Трудное испытание для отрасли ИБ или выпустить джина из бутылки

На Едином портале для размещения информации о разработке федеральными органами исполнительной власти проектов нормативных правовых актов и результатов их общественного обсуждения выложен проект Постановления Правительства «Об утверждении Положения о государственном контроле и надзоре за соответствием обработки персональных данных требованиям законодательства Российской Федерации» (далее – Положение). Мнения по нему уже высказали два Алексея – Лукацкий и Волков. Но документ, на мой взгляд, очень сложный и с несколькими скрытыми пластами, поэтому посчитал нужным обратить внимание на некоторые нюансы, в комментариях коллег не отраженные. Данный пост будет касаться исключительно одного вопроса – привлечения к проверкам Роскомнадзора экспертов и экспертных организаций. Его затрагивал в своем посте Алексей Волков, но я хотел бы посмотреть на эту проблему с другой стороны.

У нее есть несколько составляющих, каждая из которых требует тщательного анализа и осмысления.

Итак, в соответствии с п.9.7 Положения, для оценки и анализа мер, принятых государственным органом, органом местного самоуправления, юридическим лицом, физическим лицом для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных», могут привлекаться эксперты и (или) экспертные организации, аккредитованные в порядке, установленном Федеральным законом от 28.12.2013 № 412-ФЗ «Об аккредитации в национальной системе аккредитации» (далее – закон об аккредитации). Норма не новая, она существовала и раньше, и в отношении контроля и надзора вводилась частью 2 статьи 7 Федерального закона от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля». Отметим лишь пока только то, что с 1 сентября надзор в сфере персональных данных из-под регулирования данным законом выводится, значит, и нормативные правовые акты, принятые в соответствии с ним, на этот вид надзорной деятельности не распространяются, если это не оговорено особо в их тексте.

В 2012 году Роскомнадзор активно проводил работу по аккредитации экспертов и экспертных организаций, и в реестры, размещенные на сайте ведомства, включены 30 экспертных организаций и 25 экспертов. Среди организаций преобладают интеграторы из Москвы, Питера и регионов, активно продвигающие свои услуги на рынке обеспечения соответствия обработки и защиты персональных данных, известные и не очень. Среди экспертов тоже знакомые лица, которые работают на этой ниве, остальные, смею предположить, тоже из компаний, имеющих отношения к данному направлению деятельности.

Что же предполагается возможным поручить привлекаемым экспертам и экспертным организациям? Проект Положения на этот вопрос ответа не дает, но он есть в упомянутых выше реестрах привлекаемых к проверкам лиц:

·         обследование и определение уровня защищенности негосударственных информационных систем персональных данных, используемых оператором при осуществлении своей непосредственной деятельности;

·         оценка соответствия применяемых технических средств защиты информации;

·         оценка достаточности и эффективности принимаемых оператором технических мер по обеспечению безопасности персональных данных при их обработке в негосударственных информационных системах персональных данных;

·         проведение исследований, а также проведение экспертиз и расследований, направленных на установление причинно-следственной связи выявленного нарушения обязательных требований законодательства Российской Федерации в области персональных данных.

Полномочия, как мы видим, связаны в основном непосредственно с анализом технической защищенности ИСПДн, в то время, как в преамбуле проекта Положения прямо указано, что оно устанавливает порядок осуществления государственного контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации, за исключением деятельности по осуществлению контроля и надзора за выполнением организационных и технических мер по обеспечению безопасности персональных данных, обрабатываемых в ИСПДн, установленных в соответствии со статьей 19 закона «О персональных данных». Но А. Волков уже обращал внимание в своей публикации, что пунктом 24 проекта Положения предусматривается, что должностными лицами, указанными в приказе о проверке, в пределах своей компетенции проводится проверка документов, локальных актов, а также принятия государственным органом, органом местного самоуправления, юридическим лицом, физическим лицом мер, указанных в части 1 статьи 18.1 Федерального закона «О персональных данных». А там, как мы помним, есть п.3 – «применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 настоящего Федерального закона».

Оставим пока в стороне это несоответствие. Займемся непосредственно проблемой привлечения экспертов и экспертных организаций. Для начала отметим, что должностные лица надзорного органа, проводящего проверку, и эксперты в приказе о ее проведения указываются поименно, а вот представителей экспертных организаций перечислять не предусматривается, что создает возможность привлечения к проверке неограниченного количества работников экспертной организации.

На мой взгляд, участие в проверках компаний, оказывающих услуги на этом же рынке, и экспертов из них создает, как минимум, три группы проблем.

