Обновляем статус документов от 4 июня

Богом забытый пост от 4 июня про статус совсем некоторых документов по ИБ должен быть актуализирован.

Итак:
1. О повышении штрафов за нарушения при обработке ПДн:
Всё так же плохо. У депутатов в приоритете исполнение желаний администрации президента.

2. Положение о контроле за обработкой ПДн:
Идет антикоррупционная экспертиза.

3. Защита ПДн нотариусами:
Где-то на утверждении в ФМС.

4. Методика определения угроз безопасности информации в информационных системах:
Где-то в "подвалах" ФСТЭК, видимо замечания приняты и обрабатываются.

За то, за это время РКН успел:

• разродиться постатейным комментарием закона о персданных: http://rkn.gov.ru/news/rsoc/news33050.htm
  теперь мы знаем, что они проверяют в ходе своих проверок, однако видимо не все в РКН еще в курсе, что они уже достаточно всех дезинформировали своими противоречивыми комментариями к многострадальному ФЗ-152
• поддержать некий ПД-Инфо - портал о ФЗ-242 по поводу переноса персданных в Россию, который со своей колокольни опять-таки "разъясняет" как применять закон, к которому авторы ресурса никакого отношения не имеют

Ну и в окончание всех этих "разъяснений", видимо устав от всеобщего негодования, "комментарии" протолкнули в Минкомсвязь

Статус законопроектов и других документов по ИБ

Отмечу текущий статус некоторых документов по защите информации, которые сейчас находятся где-то на пути утверждения/согласования/рассмотрения и т.п.

1. О повышении штрафов за нарушения при обработке ПДн (Законопроект "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях (в части уточнения положений, устанавливающих ответственность за нарушение законодательства о персональных данных)").

До сих пор гуляет где-то между первым и вторым чтением в ГД РФ. Еще 24.02.2015 законопроект прошел первое чтение, и в 30-тидневный срок должны были быть представлены поправки к нему. Пока информации о них не было.

2. Положение о контроле за обработкой ПДн (Проект ПП РФ "Об утверждении Положения о государственном контроле и надзоре за соответствием обработки персональных данных требованиям законодательства Российской Федерации").

Публичное обсуждение до 07.06.2015

3. О, в том числе, защите ПДн нотариусами (Проект приказа ФМС России "Об утверждении Требований к специальным техническим и программно-техническим средствам, используемым нотариусом при совершении нотариальных действий и позволяющим удостовериться в подлинности представленных гражданином документов").

Публичное обсуждение до 09.06.2015

4. Методика определения угроз безопасности информации в информационных системах (Проект документа ФСТЭК России).

Прием предложений и замечаний до 10.06.2015

Это наверняка не все документы, касаемо области ЗИ, но интересные.

Актуальность угроз ИБ от администраторов безопасности

Недавно коллеги обращались ко мне с вопросом, а почему администраторов ИБ исключают из перечня потенциальных нарушителей.
Ниже приведу те обоснования, которые я встречал в документах и использовал сам.

А пока "теория":

• В базовой модели ФСТЭК (кто еще такую помнит) рассматриваются администраторы безопасности сегмента ИСПДн и всей ИСПДн: возможных рекомендаций по выводам об их "потенциальности" или хотя бы намеков в документе нет, поэтому оператор должен сам их рассмотреть и привести обоснование исключения таких администраторов из списка потенциальных нарушителей;
• Методические рекомендации ФСБ (опять же, кто помнит :). Есть "магический" абзац, позволяющий нам исключить администраторов из потенциальных нарушителей: "Как правило, привилегированные пользователи информационной системы исключаются из числа потенциальных нарушителей". Но при этом следует помнить, что документом можно руководствоваться при определении угроз, когда для защиты используются  криптосредства (хотя сам статус документа позволяет использовать его и в других областях).

Вот именно положение из Методических рекомнедаций ФСБ и легло в основу многих обоснований "непотенциальности" администраторов ИБ как нарушителей ИБ.

В конце приведу те обоснования исключения администраторов из списка нарушителей, которые я встречал:

• назначаются из числа особо доверенных лиц;
• ссылка на документ ФСБ: "привилегированные пользователи информационной системы исключаются из числа потенциальных нарушителей";
• ознакомлены и следуют должностным инструкциям (и что?);
• ...

Перечень, скорее всего, дополню чуть позже и другими вариантами.

В идеальном варианте при дальнейшем рассматрении источников угроз, их возможностей, а также принимая во внимание имеющиеся контроли вероятны два варианта:

1. Принятие риска угроз ИБ от администраторов ИБ приемлемым для организации.
2. Попытка снижения риска за счет внедрения каких-либо мер (например, тестирование администраторов на полиграфах, анализ биографий и т.д. насколько хватит возможностей) и если дальнейшее принятие остаточного риска

Таким образом, для сокращения процесса анализа угроз и рисков ИБ, а также волокиты с согласованиями и экономии бумаги в большинстве случаев можно ограничиться дежурным "назначаются из числа особо доверенных лиц".

Ни что иное, как "слив" персональных данных?

Заголовок поста как из желтой прессы, но может быть это самое точное определение.

Во Владимирской области существуют две организации, осуществляющие снабжение граждан необходимыми ресурсами: водой и газом - это "Владимиррегионгаз" (ныне ООО «Газпром межрегионгаз Владимир») и МУП «Владимирводоканал» (далее назовем их РСО).

