Персональные данные и Active Directory - Форум по вопросам информационной безопасности

Коллеги! Нигде не могу найти однозначного ответа на вопрос - являются ли данные пользователей домена персональными и требуется ли их защита со всеми вытекающими последствиями? Практически на всех крупных предприятиях используются домены и соответственно в базе AD хранится информация о, как минимум, имени, фамилии, отчестве и др. связанной с трудовой деятельностью и позволяющей идентифицировать человека..

Честно пишу, с AD не работал, но насколько я понимаю, в БД AD хранятся просто login и password для входа в ОС.

Собственно, зачем в AD хранить персональные данные сотрудников?
Пусть в AD хранится логин и пароль, а в сейфе, в бумажном виде оформлен документ "матрица доступа" или "разрешительная система допуска", в котором приведено соответствие между login'ом и реальным данными человека.

> с AD не работал

Зачем давать советы в области, о которой не имеете представления?

Ekvilibr,
если у вас в AD прописана инормаия о пользователе - контактные данные, должность, привязка к OU и т.п., то это - прерсональные данные. Но обычно AD рассматривается в качестве общедоступного источника ПД. Правда, для этого требуется письменное согласие сотрудников.

Подтверждаю последнее!

Т.е. если брать с пользователей согласие эти персональные данные становятся общедоступными категории 4?
Но классифицировать ИСПДН то все равно надо? В моем случае это К4? И методы и способы защиты на мое усмотрение?

Да. Да. К4. На ваше усмотрение. :)

А уведомление об обработке персональных данных в управление федеральной службы по надзору в сфере связи.. в этом случае надо направлять?

> А уведомление ... в этом случае надо направлять

А в ФЗ заглянуть? Ч. 2 статьи 22 ФЗ-152 - не надо сразу по двум исключениям..

Глядел, да видно не туда :)
И увидел п.2 ст.7 где говорится, что обеспечивать конфиденциальность общедоступных ПДн не надо. Не следует ли из этого, что и классифицировать ИСПДН не надо?

Нет, не следует. Общедоступность ПД - один из факторов классификации, означающий принадлежность этих ПД к категории 4 (см. приказ трех). Второй фактор - количество субъектов. Если у вас в AD менее 1000 пользователей, это означает, что ваша AD - ИСПД 4-го класса. Более 1000 - - ИСПД 3-го класса.