18 сентября, вторник 16:10
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Постановление Правительства РФ по персональным данным

Свернуть
Это важная тема.
X
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Постановление Правительства РФ по персональным данным

    17 ноября Правительство РФ выпустило Постановление № 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных". Я думаю участникам форума будет интересно ознакомится с ним. Тем более реализация требований естественно ляжет на подразделения ИБ.
    Текст Постановления:

  • #2
    Было бы интересно, ада толку от него. Положение фактически описывает, какие требования кто регулирует и дает регуляторам рехмесячный срок на то, чтобы утвердить требования.

    Комментарий


    • #3
      Просто надо готовиться, что "регуляторы" что то очередной раз нахомячат. Придумают допустим лицензирование (а это заработанные бабки для них) или еще какую аналогичную чушь.

      Комментарий


      • #4
        Интересен 10-й пункт.
        В случае инцидента "стрелочника" теперь искать не надо.
        Его назначают официально

        Комментарий


        • #5
          ))ИМХО - это теперь, если исходить из п.4-5 - разработчики всяких там "зарплат и кадров", а так же всех АБС - автоматом - обязаны обеспечивать безопасность персональных данных в своем ПО? А значит обязательно сертификация их программ на соответствие НДВ и защиту от НСД?))) - вот было бы здорово....
          Последний раз редактировалось George-on-Don; 26.11.2007, 11:01.
          Мы продолжаем делать то, что мы уже много наделали

          Комментарий


          • #6
            George-on-Don
            Боюсь, что такой халявы не будет, ибо разработчик при создании системы не собирает ПД и не обрабатывает их, ergo - проблемы поиска НДВ и "дырок" для НСД лягут на конечного пользователя системы, при этом над ним же (пользователем) будет стоять "дядя" из ФСТЭК (ФСБ,МИТС) и требовать отчёта о закрытии этих самых дырок в соответствии с требованиями законодательства Российской Федерации.Типично россиянский подход к делу, не находите?
            Опять же, интересно получается: с одной стороны, банк как оператор обработки ПД обязан обеспечить их безопасность при обработке, но при этом (п.2 статьи 22 ФЗ "О персональных данных") он как тот же оператор обработки вправе обрабатывать ПД без уведомления тех самых "уполномоченных органов по защите прав субъектов персональных данных".Т.е. получается - "дуй каждый, во что горазд", только не нарушай законодательство и помни про "дядю"...
            Всё в наших руках...(с)

            Комментарий


            • #7
              2 ПУХ575 - а как тогда понимать вот эти требования "5. Запросы пользователей информационной системы на получение персональных данных, включая лиц, указанных в пункте 14 настоящего Положения, а также факты предоставления персональных данных по этим запросам регистрируются автоматизированными средствами информационной системы в электронном журнале обращений....
              17. Реализация требований по обеспечению безопасности информации в средствах защиты информации возлагается на их разработчиков."
              -это прямое указание разработчикам - теперь допустим 1Сзарплата и кадры или любое другое ПО обрабатывающее персональные данные- должны вести протоколы доступа, аудит действий с записями и тд?
              К тому же ДАЖЕ есть АБС в которых это не реализовано- - и у меня уже появляются вопросы к разработчикам одной из этих АБС))))
              Последний раз редактировалось George-on-Don; 26.11.2007, 13:32.
              Мы продолжаем делать то, что мы уже много наделали

              Комментарий


              • #8
                Не нужно путать разработчиков системы и разработчиков софта. Ответственность за обеспечение безопасности несет оператор, то есть владелец системы. В случае АБС владелец чаще всего является одноременно и разработчиком системы. Если используемые им программные продукты не имеют встроенных сертифицированных средств защиты, ему придется применять наложенные средства защиты.

                Проблема не в этом, проблема в том, что, исходя из этого положения, всем без исключения юридическим лицам придется проходить аттестацию ФСТЭК. Если только ФСТЭК не разрабогтает отдеьное положение по аттестации для персональных данных, в чем я лично, зная эту гнилую контору, сильно сомневаюсь.

