Какие средства применяют для защиты персональных данных

Защищать сведения нужно не только от постороннего доступа. Работа с персональными данными должна быть организована так, чтобы препятствовать их неправомерному или случайному уничтожению, изменению, блокированию, копированию, предоставлению и распространению. Обязанность принять необходимые меры либо обеспечить их принятие лежит на операторе — том, кто обрабатывает персональные данные. Правовые, организационные и технические меры применяются для решения этой общей задачи — ч. 1 ст. 19 Закона № 152-ФЗ.

Чтобы понять, какие средства применяют для защиты персональных данных в конкретной информационной системе, сначала определяют угрозы. Это условия и факторы, при которых возможен доступ без разрешения, включая случайный доступ, с опасными последствиями для сведений. Выбор защиты связывают именно с такими угрозами. Уровень защищенности выражает требования, выполнение которых позволяет эти угрозы нейтрализовать. Определение угроз предусмотрено п. 1 ч. 2, а значение этих понятий раскрыто в ч. 11 ст. 19 Закона № 152-ФЗ.

При выборе технического средства ориентиром служит прохождение процедуры оценки соответствия: его применение предусмотрено п. 3 ч. 2 ст. 19 Закона № 152-ФЗ. Для уничтожения персональных данных нужен инструмент, в составе которого реализована функция уничтожения информации и который также прошел такую процедуру. Это отдельное требование п. 3.1 ч. 2 той же статьи. Назначение средства должно отвечать задаче, для которой его используют: защита при работе со сведениями и их уничтожение требуют соответствующих функций.

Организационная защита касается повседневной работы с информацией. Оператор устанавливает правила доступа к персональным данным в системе и обеспечивает регистрацию и учет всех действий с ними. Кроме того, учитываются машинные носители персональных данных. Такие меры позволяют организовать обращение со сведениями и фиксировать операции с ними; они предусмотрены п. 5 и 8 ч. 2 ст. 19 Закона № 152-ФЗ.

Проверить результат нужно до ввода информационной системы в эксплуатацию: оценивается эффективность принятых мер безопасности. После запуска требуется контролировать эти меры и уровень защищенности системы. Значит, выбор средств продолжается их проверкой и последующим контролем, а не заканчивается приобретением инструмента. Эти обязанности закреплены в п. 4 и 9 ч. 2 ст. 19 Закона № 152-ФЗ.

Защита должна охватывать и ситуацию нарушения доступа. Оператору нужно обнаруживать такие факты, реагировать на компьютерные инциденты, принимать меры против компьютерных атак и их последствий. Если сведения изменены или уничтожены вследствие несанкционированного доступа, предусмотрено их восстановление. Эти направления безопасности закреплены в п. 6 и 7 ч. 2 ст. 19 Закона № 152-ФЗ. При хранении биометрических данных вне информационных систем также нужны носители и технология хранения, защищающие от неправомерных или случайных действий со сведениями, — ч. 10 этой статьи.