Как выжить ИБ-безопаснику в свете РС БР ИББС-2.7-2015?

"И помни, что придёт пора, - и шею брей для топора…"

В.Ходасевич

"Один мальчик все время твердил, что подразделение ИБ самый ценный актив компании. Когда случился кризис его сократили в первую очередь..."

Е.Родыгин

Извлекаем практическую пользу из рекомендаций в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Ресурсное обеспечение информационной безопасности" (РС БР ИББС-2.7-2015).

Пишем Политику компании в отношении обработки персональных данных (Часть 4)

Меры по обеспечению безопасности при обработке персональных данных

(формулировки из ФЗ-152, главы 4, статьи 19, части 1)

При обработке персональных данных Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Пишем Политику компании в отношении обработки персональных данных (Часть 3)

Права и обязанности оператора персональных данных

Оператор, осуществляющий обработку персональных данных, вправе:

1.   отстаивать свои интересы в судебных органах;

2.  предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством Российской Федерации (правоохранительные, налоговые органы и др.), а также связано с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;

3. отказывать в предоставлении персональных данных в случаях предусмотренных законодательством Российской Федерации;

4. использовать персональные данные субъекта без его согласия, в случаях предусмотренных законодательством Российской Федерации.

Пишем Политику компании в отношении обработки персональных данных (Часть 2)

Сроки обработки ПДн

(Описываем сроки обработки ПДн, частично основываясь, например,  на "Правилах обработки персональных данных в Министерстве труда и социальной защиты Российской Федерации", утвержденных приказом Министерства труда и социальной защиты РФ от 29 мая 2014г. №348н. В Правилах в разделе VII определены сроки обработки и хранения персональных данных, а в разделе VIII установлен порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований)

-для работников Оператора:

В соответствии с законодательством Российской Федерации Оператором определены и установлены следующие сроки обработки и хранения персональных данных:

Пишем Политику компании в отношении обработки персональных данных (Часть 1)

Обоснование необходимости Политики в отношении обработки персональных данных (ПДн):

-для всех:

- ФЗ-152 (ст. 18.1, ч. 1, п. 2);

-для банков дополнительно:

- Стандарт Банка России СТО БР ИББС-1.0-2014 “Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения”, пункт 7.10.5.2.: “Организация БС РФ должна опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему ее политику в отношении обработки ПДн, а также к сведениям о реализуемых требованиях по обеспечению безопасности персональных данных.”

Оглавление Политики формируем, исходя из норм 152-ФЗ, а именно из главы 3, статьи 14, части 7:

В общем случае это может выглядеть так:

1. ОБЩИЕ ПОЛОЖЕНИЯ

2. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4. СРОКИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

7. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА ПЕРСОНАЛЬНЫХ ДАННЫХ (например, Банка)

8. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

9. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ ФЕДЕРАЛЬНОГО ЗАКОНА «О ПЕРСОНАЛЬНЫХ ДАННЫХ»

10. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

IDC IT Security Roadshow 2015

18 марта в Москве прошла традиционная 13-я по счету международная конференция "IDC IT Security RoadShow 2015". Удивило количество народа – полный зал. И это несмотря на то, что количество бесплатных мест (VIP) проанонсированное организаторами - 250. Было гораздо  больше. Кроме привычных, за редким исключением, неплохих выступлений поставщиков решений по IT-безопасности (не люблю слово “вендоры”), несомненный интерес присутствующих привлекла панельная (надо в wiki посмотреть, почему “панельная”?) дискуссия “Целенаправленные атаки”. 

Образцы журналов по ИБ-безопасности

Часто, при проведении аудита информационной безопасности в филиалах банка, сталкиваешься с ситуацией, когда нет утвержденного необходимого и достаточного перечня журналов по ИБ-безопасности. А мы знаем, что разные регуляторы требуют при проверке разные журналы. Попробуем разобраться.