В данной статье рассмотрена проблема обработки персональных данных на предприятии. Предложено решение данной проблемы.
Проблема защиты персональных данных существует уже давно. Еще в Европе в 80-х годах была принята «Конвенция о защите личности при автоматизированной обработке персональных данных».
В 2005 году Государственная дому РФ ратифицировала эту Конвенцию, приняв соответствующий закон №-160 ФЗ « О ратификации Конвенции Совета Европы « О защите физических лиц при автоматизированной обработке персональных данных»
Впоследствии российское законодательство расширило эти требования, приняв Закон о « персональных данных» связав все требования, которые и раньше присутствовали в законодательстве и конституции.
Целью Закона « О персональных данных» является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных , в том числе защите его на неприкосновенность частной жизни, личную и семейную тайну.
В заключении вступления стоит отметить что в Указе Президента РФ « Об утверждении Перечня сведений конфиденциального характера» говорится следующие.
«Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность, за исключением сведений, подлежащих распространению в средствах массовой информации в установленном федеральным законами случаях, определенны как информация ограниченного распространения и подлежат определенной защите».
Основная часть.
Трудно найти организацию, в которой не велась бы обработка персональных данных. Это и составление бухгалтерских отчетностей, и ввод антропометрических данных, и введение баз данных.
И разумеется у любого оператора персональных данных есть свои обязанности, а именно:
Предотвращение несанкционированного доступа к Персональный Данным или передачи их лицам, не имеющим права доступа к такой информации;
Своевременное обнаружение фактов несанкционированного доступа к Персональным Данным
Недопущение воздействия на технические средства автоматизированной обработки Персональных Данных, в результате которого может быть нарушена их функциональность
Незамедлительное восстановление Персональных Данных, и их модификация, если это потребуется, или же немедленное уничтожение в случае несанкционированного доступа к ним.
Постоянный контроль над уровнем защищенности Персональных данных.
Все эти требования сформулированы в 149-ФЗ « Об информации, информационных технологиях, и о защите информации»
Однако, даже не смотря на достаточно жестко расписанные задачи операторов Персональных Данных, камень преткновения кроется вовсе не в людях, которые должны следить за данными, а в самих технических средствах.
Многие из них, не включены в ФАП ( федеральный алгоритм программных средств), а обработка персональных данных на них проводится постоянно.
И проблема вовсе не в стремление руководства компаний сэкономить, покупая не сертифицированные программное обеспечение, и не в некомпетентности служб Информационной безопасности предприятий.
Причина кроется в отсутствии сертифицированных аналогов, на которые могли бы заменить эти средства. Недостаток функциональности, не поддерживание форматов сохранения файлов, и порой, трудность освоения в кротчайшие и высокие трудозатраты для установки на автоматизированных рабочих местах. Все это отталкивает руководство от использования подобных программных продуктов.
Есть несколько путей решения этой проблемы которые я могу предложить.
Внесение наиболее распространенных программных средств, которые установлены на предприятии в Фонд Алгоритмов Программных средств.
(Из личного опыта)
В большинстве случаев на предприятиях для обработки большинства Персональных Данных используются текстовые редакторы, не сертифицированные и не включенные в ФАП.
После проведения ревизии программных средств результаты показали, что данными текстовыми редакторами пользуется большинство сотрудников организации. Аналога для замены данного программного средства, который обладал бы теми же функциями и включенного в ФАП не было, и было принято решение включить данный текстовый редактор в ФАП, дабы не останавливать работу предприятия.
«Однако стоит отметить, что данное решение проблемы вовсе не является панацеей. Время не стоит на месте, и новые текстовые редакторы выходят достаточно часто, и многие Европейские конторы переходят на них взамен устаревших версий. И в этих новых редакторах используется уже другая система расширения файлов при их сохранении, что может повлечь сбои при документо-обмене между двумя заинтересованными организациями».
Но этот способ решения проблемы актуален только для тех программных продуктов, отказ от использования которых неизменно приведет к полной остановке работе предприятия. Во всех остальных случаях у предприятий не остается выхода, как, либо закупить сертифицированные программные средства, либо, если у них есть возможность разрабатывать собственные Информационные Системы.
Несомненным плюсом разработки собственной Информационной Системы является ее гибкость и направленность на выполнение именно тех задач, которые наиболее остро стоят перед сотрудникам предприятия.
Но для разработки Информационной Системы необходимо сделать следующие.
Провести анализ Информационной системы персональных данных:
Определить какие именно угрозы наиболее вероятны для предприятия, классифицировать Информационную Систему, и составить модели угроз.
Разработать систему защиты Персональных данных.
Определить необходимость применения тех или иных средств защиты, касательно работы данного предприятия, определение технологии обработки Персональных Данных,.
Установка средств защиты информации.
Основной сложностью, в данном в данном мероприятии является именно выбор средства защиты, будь то средство антивирусной защиты, либо разграничители доступа к Автоматизированным рабочим местам. Выбор крайне важен, так как руководитель, или специалист отдела закупок должен четко представлять , какие именно функции нужны для обеспечения наиболее эффективного обеспечения информационной безопасности.
Провести обучение лиц использующих данную. ИС.
Организовать учет носителей информации
Заключение.
В данной статье рассматривались наиболее вероятные проблемы с которыми сталкиваются предприятия при использовании программных средств, с помощью которых происходит обработка персональных данных.
Поскольку данный вопрос нужно разбирать для каждого предприятия отдельно, руководствуясь направлением его деятельности, в статье были предложены общие варианты решения данной проблемы, актуальные как для малых компаний, коллектив которых включает в себя несколько человек, так и для крупных, коллектив которых насчитывает тысячи сотрудников.
Литература.
Журнал Chief Information Officer сентябрь 2010.
http://www.compas.ru/webinar/20100825/20100825.html выступление Василия Сошнева на вебинаре компании « Компас».
ФАП ФТС РФ.
