Любая организация, занимающаяся работой с персональными данными (ПД) и их передачей, считается оператором ПД. Операторы ПД должны руководствоваться в своей деятельности законом РФ № 152-ФЗ «О персональных данных» от 27 июля 2006 года и другими правовыми нормами.

Оператор должен пройти регистрацию в Реестре операторов ПД в Роскомнадзоре на официальном сайте регулятора и указать, с какой целью он применяет собранные и запрашиваемые ПД. Если использование ПД служащих предусмотрено трудовым законодательством, то организация имеет право работать с ними без извещения Роскомнадзора.

Обязанностью оператора является принятие необходимых мер для защиты ПД от несанкционированного использования: фальсификации, копирования, удаления, блокировки, распространения и других противозаконных действий.

Регламентация содержания ПД, связанных с трудовой деятельностью

В ПД входят практически все сведения о человеке. Содержание ПД определяется самими операторами. Но имеют место случаи, когда их содержание четко регламентируется нормативно-правовыми актами, и отступление от этих требований является незаконным.
На любом предприятии в форму учета кадров заносятся следующие сведения (персональные данные) о каждом работнике:

• ФИО;
• информация о дате рождения;
• гражданство;
• СНИЛС;
• индивидуальный налоговый номер;
• владение иностранными языками;
• полученное образование;
• приобретенные профессии, специальности;
• сведения о составе семьи;
• место проживания;
• контакты;
• отношение к военной обязанности;
• трудовая деятельность.

Защита персональных данных

Юридические и физические лица, работающие с ПД, обязаны организовать надлежащую защиту этих сведений. Предусматривается внутренняя и внешняя защита ПД на предприятии и в любой организации.

К внутренней защите ПД относятся такие действия:

• допуск к ПД работников только строго определенного внутренними документами круга лиц, которым эти сведения необходимы для выполнения своих обязанностей, предусмотренных для занимаемой должности;
• назначение ответственного служащего, который следит за выполнением правовых норм в области защиты ПД;
• создание списка документации, в которой содержатся ПД;
• выпуск регламентирующей документации по защите ПД для внутреннего пользования и контроль за соблюдением правил;
• ознакомление служащих, обрабатывающих персональные данные, с правовыми нормами по их защите и внутренними регламентирующими документами;
• периодическая проверка осведомленности служащих по этим вопросам и контролирование выполнения ими нормативных актов по защите конфиденциальных данных;
• рабочие места должны быть размещены таким образом, чтобы посторонние лица не могли видеть конфиденциальные сведения;
• создание препятствий для воздействия на техсредства, осуществляющие автоматизированную обработку ПД, в результате которого может нарушиться их работа;
• формирование списка лиц, имеющих право находиться в кабинетах с персональными данными;
• описание процедуры удаления неиспользуемой информации;
• своевременное выявление и устранение нарушений норм защиты ПД;
• проведение профилактических мероприятий по недопущению разглашения сотрудниками обрабатываемых личных данных.

Внешняя защита ПД предполагает следующие действия:

• пропускной режим;
• соблюдение установленных правил приема посетителей и их учета;
• использование приборов для охраны;
• программная защита данных.

Информационные системы персональных данных (ИСПД)

Информационные системы персональных данных – это функционирующий набор информационных, аппаратных и программных составляющих.

В состав ИСПД входят: 

• обрабатываемые ПД;
• технология работы с информацией средствами вычислительной техники;
• техсредства и приспособления (серверы, рабочие терминалы, сети передачи данных, принтеры, сканеры и т. п.);
• средства защиты информации.

