Статус законопроектов и других документов по ИБ

Отмечу текущий статус некоторых документов по защите информации, которые сейчас находятся где-то на пути утверждения/согласования/рассмотрения и т.п.

1. О повышении штрафов за нарушения при обработке ПДн (Законопроект "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях (в части уточнения положений, устанавливающих ответственность за нарушение законодательства о персональных данных)").

До сих пор гуляет где-то между первым и вторым чтением в ГД РФ. Еще 24.02.2015 законопроект прошел первое чтение, и в 30-тидневный срок должны были быть представлены поправки к нему. Пока информации о них не было.

2. Положение о контроле за обработкой ПДн (Проект ПП РФ "Об утверждении Положения о государственном контроле и надзоре за соответствием обработки персональных данных требованиям законодательства Российской Федерации").

Публичное обсуждение до 07.06.2015

3. О, в том числе, защите ПДн нотариусами (Проект приказа ФМС России "Об утверждении Требований к специальным техническим и программно-техническим средствам, используемым нотариусом при совершении нотариальных действий и позволяющим удостовериться в подлинности представленных гражданином документов").

Публичное обсуждение до 09.06.2015

4. Методика определения угроз безопасности информации в информационных системах (Проект документа ФСТЭК России).

Прием предложений и замечаний до 10.06.2015

Это наверняка не все документы, касаемо области ЗИ, но интересные.

Актуальность угроз ИБ от администраторов безопасности

Недавно коллеги обращались ко мне с вопросом, а почему администраторов ИБ исключают из перечня потенциальных нарушителей.
Ниже приведу те обоснования, которые я встречал в документах и использовал сам.

А пока "теория":

• В базовой модели ФСТЭК (кто еще такую помнит) рассматриваются администраторы безопасности сегмента ИСПДн и всей ИСПДн: возможных рекомендаций по выводам об их "потенциальности" или хотя бы намеков в документе нет, поэтому оператор должен сам их рассмотреть и привести обоснование исключения таких администраторов из списка потенциальных нарушителей;
• Методические рекомендации ФСБ (опять же, кто помнит :). Есть "магический" абзац, позволяющий нам исключить администраторов из потенциальных нарушителей: "Как правило, привилегированные пользователи информационной системы исключаются из числа потенциальных нарушителей". Но при этом следует помнить, что документом можно руководствоваться при определении угроз, когда для защиты используются  криптосредства (хотя сам статус документа позволяет использовать его и в других областях).

Вот именно положение из Методических рекомнедаций ФСБ и легло в основу многих обоснований "непотенциальности" администраторов ИБ как нарушителей ИБ.

В конце приведу те обоснования исключения администраторов из списка нарушителей, которые я встречал:

• назначаются из числа особо доверенных лиц;
• ссылка на документ ФСБ: "привилегированные пользователи информационной системы исключаются из числа потенциальных нарушителей";
• ознакомлены и следуют должностным инструкциям (и что?);
• ...

Перечень, скорее всего, дополню чуть позже и другими вариантами.

В идеальном варианте при дальнейшем рассматрении источников угроз, их возможностей, а также принимая во внимание имеющиеся контроли вероятны два варианта:

1. Принятие риска угроз ИБ от администраторов ИБ приемлемым для организации.
2. Попытка снижения риска за счет внедрения каких-либо мер (например, тестирование администраторов на полиграфах, анализ биографий и т.д. насколько хватит возможностей) и если дальнейшее принятие остаточного риска

Таким образом, для сокращения процесса анализа угроз и рисков ИБ, а также волокиты с согласованиями и экономии бумаги в большинстве случаев можно ограничиться дежурным "назначаются из числа особо доверенных лиц".

Ни что иное, как "слив" персональных данных?

Заголовок поста как из желтой прессы, но может быть это самое точное определение.

Во Владимирской области существуют две организации, осуществляющие снабжение граждан необходимыми ресурсами: водой и газом - это "Владимиррегионгаз" (ныне ООО «Газпром межрегионгаз Владимир») и МУП «Владимирводоканал» (далее назовем их РСО).

Так исторически сложилось, что эти организации оказывают услуги населению даже в том случае, если у них нет с этим населением напрямую заключенных договоров. Кто-то въехал в квартиру, воду льет, а договор заключить не удосужился. Или получил по наследству, а в организацию о смене собственника не сообщил. Или вселилось еще 2 человека, а счетчиков газа и воды в квартире нет, и тогда РСО должны рассчитывать потребление исходы из количества проживающих, о которых РСО и не знает. А есть просто собственники, проживающие в квартирах с давних времен, когда обязанности напрямую заключать договоры с ними не было.

