Защита ПД, разъясните новичку. - Форум по вопросам информационной безопасности

Добрый вечер.

Есть линуксовый сервер, готорый предоставляет сервис. Сервис состоит в том, что через него проходят файлы и название документов, а так же собирается информация о стоимост заказа, контактное лицо, информация о заказе, его статус. Такая вот простая ERP система.

Один из закащиков попросил привести указанную систему к требованиям о защите персональных данных.

На пальцах понятно, что м/д заказчиком и исполнителем должен быть реализован защищенный впн канал, любая информация не должна попасть любому человеку, которому она не должна попасть. Должен быть регламент предоставления к конфеденциальной информации заказчика.

Прочитал 152-ФЗ О персональных данных. В законе есть отсылки, что мол правительсто устанавливает уровни защищенности и требования защиты. Куда дальше копать, чтобы узнать что делать дальше?

В упор не увидел в описании ПДн как таковых. Что они из себя представляют в описываемой системе?

ФИО, номер заказа, контактное лицо (телефон, почта, может быть данные компании заказчика, типа ООО "Рога и капыта"). Чем на ПД?

Тема "что есть ПДн" вообще обширная и неоднозначная, с определением из 152-ФЗ под нее можно и подтащить почти все, и отписатсья тоже от многого. При этом в зависимости от того, что вы запишете в ПДн, у вас будет та или иная классификация.
Если у вас присутствует только ФИО - то это имхо не стоит вообще называть ПДн, т.к. идентифицировать человека по этим данным невозможно, полных тезок полным полно. Телефон, если я правильно понимаю, не этого человека, а компании - то есть не ПДн по определению. Почта - бумажная - аналогично, электронная - ну.. тоже как-то так, хотя уже с натяжкой. Данные компании - это данные юрлица, а не физлица, а потому ПДн не могут быть по определению :)
При этом эти данные должны быть в системе одновременно и связно. Т.е. если сразу и ФИО, и электронка, и данные компании - и все явно связано так, что можно по совокупности данных определить индивидуума - то возможно и ПДн. Но может быть и нет.

Если же все-таки решили, что это ПДн - далее идет количество одномоментно присутствующих данных. В зависимости о этого по 1119 постановлению классифицируете систему (58 приказ уже умер). У вас, если все-таки описывать, как ПДн (чего я бы старался не делать, если есть возможность) получится "иные ПДн", и скорее всего 4 уровень требуемой защищенности.

А далее - ждете нормативку от ФСТЭК. Ее пророчат в феврале наконец выпустить. А до этого - конкретных требований к защите на текущий момент нет.
Как-то так.

..и в дополнение, по каналу. Тут какая фишка: естественно, канал связи должен быть закрыт криптой в любом случае, вопрос только в том, на чем его строить. А мнение ФСБ относительно ssl на RSA применительно к ПДн временами напоминает флюгер с раздвоением личности. С устойчивой тенденцией к сертифицированным средствам, конечно :) . Однако, с точки зрения экономии средств, я бы поставил сперва обычный ssl на нормальных бесплатных решениях, имея в уме при проверке, случись таковая, попытаться убедить проверяющих, что так и надо, ну а если никак нет - уже согласиться на замечание, докупить и поставить "сертифицированный" vpn-построитель, все же не бог весть какая сложная задача, за две недели решаемая в сонном режиме. Так как до той проверки еще дожить надо, да и будет ли она вообще когда-нибудь совсем неизвестно, а сертифицированное денег стоит, и гибкость применения заметно ниже. Хотя, если заказчик настаивает и готов заплатить уже сейчас - почему нет.. пожелания заказчиков - благо для бизнеса, если заказчик готов платить :)

Большое спасибо, с законами большей частью разобрался. Также помогли записи вебинаров Емельянникова с сайта http://www.securitycode.ru/company/events/webinars/

Средство, скорее всего, придется сертифицированное ставить. Можете что-то посоветовать?

Проблема в том что сервак на freebsd, а средства я только пока виндовые вижу. Более того, это виртуалка тоже на freebsd. Модуль rvpn от циско денег стоит немалых.