                Комментарий


                • #9
                  George-on-Don
                  Что касается п.15 - надо полагать, что "спасение утопающих - дело рук самих утопающих", т.е. или "крутим" разработчиков на создание отдельного доп.модуля или пишем его сами...
                  По п.17 - imho, он относится именно к средствам защиты информации, содержащей ПД, а не к самой информации.Т.е. если разработчик идёт навтречу требованиям пользователя своего продукта и встраивает в продукт какие-то средства защиты, то на разработку и использование этих самых средств он должен иметь лицензию.Лично мне кажется, что вся эта эпопея завершится тем, о чём уже упоминал коллега Stnslav - лицензированием продуктов разработчика и самого разработчика...
                  Кстати, по поводу 1С "Зарплата и кадры" - опять же п.2 статьи 22 ФЗ "О персональных данных"

                  malotavr
                  Вы полагаете, что именно ФСТЭК (или её подразделение) будет тем самым "уполномоченным органом по защите прав субъектов персональных данных"?А вот насчёт возможной аттестации соглашусь, но готов поспорить что это превратится в пустую формальность: некая сумма денежных средств - и аттестация пройдена....
                  Всё в наших руках...(с)

                  Комментарий


                  • #10
                    Сообщение от Пух575 Посмотреть сообщение
                    malotavr
                    Вы полагаете, что именно ФСТЭК (или её подразделение) будет тем самым "уполномоченным органом по защите прав субъектов персональных данных"?А вот насчёт возможной аттестации соглашусь, но готов поспорить что это превратится в пустую формальность: некая сумма денежных средств - и аттестация пройдена....
                    Нет, "уполномоченный по защите прав" еще не назначен. Скорее всего им будет МинИнформСвязь (поскольку защита тайны личной жизни уже частично подподает в его юрисдикцию благодаря закону "О связи"). Но они меня интересуют в последнюю очередь.

                    П 3 статьи 19 закона "О персональных данных" поручает ФСБ и ФСТЭК регулировать требования по ИБ. С принятием закона образовалась совершенно дурацкая ситуация: закон отнес персональные данные к сведениям, охраняемым в соответствии с федеральными законами. Из-за этого защита персональных данных автоматически стала лицензируемым видом деятельности (см. соответствующее положение ФСТЭК). Получилось, что каждое юридическое лицо, ведущее кадровый учет, осуществляет лицензируемый вид деятельности, а значит - обязано получить лицензию ФСТЭК. Это бред, и я рассчитывал, что этот бред правительство исправит.

                    Получилось хуже. ситуация не только не исправилась, но добавился и еще один бредовый момент: "Достаточность принятых мер по обеспечению безопасности персональных данных при их обработке в информационных системах оценивается при проведении государственного контроля и надзора.". Сейчас существует единственный метод оценки достаточности - атестация ФСТЭК (см. "Положение по аттестации объектов информатизации по требованиям безопасности информации"). В случае персональных данных эта аттестация является добровольной.

                    Одно из аттестационных требований - использование при обработке персональных данных средств защиты, сертифицированных на уровнень 1Д РД Гостехкомиссии (см. "Специальные требования и рекомендации по технической защите конфиденциальной информации"). Поскольку аттестацуция является делом добровольным, до сих пор клал я и на ФСТЭК, и на их СТР-К, и на их сертифицированные продукты - не было у них полномочий меня контролировать без моего на то соизволения Теперь, в соответствии с этим положением, я обяазн использовать только сертифицированные средства, а ФСТЭК, в порядке надзора, может меня контролировать.

                    В общем, не нравится мне все это. Я, и в банк-то ушел, чтобы с этим гуано больше не сталкиваться

                    Комментарий


                    • #11
                      malotavr
                      Мдяяя...
                      Но как-то с трудом верится в описанный вами ужос: масштабы работ таковы, что "либо эмир умрёт, либо ишак сдохнет"(с), т.е. либо аттестация будет носить чисто формальный характер, либо в перспективе нас ожидают кризисы
                      Пойти что ли, закупить впрок мыла, соли и спичек
                      Всё в наших руках...(с)

                      Комментарий


                      • #12


                        "Строгость российского законодательства компенсируется необязательностью его исполнения".

