Персональные данные - информация, раскрытие которой может нанести вред лицу, личные сведения которого вдруг стали известны. Кроме того, разглашение подобных данных, умышленно или случайно, вводит определенную меру ответственности для того лица, кто рассекретил такую информацию.
Поэтому личные данные нуждаются в определенного рода защите. Какой именно? Это устанавливается по уровням защищенности персональных данных. Какими они бывают, какие тут введены классификации, каковы важнейшие требования для каждого уровня, мы рассмотрим в данной статье.
Законодательное регулирование
Уровни защищенности персональных данных были установлены Постановлением правительства № 1119 (2012). Они заменили заменили собой классы информационных систем в сфере персональных, личных данных.
Таким образом, было введено 4 уровня защищенности персональных данных для их обработки в информационных системах. Постановление также устанавливало требования к каждому из них.
На основании чего информационные системы возможно отнести к тому или иному уровню защищенности? Прежде всего, надо опираться на тип персональной информации, которую обрабатывает таковая информационная система, разновидность актуальных угроз, а также количество субъектов личных данных, что обрабатывается непосредственно в данной системе. Важен и факт, персональные сведения какого контингента обрабатываются в определенном случае.
Уровни
Как разобраться с уровнями защищенности персональных данных? Нужно обратиться к п. 5 вышеуказанного Постановления № 1119. Тут выделяется четыре категории:
- 1 уровень защищенности персональных данных. Это специальные ИСПДн (расшифровка сокращения - информационные системы персональных данных). Что тут обрабатывается? Информация, касающееся национальной, расовой принадлежности того или иного лица, его политических взглядов, философских убеждений, религиозные воззрения, состояние здоровья, подробности интимной жизни.
- 2 уровень защищенности персональных данных. Сюда входят уже биометрические ИСПДн. В таких системах будут обрабатываться сведения, которые характеризуют биологические, физиологические особенности гражданина. На их основании вполне возможно определить личность этого человека. Они и используются оператором для установления личности определенного субъекта персональных сведений. В данном ключе не должны обрабатываться данные, которые относятся к специальным (то есть, к первому уровню защищенности).
- 3 уровень защищенности персональных данных. Это общедоступные ИСПДн. Как это понимать? Тут обрабатываются личные сведения о субъектах персональной информации, полученные только из общедоступных источников. Последние должны быть созданы в строгом соответствии со ст. 8 ФЗ "О персональных данных".
- 4 уровень защищенности персональных данных. Это иные ИСПДн. То есть, к уровню относятся те информационные системы, которые не обозначены в предыдущих трех уровнях.
Форма отношений
Как разобраться с уровнями защищенности персональных данных? Нужно обратиться к классификации, представленной выше.
Кроме того, обработка персональной информации будет различаться и по форме отношений между организацией, использующей ИСПДн, субъектом персональных сведений. Тут два типа подобных отношений:
- Обработка личной информации сотрудников (таких субъектов, которые связаны с данной организацией служебными, трудовыми отношениями).
- Обработка персональных данных тех лиц, которые не предстают сотрудниками данной организации.
Количество субъектов
Определение уровня защищенности персональных данных проводится на основе первой классификации в статье. Однако Постановление правительства № 1119 представляет 2 категории ИСПДн - по количеству субъектов, чья личная информация обрабатывается в такой системе.
Тут выделяется только две группы:
- Менее 100 тысяч субъектов.
- Более 100 тысяч субъектов.
Классификация по виду актуальных угроз
Выделяется только четыре уровня защищенности информационной системы персональных данных. Кроме них, Постановление № 1119 разделяет ИСПДн по типам актуальных угроз, с которыми там можно столкнуться при обработке личных данных субъектов:
- Первый тип угроз. Они связаны с наличием определенных недокументированных, недекларированных возможностей, существующих в программной обеспечении, используемом в информационной системе.
- Второй тип угроз. Наличие какого-либо ряда недекларированных возможностей в прикладном ПО, непосредственно применяемом в ИСПДн.
- Третий тип угроз. Наличие каких-либо недокументированных возможностей в ПО, что используется в ИСПДн.
Проблемы применения классификации
Мы познакомились с актом определения уровня защищенности персональных данных. Но этот документ все же оставляет после прочтения много и неразрешенных вопросов. Самые досадные его пробелы:
- Документ не регламентирует установку типа актуальных угроз. Также требования ПП № 1119 не предлагают каких-либо способов и методик их нейтрализации.
- Раньше у операторов была возможность выбрать классификацию специальной или типовой ИСПДн по описанию модели угроз. Сегодня таковой возможности не существует.
- Так как уровень защищенности в настоящее время определяется исходя из актуальности существующих угроз, оператор системы не всегда может провести подобную процедуру самостоятельно. Ему необходимо будет обращаться за помощью к консультанту, в вышестоящую инстанцию и проч.
Какое количество уровней защищенности персональных данных выделено сегодня в России? Четыре. В связи со всеми обозначенными сложностями, операторы на практике стремятся пойти по пути наименьшего сопротивления. То есть, определяют для любой угрозы 3-й тип, где не нужно изучать недекларированные возможности системного и прикладного ПО, используемого для информационной системы.