Первая. Проблемы морально-этические. Интегратор А (для простоты будем именовать всех, оказывающих услуги на этом рынке, интеграторами, хотя там есть и другие игроки) привлекается к проверке в организации, где проект по выполнению требований законодательства о персональных данных был сделан интегратором Б. Сами понимаете, соблазн «мокнуть в воду» весьма велик, конкурент, как-никак. Как уже много раз писали и говорили наши эксперты-блогеры в сфере персональных данных, и я в том числе, закон и подзаконные акты написаны так, что их исполнение целиком и полностью зависит от трактовки, поэтому поле для «творчества» необъятное. Попутно порешать проблемы конкурентной борьбы, да еще и склонить проверяемую организацию на последующее оказание услуг интегратором Б, нарисовав ужасные картины перечня выявленных нарушений и недостатков в двух вариантах – «вы нас не приглашаете» и «вы нас приглашаете» для их исправления.

Соблазны неприятны и трудно преодолимы, особенно при отсутствии изначально соответствующей установки руководства экспертной организации или эксперта о допустимости продвижения своих услуг и соответствующих тормозов у конкретных участников процесса. Именно поэтому я вынес в заголовок поста слова про испытание для отрасли и выпущенного из бутылки джина. Загнать его обратно, в соответствии с восточными сказками, будет очень трудно. Сказка, конечно, ложь, но намек очевиден. Разговоры типа «Мы завтра начинаем работать в «Рогах и копытах» с Роскомнадзором, говорят, вы там нормативку писали и частную модель угроз рисовали, систему защиты проектировали. Что делать будем?» между топами и не очень топами интеграторов на нашем маленьком и тесном базарчике могут существенно подорвать мир и спокойствие.

Проблема вторая. Операторская. Выполнение возложенных на внешних экспертов задач предполагает глубокое погружение в ИСПДн проверяемой организации, а значит – и доступ к персональным данным. Если это должностные лица Роскомнадзора, обосновать такой доступ как-то можно, тем более, что в проекте Положения для них есть п.9.5: «получать доступ к информационным системам персональных данных для оценки законности деятельности по обработке персональных данных, в том числе, на предмет соответствия содержания, объема, способов обработки, сроков хранения обрабатываемых персональных данных целям их обработки». Хотя надо заметить, что постановление правительства – не закон, а доступ к персональным данным без согласия субъекта на основании не закона, а нормативного правового акта закон о персональных данных не допускает.

Это общая и серьезная проблема, недавно один из наших клиентов разруливал ситуацию с субъектом, чьи данные были переданы в орган исполнительной власти в ответе на его запрос, а субъект с этим категорически не согласился. Но при любых вариантах давать доступ без согласия субъекта к его персональным данным представителям коммерческой организации оператор никак не может. И что ему делать? «Препятствовать проверке», т.е. совершать административное правонарушение? Ответа нет, а риск есть. Кроме персональных данных, в ИСПДн может быть и другая информация о субъекте, доступ к которой ограничен законом, и эксперты его получать не должны. Например, врачебная тайна (при проверке учреждений здравоохранения), тайна связи (при проверке операторов связи) и т.п. Сцилла и Харибда слишком близко, лодочка позиций оператора очень хлипкая, и все риски только его. И прецедентов, когда суды признают доступ третьих лиц к персональным данным и сведениям о частной жизни неправомерным их разглашением, достаточно. Я тоже об этом писал. Здесь, например.

Проблема третья. Тоже операторская, но другая. Во многих случаях сведения о клиентах-физических лицах относятся использующей их организацией к коммерческой тайне. И российские суды охотно соглашаются с правомерностью такого отнесения, привлекая к уголовной ответственности за попытки продать или помимо воли обладателя каким-либо способом использовать такие сведения работниками владельца секретов или соглашаясь с законностью увольнения работников за разглашение баз данных клиентов. О последнем случае стало известно несколько дней назад – работник страховой компании в очередной раз реализовал на рынке базу застрахованных лиц. Закон о коммерческой тайне четко определяет обязанность безвозмездно предоставить информацию, составляющую коммерческую тайну, органу государственной власти или заключить гражданско-правовой договор о ее передаче с контрагентом. А вот про экспертные организации он ничего не знает и поэтому не определяет. И опять выбор между препятствованием проверке и защитой своих законных интересов и прав как обладателя коммерческой тайны.

Это проблемы, которые мне показались самыми важными при анализе вопроса привлечения экспертов. На самом деле их гораздо больше. Например, на сайте Роскомнадзора в качестве основания для создания реестров экспертов и экспертных организаций указано Постановление Правительства от 20.08.2009 № 689 «Об утверждении правил аккредитации граждан и организаций, привлекаемых органами государственного контроля (надзора) и органами муниципального контроля к проведению мероприятий по контролю». А оно уже год как утратило силу, и порядок совсем теперь другой, и форма заявления тоже.