Так исторически сложилось, что эти организации оказывают услуги населению даже в том случае, если у них нет с этим населением напрямую заключенных договоров. Кто-то въехал в квартиру, воду льет, а договор заключить не удосужился. Или получил по наследству, а в организацию о смене собственника не сообщил. Или вселилось еще 2 человека, а счетчиков газа и воды в квартире нет, и тогда РСО должны рассчитывать потребление исходы из количества проживающих, о которых РСО и не знает. А есть просто собственники, проживающие в квартирах с давних времен, когда обязанности напрямую заключать договоры с ними не было.

Получается, что у РСО нет данных о таких потребителях. А ресурсы они потребляют, деньги не платят, и отключить их не получается.
На совершенно законных основаниях РСО намеревается подать документы в суд на таких неплательщиков, но сталкивается с проблемой отсутствия у РСО необходимых для подачи иска персональных данных ответчика.
В итоге РСО нашли удобный для себя способ - получать эти сведения от управляющих компаний, поскольку у тех в большей части имеются сведения о собственниках, в том числе и через паспортные столы.

А теперь встает самый интересный вопрос: а по какому праву персональные данные собственников УК передает в РСО? Найти законных оснований на такую передачу не удается:

• договоры УК с собственниками обычно условий о передаче ПДн в РСО не содержат (возможно за исключением случаев каких-либо перерасчетов, но это совсем другое основание);
• положения законодательства такие так же отсутствуют, ни в ПП-549 (по газоснабжению), ни в ПП-354 (по коммунальным услугам) норм о передаче ПДн от УК в РСО нет

Вот и получается, что передача ПДн в этом случае незаконна.

Кто виноват и что делать?

Интересный нюанс: хотя инициатором такой незаконной передачи выступают РСО, но все "шишки" собирают УК: ведь это они передают ПДн, и у Роскомнадзора все основания выписать им штраф по ст. 13.11 КоАП (пока только через прокуратуру и суд - см. 242-ФЗ).
При этом РСО, выполнившие у себя "все работы" по приведению в соответствие (ведь Политики об обработке ПДн на сайтах присутствуют), как-то наказать не удается (на сайте РКН такая информация отсутствует, а вот по проверкам УК - полно).

Но ответственность быть должна. Или всё-таки есть основания? Да, они есть:

• та же ст. 13.11 КоАП "Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)", потому как у РСО нет законных оснований на обработку полученных таким образом персональных данных от УК. Они их должны удалить попросту сразу при получении (да еще и сообщить о нарушении прав субъектов).

Справедливости ради, надо отметить, что РСО имеют моральное право на требование оплаты с собственников за пользование их услугами. И как оказывается, они его могут реализовать совершенно законно:

• пп. "з" п. 34 «Правил предоставления коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов» (Постановление Правительства РФ №354), потребители (собственники жилых помещений) сами обязаны сообщать ресурсоснабжающим организациям об изменении количества проживающих граждан в жилом помещении;
• п. 4 «Правил поставки газа для обеспечения коммунально-бытовых нужд граждан» (Постановление Правительства РФ № 549): поставщик газа получает сведения о зарегистрированных лицах в снабжаемых помещениях от уполномоченных государственных органов или органов местного самоуправления;
• и самый простой способ: запросить информацию о собственнике в Росреестре (это конечно же для них дорого).

Ну а такую "некрасивую" передачу персональных данных из УК в РСО надо закрывать, к тому же элементарные правила соблюдения конфиденциальности (ч. 3 ст. 6 ФЗ-152) не выполняются.

О наблюдениях Роскомнадзора

Роскомнадзор, как известно, проводит систематическое наблюдение за выполнением ФЗ о персданных, в том числе, ищет объявления о продаже всяческих баз с ПДнами в газетах, форумах, на рынках.

Одновременно Роскомнадзор также мониторит сайты операторов на предмет выполнения требований закона. А выполнять кое-что нужно, как то:

• если есть форма обратной связи, сбора данных и т.п., то нужно скорее всего разместить и согласие на сбор этих данных; согласие, понятно, должно удовлетворять требованиям ст. 9 закона;
• а если есть сбор, то и политика оператора по обработке ПДн.

Если указанной информации на сайте нет, то оператор может получить письмо от РКН об усматриваемом ими правонарушении и требовании привести всё в порядок за 30 дней.

Серьезных штрафных санкций за это конечно не будет, учитывая действующие сейчас статьи КоАП, но всё же:

• ст. 19.7 - непредставление сведений, штраф до 5 тыс. рублей;
• ст. 19.4 - невыполнение законного требования (это если проигнорировать письмо от РКН) - до 4 тыс. рублей на лицо, ответственное за организацию обработки ПДн, или при вероятном отсутствии такового в отношении директора.

Но с 1-го сентября всё может поменяться: найдут нарушение на сайте - и это станет поводом для ближайшей выездной проверки. Учитывая, что РКН может дать 30 дней на устранение нарушений, то этого срока для подготовки к проверке для средней организации может не хватить.

И следует иметь ввиду, что перед проведением выездной проверки, сотрудники Роскомнадзора обязательно зайдут на сайт организации и проверят, какой деятельностью занимается организация, какие ПДн она вероятно обрабатывает и выполняет ли самые очевидные требования.