Нива на защита на личните данни: изисквания и особености

Лични данни - информация, чието разкриване би могло да навреди на лице, чиито лични данни стават внезапно известни. Освен това разкриването на такива данни, независимо дали е умишлено или случайно, поражда определена отговорност за лицето, което е разкрило такава информация.

Ето защо личните данни се нуждаят от някакъв вид защита. Кой?? Това се определя от гледна точка на нивата на защита на личните данни. Какви са те, въведените класификации и най-важните изисквания за всяко ниво ще разгледаме в тази статия.

Законодателно регулиране

Установени са нива на защита на личните данни По решение на правителството № 1119 (2012). Те замениха класовете информационни системи в областта на личните, личните данни.

По този начин са въведени 4 нива на защита на личните данни при обработката им в информационните системи. В постановлението се определят и изискванията към всеки от тях.

Въз основа на това на кои информационни системи може да се определи определено ниво на сигурност? На първо място е необходимо да се вземе предвид видът на личната информация, която се обработва от такава информационна система, разнообразието от реални заплахи и броят на субектите на лични данни, които се обработват директно в системата. Важно е също така да се знае кои лични данни на конкретната група се обработват.

Нива

Как да разбираме нивата на защита на личните данни? Следва да се направи позоваване на алинея 5.1.3 от регламента. 5 от гореспоменатия Указ № 1119. Има четири категории:

• 1 ниво на сигурност на личните данни. Това са специални информационни системи за лични данни (ISPDN). Какво се обработва тук? Информация, свързана с националността, расата, политическите възгледи, философските убеждения, религиозните вярвания, здравословното състояние, подробности от интимния живот на лицето.
• Ниво 2 на сигурност на личните данни. Това вече включва защита на биометричните лични данни. В тези системи ще се обработва информация, която характеризира биологичните, физиологичните характеристики на гражданина. Въз основа на тях е възможно да се идентифицира лицето. Те се използват от оператора за идентифициране на конкретен субект на лични данни. Тук не трябва да се обработват данни, класифицирани като специални (т.е. първо ниво на защита).
• Ниво 3 на сигурност на личните данни. Това са публично достъпни ISPDN. Как да го разберем? Тук се обработват лични данни за субектите на лична информация, получени само от публично достъпни източници. Последното трябва да бъде установено в строго съответствие с чл. 8 FZ "За личните данни".
• 4 ниво на защита на личните данни. Това са други ISPDN. Това означава, че нивото включва онези информационни системи, които не са посочени в предходните три нива.

Форма на връзката

Как да разберем нивата на защита на личните данни? Прави се позоваване на класификацията, дадена по-горе.

Освен това обработката на лична информация ще се различава и по формата на взаимоотношенията между организацията, използваща ISPN, субекта на личната информация. Съществуват два вида такива отношения:

• Обработване на лична информация на служители (такива лица, които са свързани с организацията чрез официално трудово правоотношение).
• Обработка на лични данни на лица, които не работят за организацията.

Брой субекти

Определянето на нивото на сигурност на личните данни се извършва въз основа на първата класификация в член. Въпреки това Правителствен указ № 1119 представя две категории ISPN - според броя на субектите, чиято лична информация се обработва в такава система.

Тук се разграничават само две групи:

• Под 100 хиляди субекта.
• Повече от 100 хил. субекта.

Класификация според вида на текущите заплахи

Разграничават се само четири нива на защита на информационната система за лични данни. Освен това Указ № 1119 разделя ИСПН според вида на спешните заплахи, които могат да възникнат там при обработката на лични данни:

• Първият вид заплахи. Те са свързани с наличието на някои недокументирани, недекларирани функции, съществуващи в софтуера, използван в информационната система.
• Вторият вид заплаха. Наличие на редица недекларирани функции в приложния софтуер, използван пряко в ИСПН.
• Трети тип. Наличие на някои недокументирани функции в софтуера, използван в ISPN.

Проблеми при прилагането на класификацията

Запознахме се с акта за определяне на нивото на защита на личните данни. Но документът все още оставя много нерешени въпроси, след като го прочетете. Най-дразнещите пропуски:

• Документът не регламентира определянето на вида на действителната заплаха. Също така изискванията на PP № 1119 не предлагат никакви средства и методи за неутрализирането им.
• Преди това операторите имаха възможност да избират дали да класифицират конкретен или типичен ISPN чрез описание на модела заплахи. Днес няма такава възможност.
• Тъй като понастоящем нивото на сигурност се основава на сериозността на текущите заплахи, не винаги е възможно операторът на системата сам да извърши такава процедура. Те ще трябва да се свържат с консултанта, с отговорната йерархия и т.н.

Какъв е броят на нивата на сигурност на личните данни в Русия днес?? Четири . Поради посочените трудности на практика операторите са склонни да изберат пътя на най-малкото съпротивление. Това означава, че за всяка заплаха се определя тип 3, при който не е необходимо да се изследват недекларираните характеристики на системата и приложния софтуер, използвани за информационната система.

