Нам 10 лет!

Сегодня, 8 апреля, исполняется ровно 10 лет с того дня, когда наше Консалтинговое агентство «Емельянников, Попова и партнеры» было зарегистрировано как юридическое лицо и вышло на рынок.

Срок вроде бы и не большой, но сколько всего поменялось на рынке за это время! Принимались и изменялись законы и подзаконные акты, появлялись новые трактовки положений, казавшихся очевидными, суды принимали решения, переворачивавшие сложившееся понимание законодательства, вводились новые требования и новые ограничения, и мы вместе с нашими заказчиками лавировали в этом меняющемся, бушующем мире. Наша цель была всегда одна – обеспечить выполнение закона и не просто не дать загнуться бизнесу, порою очень плохо понимавшему, что хочет от него государство и его законодатели, но и обеспечить использование самых передовых информационных технологий, позволяющих оставаться конкурентоспособными, и не только в России, но и в мире.

За эти 10 лет в области нормативного регулирования сферы персональных данных произошли значительные изменения. Вскоре после начала работы нашего агентства, 25 июля 2011 года, Федеральным законом № 261 (помните поменявшийся радикально за две ночи закон Резника-Плигина-Московца?) была введена в действие фактически новая редакция закона о персональных данных. Сколько всего правильного в основном было написано блогерами, которые как никогда были популярны и читаемы в то время, специалистами и заинтересованными участниками рынка (одно обращение Г.А. Тосуняна к президенту страны чего стоило), сколько копий сломано (зря, как правило). Обсуждение 261-ФЗ стало самым, наверное, активным действием профессионального сообщества, пытавшегося повлиять на регуляторику в области безопасности, существенно затрагивающую интересы бизнеса. «Не шмогли» … Но и катастрофы, которой боялись, не произошло ввиду неизменного российского правила исполнения строгих законов.

В 2015 году заработало требование о локализации персональных данных во время их сбора, вызвавшее оторопь у российских дочек международных и иностранных компаний, активно использовавших зарубежные системы материнских компаний, первых, немногочисленных тогда пользователей облаков и SaaS систем. Пережили и это. Посмотрите статистику проверок 2016-2020 годов – про нарушения, связанные с локализацией, там почти ни слова. Все больше про войну с LinkedIn, Twitter и Facebook.

Вот и сейчас озадаченные владельцы сайтов не могут понять, как на них теперь разместить персональные данные, получить согласие субъектов и их представителей на распространение, указать условия и ограничения обработки и перечни, в отношении которых эти ограничения вводятся. Пережили былое, переживем и это… Ищем и найдем решения. 

Наш мир становится все более цифровым. На горизонте – цифровой профиль, новые реестры, которые знают про нас все больше и больше, проникающая в нашу жизнь, как вода в одежду во время ливня, биометрия, которые не все и не очень-то ждут. Интернет вещей с WiFi в каждом утюге и холодильнике. СИМ-карты в шлагбауме, подписывающиеся на новостные рассылки. Скучно в ближайшем будущем не будет точно.

Начав работать 10 лет назад, мы довольно скоро и сознательно сузили свою нишу на рынке. Мы решили отказаться от многих возможных направлений, в которых выполняли весьма успешные проекты, и сосредоточиться на двух – на персональных данных и тайнах (коммерческой, банковской, связи, врачебной и прочих, кроме государственной). Это позволило нам наработать экспертизу того уровня, благодаря которому мы стали консультантами крупнейших мировых ИТ-вендоров, помогая им и их заказчикам соблюдать требования российского законодательства, мировых и российских лидеров в самых разных направлениях экономики – госкорпораций, системообразующих банков страховых компаний, телеком-операторов, интернет-компаний и производителей средств защиты информации, предприятий промышленности, энергетики, фармацевтики, FGCG, медицинских организаций, служб по подбору персонала из разных стран и многих, многих других. Они именно пришли к нам – за все 10 лет мы не истратили на маркетинг ни копейки.   

Мы –партнеры крупнейших юридических компаний, выполняем совместные с ними сложные проекты, требующие понимания не только законодательства России, но и глубокого вникания в суть бизнеса.

Мы искренне стремились выполнить и нашу социальную миссию, в рамках который были проекты в благотворительных фондах для особенных детей, и множество просветительских и образовательных проектов.

Но среди наших заказчиков – не только компании из enterprise сегмента. Это и стартапы, работа с которыми не самая прибыльная, но, как правило – необыкновенно интересная, поскольку готовых решений как выполнить закон для абсолютно новой идеи, нормативно не урегулированной и не имевшей ранее прецедентов, конечно, нет, а вот необходимость вывода бизнеса, и не в серый, а в белый сегмент – есть.

Мы активно занимались образовательными проектами – курсами, семинарами, вебинарами. За 10 лет обучены тысячи специалистов, и с каждым годом доля специалистов по информационной безопасности среди них все меньше и меньше. Наши слушатели – руководители, первые лица организаций, юристы, в том числе находящиеся на очень высоких позициях и работающие в юридических компаниях, кадровики, айтишники и многие другие. Все эти 10 лет мы работаем с нашими главными партнерами по направлению образования – Учебным центром «Информзащита» и «БизнесШколаКонсультант».

Нам есть чем гордиться. Придуманы и реализованы новые формы и форматы консультационных услуг, подготовлено множество экспертных заключений, в том числе выложенных для свободного доступа, которые читали и использовали тысячи специалистов.

На наш блог, который, к сожалению, не удается обновлять постами так часто, как хотелось бы, тем не менее приходят ежедневно сотни и тысячи читателей. И мы не собираемся останавливаться. До новых встреч!  

19 марта: Резервное копирование и восстановление данных в организациях, поднадзорных Банку России

19 марта пройдет вебинар, уникальный по своему контенту, на котором будут рассматриваться непростые вопросы резервного копирования и восстановления данных в организациях, контроль и надзор за которыми осуществляет Банк России.

Вебинар ориентирован на представителей банков и микрофинансовых организаций, страховых компаний, негосударственных пенсионных фондов и управляющих компаний различных фондов, акционерных обществ и эмитентов ценных бумаг, кредитных кооперативов, рейтинговых агентств и ломбардов, и не только.

