Передача персональных данных - Форум по вопросам информационной безопасности

Сотоварищи.
Если Вас не затруднит, скажите, пожалуйста, как передавать ПДн третьему лицу?


Речь не про "на каких основаниях", а вот именно как технически правильно передавать ПДн на съемном МНИ и на бумаге.

Точнее даже:
Можно отправить сотрудника оператора (который имеет соответствующие полномочия), а вот если нужно передать флешку, компакт диск или просто бумажные документы с ПДн в другой город, скажем, то не отправишь же их обычным письмо, да и. наверное заказным тоже не отправишь?
Или можно отправить обычным письмо и не заворачиваться?

Сотоварищи.
Если Вас не затруднит, скажите, пожалуйста, как передавать ПДн третьему лицу?


Речь не про "на каких основаниях", а вот именно как технически правильно передавать ПДн на съемном МНИ и на бумаге.

Точнее даже:
Можно отправить сотрудника оператора (который имеет соответствующие полномочия), а вот если нужно передать флешку, компакт диск или просто бумажные документы с ПДн, скажем, в другой город, то не отправишь же их обычным письмом, да и, наверное, заказным тоже не отправишь или таки можно отправить обычным письмо и не заморачиваться: как НПА это определяют?

На мой взгляд, обычной почтой можно передавать без проблем. Даже ДСП можно передавать обычной почтой заказным или ценным письмом. А про ПДн о передаче нигде не указано, указано лишь о том, что оператор обязан соблюдать их конфиденциальность.
Как ее соблюдать? Согласно Закону "О почтовой связи" за конфиденциальность сведений, передаваемых по почте, отвечает оператор связи (как-то так, уточните в законе).

Вопрос любопытный, особенно в сторону передачи ДСП, ибо по закону такой категории конфиденциальности не существует...
Но тов. WORM прав в части ПДн - нигде нет четких указаний. Фактически, определение типа пересылки идет также через модель угроз и нарушителей. Четкое обоснование имеется? Тогда можно и письмом через "Почту России", к примеру, при соблюдении условий вскрытия конверта с ПДн только адресатом (конкретным лицом или представителем конкретной организации). Не поймите неправильно, но встречаются "крендели", модель нарушителей для ИСПДн которых включает в себя чуть ли не спецслужбы иностранных государств. В такой ситуации, естественно, передача даже заказным особо ценным письмом не подходит - только фельдъегеря :)
Лучше, если такие пересылки происходят часто и являются одним из направлений организации-оператора ПДн, задуматься о создании защищенных каналов связи с организациями-получателями. Со временем дешевле и безопаснее выйдет.

Спасибо, ребята, будем думать, что да как.

Про бумажную передачу уже написано. Что касается электронной (съёмный носитель, почта, канал связи с контрагентом), то следует использовать сертифицированную криптографию, если только своей моделью угроз не обоснуете обратное.
1) использовать локальные АРМы, оснащённые СКЗИ (КриптоПРО, VipNet b и пр.). Недорого получится, но не технологично при большом объёме обмена. Зашифрованные ПДн можно отправить по эл/почте, записать на внешний носитель.
2) Использовать шифрование канала с партнёром (Net to Net). Дороже получится, но не придётся шифровать каждую "посылку".

Автор: oko | 60755 30.01.2016 22:26
Вопрос любопытный, особенно в сторону передачи ДСП, ибо по закону такой категории конфиденциальности не существует...


ДСП - это не категория, а пометка на носителях. А категория называется "служебная информация ограниченного распространения" ))
И по закону (Указу Президента РФ от 6 марта 1997 г. N 188) имеет право на существование ))

to Ученик
Категория, пометка - в контексте поста 60755 разницы нет. Во времена СССР была категория, кстати. Помнящие те времена регуляторы (камень в огород методик 78го года) оперируют схожим понятием и, в целом, правы, ибо документы "ДСП" явно не для всех предназначены. И законопроект № 124871-4 "О служебной тайне" также рассматривает "ДСП" в качестве грифа/категории информации. Но сути дела это не меняет - "служебной тайны" как таковой сейчас нет. Ибо законопроект до сих пор не утвержден.
Чтобы не засорять форум, не буду другими словами описывать разжеванную тему. К примеру тут доходчиво расписано про ДСП: http://www.police-russia.ru/showthread.php?t=70969.
А "служебная информация ограниченного распространения" по ПП 1233 имеет отношение только к Федеральным органам исполнительной власти + атомной энергетике (ред. 2012 г.). В то время как "ДСП" в стране используют и многие другие организации. Так что это несколько разные вещи.

" Вопрос любопытный, особенно в сторону передачи ДСП, ибо по закону такой категории конфиденциальности не существует... "

Это верно. По закону такой категории нет (только по Постановлению Прав-ва - ограничение к ней доступа). А попробуйте-ка выложить здесь ДСП-шный ГОСТ. Или решение МВК. По закону нет проблем, правда? ;)

WORM, MK | 60765


149-ФЗ и Указ Президента РФ от 6 марта 1997 г. N 188 определяет такую категорию ИОД, а постановление правительства регламентирует порядок обращения с документами, содержащими такую информацию.