Вопрос по защите ПДн – несколько юр.лиц - Форум по вопросам информационной безопасности

2 Константин

Холдинг этот только на словах. Документального подтверждения (аффелированности) между всеми юр.лицами нет. Поэтому:

- да, я тоже думаю, что пакет документов у каждой компании будет свой
- а лицензироваться, думаю, придется из-за передачи специальной категории ПДн в "головную" организаци (головная, потому что ей принадлежит серв, на котором обрабатываются ВСЕ данные ВСЕХ компаний холдинга)

Вот такая грустная история...попытки придумать обходные варианты пока ни к чему не привели...надеюсь, что кто-то из здешнего сообщества сможет утвердить мое видение в какую-то одну сторону

2 Богатырев

Так а где написано, что для передачи спец. категорий нужна лицензия ТЗКИ? Вы откуда это взяли?

Защита каналов передачи данных это криптография и тогда уже это не лицензия ФСТЭК, а ФСБ. Либо я вас не понимаю..

Надо вам более точно описать структуру.

*на правах рассуждений вслух*
Есть некая "Голова", предоставляющая удаленный серверный массив, в котором хранятся данные СУБД, которой пользуются еще 6 учреждений. При этом де факто, все эти учреждения + Голова = единая организация, но де юре - каждый сам за себя. И правил, определяющих обработку ПДн в каждом учреждении и всеми учреждениями в единой СУБД совместно, нет (не разработаны).
Если я верно изложил суть происходящего, то imho, тов. Богатырев, вам:
1. Не нужна лицензия ТЗКИ. Вне зависимости от того, кого вы представляете - "Голову" или *зачеркнуто* ноги */зачеркнуто* одно из тех 6 учреждений. И вне зависимости от категории/типа ПДн/иной ИОД, которую передают учреждения в Голову (+1 к тов. Константину).
2. Нужна структура аля "ЦОД + Абоненты". И описать эту структуру надо единой ИС (ИСПДн). С едиными основными целями, задачами и функциями.
3. Нужно разделение баз данных. Как на техническом уровне, так и на юридическом. Но, чтобы не лепить ярлык "Оператор" на каждое учреждение и не заморачиваться на передачу ПДн в стороннюю организацию (читай, Голову), нужна юридически грамотно оформленная договоренность о совместной обработке ПДн. И подвязка этой договоренности под цели и задачи ИС. Т.е. не должно быть обоснования типа "так проще, потому что у нас нет своего сервера, а у Головы есть". Должны быть веские аргументы, почему иначе нельзя (например, все-таки юридически утвердить статус концерна как единой структуры и единого Оператора ПДн, состоящего из нескольких "подразделений"). Задача, конечно, не типовая и несколько не вписывается в положения 152-ФЗ (если "в лоб"). Но вполне законная при должном обосновании и принятии должных мер разделения ответственности.
4. Нужно выработать единую политику безопасности, распространяющуюся и на Голову (в части сбора, хранения, обработки ПДн), и на остальные учреждения (в части сбора, обработки и передачи в Голову накопленных ПДн).
5. Нужно принять орг. и тех. меры по защите ПДн при их хранении и обработке в Голове и передаче в Голову от остальных учреждений. А также при локальной их обработке в остальных учреждениях.
6. Нужно нанять лицензиата, который подтвердит (аттестацией ли, форменным заключением ли) достаточность принятых мер.
7. Нужно организовать штат сотрудников, которые будут следить за выполнением принятых мер. Желательно, по принципу "это общее дело", а не "каждый сам за себя". И будут модифицировать меры по мере необходимости (извиняюсь за каламбур). При достижении "критической массы изменений" - вновь обращаться к лицензиату за подтверждением соответствия.

ЗЫ Все это будет куда проще и дешевле получения собственной лицензии на ТЗКИ. Которая может понадобиться максимум в случаях 5 - 7.

>де факто, все эти учреждения + Голова = единая организация, но де юре - каждый сам за себя

для определения ТС достаточно посмотреть уставные документы предприятий (голова+6), состав совета директоров и прочие документы, относящиеся к управлению дочерними и зависимыми обществами. обратитесь к корпоративщикам, они подскажут структуру управления

>Не нужна лицензия ТЗКИ

oko, вы вступаете на очень тонкий лёд. если вы ещё скажете, что не нужна лицензия на крипту...

совет "описать эту структуру надо единой ИС (ИСПДн). С едиными основными целями, задачами и функциями" не соответствует "Нужно разделение баз данных. Как на техническом уровне, так и на юридическом". хотя, "юридически грамотно оформленная договоренность о" передаче в соответстии с п.3 ст.6 152-ФЗ "Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных" допустима.

в остальном согласен с советами тов.oko, всё верно в отношении подчинённости в холдинге (концерне), создании политик и применении тех.средств

to Alex
<для определения ТС достаточно посмотреть уставные документы предприятий>
Отталкиваюсь от слов топикстартера: <Холдинг этот только на словах. Документального подтверждения (аффелированности) между всеми юр.лицами нет>

<Не нужна лицензия ТЗКИ>
Не нужна... услуг по ТЗКИ, в предложенном мною варианте, ни Голова, ни какое-либо ее подразделение оказывать не будет. Сопровождение существующей (внедренной) системы защиты != оказанию услуг по ТЗИ...

<не нужна лицензия на крипту>
Не нужна... Нужен ОКЗ, с которым будет договор (читай, лицензиат ФСБ). Который будет первично генерировать криптоключи, отслеживать и обновлять их состояние, внедрять криптуху со всеми актами, разрабатывать инструкции. И нужны ответственные лица по штату, которые будут эти инструкции исполнять уже на уровне организаций-владельцев ИС. Все по 152 Инструкции, ага... :)

ИС, ее цели, задачи и функции могут быть едиными. А разделение БД - это то самое "сегментирование". Каждый сегмент (читай, одно из 6ти учреждений) отвечает за свой кусок (читай, БД). Но ИС без этих кусков корректно функционировать не может. При верном обосновании такого подхода, imho, не вижу проблем и "клинчей" с нашим законодательством...