Никто не уделяет так много внимания вопросам резервного копирования информации и ее восстановления, как Банк России. Учитывая, что полномочия банка России по нормативному регулированию, осуществлению контрольной и надзорной деятельности весьма широки, а возможные наказания за невыполнение установленных требований очень серьезны, организациям, находящимся в зоне влияния Банка России, в первую очередь, необходимо качественно и в соответствии с установленными требованиями решать вопросы обеспечения непрерывности и восстановления деятельности, в том числе связанные с восстановлением данных в случае их уничтожения, несанкционированной модификации, вредоносного воздействия. А таких организаций очень много.

Ситуация осложняется тем, что многие такие организации в соответствии с принятыми законами относятся к субъектам критической информационной инфраструктуры, невыполнение требований информационной безопасности на которых влечет ответственность вплоть до уголовной.

На вебинаре выступит Михаил Емельянников, один из ведущих российских экспертов по информационной безопасности и государственного регулирования вопросов защиты информации ограниченного доступа, постоянный консультант транснациональных, иностранных и российских компаний по вопросам соответствия бизнеса законодательству Российской Федерации, автор многочисленных публикаций по наиболее острым проблемам применения законодательства в ведущих специализированных изданиях.

В выступлении М. Емельянникова будут рассмотрены положения законодательства, требования Банка России, ФСТЭК России, направленные на организацию резервного копирования и восстановления данных, предусмотренная законодательством РФ ответственность за их невыполнение. Участники вебинара получат исчерпывающую информацию о функциональных возможностях продуктов Veeam, обеспечивающих выполнение установленных законодательством требований. 

Вебинар организован компанией Veeam и пройдет 19.03.2019, 11:00-13:00.

Для участия в вебинаре необходима предварительная регистрация.

Трогательная речь о комплаенсе как средстве ограничения конкуренции

https://www.youtube.com/watch?v=75eX1RggLW8 

Персональные данные предлагают легально сделать рыночным товаром

Похоже, что под предлогом построения цифровой экономики нас будет ждать масса неприятных сюрпризов. Один из них прокомментировал «Ведомостям».

https://www.vedomosti.ru/technology/articles/2018/08/17/778398-kontrol-personalnimi-dannimi 

Россияне могут утратить контроль над своими персональными данными

Цифровая экономика предлагает позволить компаниям передавать их без ведома владельцев

16 августа 23:45 Ведомости Светлана Ястребова

Компании могут получить новые права в обращении с персональными данными. Получив их с согласия человека, компании без уведомления смогут передать на обработку другим компаниям, предлагает проект поправок в закон «О персональных данных». (Сейчас закон такое запрещает.) Выбранный ею подрядчик сможет дальше по цепочке перепоручить обработку данных, также не уведомляя человека, а только уведомив компанию-заказчика.

Поправки написали представители бизнеса, а фонд «Сколково» (центр компетенций при создании нормативов цифровой экономики) отправил их в следующую инстанцию по направлению – рабочую группу по нормативному регулированию цифровой экономики, заявил представитель «Сколково». Она либо одобрит поправки, либо вернет в «Сколково» на доработку. «Ведомости» ознакомились с поправками, подлинность подтвердил представитель «Сколково».

Отвечать за сохранность персональных данных по поправкам будет компания, которая первоначально их собирала и получила согласие человека на их обработку. Ей придется разместить на сайте список всех компаний, которым она отдаст обработку данных, или найти другие способы уведомить гражданина, кто получит доступ к его данным, и зафиксировать эти способы в том же договоре с ним, где он соглашается на обработку данных. Человек имеет право узнать, куда компания передала его данные; отвечать на запрос компания имеет право месяц. Но запретить их передачу по цепочке он не может – только отозвать первоначальное согласие.

Кроме прочего компания сможет обрабатывать данные в целях, которые посчитает выгодными для себя, а не только в изначально согласованных с человеком.

Разработкой законопроекта занималось объединение экспертов из IT-компаний, операторов связи, банков, они перечислены на сайте АНО «Цифровая экономика». Нововведения позволили бы многопрофильному бизнесу и стартапам упростить получение согласия на обработку персональных данных, расширить спектр услуг, получить которые можно будет дистанционно, и предлагать клиентам именно то, что им интересно, рассчитывает участник обсуждения поправок.

«Мегафон» в целом поддерживает законопроект – он усовершенствует порядок обработки данных, а это будет стимулировать развитие новых услуг в цифровой экономике, объясняет представитель оператора. Эксперты движутся к тому, чтобы упростить выдачу, отзыв, корректировки согласий на обработку персональных данных, считает представитель «Ростелекома».

При правильном регулировании новый порядок обращения с персональными данными поможет бизнесу оптимизировать их обработку, а для граждан сделает оборот данных более прозрачным и подконтрольным, предполагает представитель «Ростелекома».

Есть и не согласные с идеей, зафиксированной в поправках. Человек потеряет четкий контроль за передачей его персональных данных и станет бесправным в этом процессе, комментирует документ директор по правовым инициативам Фонда развития интернет-инициатив (ФРИИ) Александра Орехович: он разрешает нынешним и будущим – любым партнерам компании распоряжаться данными без ведома человека. Такой подход, по мнению Орехович, нарушает права пользователя. Данные могут принадлежать только субъекту и только он может ими распоряжаться, присваивать его данные себе не может никто, непреклонна она.

Поправки противоречат духу и букве закона о персональных данных, поддерживает ФРИИ управляющий партнер консалтингового агентства «Емельянников, Попова и партнеры» Михаил Емельянников. Мировое сообщество стремится к тому, чтобы максимально четко информировать людей, зачем у них собирают данные, описывать, как и кто будет их использовать, ограничивать их обработку целями, заявленными при сборе, объясняет Емельянников. Такое, в частности, предусматривает вступивший в силу в мае в Евросоюзе регламент защиты данных (General Data Protection Regulation, GDPR), сообщает он.

