апрель    2026

Пн	Вт	Ср	Чт	Пт	Сб	Вс
		1	2	3	4	5
6	7	8	9	10	11	12
13	14	15	16	17	18	19
20	21	22	23	24	25	26
27	28	29	30

показать все 

01.04.2026

Группа «Борлас» вошла в топ-10 крупнейших интеграторов и поставщиков услуг поддержки решений 1С по версии TAdviser

Читать далее 

30.03.2026

Менее 10% компаний в РФ фиксируют экономический эффект от внедрения ИИ

Читать далее 

30.03.2026

Эксперт Т1: „Внедрять ИИ-агентов надо уже сегодня, даже если эффект пока небольшой

Читать далее 

25.03.2026

Компания РДТЕХ сообщила о назначении Глеба Желтова заместителем генерального директора компании

Читать далее 

23.03.2026

Контур.Налоговый мониторинг и платформа «Боцман» интегрированы для локального развертывания

Читать далее 

показать все 

23.03.2026

Эволюция бизнес-процессов от ИИ-инструментов к мультиагентным командам

Читать далее 

23.03.2026

Время внедрения: ИИ в вашем бизнесе – эксперимент или реальная прибыль?

Читать далее 

18.03.2026

Ах, если бы сбылась моя мечта!

Читать далее 

06.03.2026

Как компьютеры понимают текст?

Читать далее 

06.03.2026

Как компьютеры понимают текст?

Читать далее 

29.07.2025

Точность до метра и сантиметра: как применяют технологии позиционирования

Читать далее 

18.04.2024

Как искусственный интеллект изменит экономику

Читать далее 

22.09.2023

Эпоха российской ориентации на Запад в сфере программного обеспечения завершилась

Читать далее 

22.09.2023

Сладкая жизнь

Читать далее 

22.09.2023

12 бизнес-концепций, которыми должны овладеть ИТ-руководители

Читать далее 

показать все 

Главная / Архив номеров / 2011 / Выпуск №2 (5) / Защита персональных данных. Год 2011-й. Отсчет продолжается

Рубрика: Безопасность информации

 Александр Лысенко, ведущий эксперт по вопросам защиты информации компании «Код Безопасности»

Защита персональных данных
Год 2011-й. Отсчет продолжается

Хроникa ФЗ 152

2006-2007: ФЗ 152 принят 27 июля 2006 года, вступил в законную силу 26 января 2007 года.

2008: Издан приказ «Об утверждении порядка проведения классификации информационных систем персональных данных», а также разработаны методические документы ФСТЭК и ФСБ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации.

Глава 6 п. 3: информационные системы персональных данных, созданные до дня вступления в силу настоящего Федерального закона, должны были приведены в соответствие с его требованиями не позднее 1 января 2010 года.

2009: 29 декабря – информационные системы персональных данных, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года.

2010: 10 декабря – информационные системы персональных данных, созданные до 1 января 2011 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 июля 2011 года.

Суть ФЗ 152

Федеральным законом №152 «О персональных данных» (совместно с главой 14 Трудового кодекса Российской Федерации и Постановлением Правительства Российской Федерации от 17 ноября 2007 году №781) установлены правила в отношении порядка обработки и обеспечения конфиденциальности персональных данных собственных работников и сторонних физических лиц, персональные данные которых обрабатываются в организации.

В результате указанных государственных инициатив персональные данные стали информацией ограниченного доступа, вследствие чего физические лица в России получили право на юридическую защиту своих персональных данных со стороны государства. А компании, ведущие в своих ИС обработку ПДн, получили обязанности защищать персональные данные субъектов.

Все эти тонкости и неясности…

Закон о защите персональных данных сам по себе не вызывает ни у кого никаких нареканий – идея здравая и необходимая. Если уж компания получает от субъекта его ПД, то обязана их защищать от утечек, хищений, НСД и других опасностей. Но сколько несоответствий между реальной жизнью, бизнесом и текстом закона выявилось на практике!

Вот только несколько вопросов, которые обсуждались, в частности, на прошедшем в Москве в феврале Инфофоруме, на заседании секции, которая была посвящена защите персональных данных:

• Как поступать, если ПДн субъекта должны быть предоставлены в налоговую инспекцию, а субъект не подписал разрешение на предоставление данных третьим лицам?
• Как поступать с ПДн субъекта, который является недобросовестным плательщиком и не подписал разрешение на предоставление данных третьим лицам?
• Нужно ли отказываться от средств защиты информации, которые использовались ранее, и закупать новые средства защиты, специально сертифицированные для использования в ИСПДн?

Компании: что делать и сколько стоит?

Перед компаниями стоят сакраментальные вопросы: «Что делать?» и «Сколько стоит?». Второй вопрос также связан с еще одним, третьим: «Где брать финансирование?».