Необходимые требования
Мы разобрали, как определить уровень защищенности персональных данных. Каждый из них должен отвечать требованиям, предъявленным к нему в Постановлении правительства № 1119. Перечислим их:
- Установление спецрежима обеспечения безопасности помещений, в которых располагаются информационные системы. В частности, он должен препятствовать неконтролируемому пребыванию, проникновению в эти пространства лиц, которым не предоставлено право такого доступа. Требование обязательно для всех уровней.
- Обеспечение полной сохранности носителей персональной информации. Требование обязательно для всех уровней.
- Утверждение руководством оператора документации, определяющей список лиц, которым необходим доступ к персональным сведениям, обрабатываемым в информационной системе, для выполнения собственных трудовых обязанностей и служебных задач. Требование обязательно для всех уровней.
- Использование таких средств и методик защиты информации, которые прошли через мероприятия оценки соответствия требованиям российского законодательства в сфере обеспечения безопасности личных данных. В таких случаях, когда использование подобных средств необходимо для нейтрализации, устранения актуальных угроз. Требование обязательно для всех уровней.
- Назначение должностного лица, которое будет ответственно за обеспечение безопасности персональной информации в ИСПДн. Требование обязательно для 1, 2, 3 уровня.
- Ограничение доступа лиц к содержанию журналов электронных мессенджей. Требование обязательно для 1 и 2 уровня.
- Проведение автоматической регистрации в электроном журнале безопасности различных изменений полномочий сотрудников оператора по доступу к персональной информации, которая содержится в системе. Требование обязательно для 1 уровня.
- Создание специального структурного подразделения, которое будет ответственно за обеспечение безопасности личных данных в информационной системе. Как вариант - возложение подобных функций по обеспечению безопасности на одно из уже существующих отделений организации. Требование обязательно для 1 уровня.
Защита типовых систем
Возьмем самый частый пример - медицинские организации. В большинстве из них установлены типовые ИСПДн. В частности, они используются для учета кадров, расчета размера оплаты труда.
Субъектами обработки персональной информации здесь выступают сотрудники медучреждений. Цель обработки личных данных в таком случае - обеспечение соблюдения в отношении каждого из трудящихся законодательства в области трудовых и иного рода отношений с ним.
Соответственно, в подобных инфосистемах не ведется обработка ни специальных, ни биометрических типов персональной информации. Значит, уровень защищенности данных тут надо определять только по типу актуальных угроз безопасности, выявленных в отношении этой информационной системы.
Что касается большинства случаев, для подобных систем являются насущными угрозы, не связанные с наличием недекларированных (или же недокументированных) возможностей как в прикладном, так и в системном ПО. Отсюда следует, что оператору нужно обеспечить только четвертый уровень защищенности персональной информации. Иными словами, необходимо воплотить в жизнь самый минимальный комплекс технических и организационных мер.
Информационные системы федерального уровня
Теперь обратимся к более глобальному примеру в той же российской медицинской сфере. Это ФРМР (расшифровка - Федеральный регистр медработников) - система, чье предназначение состоит в сборе, хранении, обработки информации учета отечественного медицинского персонала субъектов РФ. Федеральный регистр также используется для контроля размещения, перемещений по службе данных медсотрудников.
Сходства и различия
Но, как и в менее сложной инфосистеме, описанной выше, тут не ведется обработка специальной или биометрической персональной информации о гражданах. Соответственно, характеристики ФРМР и ИС обычных медицинских организаций в данной сфере схожи. Для Федерального регистра требуется обеспечить такой же уровень защищенности сведений - четвертый.
Хоть категории субъектов ИС, обрабатываемые сведения в обоих системах почти что аналогичны, специалисты не советуют их объединять в одну. Почему? Все дело в разных целях. В первом случае система создается для исполнения предписаний Трудового кодекса. Во втором - для следования требованием Минздрава.
Задачи медицинских ИСПДн
Подобные ИСПДн призваны решить ряд задач:
- Возможность открытия электронной регистратуры, ведения электронных амбулаторных карт.
- Обработка данных медисследований в цифровом представлении.
- Сбор и хранение информации по мониторингу состояния больных, снятой с медицинских приборов.
- Одно из средств общения между медицинскими работниками.
- Анализ как финансовой, так и административной информации.
Конечно, чтобы эти задачи был успешно воплощены, необходимо правильно организовать защищенность ИСПДн.
Важные факторы
Таким образом, чтобы остановиться на подходящем уровне защищенности медицинских ИСПДн, оператору системы нужно обратить внимание на два важных фактора:
- В инфосистеме могут обрабатываться специальные личные данные - диагноз, текущее состояние здоровья, показания медицинских приборов и проч.
- Субъектами ИСПДн тут могут быть не только сотрудники медицинского учреждения, но и пациенты организации.
Если количество субъектов такой инфосистемы велико, если найден определенный тип актуальных угроз, то требуется остановиться на 1-м или 2-м уровне защищенности персональных сведений.
Мы познакомились с уровнями защищенности личной информации, важными характеристиками для них. Рассмотрели на примерах, как нужно избирать правильный таковой уровень, на какие законодательные акты при этом опираться.