Предложенные поправки, очевидно, выгодны только бизнесу, который сможет сделать данные товаром и продавать их в своих интересах, уверен Емельянников, и, более того, логика этих поправок может спровоцировать множество нарушений закона о рекламе, потому что этот закон запрещает использовать персональные данные в маркетинговых целях без согласия потребителя. Штраф за каждое такое нарушение составляет от 100 000 до 500 000 руб.

Некоторые впечатления о Международной конференции «Защита персональных данных» Роскомнадзора

Прошедшую 9 ноября VIII Международную конференцию «Защита персональных данных» я считаю главным событием в России, связанным с персональными данными. Поэтому, в силу специфики бизнеса, не пропустил ни одной. В прошлом году слушал выступления он-лайн, и это тоже полезный опыт (в том смысле, что пользы меньше). В этом году мы получили приглашение Роскомнадзора в очередной раз провести круглый стол с регуляторами по нашему сценарию и с нашими вопросами, а также выступить с острой, на наше усмотрение, темой. Мы высоко оценили возможность проявить инициативу, а также отсутствие любой цензуры при подготовке и проведении выступления на очень, на наш взгляд, со сложной и неоднозначной темой получения работодателем согласия работника на обработку персональных данных и передачу их третьим лицам. И за это, а также за интересную программу и отличную организацию мероприятия – искреннее спасибо надзорному ведомству. 

С получением согласий работников на передачу их персональных данных иным лицам сложилась сложная и неоднозначная ситуация. После неудачных попыток ООО «Скартел» оспорить результаты проверок Управлением Роскомнадзора по ЦФО в 4 судебных процессах в Арбитражном суде города Москвы и Девятом арбитражном апелляционном суде позиция надзорного ведомства стала достаточно однозначной: на каждую цель передачи и каждое лицо, которому поручается обработка персональных данных, необходимо получать согласие работника, оформленное в виде отдельного документа. Основание: в части 4 статьи 9 закона «О персональных данных» слова «цель» и «наименование лица» употребляются в единственном числе. Не буду сейчас обсуждать этот аргумент, позиция высказана, и надо думать, что в этих условиях делать. Тем более, что Минкомсвязи, в ответ на наш запрос, также сообщило об аналогичном понимании проблемы.

В отведенные на выступление 15 минут я успел рассказать о нескольких проблемах, которые в связи с этим возникают. Первая и главная – каким образом наличие нескольких (а иногда и нескольких десятков) согласий с паспортными данными, местом жительства работника улучшает его правовую защищенность как субъекта персональных данных и способствует реализации его права на неприкосновенность частной жизни.   

Вторая проблема заключается в том, что статьи 86 и 88 Трудового кодекса, устанавливающие необходимость получения согласия работника в письменной форме, не содержат отсылок на закон «О персональных данных», и включение в согласие работника всех сведений, указанных в части 4 статьи 9 закона, является явно избыточным, поскольку работник идентифицирован работодателем, и паспортные данные для подтверждения личности лица, дающего согласие, и его адрес, в данном случае, для достижения целей, поставленных законом, явно не нужны.

Третье. Необходимо различать передачу работодателем персональных данных работников иным лицам как поручение их обработки (аутсорсерам кадрового, бухгалтерского, воинского учета, охраны труда, охранным организациям и т.д.) и без поручения обработки персональных данных (банкам, страховым компаниям, перевозчикам, отелям, фитнес-клубам и языковым курсам и т.д.), поскольку указывать наименование и адрес получателя персональных данных надо именно в случае поручения обработки.

И, наконец, четвертое. Что делать работодателю, если работник согласие давать отказывается? Я уже писал о попытке получить ответ на этот вопрос в Роструде, но его по-прежнему нет. Сейчас запросили мнение Минкомсвязи по этому вопросу.

На круглом столе с регуляторами вопросов удалось задать довольно много, он затянулся почти до 19 часов вместо планируемых 18. Вот наиболее интересные, на мой взгляд, ответы на поставленные вопросы, появившиеся в ходе активного диалога с участниками. 

С.Д. Мигранов, Минкомсвязи России. Министерство не планирует инициировать легализацию в законе «О персональных данных» получения согласия в форме конклюдентных действий, хотя оно и является самым распространенным. Приказ об утверждении административного регламента ведения реестра операторов утратил силу, поскольку это не государственная услуга, и регламент не нужен в принципе. Постановление Правительства о контроле и надзоре ждать стоит (оно, кстати, получило отрицательную оценку регулирующего воздействия)

Ю.Е. Контемиров, Роскомнадзор. Cookie-файлы и иные следы анонимного пользователя в Интернете – персональные данные, необходимо его согласие на обработку, в том числе на трансграничную передачу в аналитические службы Интернета. Если эти службы находятся в «неадекватных» странах, США, например, фактически единственный способ выполнения требований закона – правильное пользовательское соглашение, для акцепта которого необходим баннер с чек-боксом или кнопкой для закрытия, подтверждающими согласие с условиями соглашения.

Пока новая редакция статьи 13.11 КоАП применяется весьма мягко (с 1 июня оп 1 ноября возбуждено всего 39 административных дел по стране). На мой вопрос: если в ходе проверки выявлено 10 случаев необходимости получения согласия в письменной форме в организации, где работает 100 работников, то сколько здесь административных правонарушений – одно, 10, 100 или 1 000, - последовал ответ – одно. И да, отдельное согласие необходимо для каждой цели.

Вред субъекту оператор оценивает по своей методике, какую-либо единую разрабатывать не планируется.

Е.Б. Торбенко, ФСТЭК России. В случае размещения ИСПДн в дата-центре, облаке или по схеме SaaS для выполнения требований закона необходим договор, в котором закреплены обязанности провайдера в отношении обеспечения безопасности обрабатываемых данных для выбранного типа актуальных угроз и уровня защищенности, указаны меры, предусмотренные статьей 19 закона. В этом случае оператор свои обязанности выполнил, проверять, как именно это делает провайдер не надо, что вполне логично.

Методику актуализации угроз 2008 года, «заточенную» под утратившее силу Постановление Правительства № 781 и «приказ трех» о классификации ИСПДн применять можно, но можно разработать (и быть готовым обосновать) и свою. В дополнение к базовым угрозам необходимо анализировать актуальность угроз из банка данных угроз на сайте ФСТЭК (их там уже более 200).   

