Как защитить персональные данные

Чтобы понять, что делать для защиты своих персональных данных, начните с обязанностей того, кто их обрабатывает. В законе такое лицо называется оператором. Ст. 19 Закона № 152-ФЗ возлагает на него обеспечение безопасности информации. Защищать её нужно не только от намеренного хищения: случайный доступ, ошибочное изменение или уничтожение тоже относятся к рискам, против которых оператор должен принимать меры. Безопасность нельзя свести к одному запрету передавать сведения посторонним.

Какие способы защиты персональных данных существуют? Закон выделяет правовые, организационные и технические меры. Правовые меры задают правила обработки, организационные определяют, кто и как работает со сведениями, технические обеспечивают безопасность в информационной системе. Эти направления должны действовать совместно. По ст. 18.1 Закона № 152-ФЗ оператор сам определяет необходимые и достаточные меры, кроме случаев, когда закон устанавливает иное. Такая самостоятельность не отменяет обязанности соблюдать требования к защите.

Для компании работа начинается с описания обработки. По ст. 18.1 Закона № 152-ФЗ юридическое лицо назначает ответственного за её организацию и принимает внутренние документы. Для каждой цели в них определяют, какие сведения обрабатываются и о каких людях, каким способом, как долго их обрабатывают и хранят, как уничтожают. Это позволяет сопоставить заявленные правила с реальной работой. Внутренние документы не могут ограничивать права людей, чьи сведения используются.

Отдельная задача — понять, от чего именно защищается система. Ч. 11 ст. 19 Закона № 152-ФЗ связывает угрозу с условиями, при которых возможен доступ без разрешения, в том числе случайный. Его последствиями могут стать копирование, изменение, распространение или утрата сведений. Для этого оператор определяет угрозы применительно к своей обработке. При выборе мер учитывают требования к соответствующему уровню защищённости — набору требований, рассчитанных на определённые угрозы. Средства защиты оператор подбирает для своей системы с учётом её угроз и требований к уровню защищённости.

Что входит в защиту персональных данных при ежедневной работе? По ч. 2 ст. 19 Закона № 152-ФЗ нужны правила доступа к сведениям в системе, регистрация и учёт действий с ними. Оператор также учитывает машинные носители, на которых находится информация. Смысл этих мер — организовать разрешённую работу с данными и обеспечить возможность установить, какие действия с ними совершались. Наличие внутренних правил само по себе ещё не показывает, что доступ действительно контролируется.

Техническая сторона включает применение средств защиты, прошедших установленную оценку соответствия. Для уничтожения информации закон отдельно предусматривает такие средства с функцией уничтожения. Эффективность мер оценивают до ввода информационной системы в эксплуатацию, а затем контролируют принимаемые меры и её защищённость. Эти обязанности перечислены в ч. 2 ст. 19 Закона № 152-ФЗ. Выбор конкретного средства должен быть связан с требованиями к системе, а не только с его названием или наличием в компании.

Защита продолжается и при нарушении безопасности. Оператор должен обнаруживать доступ без разрешения и принимать меры против компьютерных атак, реагировать на компьютерные инциденты — события, нарушающие безопасность системы. Ч. 2 ст. 19 Закона № 152-ФЗ предусматривает также восстановление сведений, которые были изменены или уничтожены вследствие такого доступа. В организации нужны не только способы предотвращения нарушений, но и порядок действий при их обнаружении. Проверяя защиту, учитывайте обе задачи.

Если обработка персональных данных идёт через интернет, что делать человеку перед передачей сведений? Посмотрите политику оператора и информацию о реализуемых требованиях к защите. Ч. 2 ст. 18.1 Закона № 152-ФЗ обязывает публиковать их в сети, в том числе на страницах сайта, через которые собираются сведения, и обеспечивать доступ к документу. Ознакомившись с правилами, уточните у оператора, какие меры безопасности он применяет на практике. Для оператора это одна из обязанностей наряду с обеспечением безопасности.

Работники, непосредственно обрабатывающие сведения, должны быть ознакомлены с требованиями закона и внутренними правилами и (или) пройти обучение. Ст. 18.1 Закона № 152-ФЗ предусматривает внутренний контроль либо аудит обработки, а также оценку возможного вреда людям и его соотношения с принимаемыми мерами. Проверка должна связывать документы, действия сотрудников и защиту системы. Если правила существуют только на бумаге, одних этих документов недостаточно для вывода об исполнении всех обязанностей оператора.

Когда нужно оценить защиту в компании, сопоставляйте каждый документ с предусмотренной им процедурой: назначение ответственного, предоставление доступа, учёт действий, обнаружение нарушений, восстановление сведений. По ч. 4 ст. 18.1 Закона № 152-ФЗ оператор обязан по запросу уполномоченного органа по защите прав субъектов персональных данных представить документы либо иначе подтвердить принятие мер. Результат работы — не просто опубликованная политика, а действующие правила и подтверждаемое выполнение мер безопасности.