                        К примеру, у половины российскких банков нет лиццензий на предоставление услуг в области распространения/обслуживания шифровальных средств. Подсудное, кстати, дело, при наличии клиент-банка с криптографией И ничего

                        Никто же не собирается всех к ногтю прижимать. Просто всегда есть возможность по-быстрому срубить бабла.

                        Комментарий


                        • #13
                          malotavr
                          Никто же не собирается всех к ногтю прижимать
                          Пока "сверху" не дадут команду на организацию "образцово-показательной" порки
                          Всё в наших руках...(с)

                          Комментарий


                          • #14
                            Коллеги, не будем горячиться.
                            Данное постановление принято согласно статьи 19 152-ФЗ.
                            Мое мнение заключается в том, что согласно пункта 1 статьи 4 те персональные данные, которые получаем мы как кредитные организации, подпадают под иные федеральные законы. Типа ПОД/ФТ.
                            А вот договора на прием, например, коммунальных платежей надо бы пересмотреть на предмет присутствия в них пункта согласно пункта 4 статьи 6 упомянутого закона.
                            С уважением, Антон

                            Комментарий


                            • #15
                              Сообщение от Demin Посмотреть сообщение
                              Мое мнение заключается в том, что согласно пункта 1 статьи 4 те персональные данные, которые получаем мы как кредитные организации, подпадают под иные федеральные законы.
                              "Законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах Российской Федерации и состоит из настоящего Федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов." И что в этом пункте указывает на то, что на кредитные организации закон не распространяется?

                              И этот закон, и ратифицированная думой Конвенция Совета Европы относят к защищаемым персональным данным "любые сведения об идентифицированном субъекте или субъекте, который может быть идентифицирован". В том числе - паспортные данные, сведения о финансовых операциях и т.п.

                              Комментарий


                              • #16
                                malotavr Ну, хорошо. Вы уже соблюли пункт 3 статьи 22 152-ФЗ?
                                С уважением, Антон

                                Комментарий


                                • #17
                                  НЕт А "уполномоченный по правам", которого нужно уведомить, уже назначен?

                                  Комментарий


                                  • #18
                                    Demin
                                    А не скажете, каким именно образом нужно выполнять сей пункт, если согласно п.2 этой же статьи (уже писал выше) банк как оператор вправе обрабатывать ПД без уведомления этого самого "уполномоченного..."???Посылать пустые письма?
                                    Всё в наших руках...(с)

                                    Комментарий


                                    • #19
                                      Точно

                                      Комментарий


                                      • #20
                                        Пух575 malotavr Тогда какой смысл копья ломать? Или Стандартов ИБ Банка России нам мало?
                                        С уважением, Антон

                                        Комментарий


                                        • #21
                                          Demin
                                          Так вроде никто ничего и не ломал - просто посмотрели на проблему с разных сторон...
                                          Но в том-то и дело, что закон принят не вместо, а в дополнение к уже существующим, т.е.: "мухи - отдельно, котлеты - отдельно" (с).Применительно же к ситуации вокруг ПД выглядит сие так: банк вправе не уведомлять "орган" об обработке ПД, но принять все меры (в т.ч. и аппаратно-программного характера) для безопасности этой обработки он обязан, а поскольку основная часть этих мер "завязана" на шифрование и иже с ним, на площадку вызываются два основных регулятора и контролёра в этой области - ФСБ и ФСТЭК.Вот и обсуждаем: какова будет практическая реализация всего вышеперечисленного и чем это кому чревато...
                                          Всё в наших руках...(с)

                                          Комментарий


                                          • #22
                                            Чушь какая то. Смысл этого постановления ?