Оценку соответствия средств защиты информации можно проводить любым способом, указанным в законе «О техническом регулировании», в том числе, в форме декларирования соответствия, но, если оператор имеет соответствующую квалификацию.

А.Г. Бодров, ФСБ России. Оценку соответствия СКЗИ можно проводить только в форме сертификации в системе ФСБ. Просто признать угрозу перехвата персональных данных в канале связи неактуальной и не применять сертифицированные СКЗИ нельзя. Отсутствие модели угроз – уже административное правонарушение. Для моделирования угроз все операторы могут использовать «Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности».

Вот, если коротко, что запомнилось и на что, на мой взгляд, стоит обратить внимание.

В дополнение к написанному можно посмотреть небольшое видео с конференции и презентации некоторых выступавших (к сожалению, не всех), в том числе, мою - http://zpd-forum.com/#contacts.  

9 ноября: VIII Международная конференция «Защита персональных данных»

9 ноября пройдет уже VIII Международная конференция «Защита персональных данных», мероприятие, организованное Роскомнадзором, на котором есть редкая возможность послушать представителей всех регуляторов и надзорных органов в сфере персональных данных – Роскомнадзора, Минкомсвязи, ФСБ и ФСТЭК, и даже задать им вопросы.

Задать вопросы можно и заочно, по приглашению Роскомнадзора я буду вести заключительное мероприятие конференции - круглый стол «Свободный микрофон с регуляторами», на котором предполагается участие представителей всех перечисленных выше органов власти. Для обсуждения предложены следующие темы: 

·    Положение дел в области защиты прав субъектов персональных данных. Риск-ориентированный подход и иные факторы развития системы государственного контроля в области персональных данных. Новые составы административной ответственности: первые итоги правоприменения.

·    Состояние информационной безопасности в цифрах и фактах: основные итоги государственного контроля (надзора) и анализ существующих проблемных вопросов.

Основные вопросы для участников круглого стола я уже подготовил, но у каждого из читателей блога есть возможность поучаствовать в формировании повестки – присылайте свои вопросы мне, самые интересные будут использованы в ходе диалога.

Кроме круглого стола в программе конференции – пленарная панельная дискуссия о глобальных проблемах неприкосновенности частной жизни, цифрового суверенитета, регулирования Больших данных, модерировать которую будет руководитель Роскомнадзора Александр Жаров, а также две секции Международной экспертной встречи, на которых выступят Юрий Контемиров, Салават Мигранов, Артем Сычев и многие другие (на выступления отводится по 15 минут). Темы – самые острые: перспективы и направления развития нормативной правовой базы в области обработки персональных данных, критерии составов административных правонарушений в новой редакции ст. 13.11 КоАП РФ, грядущий GDPR, персональные данные в финансовой сфере, криптография для персональных данных и моделирование угроз, национальная биометрическая платформа и т.д.

На второй панели я за 15 минут планирую рассказать о проблеме получения согласия работников в письменной форме на передачу их персональных данных с учетом сложившейся правоприменительной и судебной практики (отдельное согласие для каждой цели и каждого обработчика), корреляции статей 88 ТК РФ и части 4 статьи 9 закона «О персональных данных», последствий отказа работника дать такое согласие или его отзыва. Близкие по теме выступления о согласии субъекта будут у Эльмана Мехтиева, исполнительного вице-президента Ассоциации российских банков, и Розендоевгения Монтерея Чепова, комиссара Национального института информации открытого доступа и защиты персональных данных Мексики.

Жду вопросов и до встречи на конференции!

Видео: Зачем российской компании знать о законе Евросоюза о персональных данных?

В конце прошлой недели состоялся Международный онлайн-форум Microsoft «You Trust IT. Путь к безопасности бизнеса» - очень интересное и отлично организованное мероприятие, в котором заочно приняли участие более 1200 участников.

В наше агентство поступает много запросов о новом законе Евросоюза о персональных данных (The General Data Protection Regulation, GDPR), его влиянии на ведение бизнеса в России и российскими компаниями за ее пределами. На целый ряд вопросов я дал ответы в своем выступлении на Форуме (просто о сложном J):

• На кого в России будут распространяются требования GDPR? 

• Каковы последствия введения GDPR для российских компаний и их дочерних компаний за рубежом? 

• Чем отличаются европейский The General Data Protection Regulation и Федеральный закон от 27.07.2007 № 152-ФЗ «О персональных данных»?

Видеозапись выступления (23 минуты) доступна по ссылке http://mssecurity.ru/player (при поиске ориентируйтесь на мое лицо, не ошибетесь ;)). Также можно посмотреть  здесь https://broadcast.comdi.com/player/r78mqshn.

«Законодательное регулирование всегда отстает и будет отставать от технологий»

Михаил Емельянников, управляющий партнер консалтингового агентства «Емельянников, Попова и партнеры»

Источник: "КоммерсантЪ", № 111 (6105) от 23.06.2017, https://www.kommersant.ru/doc/3331543

О том, чем правоохранительные и законодательные органы отвечают на рост мирового рынка средств кибершпионажа, рассказал “Ъ” управляющий партнер агентства «Емельянников, Попова и партнеры» Михаил Емельянников.

— Рост числа киберугроз во многом способствовал появлению коммерческого рынка cyber threat intelligence. Что это за рынок и как он будет развиваться в ближайшие годы, в частности, в России?

— Начать надо с того, что само понятие cyber threat intelligence неустоявшееся и понимается в разных странах и разными людьми по-разному. В целом это большой по объему и быстрорастущий рынок средств кибератак, кибершпионажа, воздействия на массовое сознание и противодействия всем этим инструментам. Рост рынка неразрывно связан с растущим проникновением информатизации и интернета в повседневную жизнь, расширением их сфер применения и постоянно растущим числом пользователей.