Необходими изисквания

Обяснихме как да определим нивото на сигурност на личните данни. Всеки от тях трябва да спазва изискванията, посочени в Правителствен указ № 1119. Нека ги изброим:

• Създаване на специален режим на сигурност за помещенията, в които се намират информационните системи. По-специално, тя трябва да предотвратява неконтролирано влизане, влизане в тези пространства на лица, на които не е бил предоставен такъв достъп. Задължително за всички нива.
• Осигуряване на пълна сигурност на носителите на лични данни. Задължително за всички нива.
• Одобрение от ръководството на оператора на документацията, определяща списъка на лицата, които се нуждаят от достъп до лична информация, обработвана в информационната система, за да изпълняват своите трудови задължения и задачи, свързани с работата. Задължително за всички нива.
• Използване на инструменти и техники за информационна сигурност, които са преминали през оценка на съответствието с руските правни изисквания за гарантиране на сигурността на личните данни. В такива случаи, когато използването на такива мерки Необходим за Неутрализиране, елиминиране на настоящите заплахи. Изискване, задължително за всички нива.
• Назначаване на служител, който ще отговаря за гарантиране на сигурността на личната информация в ISPN. Изискването е задължително за нива 1, 2 и 3.
• Ограничения на достъпа на лица до съдържанието на дневниците за електронни съобщения. Изискване, задължително за ниво 1 и 2.
• Извършване на автоматична регистрация в електронния регистър за сигурност на различни промени в разрешенията на служителите на оператора за достъп до лична информация, която се съдържа в системата. Изискване, задължително за ниво 1.
• Създаване на специално структурно звено, което ще отговаря за гарантиране на сигурността на личните данни в информационната система. Алтернативно, възложете такива функции по сигурността на един от съществуващите офиси на организацията. Задължително за ниво 1.

Защита на типични системи

Нека вземем най-често срещания пример - медицинските организации. Повечето от тях имат установен типичен ISPDN. По-специално те се използват за регистриране на персонала, изчисляване на размера на възнаграждение.

Субектите на обработката на лични данни в този случай са служители на доставчици на здравни услуги. Целта на обработката на лични данни в този случай е да се гарантира спазването на трудовото и другото законодателство по отношение на служителите по отношение на всеки служител.

Следователно в тези информационни системи не се обработват нито специфични, нито биометрични видове лична информация. Следователно нивото на сигурност на данните в този случай трябва да се определя само въз основа на действителните рискове за сигурността, установени във връзка с тази информационна система.

В повечето случаи заплахите, които не са свързани с недекларирани (или недокументирани) възможности както в приложния, така и в системния софтуер, са неотложни за такива системи. Следователно операторът трябва да осигури само четвъртото ниво на сигурност на личната информация. С други думи, трябва да се приложи минимален набор от технически и организационни мерки.

Информационни системи на федерално ниво

Сега нека се обърнем към един по-глобален пример в руската медицинска сфера. Това е Федералният регистър на медицинските работници (ФРМР) - система, чиято цел е да събира, съхранява и обработва информация за досиетата на местния медицински персонал на субектите на Руската федерация. Федералният регистър се използва и за контрол на поставянето, движението на данни за медицинския персонал.

Прилики и разлики

Но както и в описаната по-горе по-малко сложна информационна система, те не обработват никаква специална или биометрична лична информация за гражданите. Съответно характеристиките на FRMR и IS на обикновените медицински организации в тази област са сходни. Федералният регистър изисква същото ниво на сигурност на данните - четвърто.

Въпреки че категориите на субектите на ИС и информацията, която трябва да се обработва в двете системи, са почти сходни, специалистите не съветват да ги обединявате в една. Защо? Става дума за различни цели. В първия случай системата се създава, за да отговори на изискванията на Кодекса на труда. Втората е да се отговори на изискванията на Министерството на здравеопазването.

Цели на медицинските ISPN

Такъв ISPN има за цел да реши редица задачи:

• Възможност за откриване на електронен регистър, водене на електронно медицинско досие.
• Обработка на данни от медицински изследвания в цифрово представяне.
• Събиране и съхраняване на информация за наблюдение на пациенти от медицински устройства.
• Едно от средствата за комуникация между здравните специалисти.
• Анализ на финансова и административна информация.

Разбира се, за да бъдат успешно изпълнени тези цели, е необходимо правилната организация Сигурност на COPDN.

важни фактори

Следователно, за да избере подходящо ниво на сигурност на медицинските ПСПС, операторът на системата трябва да вземете под внимание на два важни фактора:

1. Специални лични данни - диагноза, текущо състояние и т.н. - могат да бъдат обработвани в информационната система Здраве, Отчитане на медицински устройства и др.
2. Субекти на ИСПН могат да бъдат не само служители на медицинско заведение, но и пациенти на организацията.

Ако броят на субектите на такава информационна система е голям и са идентифицирани определен вид спешни заплахи, тогава трябва да се установи необходимото ниво 1 или 2 на защита на личните данни.

Научихме за нивата на сигурност на личната информация, важните характеристики за тях. Разгледахме примери за това как да се избере правилното ниво на сигурност и на кои правни разпоредби да се разчита.