Осторожно - креативные защитники персональных данных - Форум по вопросам информационной безопасности

Максим, а вам зачем?
Я под этим псевдонимом платных услуг не оказываю, а в частном порядке, в "личке" так сказать, представляюсь без проблем.

Я уже общаюсь не от лица сервиса, а лично от себя, поэтому хотелось ты знать, с кем имею честь дискуссировать.

У меня есть весьма серьезные причины не раскрывать свой ник. И дискуссия с вами, последняя в этом ряду.

По поводу же автоматического заполнения документов, там где это возможно, вы это видели? - http://pd.rsoc.ru/operators-registry/notification/form/

Не совсем по теме, заинтересовало мнение г-на AIB:
"Ну могу я повторить азы - что "все системы, какими бы они ни были - специальные" (неожиданно?), во всяком случае факт доказательства их неспециальности, буде кто решит такую сделать - требует отдельной вдумчивой работы и относится к тонким моментам. А специальные в свою очередь классифицируются на основании модели угроз..."

Могу с Вами не согласиться по возможностям формальной классификации.
В документах (которые я, поверьте, неплохо знаю - студентам рассказываю об этой методике, и о методах оценки, основанных на использовании теории рисков, сравнение подходов весьма показательно) формализована оценка по характеристике "конфиденциальность" (говорим о типовой). Для специальных, кроме того, учитываются удаление и модификация. Как следствие, для специальной класс может быть только повышен (если это не обезличенная система, но это отдельный вопрос), по сравнению с типовой (учитываются ДОПОНИТЕЛЬНЫЕ характеристики). Чтобы утверждать, что всегда присутствует угроза модификации и удаления модели строить не требуется. Как следствие, для классификации специальной ИСПДн достаточно оценить лишь меру воздействия (негативности) удаления и модификации. Но это не технический вопрос. Если она выше, чем угроза нарушения конфиденциальности (например, изменение группы крови пациента, может привести к крайне негативным последствиям) класс системы повышается, в противном случае - принимается класс типовой.

Если рассуждать логически - Вы безусловно правы :) . К сожалению, нормативные акты, судя по всему, писали люди, далекие как от логики, так и от бизнеса. Требования по защите, которые там прописаны, удивительным образом получились избыточными и недостаточными одновременно, избыточными в технической части и недостаточными (никакими) в организационной, что иногда приводит к нелепым и курьезным случаям - формально соответствующие системы с дорогущими СЗИ на практике оказываются проходным двором. Кроме того, есть замечания и по самим техническим требованиям. Скажем, "условно-постоянный пароль в 6 символов" в зависимости от реализации может быть как пустышкой, так и достаточно надежной мерой - сама по себе его длина абсолютно ни о чем не свидетельствует.
Это и не удивительно - впихнуть в несколько страниц разумные и достаточные требования ко всем возможным системам ИМХО в принципе не представляется возможным.
Таким образом, для обеспечения действительной безопасности системы данные документы не могут быть использованы, и в настоящее время, безусловно к сожалению - являются всего-лишь юридическим риском, который следует минимизировать. Отсюда вытекает и дальнейшая работа по этим документам.

Если же говорить о самих документах:
152-ФЗ, Статья 19. п.1: "Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий." - то есть типовые системы сразу противоречат 152-ФЗ, и модели тут не при чем. Вот для того, чтобы обосновать, что наша система типовая - уже придется как минимум построить модель ) и это уже будет юридически тонком моментом.
"Приказ трех": п.16. По результатам анализа исходных данных класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных в соответствии с методическими документами, разрабатываемыми в соответствии с пунктом 2 постановления Правительства Российской Федерации от 17 ноября 2007 г. N 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных"
- явного указания на то, что для специальной системы класс может быть только повышен относительно типовой с таким-же набором данных, нигде нет (к счастью, надо сказать), но при этом есть прямое требование использовать модель угроз.

Юристы работают с тем, что явно написано в документах, а не с тем, что хотели или могли хотеть сказать их составители. В документах же явно написано: 1. всегда нужно обеспечивать не только конфиденциальность, но и другие характеристики безопасности, а следовательно исходя из самого 152-ФЗ никакая система не может быть типовой, 2. для классификации специальных систем всегда надо использовать модель угроз.
Если мы не выполняем какое-либо из этих требований - мы вступаем в формальное противоречие с законами и нормативными актами. Дальнейшие действия уже завист от целей, которые мы преследуем. Как минимум нам нужно будет обосновать юридически свою позицию. Хотя ИМХО классификация по модели угроз обычно предпочтительней, т.к. дает гораздо больше возможностей.