Средствами cyber threat intelligence решаются задачи самых различных групп: правительств, бизнеса, криминала, гражданского общества, конечных пользователей и т. д. На сегодня можно выделить наиболее большие по объему и быстрорастущие сегменты этого рынка: средства атак на финансовые системы и их клиентов с целью хищения денежных средств и дестабилизации кредитных организаций в целях конкурентной борьбы; средства шпионажа для добывания политически ценной и коммерчески важной информации; средства воздействия на масс-сознание; средства воздействия на критически важные объекты — от терроризма до политического противостояния и конкурентной борьбы. С ростом интернета вещей будет расти и сегмент воздействия на него. Успешный опыт манипулирования гражданами в ходе «цветных» революций и выборов последних лет в разных странах позволяет сделать вывод о перспективности и этого сегмента. Соответственно, неизбежно будет расти и рынок средств защиты от таких воздействий.

Все эти тенденции будут характерны и для России, занимающей довольное заметное место в цифровом мире. Будут на российском рынке и свои особенности, характерные, впрочем, и для некоторых других стран, связанные с государственным регулированием интернета, его сегментированием в пределах национальных границ, суверенизацией российского сегмента, усилением контроля за действиями пользователей.

— Правоохранительные органы нередко привлекают к расследованию кибератак и подготовке технических экспертиз коммерческие компании. Это вызвано низкой квалификацией сотрудников органов или есть еще какие-то причины?

— Я не думаю, что квалификация сотрудников соответствующих госорганов низкая или недостаточная. В государственном сегменте уже есть и специалисты с высокими, рыночными зарплатами, работающие в области кибербезопасности и кибератак. Причины широкого привлечения специалистов коммерческих организаций, как мне кажется, в другом. Рынок cyber threat intelligence очень большой по объему и быстрорастущий, и госорганы просто физически не могут, да и не должны охватывать все его сегменты. Они в первую очередь решают государственные задачи, возложенные на них законодательством.

Кибервоздействие так или иначе очень часто связано с интересами бизнеса, поэтому коммерческие компании работают над гораздо более широким кругом задач, имея возможность узкой специализации и глубокого погружения в конкретные проблемы. Именно поэтому при решении специфических задач государственные органы обращаются в коммерческие организации за соответствующими инструментами и помощью, развивая параллельно компетенции в своих областях. Скажем, создание ГосСОПКА, FinCERT Банка России или войск информационных операций в вооруженных силах России — наглядное подтверждение такой тенденции. В концепцию создания этих структур изначально закладывалось их взаимодействие с аналогичными по задачам органами коммерческих структур.

— Известно ли вам о случаях ошибок в атрибуции кибератак, которые привели бы к серьезным последствиям, например, заключению под стражу невиновного?

— Нет, таких проверенных и надежных фактов я не знаю. Но тема атрибуции широко используется при обсуждении реальных и предполагаемых кибервоздействий на государственные системы и структуры, и очень часто на основании недоказанного источника атаки и сомнительных признаков ее территориального происхождения делаются далеко идущие политические выводы, которые затем активно используются в межгосударственных отношениях. Атрибуция в изначально анонимной сети интернет, где группировки хакеров, в которых объединены люди самых разных национальностей, живущие в разных странах, взаимодействующие через специальные инструменты проксирования, анонимизации, сокрытия информационного обмена, делают атрибуцию атаки в интернете крайне сложной, в большинстве случаев невыполнимой, и чаще всего атрибуция производится, исходя только из одного признака — кому это может быть выгодно.

— Совершенно ли российское законодательство с точки зрения противодействия кибератакам?

— Законодательное регулирование всегда отстает и будет отставать от технологий. С одной стороны, Уголовный кодекс содержит главу 28, предусматривающую ответственность за преступления в сфере компьютерной информации, в отдельные статьи выделено мошенничество с использованием платежных карт и в сфере компьютерной информации. С другой стороны, получить защиту у государственных институтов в случае хищения коммерческой тайны из информационной системы, например из базы данных, крайне сложно, поскольку закон «О коммерческой тайне» требует нанесения ограничительно грифа, полного наименования обладателя и его адреса на каждый материальный носитель такой информации. Реализовать это в информационной системе практически невозможно.

Практика правоприменения тоже пока не сильно сдерживает киберпреступников. Наказание для налетчиков на банк и хакеров, укравших ту же сумму через платежную или банковскую систему, на практике существенно разнятся. Много предстоит сделать для привлечения к судебной ответственности в случае атак на интернет вещей или объекты критической инфраструктуры. Не за горами автомобили без водителя или юридические компании с роботом-консультантом и неизбежные атаки и на них. Всем этим вызовам придется искать адекватную защиту, в том числе правовую.

Интервью взяла Мария Коломыченко

5 апреля: Резервное копирование. Запросы бизнеса и требования закона

Завтра (5 апреля) мы вместе с Veeam Software Russia, Александром Ширмановым и Марией Сидоровой расскажем, почему резервное копирование, в отличие от многих других требований безопасности, так понятно бизнесу, что по этому поводу написано в законах, приказах ФСТЭК и документах Банка России, чем опасна красная кнопка Delete и на какую ее лучше заменить. И познакомимся с новым сертифицированным решением, умеющим отлично резервировать данные в виртуальной среде, попутно выяснив, в каких случаях без сертификации не обойтись. 

Регистрация на вебинар пока открыта https://go.veeam.com/webinar-fstec-certification-v8

Между правами, обязанностями и свободами

По просьбе Ассоциации Business Information Security (BISA) написал небольшую статью о режиме коммерческой тайны в организации. Для удобства читателей блога – привожу ее текст ниже.

Задайте себе тривиальный вопрос, есть ли в вашей организации коммерческие секреты, и ответ на него неизбежно окажется столь же тривиальным. Но вот на вопрос, что же с этими секретами делать, простого ответа нет. И годами не стихают споры между сторонниками и противниками установления жесткого контроля над информационными потоками и техническими средствами.

«А на фига?»