                                            Комментарий


                                            • #23
                                              да ладно, в любом случае теперь ждать 3 месяца пока не будут разработаны четкие методические процедуры ФСБ, по которым мы и будем данный документ приводит у себя в действие. так что пока можно отдохнуть и для начала хотябы определить где в компании хранятся эти персональные данные, чтобы потом шухера было меньше.

                                              Комментарий


                                              • #24
                                                Добрый день, коллеги!
                                                А я вот читаю Рекомендации АРБ по реализации ФЗ №152-ФЗ. И там написано:
                                                "В целях соблюдения положений Закона рекомендуем КО предпринимать следующие действия:
                                                1. Уведомить по форме, предусмотренной п.3 ст.22 Закона, уполномоченный орган по защите прав субъектов ПД о намерении осуществлять обработку данных....

                                                ...Уполномоченным органом согласно ст.23 Закона является Федеральная служба по надзору в сфере массовых коммуникаций, связи и охраны культурного наследия...

                                                ...Также обращаем внимание КО на то, что исходя из имеющейся информации, ...после 10 января 2008 года названный уполномоченный орган, обладающий широкими полномочиями (вплоть до обращения в надзорный орган с просьбой об отзыве лицензии), будет осуществлять массовые проверки исполнения Закона."

                                                У кого какие мнения? Кто-нибудь уведомил уже???

                                                Комментарий


                                                • #25
                                                  Сообщение от Savir50 Посмотреть сообщение
                                                  У кого какие мнения? Кто-нибудь уведомил уже???
                                                  Мы - нет. По мнению наших юристов, вся наша деятельность связана с выполнением договорных обязательств, а значит - подпадает под оговоренные в ФЗ исклбчения.

                                                  Комментарий


                                                  • #26
                                                    а то что ЦБ готовит уведомление в эту Федслужбу, так это вашим юристам не указ ? (см. Письмо ЦБ РФ от 11.01.2008 года №1-Т)

                                                    Комментарий


                                                    • #27
                                                      Письмо ЦБ РФ от 11.01.2008 года №1-Т а Консультанте или в Гаранте эти письмо есть?) Где можно с ним ознакомиться?
                                                      Мы продолжаем делать то, что мы уже много наделали

                                                      Комментарий


                                                      • #28
                                                        Сообщение от Lucea Посмотреть сообщение
                                                        а то что ЦБ готовит уведомление в эту Федслужбу, так это вашим юристам не указ ? (см. Письмо ЦБ РФ от 11.01.2008 года №1-Т)
                                                        Естественно, готовит - в отличие от нас ЦБ РФ не имеет договорных обязательств перед физическими лицами, и исключения, прописанные в законе, на него не распространяются. Они обязаны уведомить уполномоченный орган, и они это делают.

                                                        Комментарий


                                                        • #29
                                                          Сообщение от Lucea Посмотреть сообщение
                                                          а то что ЦБ готовит уведомление в эту Федслужбу, так это вашим юристам не указ ? (см. Письмо ЦБ РФ от 11.01.2008 года №1-Т)
                                                          Как гласит это письмо ЦБ "следует учитывать, что в соответствии с частью 2 статьи 22 Федерального закона "О персональных данных" оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных, в частности:
                                                          1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;
                                                          2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
                                                          3) являющихся общедоступными персональными данными;
                                                          4) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
                                                          5) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
                                                          6) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
                                                          7) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных."

                                                          Комментарий


                                                          • #30
                                                            2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
                                                            3) являющихся общедоступными персональными данными;

                                                            Если я клиент-физик банка и осуществляю платеж, о котором сообщается в ФСФМ, то мои данные видимо передаются третьей стороне без моего согласия - значит Банки под это исключения не попадают. Надеюсь, я ошибся в своих рассуждениях??

                                                            Комментарий

                                                            Пользователи, просматривающие эту тему

                                                            Свернуть

                                                            Присутствует 0. Участников: 0, гостей: 0.

                                                            Обработка...
                                                            X