При этом, нигде не сказано, как именно классифицировать систему на основании модели угроз, т.е. имеется ситуация некоторого правового вакуума. Вот тут Вы можете использовать свой подход, кто-то еще - свой, в зависимости от того, какие цели стоят. Возможности логически "формально классифицировать" систему на самые страшные классы, безусловно, есть :) . Но реально задача как правило стоит совсем другая - классифицировать систему так, чтобы минимизировать требования регуляторов, и тогда Ваш подход будет не самым оптимальным.
Это не единственная неопределенность закона. Даже само определение "что такое персональные данные" нигде не дано строго.

В заключение хотел бы еще раз акцентировать - не нужно путать задачу обеспечения формального соответствия законам и обеспечения реальной безопасности системы, к сожалению они слабо кореллируют.

Спасибо за столь развернутый ответ.
К слову, я не анализирую здесь данный документ, случайно натолкнулся на Вашу фразу и высказал свое мнение. Насколько я понимаю, целью разработки методики являлось решение задачи упрощения проектирования, за счет минимизации числа и сложности экспертных оценок (где же набрать столько экспертов, кстати, требования к эксперту также не определены). Однако, необходимость в экспертных оценках осталась "по полной", а попытки формализации, например, за счет оценки уровня исходной защищенности, на мой взгляд, не выглядят убедительными (по крайней мере, ключевая формула Y=(y1+y2)/20, адекватность которой у меня вызывает очень большие сомнения). А собственно парадигма - защита именно от актуальных угроз, весьма привлекательна, по крайней мере, позволяет обосновано выбирать и настраивать средства защиты.
Что же касается использования различных неоднозначностей в толковании, в конечном счете, это остается "на совести" оператора (он же отвечает за обеспечение защиты ПДн).
Относительно же Вашей фразы "Если рассуждать логически - Вы безусловно правы...". Зачем тогда вся эта казуистика?
Какая цель преследуется?

Продолжаю пиарить этих кхе.. кхе... ну их в общем :)

Оцените, как позиционирующие себя помощниками в защите ПДн, сами гарантируют защиту информации, предоставляемой клиентом (пост 26584):

Политика конфиденциальности

Команда Б-152 осознает всю важность защиты конфиденциальности пользователей сайта и их персональных данных.

Информация о пользователе, расположенная на его профиле, содержит (может содержать) его персональные данные и другую конфиденциальную информацию. При этом такие персональные данные пользователя так же являются конфиденциальной информацией.

Размещение персональных данных пользователем в своем профиле необходимо для оказания ему услуг по созданию документации по защите персональных данных.

На сервисе обрабатываются только те персональные данные пользователя, которые были размещены им в своем профиле. Персональные данные пользователя обрабатываются с помощью программно-аппаратных и технических средств сервиса.

Персональные данные и другая конфиденциальная информация пользователя обрабатываются до ликвидации сервиса.

Команда Б-152 оставляет за собой право использовать предоставленные данные для индивидуализации настроек и повышения удобства пребывания пользователя на сервисе.

Мы проследим за тем, чтобы сведения о пользователе не были предоставлены третьим лицам, если только:

1. это не потребуется в законодательном порядке для предотвращения мошенничества, готовящегося преступления, обеспечения безопасности сайта;
2. команда Б-152 не обнаружит, что использование данного сайта нарушает данную политику конфиденциальности или это не окажется обоснованно необходимым для защиты наших законных прав и/или собственности. Администрация сервиса использует стандартные технологии для сбора технической информации о посещении пользователем сервиса и можем получать сведения об IP-адресе посетителя, типа браузера, которым он пользуется, адресе запрошенного ресурса, времени запроса ресурса, операционной системе пользователя.

Данная информация хранится в виде логов веб-сервера и сервера статистики и используется для анализа состава аудитории, посещающей наш сайт, а также средств, используемых пользователями для просмотра веб-страниц сервиса. Эта информация может быть также использована в целях обеспечения безопасности сайта и посетителей Сервиса.

Чем больше вникаю в из затею, тем больше убеждаюсь, в скором времени коллеги, вас ждут результаты их работы, которые вы будете исправлять (за деньги конечно). А вот что будут делать заказчики, в случае утечки их информации :)) Рвать волосья везде, где растут - первое, что приходит на ум...

В итоге, ребята должны сказать спасибо публичной порке - бизнес-линч от отцов да еще и на халяву. Да и ссылка еще, а может и не одна! Плохая реклама - тоже реклама.

ИДС, фидбэк был получен отличный, разгребаем свои проблемы, чтобы улучшить систему :)

Максим Лагутин, Б-152 | 26679
А что там по поводу вознаграждения?