Один из самых простых ответов на вопрос «Что делать?», предлагаемый некоторыми компаниями на российском рынке, сегодня такой: решить вопрос выполнения требований ФЗ 152 выпуском невероятного количества внутренних документов и регламентов, которые будут определять порядок обработки и защиты ПДн в организации. Немало компаний предлагало и, вероятно, предлагает услуги такого плана несчастным операторам ПДн. Единственное, о чем умалчивают поставщики услуг, – это риски, которые берет на себя компания в случае решения вопроса с помощью подобных «бумажных оргмер». Однако, отказавшись от реальной защиты данных в ИС, компания может не только не пройти плановую проверку со стороны контролирующих органов, но и столкнуться с реальной утечкой информацииили жалобой со стороны субъекта ПД в контролирующие органы.

Таблица 1. Средства используемые в ИС, в которых производятся обработка и хранение персональных данных в соответствии с требованиями ФЗ-152

Классы СЗИ	Класс ИСПДн
	К3	К2	К1
Средства защиты информации от несанкционированного доступа
Межсетевые экраны
Средства доверенной загрузки
Защита от вторжений (в т.ч. на основе имитации данных) и антивирусы

 – требуется,  – рекомендуется

Российские компании-интеграторы предостерегают своих клиентов от выбора подобного пути и рекомендуют использовать сертифицированные средства защиты информации для ИСПДн.

Выбираем средства защиты. Перед операторами встает проблема выбора средств защиты, имеющих подтверждение соответствия для использования в системах ИСПДн. Выбрать решение для защиты информации всегда сложно, компаниям приходится учитывать и функциональные возможности приобретаемых решений, и их соответствие потребностям компании, и финансовые аспекты.

Определяем класс ИСПДн. Самая сложная задача, а для некоторых компаний и самая дорогая – определить класс своей ИСПДн. Некоторые фирмы стремятся занизить класс ИСПДн, что ведет к повышению рисков при осуществлении проверок регулирующими органами. Некоторые выбирают варианты построения ИСПДн, позволяющие сэкономить. Одним из таких способов выполнения требований ФЗ 152 с достижением реальной экономии является сегментирование ИСПДн.

Сегментируем ИСПДн с помощью межсетевого экрана. Приведем пример, при котором использование продукта разработки компании «Код Безопасности» Trust Access – МЭ высокого класса защиты, позволяет сегментировать ИСПДн и тем самым снизить затраты на построение ИСПДн.

Из документов ФСТЭК России (СТР-К, приказ №58 и т.п.) следует, что АС/ИСПДн можно разделить с помощью сертифицированных межсетевых экранов на части, при этом каждая из частей будет сохранять свой класс (см. рис. 1).

Рисунок 1. Снижение класса ИСПДн с помощью TrustAccess

Защита ПДн, обрабатываемых на конечных станциях. В соответствии с базовой моделью угроз, утвержденной ФСТЭК («Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (утверждена заместителем директора ФСТЭК России 15.02.2008), для защиты ПДн на конечных станциях нужно использовать антивирусное средство, межсетевой экран (МЭ), средство обнаружения вторжений, а для ИСПДн высокого класса также необходимо средство защиты от несанкционированного доступа. «Код Безопасности» разработал решение, представляющее комплекс Антивирус + МЭ + HIPS , – это Security Studio Endpoint Protection (SSEP). В SSEP сертифицированы для использования в системах до К1 все компоненты, которые лицензируются для удобства как совместно с входящим в состав SSEP антивирусом, так и отдельно – для случаев, когда в организации уже приобретен и используется сертифицированный антивирус.

Защита ИСПДн в виртуальной среде

Безопасность информации – один из ключевых вопросов при развертывании ИСПДн в виртуальной среде. Нужно учитывать, что, во-первых, виртуальным машинам присущи ровно те же уязвимости, что и физическим, а во-вторых, как и любая новая технология, виртуализация несет новые угрозы безопасности. Проблема усугубляется тем, что, с одной стороны, традиционные средства защиты информации не всегда совместимы со средой виртуализации, так как изначально разрабатывались для использования в физической среде. С другой стороны, они не защищают от новых угроз безопасности информации, специфичных для виртуальной инфраструктуры.

Специалисты «Кода Безопасности» выполнили анализ угроз, характерных для виртуализации. В результате было принято решение о разработке специализированного средства защиты информации в виртуальной среде, которое обеспечит сертифицированную защиту в виртуальной среде и в результате поможет операторам ПДн пройти аттестацию «виртуальных» ИСПДн.

Сегодня на рынке доступна версия продукта vGate, предназначенная для защиты виртуальных инфраструктур на платформе VMware Infrastructure 3 и vSphere 4. Продукт имеет сертификат ФСТЭК, позволяющий применять его для защиты ИСПДн до K1 включительно.

В начало⇑

Комментарии отсутствуют

Комментарии могут отставлять только зарегистрированные пользователи