Времени на еще один пост по проекту Постановления у меня уже не будет, работы много. Поэтому очень коротко о том, что мне показалось в нем новым и крайне важным. Выводы делайте сами:

·         Самое важное, по моему мнению. У Роскомнадзора может появиться право выдавать обязательные для исполнения требования о приостановлении или прекращении обработки персональных данных, осуществляемой с нарушениями требований закона о персональных данных. В случае неисполнения требования о приостановлении деятельности по обработке персональных данных по месту нахождения нарушителя в суд подается исковое заявление с требованием признания осуществляемой деятельности по обработке персональных данных незаконной и мер по их удалению. Информация о неисполнении требования направляется в Генеральную прокуратуру или прокуратуру субъекта Российской Федерации для рассмотрения вопроса о принятии мер прокурорского реагирования. Это может стать главным последствием принятия документа.

·         Право Роскомнадзора обращаться в правоохранительные органы, органы прокуратуры за содействием в установлении лиц, виновных в нарушении требований законодательства Российской Федерации, допущенных при обработке персональных данных.

·         Периодичность плановых проверок в отношении юридических лиц – не чаще одного раз в два года, а не три, как в 294-ФЗ.

·         Узаконенные внеплановые проверки по обращениям граждан, информации от органов государственной власти, органов местного самоуправления и средств массовой информации о подтвержденных фактах нарушений, по итогам мероприятий систематического наблюдения, на основании подтвержденного факта несоответствия сведений, содержащихся в уведомлении об обработке персональных данных, фактической деятельности, в случае неисполнения требования Роскомнадзора или территориального органа об устранении выявленного нарушения требований.

·         Срок проведения документарной проверки - до 60 рабочих дней (в 294-ФЗ – 20) с возможностью продления еще на 20.

·         Проведение плановых и внеплановых проверок не требует согласования с органами прокуратуры, за исключение внеплановых проверок по обращениям граждан.

·         Никакие материалы, подготовленные привлекаемыми к проверке экспертами и экспертными организациями, к акту не прилагаются, эксперты и представители экспертных организаций акт проверки не подписывают.

·         Блокирование, уничтожение недостоверных персональных данных или полученных незаконным путем персональных данных осуществляется оператором в порядке, установленном Роскомнадзором.

·         Нарушение требований, выявленных в результате проведения мероприятий систематического наблюдения, а также анализа и оценки состояния исполнения требований законодательства подлежит устранению в срок не более 10 календарных дней (вспомним российские «длинные» праздники).

Рецептов не будет. Будет предложение – активно поучаствовать в обсуждении и подготовить ответы на 12 вопросов, поставленных на Едином портале, где опубликован проект, как уже сделал А. Волков. Вместо следующего поста на эту тему я, в свою очередь, опубликую свои ответы.

И последнее. Проект мы проанализируем 25-26 мая на курсе КП32 в Учебном центре «Информзащита» и 28 мая на семинаре «Изменения в законодательстве о персональных данных и коммерческой тайне, их влияние на бизнес» в Бизнес Школе Консультант. Курс и семинар получатся эксклюзивными, до сентября больше ничего подобного не будет. А в сентябре оценим уже не проект, а Постановление. Сомнений, что оно будет принято, у меня нет.

Михаил Емельянников, КА «Емельянников, Попова и партнеры». На линии киберобороны

В эксклюзивном интервью ведущему JSON.TV Сергею Корзуну управляющий партнёр консалтинговой компании «Емельянников, Попова и партнёры» Михаил Емельянников рассказал о ситуации с персональными данными, о кибервойнах и реальных угрозах цифрового мира.

В полном видеоварианте интервью Михаил Емельянов отвечает на вопросы о главных угрозах информационной безопасности, о путях решения некоторых сложных вопросов применения 152-ФЗ, о возможности блокирования на территории России Интернет-ресурсов, которые не смогут соответствовать российскому законодательству.

Продолжительность – 47 мин.

Несколько цитат из интервью:

«Я, например, уже перестал интересоваться выступлениями зарубежных спикеров на российских мероприятиях, потому что они говорят о среде функционирования безопасности, очень далекой от нашей. У нас очень сильно государственное регулирование. И, в отличие от многих стран, это регулирование технологическое, а не правовое, что создает массу нюансов».

«Есть страны, где нет криптографии вообще. Есть страны, которые криптографией занимаются и ограничивают максимально возможность использования зарубежной криптографии. Да, Россия имеет великолепную школу, и у нее криптография – одна из лучших в мире».

«Сейчас все ведущие государства мира фактически создают кибервойска, которые решают примерно те же задачи, что решает служба информационной безопасности в коммерческих организациях. Это защита информации, противодействие несанкционированному доступу, ведение наступательных операций».