С момента появления в Гражданском кодексе РФ ст. 139, определявшей коммерческую тайну (сегодня эта статья утратила силу), а особенно после принятия в 2004 г. специального закона № 98-ФЗ «О коммерческой тайне» в профессиональной среде не утихают споры, суть которых чаще всего сводится к вопросу черного ворона из поэмы А. Вознесенского: «А на фига?». Пессимисты справедливо указывают, что меры защиты секретов, предлагаемые законом, безнадежно устарели и как-то уж очень подозрительно напоминают рекомендации режимщика-пенсионера из 1-го отдела. Все эти грифы, ознакомления под роспись с разработанными не для бизнеса, а для его защиты нормативными актами, учеты осведомленности и прочие посыпанные нафталином меры, извлекаемые из опыта прошлого, а то и позапрошлого века, вызывают оторопь и неприятие у современного бизнесмена.

Требование закона об обязательности установления контроля над соблюдением порядка обращения с информацией, составляющей коммерческую тайну, ситуацию только усугубляет. В организации, задумавшейся о вводе режима коммерческой тайны, тут же находятся доморощенные «правозащитники», громогласно цитирующие нормы Конституции о неприкосновенности частной жизни, праве на личные секреты, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, которая может быть нарушена только по решению суда. Правда, эти блюстители privacy очень не любят, когда кто-то вспоминает другую норму основного закона: осуществление прав и свобод гражданина не должно нарушать права и свободы других лиц.

Специально для любителей ссылок на Конституцию и неприкосновенность личной жизни на рабочем месте цитирую решение одного из судов по этому вопросу: «Ссылку истца на нарушение ст. 23 Конституции РФ, ч. 2 ст. 55 ГПК РФ суд считает несостоятельной, поскольку информация была извлечена из компьютера, установленного на рабочем месте истца и используемого для осуществления трудовой функции».

Собственно, на этом тему правомерности контроля можно было бы закрыть, но на всякий случай – еще два аргумента. Во-первых, в Уголовном кодексе есть ст. 138.1 «Незаконный оборот специальных технических средств, предназначенных для негласного получения информации». И мне не доводилось слышать, что по ней привлекали производителей или продавцов DLP-систем. Тех, кто заказали в Китае ручки или часы со встроенными камерой и микрофоном, – пожалуйста, а вот производителей средств контроля над доступом к информации – ни разу.

Во-вторых, нередко можно от кого-нибудь услышать, что, мол, недавно работодателя привлекли к ответственности за нарушение тайны переписки, но я ни разу не получил конкретного ответа на просьбу дать ссылку на такое решение суда. Зато более чем достаточно решений, которые основаны на предоставленных работодателем доказательствах «слива» информации, полученных его айтишниками или безопасниками путем анализа, например, электронной почты.

Вот – цитата из определения суда кассационной инстанции 2014 г., оценивавшего возможность рассмотрения жалобы на апелляционное решение, по которому было признано правомерным увольнение работника за разглашение секретов. «К генеральному директору поступила служебная записка директора Департамента информационных технологий, из которой следует, что в ходе проведения контрольной проверки использования корпоративной почтовой системы сотрудниками компании был установлен факт отправки пакета документов на внешние адреса электронной почты, не принадлежащие компании». Суд эту докладную, как и остальные предоставленные ответчиком материалы, рассмотрел, увольнение признал законным и жалобу не принял.

Или – еще одно решение как контрдовод тем, кто считают, что собрать доказательства неправомерных действий сотрудника работодатель не может: «Комиссия во исполнение приказа генерального директора провела проверку на предмет нарушения коммерческой тайны и установила, что ХХХ имела доступ к служебной информации, охраняемой режимом коммерческой тайны, и допускала нарушения этого режима: с использованием персонального компьютера она переписала на личную флэш-карту 57 файлов, содержащих конфиденциальную информацию, и передала по электронной почте третьим лицам сведения о планируемых у заказчика объемах работ и их стоимости».

Что тут думать, трясти надо!

В конечном счете, устанавливая режим коммерческой тайны, обладатель охраноспособной информации решает несколько задач. Он создает правила работы, четко свидетельствующие о недопустимости использования определенной информации вне установленных процедур, контролирует выполнение этих правил и повышает общую дисциплину документооборота, наконец, создает условия для привлечения виновных в нарушении правил к ответственности – дисциплинарной, уголовной, гражданско-правовой. 

Цитата из судебного решения – для тех, кто считает бесперспективным сбор доказательств вины сотрудника за разглашение коммерческой тайны, объективных и субъективных фактов дисциплинарного нарушения с целью увольнения этого работника. «Довод апелляционной жалобы истца о том, что судом не установлено наличие либо отсутствие ущерба, причиненного ответчику в результате действий истца, несостоятелен, поскольку не имеет правового значения и не может повлечь отмену вынесенного по делу решения».

В некоторых случаях даже наличие или отсутствие грифа секретности на документе не является решающим фактором для привлечения «разгласителя» к ответственности. Гораздо важнее, как определены права и обязанности участников правоотношений, связанных с коммерческими секретами.

Случаев привлечения к уголовной ответственности по ст. 183 – очень много: с реальными и условными сроками, большими и маленькими штрафами... Статья работает, если обладатель информации, составляющей коммерческую тайну, действительно заботится о ее сохранности, если его сотрудники и контрагенты знают о возможных последствиях разглашения, «слива» или неправомерного использования тайны.

Ну а теперь вернемся к вопросу, упомянутому в начале статьи: «Есть ли в вашей организации секреты?». Чаще всего на него дает ответ договор с контрагентом, гласящий примерно следующее: «Все сведения о деятельности сторон, полученные ими при заключении, изменении, исполнении и расторжении договора, а также сведения, вытекающие из содержания договора, являются коммерческой тайной и не подлежат разглашению третьим лицам в течение срока действия договора и … лет после его окончания». Но без режима коммерческой тайны и предусмотренных законом мер охраны конфиденциальности эти слова ничего не значат.

Вот что решил арбитражный суд, рассмотрев иск о неисполнении условий договора и разглашении цен продажи: «В отношении сведений о порядке расчетов за услуги по передаче электроэнергии стороны договора перечень информации, составляющей коммерческую тайну, не определяли, порядок обращения с данной информацией и контроль над его соблюдением не установлен, учет лиц, получивших допуск к конфиденциальной информации, не осуществлялся, текст договора не содержит грифа «Коммерческая тайна» с указанием обладателя такой информации». В результате суды первой, апелляционной и надзорной инстанций совершенно справедливо пришли к выводу, что передача третьим лицам информации, четко не определенной в договоре, закона не нарушает, и в возмещении убытков истцу отказали.

