс).

Полностью изменилась классификация ИСПДн (к тому же, она теперь определяется на уровне ПП-1119, а не приказа ФСТЭК):

Нынешние классы систем:

• ИСПДн, обрабатывающие специальные категории данных;
• ИСПДн, обрабатывающие биометрию;
• ИСПДн, обрабатывающие общедоступные ПДн;
• ИСПДн сотрудников оператора;
• ИСПДн, обрабатывающие иные категории ПДн.

Стоит отметить, что специальных ИСПДн в новом законодательстве нет и прежняя «лазейка» через определение системы, как специальной и последующая классификация (и применение защитных мер, само собой), исходя лишь из своей собственной модели угроз, превратилась в основной путь классификации в новом законодательстве (с доп.аргументами, правда, и обязательностью применения заданных базовых наборов защитных мер).

Требований по сертификации или аттестации как не было, так и нет. Регламента по ведению системы регистрации учёта аналогично – как не было, так и нет теперь, ну да не беда: есть простор в составлении собственных регламентов и упрощения себе задачи.

Особенности Приказа №21

Появилось требование оценки соответствия СЗИ в форме сертификации (важно учитывать вышеуказанных замечания по этому поводу). Определены т.н. базовые меры защиты, в том числе для 4 уровня защищённости (во исполнение вышесказанного).

Выбор защитные мер делится на 3 этапа, указанные в приведённом выше порядке действий оператора: выбор/адаптация/дополнение базовых мер защиты.

Перечень защитных мер стал существенно шире и появилась обязательность требований (исходящая, правда, ещё из ПП-1119, но тем не менее): появились требования по применению систем DLP, IPS/IDS, SEIM, требования r терминальному доступу и многое другое: с одной стороны дороже, с другой регламентирует более разумную, логичную и защищённую систему, с третьей – защитные меры всё-таки более менее варьируемы для оператора (тип угроз определяется оператором свободно, от выбранного типа напрямую зависит требуемый уровень защищённости системы и, как следствие, необходимые меры защиты). Кроме того, на стадии адаптации базового набора часть требуемых защитных мер может быть исключена или заменена другими (т.н. компенсационными), но для этого требуется строгое задокументированное обоснование.

Планируемые в ближайшем будущем изменения и другие особенности старой и новой нормативной базы

Постепенное увеличение штрафов за невыполнение требований по защите ПДн (раньше было 10000р., сейчас от 500000 до 2% от дохода, выручки за год или 700000 (в зависимости от нарушения), срок давности вырос от 3 месяцев до года, зона ответственности переходит от прокуратуры в РКН).

Новые требования по биометрическим ИСПДн и хранению носителей информации вне ИСПДн (содержащиеся в ПП-512).

Проект ПП «Об утверждении Положения о государственном контроле и надзоре за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных». Смысл ясен. Ожиданий много. На проектирование ИСПДн не влияет, а вот внимания и желания ускориться прибавляет.

Проект приказа ФСБ «Об установлении в сфере деятельности ФСБ России состава и содержания необходимых для выполнения установленных ПП РФ требований к защите ПДн для каждого из уровней защищённости организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн». Смысл приказа тоже ясен. Все ожидания в соответствии с опубликованным проектом крутятся вокруг приказа ФАПСИ №152. Изменения в деятельность оператора повлечь вполне может.

Проект РКН «Методические рекомендации по обезличиванию ПДн…». Интересный и полезный документ. Он принесёт только пользу.

Приложение 1. Анализ старого нового ПП и приказов.

Итак, некоторые вышеперечисленные моменты (некоторые, т.к. не все из них таблично сравнимы), а также чисто технические аспекты различий между двумя ПП (781 и 1119) и двумя приказами ФСТЭК (58 и 21) приведены в нижеследующих таблицах.

 Сравнительная таблица для ПП-1119 и ПП-781

В итоге, 25 требований убрано, 5 требований добавлено, 9 осталось без изменений и 3 перешли в ФЗ-152.

Сравнительная таблица для приказов №58 и №21

Вопросы того, как защищать персональные данные на предприятии (алгоритм), описаны в статье по порядку действия оператора ПДн. И более подробно - о защите ПДн в интернес-сервисах - сказано в статье защита ПДн в интернете.

С уважением,
Лысяк Александр