Как обезопасить данные в организации

как обезопасить данные в организации

ПДн и разработаны документы и мероприятия по организации защиты ПДн.

Для этого на предприятии должно быть разработано и утверждено в соответствии с законодательством Положение, которое устанавливает порядок обработки и защиты персональных данных.

ВАЖНО! Статья 19. ФЗ N 152-ФЗ. Меры по обеспечению безопасности персональных данных при их обработке.

Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Административная ответственность за разглашение персональных данных.

С 1 июля 2017 г.


Инфоinfo
N 152-ФЗ «О персональных данных», Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденное Постановлением Правительства РФ от 01 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» 1. Оформление приказа о назначении ответственного за организацию обработки персональных данных Согласно ст. 22.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», работодатель обязан назначить лицо, ответственное за организацию обработки персональных данных. Данный приказ не имеет унифицированной формы и составляется в произвольном виде.

2. Оформление дополнительного соглашения к трудовому договору, внесение изменений в должностную инструкцию.

Как обезопасить данные в организации

ФЗ «О персональных данных»).

Без получения согласия субъекта может осуществляться обработка его персональных данных в целях исполнения договора, одной из сторон которого он является, либо в случае, если это необходимо для доставки почтовых отправлений и т. п. Полный перечень таких исключений приведен в п. 2 ст. 6 ФЗ № 152

Соблюдения конфиденциальности не требуется и в отношении общедоступных персональных данных. Так, столичный мировой суд отказал советнику Президента РФ Сергею Дубику в претензиях к порталу «Гражданский контроль», обнародовавшему неправомерно, по мнению чиновника, его персональные данные.

Продавать «секреты» на бумаге безопаснее, чем в электронном виде, так как сложно доказать, от кого они получены (если, конечно, нет записи). КОМПЬЮТЕРЫ Компьютеры (имеются в виду стационарные) — второй по распространенности канал, через который инсайдеры сливают на сторону конфиденциальную информацию. Но, по сути, компьютер даже больше не канал передачи секретных данных, а канал их получения.


Через него инсайдер имеет доступ к корпоративным сведениям, хранящимся на сервере компании, может скачать их на съемные носители или отправить по электронной почте. ИНТЕРНЕТ Случайная утечка может произойти, когда финансовые сведения содержатся в программах компании, работающих через интернет, а вход в них имеет примитивные пароли.
Во-вторых, очевидная перемена в поведении некоторых сотрудников: внезапное улучшение материального положения, снижение заинтересованности в работе, активизировавшаяся переписка в интернете, частая пересылка графических или запароленных архивированных файлов. В-третьих, «кучкование». Так, в одной компании 30 из 40 сотрудников, которые занимались заключением договоров, сговорившись, зарегистрировали собственную организацию и фактически работали на нее. Сотрудники предлагали клиентам, с которыми напрямую общались, те же услуги, но немного дешевле и перезаключали с ними договоры уже от имени собственной организации.

Действенные способы предотвратить утечку

  • Трудовой договор.

Карточки учёта сотрудников, в которых содержатся сведения, с которыми работает HR и бухгалтерия: зарплата, периоды отпуска, даты приёма на работу.

Категория, количество, тип угроз — уровень защиты

После того, как вы определились с категорией персональных данных, вам надо понять точное количество данных, которое вы обрабатываете: до 100 тысяч или свыше 100 тысяч.

Узнали категорию и количество, определите тип угрозы:

Угрозы №1. «Дыры» и уязвимости в операционной системе. Пример: уязвимости, которые используют хакеры для проникновения в операционную систему с целью хищения информации.

Угрозы №2. «Дыры» и уязвимости в прикладном ПО, то есть в софте, который используется в вашей повседневной работе. Пример: Word, Excel.

Угрозы №3. Все другие угрозы, не указанные в первых двух типах.
В первую очередь, человеческий фактор.

И достаточно ли для защиты системы тех мер безопасности, которые вы применяете. Поэтому советую подготовить и хранить документы:

протокол определения и оценки актуальности угроз безопасности обрабатываемых системой персональных данных; протокол определения типов актуальных угроз и необходимого уровня защищенности информационной системы персональных данных; протоколы определения и адаптации базового набора мер по обеспечению безопасности; приказ об утверждении и организации выполнения окончательного набора мер безопасности; акты о выполнении работ по безопасности, приказ о назначении ответственного сотрудника или структурного подразделения.

Не реже чем раз в 3 года эффективность применяемых вами мер надо проверять и составлять об этом протокол. Также желательно утвердить регламент технического обслуживания и использования информационной системы.

Самое важное теперь — понять, какие именно персональные данные вы обрабатываете. Потому что именно от категории персональных данных зависит, как данные защищать и каким требованиям нужно соответствовать. Категории подробно описаны в ФЗ-152 и постановлении правительства от 1 ноября 2012 г.
N 1119.

Категории персональных данных простыми словами:

Общедоступные персональные данные: данные из открытых ресурсов, которые публикуются субъектом персональных данных или с его одобрения. Общедоступные данные — это данные из СМИ или интернета.

Пример: информация, выложенная в открытый доступ в социальных сетях или на сайте компаний. Номер телефона и семейный статус, опубликованный в открытом доступе в Facebook.

В трудовой договор работника, назначенного ответственным за организацию обработки персональных данных, необходимо внести изменения в связи с установлением новых обязанностей. Данные изменения оформляются в виде дополнительного соглашения, составленного в двух экземплярах и подписанного работодателем и работником. Приказ о назначении ответственного за организацию обработки персональных данных и дополнительное соглашение лучше оформить одной датой Если в организации ранее был назначен ответственный за организацию обработки персональных данных, необходимо оформить приказ о снятии с работника этих обязанностей.

3. Оформление или внесение изменений в приказ об установлении списка лиц, имеющих доступ к персональным данным работников.

В зависимости от типа компании и ее профиля, уровень технической грамотности работников может быть разный. Но, работая совместно с ИТ-службами и «безопасниками» в обучающих проектах по работе с конфиденциальной информацией, отмечаю непонимание важности рутинных процедур по сохранению конфиденциальности. Ну, подумаешь, не вышел человек из служебного аккаунта – забыл, с кем не бывает.

А если и ноутбук со служебной перепиской и незакрытыми аккаунтами он забыл где-то в баре или такси?…» Важно постоянно разъяснять сотрудникам такие моменты и контролировать их выполнение. Причем, по мнению Светланы, разъяснение формирует у сотрудника более четкое понимание конфиденциальности, чем просто запрет.

Конечно, не у всех компаний есть ресурсы и время на «профилактические» беседы.

Комментарии 0

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *