152-ФЗ Защита персональных данных
Согласно требованию Федерального закона №152 от 27 июля 2006 г. "О персональных данных", а так же Федерального Закона №261 от 25 июля 2011 года "О внесении изменений в федеральный закон "О персональных данных" оператор персональных данных (оператор ПД) обязан выполнить ряд организационных и технических мер, касающихся процессов обработки персональных данных.
Согласно Федеральному закону № 13-Ф от 07.02.2017 с 1 июля 2017 года существенно ужесточается ответственность компаний за нарушения, возникшие при взаимодействии с персональными данными физических лиц.
Защите подлежат все информационные системы организации, обрабатывающие и хранящие персональные данные клиентов, пациентов и их представителей, а также работников и подрядчиков.
Основными системами являются:
-
Сайт организации - если на нем как-либо собираются контактные данные (онлайн-заявки и онлайн-консультанты, формы заказа звонка, формы записи на прием, личный кабинет пациентов, формы отклика на вакансии), а также указываются данные работающих в организации сотрудников;
-
Системы учета клиентов - информационные системы, программы и сервисы для учета клиентов, их записи на прием, ведения профильной информации о них;
-
Системы хранения и передачи информации о клиентах - программные продукты и сервисы, файловые хранилища и серверы хранящие информацию о состоянии здоровья пациентов;
-
Системы и рабочие компьютеры, отвечающие за передачу данных о клиентах в сторонние информационные системы - рабочие места сотрудников, ответственных за передачу данных по страховым полисам ОМС и ДМС, работающих в Государственных информационных системах ФОМС, отправляющих данные в сторонние учреждения.
Законодательство.
Одна из проблем, с которой сталкивается любой оператор Персональных Данных – это знание и точное понимание требований законодательства к защите ПД.
Ниже приведён перечень основных нормативно-правовых актов в данной сфере:
Федеральные законы:
-
Федеральный закон РФ от 02 декабря 1990г. № 395-I «О банках и банковской деятельности»;
-
Федеральный закон РФ от 07 июля 2003г. № 126-ФЗ «О связи»;
-
Федеральный закон РФ от 29 июля 2004г. № 98-ФЗ «О коммерческой тайне»;
-
Федеральный закон РФ от 30 декабря 2004г. № 218-ФЗ «О кредитных историях»;
-
Федеральный закон РФ от 27 июля 2006г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации».
Указы Президента РФ:
-
Указ Президента РФ от 06 марта 1997г. № 188 «Об утверждении Перечня сведений конфиденциального характера»;
-
Указ Президента РФ от 17 марта 2008г. № 351 «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена».
Постановления Правительства РФ:
-
Постановление Правительства РФ от 3 ноября 1994г. № 1233 «Об утверждении Положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти»;
-
Постановление Правительства РФ от 6 июля 2008г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
-
Постановление Правительства РФ от 15 сентября 2008г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
-
Постановление Правительства РФ от 01 ноября 2012г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Прочие нормативные акты, стандарты, руководящие документы:
-
Письмо Минкомсвязи РФ от 13.05.2009г. N ДС-П11-2502 «Об осуществлении трансграничной передачи персональных данных»;
-
Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 18 февраля 2013 г. N 21 г. Москва «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
-
Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России) от 15 февраля 2008г;
-
Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» от 15 февраля 2008 года;
-
Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации» от 21 февраля 2008 года;
-
Типовые требования по организации и обеспечению функционирования шифровальных(криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных» от 21 февраля 2008 года;
-
Специальные требования и рекомендации по защите конфиденциальной информации (СТР-К).
Работы по созданию системы защиты персональных данных включают в себя следующие этапы:
Проведение предпроектного обследования ИСПДн
На данном этапе специалистами проводится детальный аудит информационных систем. Выявляются рабочие места, где производится обработка персональных данных. Исследуется технологический процесс обработки информации. По итогам предпроектного обследования составляется развернутый Акт обследования.
Проектирование системы защиты персональных данных:
В ходе проектирования системы защиты, на основании данных, полученных в ходе предпроектного обследования, определяется набор оптимальных средств защиты информации, места их установки и параметры для их настройки. Также на данном этапе производится разработка полного комплекта организационно-распорядительной и технической документации, необходимой для построения системы защиты персональных данных.
Внедрение системы защиты персональных данных:
После того, как была определена и четко прописана структура будущей системы защиты персональных данных, следует произвести закупку всех необходимых средств защиты информации. Первоначально производится установка и настройка средств на отдельные рабочие станции, выделенные в качестве тестовых. В течение определенного промежутка времени проверяется, как взаимодействуют средства защиты информации с системным и прикладным программным обеспечением. В случае, если тестирование проходит успешно, то производится установка и настройка средств защиты информации на оставшиеся рабочие станции.
Аттестация и эксплуатация ИСПДн:
На данном этапе производится обучение пользователей работе со средствами защиты информации, вводятся в действие все ранее разработанные организационно-распорядительные документы. Заключительным этапом является аттестация информационной системы персональных данных, которая подтверждает соответствие созданной системы защиты всем требованиям законодательства Российской Федерации по защите персональных данных
Помимо данных этапов в ряде случае требуется дальнейшее сопровождение созданной системы защиты, которое предусматривает обновление организационно-распорядительной документации; контроль за состоянием средств защиты информации;
Технические средства защиты информации.
Применение технических средств для защиты ПД регламентированы в приказе ФСТЭК №21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных".
Согласно п. 8 данного приказа, в состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:
-
идентификация и аутентификация субъектов доступа и объектов доступа;
-
управление доступом субъектов доступа к объектам доступа;
-
ограничение программной среды;
-
защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные (далее - машинные носители персональных данных);
-
регистрация событий безопасности;
-
антивирусная защита;
-
обнаружение (предотвращение) вторжений;
-
контроль (анализ) защищенности персональных данных;
-
обеспечение целостности информационной системы и персональных данных;
-
обеспечение доступности персональных данных;
-
защита среды виртуализации;
-
защита технических средств;
-
защита информационной системы, ее средств, систем связи и передачи данных;
-
выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее - инциденты), и реагирование на них;
-
управление конфигурацией информационной системы и системы защиты персональных данных.
В случае появления вопросов или интереса к описанной услуге, пожалуйста, свяжитесь с нами по телефону +7 (495) 120 70 82 или через форму обратной связи