Судебная практика по делам, связанным с коммерческой тайной, в нашей стране велика и разнообразна. Ее ведут суды всех инстанций – от районных до Верховного и Конституционного. Есть достаточно четкое понимание того, в каких случаях и почему права обладателей секретов защищаются, а в каких – нет.

Почему же не прекращаются споры о коммерческой тайне среди специалистов по ИБ? Выскажу не очень приятную для нашего сообщества мысль: в большинстве организаций, обращающихся в суды, ИБ-служб нет. Вообще. С нарушителями судятся хлебозаводы и маленькие компании, торгующие по почтовым каталогам, Интернет-провайдеры третьего уровня, Интернет-магазины и разработчики софта. Какая связь? Очень простая. Путь к режиму коммерческой тайны проходит не через службу ИБ, а через бизнес-подразделения. И пока они не осознают ценность режимных мер, коммерческая тайна в организации не появится.

А в заключение – по поводу устаревших механизмов защиты коммерческих секретов. Пока мы спорим, надо ли делать, некоторые делают. Создают новые системы и средства защиты таких секретов, о которых, как правило, не услышишь на российских конференциях. Используют новые технологии, развивают и обеспечивают бОльшую доступность известных технологий, по каким-то причинам не получивших распространения. Но об этом – как-нибудь в другой раз.

Станут ли владельцы российских ЦОДов богаче и счастливее после 1 сентября

В журнале "ЦОДы.РФ" №12 за 2015 год опубликована моя подробная статья «Станут ли владельцы российских ЦОДов богаче и счастливее после 1 сентября».

Первого сентября вступили в силу поправки в российское законодательство, вносимые самым обсуждаемым в этом, да и в прошлом году законом – 242-ФЗ с привычно-длинным названием «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях». Закон с легкой подачи СМИ получил звонкое название «О территориальности (или локализации) баз персональных данных россиян», про него написаны террабайты публикаций и мегабайты разъяснений, в том числе от уполномоченных и совершенно не уполномоченных органов власти и должностных лиц, и тем не менее ясности, как жить дальше, так и не наступило.

По-прежнему нет нормативных правовых актов и, соответственно, однозначных ответов на вопросы, что переносить, а что можно оставить за рубежом; как организуется обработка персональных данных в соответствии с новыми требованиями; допустима ли и если да, то когда и в каких целях трансграничная передача; законно ли использование прикладного программного обеспечения иностранных вендоров, территориально расположенного за рубежом, ЦОДов и облачных инфраструктур зарубежных провайдеров, если их технические средства находятся вне территории России.

Читать далее:

•         Какие изменения внесены законом 242-ФЗ
•          Кого изменения в законе затронут непосредственно
•         Придут ли все эти операторы в российские ЦОДы

Комментарии к изменениям, вступившим в силу сегодня

Журнал «ПЛАС» опубликовал мой комментарий. Ниже – полный его текст.

С сегодняшнего дня, 1 сентября, вступили в силу изменения законодательства о персональных данных, которые коротко сводятся к трем основным нововведениям:

·         базы персональных данных, в которых происходит первичная регистрация и актуализация персональных данных российских граждан, должны находится на территории России, но слова «только» в законе нет;

·         контроль и надзор будет осуществляться не в соответствии с федеральным законом 294-ФЗ о защите прав юридических лиц и индивидуальных предпринимателей, а на основании отдельного постановления правительства;

·         появится реестр нарушителей законодательства о персональных данных и механизм блокирования доступа к любому сайту в сети интернет вне зависимости от того, в чьей юрисдикции и на чьей территории он находится, если российский суд любой инстанции, включая мировой и районный, посчитает, что работа с персональными данными, например, их сбор или размещение, не соответствует российскому законодательству.

Несмотря на то, что поправки к законам активно обсуждались в течение последнего времени на всех уровнях, а озабоченность бизнеса их последствиями была донесена и до Президента России, ясности того, что следует делать, и как новые нормы будут применяться, к моменту вступления их в силу так и не появилось.

Единственное исключение – ведение реестра нарушителей законодательства о персональных данных. Механизм включения сайтов в реестр достаточно подробно прописан в законе, по этому поводу принято специальное постановление правительства и два приказа Роскомнадзора. Насколько механизм окажется действенным, можно будет судить только после появления первых решений судов о блокировке. Отмечу лишь один казус, создаваемый новшеством. Роскомнадзор получил право снимать блокировку по своему усмотрению, при наличии действующего судебного решения об ограничении доступа к ресурсу.

В отношении системы контроля и надзора пока полная неопределенность. Закон 294-ФЗ проверки обработки персональных данных теперь не регулирует, постановление правительства по этому поводу подготовить к установленному сроку не успели (проект при обсуждении вызвал массовую и обоснованную критику), действующим остается только административный регламент Роскомнадзора, из которого совсем недавно были исключены наиболее важные основания для внеплановых проверок - жалобы субъектов, обращения органов власти и СМИ.

И самая большая проблема, конечно, с организацией переноса обработки персональных данных на территорию России. Необходимо отметить, что в законе, устанавливающем требование об обязанности оператора при сборе персональных данных, в том числе посредством сети Интернет, обеспечить их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ, слова «только» нет.

Не вносятся изменения и в порядок трансграничной передачи данных. Многочисленные и противоречивые комментарии законодателей, регуляторов (Минкомсвязи) и органов надзора (Роскомнадзор) говорят о том, что нет ясности и у них. О степени растерянности говорит и комментарий Минкомсвязи, в котором обосновывается допустимость прямого использования зарубежных систем бронирования авиабилетов без их локализации, со ссылками на конвенции 1929, 1944 и 1961 годов, в которых нет ни слова о бронировании, интернете и персональных данных. Допустимость бронирования билета Москва–Новосибирск на зарубежном ресурсе выглядит более чем странно, но вполне объяснима – иначе придется останавливать все перелеты, глобальной российской системы бронирования попросту нет.