тогда передача в "структура аля "ЦОД + Абоненты"" приведёт к необходимости не только к оформлению юр.формальностей, но и к необходимости иметь лицензию на ТЗКИ и крипту для того, кто будет осуществлять эти функции.

> ИС, ее цели, задачи и функции могут быть едиными. А разделение БД - это то самое "сегментирование"

если мне не изменяет мой склероз, таких СУБД, имеющих на борту встроенные механизмы безопасности, позволяющие разграничить доступ на уровне строк, немного. Оракл за безумные деньги, IBM с его AIX и постгрес, работающий так себе. техничекси решение может быть, но стоимость его (софт, железо, обслуживание) вряд ли не позволит его внедрить. имперва, гардиум или мфи-софт? тоже небольшой чугунный мост.

проще, на мой взгляд, сервер (виртуальный или физический)+бд для ИСПДн.

>Нужен ОКЗ

или аренда каналов у РТК, МТТ или синтерры, они, вроде имеют каналы с 1Г.

было бы интересно, какое решение выберет ТС.

to Alex
Не приведет, если все грамотно сделать. Организации-лицензиаты только рады длительному договору поддержки функций ОКЗ и ТЗКИ. А что в ЦОД, что у Абонентов все равно нужны люди, поддерживающие систему защиты со своей стороны. Только им для этого лицензии без надобности...
СУБД может быть одна, а конечные файлы баз разные. Пользовательские учетки, совмещенные с сервисами и на уровне СУБД, и на уровне файловых структур, тоже разные. Дальше все решается дискреционкой в ФС. Правда, нужны защищенные сервисы (прослойки, между userspace, СУБД и ФС), которые, в принципе, тоже есть. Но это так, размышления в вакууме...
ОКЗ нужен не только для защиты каналов связи. Желательно бы еще ЭП (для отслеживания) + шифрование самой базы (для снижения ущерба от утечки). К тому же, сети РТК и той же синтерры защищенными можно назвать только по пьяни, а 1Г не имеет прямых установленных корреляций с У4-У1 ИСПДн. Но это тоже больше в сторону вакуума...

ЗЫ Если уж на то пошло, в случае топикстартера самый простой вариант - добиться юридической полноты взаимодействия учреждений с Головой. И указать, что и ИС одна, и база одна, и юр.лицо одно за нее отвечающее. После чего насильно впихнуть такую ИСПДн в рамки "типовой" в полном соответствии с ФЗ и НМД. Но это, как показывает наша переписка, недостижимый вариант, поэтому всерьез и не предлагается...

to oko

"Но это, как показывает наша переписка, недостижимый вариант" - к сожалению, это правда...

То, что головная компания оказывает другим компаниям услуги по обеспечению безопасности ПДн, разве не подпадает под получение лицензии на ТЗКИ?

"СУБД может быть одна, а конечные файлы баз разные." - весь холдинг держится на "1C:ERP", соответственно база (конечный файл) одна на всех и по другому никак.

Про пункт 3: Не понимаю как можно представить у нескольких организаций, "де юре" несвязанных, могут быть одни цели и задачи...реально ли это? можно пример...?

to Богатырев
<головная компания оказывает другим компаниям услуги по обеспечению безопасности ПДн,разве не подпадает под получение лицензии на ТЗКИ?>
А она (Голова) оказывает услуги? Ставит средства защиты, модифицирует или ремонтирует их, устраняет ТКУИ, проектирует, мониторит и аттестует систему защиты?
Как я понял, Голова также обрабатывает ПДн в 1С. И серверы на ее стороне стоят. И база одна на всех. В таком ракурсе, Голова сама заинтересована в защите данной базы. И в первую голову (каламбур, ага) выполняет требования самостоятельно, а уж потом, косвенно обеспечивая защиту "частей" СУБД, принадлежащих остальным участникам процесса. Так что тут нет ситуации с оказанием услуг. Даже классический "хостинг" - не повод для получения лицензии...
Вот обязать остальных участников обмена (пусть даже де юре сторонние организации, пусть даже де факто неотделимых друг от друга) - это обязательно. Кто тут владелец СУБД? Кто непосредственно отвечает за безопасность? Правильный ответ - все и каждый...
Структура "ЦОД+Абоненты" предлагалась де факто. Т.е. должен быть явно указанный центр, задающий правила безопасного обмена, и должны быть сторонние ИС, в которых эти правила исполняются. Но это уровень реализации (технический, организационный). А мы из одной плоскости в другую скачем, хотя проблемы никакой нет - на юридическом же уровне описания все подчиняется договорной основе...

<Не понимаю как можно представить у нескольких организаций, "де юре" несвязанных, могут быть одни цели и задачи>
В вашей же ситуации так и есть. Юр лица разные, но базу наполняют одну, потому что "так надо". Вот и опишите, почему "надо" - это и есть общая цель (в которой утка, в которой заяц, в котором задачи). У вас же не пиратская бухта, где шестеро однажды взяли на абордаж судно одного и теперь забивают ему трюм своим скарбом...
Или все-таки не "так надо", а "так сложилось исторически"? Тогда не путайте себя и других - банально нужно наконец разделиться и каждому завести свою 1С (с преферансом и куртизанками, ага)...

Из всего написанного выше делаю вывод:

1. Составить договоры между головной компанией и остальными, в которых описать общую цель обработки данных.
2. Нанять ОКЗ для обеспечения безопасности данных.

все правильно я понял?