Не мните наши брюки!

Анекдот

- Аллочка, ви-таки согласитесь стать моей женой?
- Боря, немедленно поднимитесь с колен, не мните наши брюки!

При очередной проверке получил указание (в ультимативной форме) от представителей Рабочей группы регулятора:

1. Предоставить доступ к личным ноутбукам и собственным съемным носителям информации представителей регулятора.

2. Предоставить неограниченный доступ к сети Интернет и, в частности, к внешнему почтовому сервису “mail.ru”.

3. Предоставить доступ к АБС, к электронным базам данных организации в режиме просмотра и (или) выборки необходимой информации.

4. Очень удивились отсутствию Wi-Fi – доступа в организации. Комментарий одного из представителей регулятора: “Каменный век какой-то!”

И куда мне теперь со своей Политикой информационной безопасности, где, в частности, прописано, что “доступ к съемным носителям информации, предоставляется только ограниченному кругу лиц на основании служебной записки на имя начальника УБ за подписью руководителя структурного подразделения с подробным обоснованием служебной необходимости…”?

Я в курсе важности работы представителей регулятора, … только... не мните наши брюки!

Риска нет и точка!

Для бизнеса риска не существует, пока вы его ему не продемонстрировали на конкретных цифрах, а еще лучше – примерах. А то у нас ведь как?

Безопасность: “А если у кого-то парашют не раскроется?!!!”

Бизнес: “Укладчик парашютов не получит премию…”

Как выжить ИБ-безопаснику в свете РС БР ИББС-2.7-2015?

"И помни, что придёт пора, - и шею брей для топора…"

В.Ходасевич

"Один мальчик все время твердил, что подразделение ИБ самый ценный актив компании. Когда случился кризис его сократили в первую очередь..."

Е.Родыгин

Извлекаем практическую пользу из рекомендаций в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Ресурсное обеспечение информационной безопасности" (РС БР ИББС-2.7-2015).

Пишем Политику компании в отношении обработки персональных данных (Часть 4)

Меры по обеспечению безопасности при обработке персональных данных

(формулировки из ФЗ-152, главы 4, статьи 19, части 1)

При обработке персональных данных Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Пишем Политику компании в отношении обработки персональных данных (Часть 3)

Права и обязанности оператора персональных данных

Оператор, осуществляющий обработку персональных данных, вправе:

1.   отстаивать свои интересы в судебных органах;

2.  предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством Российской Федерации (правоохранительные, налоговые органы и др.), а также связано с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;

3. отказывать в предоставлении персональных данных в случаях предусмотренных законодательством Российской Федерации;

4. использовать персональные данные субъекта без его согласия, в случаях предусмотренных законодательством Российской Федерации.

Пишем Политику компании в отношении обработки персональных данных (Часть 2)

Сроки обработки ПДн

(Описываем сроки обработки ПДн, частично основываясь, например,  на "Правилах обработки персональных данных в Министерстве труда и социальной защиты Российской Федерации", утвержденных приказом Министерства труда и социальной защиты РФ от 29 мая 2014г. №348н. В Правилах в разделе VII определены сроки обработки и хранения персональных данных, а в разделе VIII установлен порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований)

-для работников Оператора:

В соответствии с законодательством Российской Федерации Оператором определены и установлены следующие сроки обработки и хранения персональных данных:

Пишем Политику компании в отношении обработки персональных данных (Часть 1)

Обоснование необходимости Политики в отношении обработки персональных данных (ПДн):

-для всех:

- ФЗ-152 (ст. 18.1, ч. 1, п. 2);

-для банков дополнительно:

- Стандарт Банка России СТО БР ИББС-1.0-2014 “Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения”, пункт 7.10.5.2.: “Организация БС РФ должна опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему ее политику в отношении обработки ПДн, а также к сведениям о реализуемых требованиях по обеспечению безопасности персональных данных.”

Оглавление Политики формируем, исходя из норм 152-ФЗ, а именно из главы 3, статьи 14, части 7:

В общем случае это может выглядеть так:

1. ОБЩИЕ ПОЛОЖЕНИЯ

2. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4. СРОКИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

7. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА ПЕРСОНАЛЬНЫХ ДАННЫХ (например, Банка)

8. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

9. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ ФЕДЕРАЛЬНОГО ЗАКОНА «О ПЕРСОНАЛЬНЫХ ДАННЫХ»

10. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