Получается, что у РСО нет данных о таких потребителях. А ресурсы они потребляют, деньги не платят, и отключить их не получается.
На совершенно законных основаниях РСО намеревается подать документы в суд на таких неплательщиков, но сталкивается с проблемой отсутствия у РСО необходимых для подачи иска персональных данных ответчика.
В итоге РСО нашли удобный для себя способ - получать эти сведения от управляющих компаний, поскольку у тех в большей части имеются сведения о собственниках, в том числе и через паспортные столы.

А теперь встает самый интересный вопрос: а по какому праву персональные данные собственников УК передает в РСО? Найти законных оснований на такую передачу не удается:

• договоры УК с собственниками обычно условий о передаче ПДн в РСО не содержат (возможно за исключением случаев каких-либо перерасчетов, но это совсем другое основание);
• положения законодательства такие так же отсутствуют, ни в ПП-549 (по газоснабжению), ни в ПП-354 (по коммунальным услугам) норм о передаче ПДн от УК в РСО нет

Вот и получается, что передача ПДн в этом случае незаконна.

Кто виноват и что делать?

Интересный нюанс: хотя инициатором такой незаконной передачи выступают РСО, но все "шишки" собирают УК: ведь это они передают ПДн, и у Роскомнадзора все основания выписать им штраф по ст. 13.11 КоАП (пока только через прокуратуру и суд - см. 242-ФЗ).
При этом РСО, выполнившие у себя "все работы" по приведению в соответствие (ведь Политики об обработке ПДн на сайтах присутствуют), как-то наказать не удается (на сайте РКН такая информация отсутствует, а вот по проверкам УК - полно).

Но ответственность быть должна. Или всё-таки есть основания? Да, они есть:

• та же ст. 13.11 КоАП "Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)", потому как у РСО нет законных оснований на обработку полученных таким образом персональных данных от УК. Они их должны удалить попросту сразу при получении (да еще и сообщить о нарушении прав субъектов).

Справедливости ради, надо отметить, что РСО имеют моральное право на требование оплаты с собственников за пользование их услугами. И как оказывается, они его могут реализовать совершенно законно:

• пп. "з" п. 34 «Правил предоставления коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов» (Постановление Правительства РФ №354), потребители (собственники жилых помещений) сами обязаны сообщать ресурсоснабжающим организациям об изменении количества проживающих граждан в жилом помещении;
• п. 4 «Правил поставки газа для обеспечения коммунально-бытовых нужд граждан» (Постановление Правительства РФ № 549): поставщик газа получает сведения о зарегистрированных лицах в снабжаемых помещениях от уполномоченных государственных органов или органов местного самоуправления;
• и самый простой способ: запросить информацию о собственнике в Росреестре (это конечно же для них дорого).

Ну а такую "некрасивую" передачу персональных данных из УК в РСО надо закрывать, к тому же элементарные правила соблюдения конфиденциальности (ч. 3 ст. 6 ФЗ-152) не выполняются.

О наблюдениях Роскомнадзора

Роскомнадзор, как известно, проводит систематическое наблюдение за выполнением ФЗ о персданных, в том числе, ищет объявления о продаже всяческих баз с ПДнами в газетах, форумах, на рынках.

Одновременно Роскомнадзор также мониторит сайты операторов на предмет выполнения требований закона. А выполнять кое-что нужно, как то:

• если есть форма обратной связи, сбора данных и т.п., то нужно скорее всего разместить и согласие на сбор этих данных; согласие, понятно, должно удовлетворять требованиям ст. 9 закона;
• а если есть сбор, то и политика оператора по обработке ПДн.

Если указанной информации на сайте нет, то оператор может получить письмо от РКН об усматриваемом ими правонарушении и требовании привести всё в порядок за 30 дней.

Серьезных штрафных санкций за это конечно не будет, учитывая действующие сейчас статьи КоАП, но всё же:

• ст. 19.7 - непредставление сведений, штраф до 5 тыс. рублей;
• ст. 19.4 - невыполнение законного требования (это если проигнорировать письмо от РКН) - до 4 тыс. рублей на лицо, ответственное за организацию обработки ПДн, или при вероятном отсутствии такового в отношении директора.

Но с 1-го сентября всё может поменяться: найдут нарушение на сайте - и это станет поводом для ближайшей выездной проверки. Учитывая, что РКН может дать 30 дней на устранение нарушений, то этого срока для подготовки к проверке для средней организации может не хватить.

И следует иметь ввиду, что перед проведением выездной проверки, сотрудники Роскомнадзора обязательно зайдут на сайт организации и проверят, какой деятельностью занимается организация, какие ПДн она вероятно обрабатывает и выполняет ли самые очевидные требования.

О праве ребенка на частную жизнь

Недавно интересовался вопросом о правомерности применения такого рода штуковин: http://www.mipko.ru/personal-monitor/ (шпион за активностью пользователя, позиционируется как продукт для родителей, которые хотят контролировать своего ребенка).