Защитные мероприятия при работе в ИСПД

Чтобы уберечь персональные данные от несанкционированного распространения, необходимо выполнение следующих мероприятий по их защите:

• определение актуальных угроз безопасности;
• формирование моделей угроз;
• разработка систем защиты ПДн (СЗПДн);
• проверка работоспособности средств защиты информации (СЗИ);
• заключение о пригодности к эксплуатации;
• установка и ввод в эксплуатацию СЗИ;
• обучение сотрудников работе с СЗИ;
• контроль работы СЗИ;
• оформление техдокументации;
• определение круга сотрудников, допущенных к работе с ИСПД;
• при обнаружении нарушения условий хранения носителей ПД – проведение расследования и составление заключения;
• принятие мер по ликвидации последствий этих нарушений;
• обеспечение охраны помещений с оборудованием ИСПД и организация режима допуска;
• проведение мероприятий по недопустимости утечки информации по техническим каналам.

Защита ПД от несанкционированного доступа

Средствами защиты от несанкционированного доступа служат их подсистемы:

• управление доступом к ПД, регистрация и учет всех действий с этими данными;
• обеспечение целостности персональной информации;
• применение антивирусной защиты для сохранения ПД и предотвращения вирусных атак;
• создание межсетевого экрана;
• анализ защищенности и принятие мер по ее усилению;
• обнаружение вторжений, своевременная их локализация.

Подсистема управления доступом – это не входящие в ядро ОС средства их защиты, а также системы управления баз данных и других программ. К этим средствам защиты относятся специальные утилиты, производящие тестирование файловой системы, журналирование действий, сигнализацию о несанкционированном проникновении в систему.

Обеспечение целостности ПД осуществляется средствами самих ОС и систем управления базами данных. Базовой платформой построения ИСПД может выступать сетевая ОС Microsoft Windows Server (Standard Edition и Enterprise Edition), которая сертифицирована ФСТЭК России и ФСБ.

Для подсистемы антивирусной защиты можно использовать антивирусные средства Лаборатории Касперского, которые также имеют сертификат ФСБ. В зависимости от уровня защищенности ИСПД можно использовать межсетевые экраны третьего-четвертого уровня защиты.

Подсистема анализа защищенности осуществляет контроль настроек защиты ОС на рабочих терминалах и серверах. Она выдает отчет со сведениями об обнаруженных уязвимостях. По результатам сканирования принимаются меры по устранению выявленных недочетов.

Для подсистемы анализа можно использовать сетевой сканер безопасности Xspider фирмы Positive Technologies, сертифицированный ФСТЭК России. Для подсистемы обнаружения вторжений специалисты рекомендуют продукт Cisco Intrusion Detection System, сертифицированный ФСТЭК.

Перед началом ввода ИСПД в эксплуатацию необходимо провести ее аттестацию безопасности и получить Аттестат соответствия требованиям ФСТЭК России.

Аттестация ИСПД по требованиям безопасности информации выполняется до начала обработки информации, которая подлежит защите. Она официально подтверждает эффективность комплексных решений, применяемых в ИСПД мер и инструментов защиты информации

Как документально оформить защиту персональных данных

Исходя из практической целесообразности, можно издать следующие документы:

• положение о ПД;
• список служащих, работающих с персональными данными;
• приказ об утверждении работника, отвечающего за работу с персональными данными;
• положение о мерах по ЗПД;
• инструкцию о служебном расследовании фактов разглашения личных данных работников;
• инструктаж по ЗПД;
• журнал антивирусных проверок;
• журнал контроля использования ПД для служебной необходимости.

Передача персональных данных третьим лицам

Чтобы обеспечить соблюдение норм закона о получении согласия физического лица на обработку и передачу ПД, можно оформить коллективный договор со служащими, в котором перечислить всех третьих лиц с указанием наименований, адресов, срока использования данных. Все работники организации должны этот договор подписать.

Необходимо знать, что законодательство РФ предусматривает передачу персональных данных судебным органам и другим правоохранительным инстанциям без необходимости получения согласия на эти действия.

Время хранения персональных данных

С персональных данных конфиденциальность снимается через 75 лет, если происходит их обезличивание, или по требованию закона.
Когда ПД больше не нужны оператору, они должны быть уничтожены на протяжении пяти лет или сданы в архив.