У меня четкое впечатление от общения с нашими заказчиками – все затаились и ждут первых последствий правоприменения. В зависимости от того, как будет развиваться ситуация, будут приниматься решения, в том числе и о локализации обработки персональных данных или закрытии бизнеса в России. Отмечу лишь, что несмотря на все громкие заявления, проверить находящиеся вне российской юрисдикции Facebook и Twitter невозможно. А вот заблокировать доступ к ним на территории России можно. Но это будет уже совсем другая история.

Принято Постановление Правительства о реестре нарушителей прав субъектов персональных данных

Информируем о принятом Правительством РФ Постановлении от 19.08.2015 №857 «Об автоматизированной информационной системе «Реестр нарушителей прав субъектов персональных данных».

Постановление опубликовано: http://publication.pravo.gov.ru/Document/View/0001201508200028

Комментарий «Коммерсанта»: http://www.kommersant.ru/doc/2792453

Также на днях была опубликована информация о регистрации в Минюсте приказов Роскомнадзора по этому же вопросу:

1)    Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 22 июля 2015 г. N 84 "Об утверждении Порядка взаимодействия оператора реестра нарушителей прав субъектов персональных данных с провайдером хостинга и Порядка получения доступа к информации, содержащейся в реестре нарушителей прав субъектов персональных данных, оператором связи";

2)    Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 22 июля 2015 г. N 85 "Об утверждении формы заявления субъекта персональных данных о принятии мер по ограничению доступа к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных".

В ближайшее время ожидается принятие Правительством РФ Постановления «Об утверждении Положения о государственном контроле и надзоре за соответствием обработки персональных данных требованиям законодательства Российской Федерации».

На вебинаре 25 августа мы рассмотрим и свежепринятые документы.

Подробнее о вебинаре:

Программа вебинара

Для каких операторов персональных данных 1 сентября станет днем перемен

Персональные данные после 1 сентября. Разберемся?

Для каких операторов персональных данных 1 сентября станет днем перемен

Есть не совсем корректное мнение, что изменения законодательства о персональных данных, вступающие в силу с 1 сентября, касаются только иностранных и международных компаний, работающих в России или предоставляющих сервисы россиянам. Это не то, чтобы не совсем так. Это совсем не так.   

На предстоящем 25 августа вебинаре, проводимом Учебным центром «Информзащита», мы подробно разберемся с этим вопросом, а пока некие предварительные оценки.

Всех операторов, на деятельности которых скажутся законодательные нововведения, можно разделить на несколько групп в зависимости от того, какие именно последствия для них имеют вступающие в силу нормы и какие действия им надо предпринять для обеспечения соответствия законодательству.

Первая группа включает абсолютно всех российских операторов персональных данных, как подавших уведомление и включенных в Реестр Роскомнадзора, так и не посчитавших для себя обязательным или целесообразным это сделать. Всех, потому что с 1 сентября 2015 года контроль за обработкой персональных данных выводится из-под регулирования Федеральным законом № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» и будет регламентироваться не законом, а специальным постановлением Правительства, принятие которого ожидается в ближайшее время, а также «Административным регламентом исполнения Роскомнадзором государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации», в который также, будут внесены изменения, но, видимо, несколько позже.

Ситуация с проверками меняется довольно серьезно. Об этом мы подробно поговорим на вебинаре, рассмотрев попутно и порядок ограничения доступа к сайтам нарушителей обработки персональных данных в интернете. И поговорить будет о чем. Отсутствие необходимости согласования большинства проверок с прокуратурой, систематическое наблюдение, привлечение экспертов и, самое важное, возможность выдвижения требования надзорным органом о прекращении обработки персональных данных до приведения ее в соответствие с законом ситуацию меняют кардинально. Ау, банки, страховые компании, операторы связи, медицинские и образовательные учреждения – как вы себе представляете прекращение для своих организаций обработки персональных данных и его последствия

Следующая группа операторов включает тех, кого коснутся изменения, требующие размещения баз персональных данных в период их сбора, а также с целью актуализации, на территории Российской Федерации. Их можно разделить на пять подгрупп:

1)   органы власти всех уровней, государственные и муниципальные учреждения и предприятия;

2)   российские компании, которые сегодня хостят свои системы в зарубежных дата-центрах или облачных инфраструктурах (таких, как Amazon EC2, Google Apps, Microsoft Azure и т.п.), по экономическим или иным соображениям, в том числе – из-за качества предоставляемых сервисов;

3)   российские компании, использующие приложения и базы данных зарубежных провайдеров по схеме SaaS, например, такие, как SalesForce, Microsoft Dynamics CRM, Oracle Database Cloud Service;

4)   зарубежные, международные, транснациональные компании, имеющие дочерние компании или представительства в России, использующие, как правило, централизованные информационные системы, такие, как ERP, CRM, кадрового и бухгалтерского учета и т.п., дислоцирующиеся где-то за рубежом;

5)   зарубежные компании, не присутствующие в России, но чьими услугами пользуются россияне – социальные сети (Facebook, Twitter и т.п.), крупнейшие интернет-магазины и аукционы (Alibaba, Amazon, eBay и др.), системы бронирования всего, чего угодно (Sabre, Amadeus, Galileo, Booking.com, Hotels.сом и др). Хотя они находятся вне российской юрисдикции, механизм блокирования доступа к ресурсам в сети интернет ставит их перед выбором – подчиниться закону и перенести часть ресурсов в Россию, или принять риск возможного прекращения бизнеса в нашей стране.

Возможные варианты поведения всех этих операторов мы рассмотрим в разделе вебинара, который называется «Организация обработки персональных данных после 1 сентября российскими, международными и иностранными компаниями, ведущими деятельность на территории России».

Теперь ответы на наиболее часто задаваемые вопросы в связи с проведением вебинара. Вебинар платный. Его продолжительность – 4 часа, программа - здесь. Проводить его буду я. Полчаса в конце отведу на вопросы-ответы. Количество мест ограничено (Учебный центр бронирует общее количество подключений к сервису вебинара). Зарегистрироваться можно здесь и лучше заранее. Когда и где будет проходить еще раз, и будет ли он – пока не знаю, работы много.

До встречи!