Если родители решают использовать такую программу, то о частной жизни ребенка (а он у нас до 18 лет ребенок) можно забыть. Если в реальном мире, ребенок имеет право на свои секреты и его реализует (в школе, на улице, еще где-то, он всё-таки общается без участия родителей), то за компьютером - полный контроль.

Право на тайну переписки и неприкосновенность частной жизни гарантировано и детям нашей же Конституцией и международными договорами (декларацией о правах ребенка). Право на частную жизнь выражается в свободе общения между людьми.

В то же время, родители обязаны и имеют право оберегать ребенка от "недружелюбного" общения и контента.

Фактически право на неприкосновенность частной жизни и тайну корреспонденции ограничивается со стороны родителей или опекунов (попечителей). Первостепенное значение в данном случае имеют интересы детей, которые также во многом определяются родителями или лицами, их заменяющими. Представляется, что степень вмешательства определить в законодательном порядке невозможно

(из пособия МВД РФ "Личные тайны ребенка: особенности правовой защиты").

Т.е. в этом вопросе всё решается индивидуально и всецело зависит от родителей, которые могут использовать любой инструмент контроля как достаточно корректно по отношению к ребенку, так и совершенно перегибая палку.

И еще:

Если ребенок, находясь в ранней стадии социализации, не в состоянии самостоятельно определить круг сведений, входящих в частную жизнь и не в состоянии самостоятельно принять меры к их сохранности, то содержание частной жизни ребенка практически совпадает с семейной тайной. 

Научная библиотека диссертаций и авторефератов disserCat

Так что, если ребенок еще не в состоянии охранять свои секреты, а родитель не уверен, что они не вредят ему, то пока это семейная, а не частная жизнь ребенка.

О должностях по ИБ

Точнее не ИБ, а ЗИ, т.к. в "Едином квалификационном справочнике должностей руководителей, специалистов и служащих, раздел "Квалификационные характеристики должностей руководителей и специалистов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, противодействию техническим разведкам и технической защите информации" (утв. Приказом Минздравсоцразвития РФ от 22.04.2009 N 205) про ИБ не слова.

Спасибо данному справочнику, он хотя бы определяет ряд характеристик и должностей, которые у нас существуют по направлению технической защиты информации.

Так, например, за выявление и регистрацию инцидентов ответственен Администратор по обеспечению безопасности информации.

Разработка организационно-распорядительных документов, моделирование угроз безопасности информации и выявление технических каналов утечки информации лежит на Специалисте по технической защите информации.

Руководят всеми этими работами:

• Главный специалист по технической защите информации: "Содействует распространению в организации передового опыта и внедрению современных организационно-технических мер, средств и способов технической защиты информации. Организует мероприятия по предотвращению утечки информации ограниченного доступа должностными лицами организаций..."
• Начальник отдела (лаборатории(!), сектора) по технической защите информации, который собственно и выполняет текущую работу по защите информации.

От себя добавлю, что здесь также нужен Аналитик, без него никуда:
"Организует аналитическое и методическое обеспечение проведения исследовательских работ. Проводит аналитическую и научно-исследовательскую работу с целью сбора, оценки и анализа получаемой информации, а также выработки практических рекомендаций." Иначе, кто будет оценивать требования законодательства и проводить аналитическую работу?

Названия конечно у должностей кондовые и привязаны к технике. Всё остальное, как видимо подразумевается, делается в других отделах: отделах управления рисками, юридических отделах и т.п. Правда до ИБ такие отделы совсем мало где доросли.

+ у Алексея Лукацкого в блоге также обсуждались вопросы квалификации: http://lukatsky.blogspot.ru/2012/03/blog-post_12.html

CISM

Вчера ходил на экзамен CISM.

Написано про него уже много везде. Всё хорошо, только вот навигация совсем неудобная.
Адрес места проведения экзамена приходит на электронную почту - это ок. Там же есть инструкция: "...пожалуйста, изучите маршрут...".

Как доехать до места проведения - это всё понятно, а вот как внутри международного университета что-то найти - непонятно. Заходим с главного входа, далее охранник направляет на регистрацию, но никаких указателей, стрелок и сообщений, что здесь проводятся экзамены CISA/CISM/CGEIT/CRISC нет. У меня была аудитория на третьем этаже, пришлось немного побродить, чтобы найти ее.

Без указателей было неудобно, хотя я никуда и не опаздывал, а вот для тех, кто мог бы подъехать в последний момент, было бы совсем непонятно куда идти.

Так и хочется сказать: ISACA, так много пишущая о governance, процессах и awareness, а сами хорошую навигацию не обеспечили!