Мастер-класс про аутсорсинг в дата-центрах и облаках

16-17 апреля в «Метрополе» пройдет VIII межотраслевой Форум директоров по информационной безопасности. Наше агентство традиционно принимает в нем участие, а среди самых интересных мероприятий, в которых приходилось на форуме участвовать – модерирование панельной дискуссии с криптографами с участием хорошо знакомых специалистам россиян В. Смирнова (СигналКом) и С. Рябко (Эс-Терра), а также создателя легендарной программы шифрования PGP американца Ф. Циммермана.

В этом году мероприятие тоже обещает быть интересным. Основной упор сделан на выступления специалистов «с той стороны» - практиков, работающих у заказчиков. Русал, Северсталь, Иркут, SPSR express, Эльдорадо – далеко не полный перечень предприятий, чьи руководители подразделений информационной безопасности разного уровня поделятся своим взглядом на ситуацию с обеспечением безопасности в наше непростое время. Много будет о защищенности банковских систем и тоже устами банковских специалистов, а не вендоров и интеграторов.

Большая часть программы отведена на вопросы аутсорсинга обработки данных и защиты информации, использования облачных сервисов, в которые обязательно вклиниваются проблемы размещения технических средств обработки. И дело не только в персональных данных. С 1 июля 2015 года технические средства информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями, государственными и муниципальными учреждениями должны размещаться на территории Российской Федерации. К тому же все государственные и информационные системы должны быть аттестованы по требованиям безопасности. Так что проблем действительно много.

Именно этим вопросам будет посвящен и мой мастер-класс с длинным названием «Нормативное регулирование переноса обработки информации ограниченного доступа и персональных данных в облачную инфраструктуру и коммерческие дата-центры, в том числе находящиеся за рубежом». Он пройдет в первый день форума, 16 апреля, с 16:30 до 17:00. На эту тему я уже не раз писал, в том числе и в блоге, например, про «буферные зоны» обработки персональных данных, современный бизнес и привлечение для его ведения контрагентов, которые становятся обработчиками персональных данных, требования к территориальному размещению систем обработки данных и в других постах. Но вопросов меньше не становится, и проектов по реализации требований тоже.

Поэтому для 16 апреля выбран именно формат мастер-класса с ответами на вопросы: можно или нет, если да, то как и почему. Для начала попытаемся выяснить, кто вообще не может пользоваться зарубежным хостингом и сервисами иностранных провайдеров. Для остальных проанализируем, как надо распределить обязанности оператора персональных данных и оператора информационной системы, провайдера вычислительных и облачных услуг, хостера программного обеспечения, используемого по модели SaaS.

Это представляется крайне важным, поскольку закон и принятые в его исполнение акты возлагает именно на оператора персональных данных обязанность определения актуальных угроз, выбора средств защиты, получения согласия субъектов, а при аутсорсинге реализация этих требований «в лоб» представляется весьма проблематичной. Поэтому мы ищем пути выполнения требований закона, не ломающие бизнес. В последнее время я вынужден часто повторять, что компания, отказывающаяся от современных технологий из-за непроработанности нормативного регулирования их использования, окажется на обочине конкурентной борьбы. Значит, надо не отказываться от передового, а искать способы выполнения требований регуляторов. Вопросы сложные, поэтому я готов и к спорам, и к обоснованию своей точки зрения.

Для заинтересовавшихся - видео выступления на похожую тему на Cyber Security Forum в конце февраля, снятое J’Son TV. Для затравки, потому что у меня было всего 10 минут, а теперь – в три раза больше J.

О рекламе, адресных рассылках и немалых штрафах

Дошли наконец руки до темы прямого обращения к потребителю с использованием средств связи с целью продвижения продуктов и услуг на рынке. Она несколько раз всплывала на разных мероприятиях, и реакция слушателей показала, что особо этим вопросом никто не заморачивался, а зря, как мне кажется. Деньги там серьезные лежат.

Итак, вопросы продвижения путем непосредственных контактов, т.е. телефонных звонков, смс-сообщений, сообщений электронной и обычной почты регламентируются двумя федеральными законами – «О рекламе» и «О персональных данных», а организация смс-рассылок – еще и законом «О связи».

Исходя из того, что написано в этих законах, есть существенная разница между рекламой и адресной рассылкой.

Реклама, в соответствии с законом «О рекламе», – информация, распространенная любым способом, в любой форме и с использованием любых средств, адресованная неопределенному кругу лиц и направленная на привлечение внимания к объекту рекламирования, формирование или поддержание интереса к нему и его продвижение на рынке. Таким образом, исходя из указанной формулировки закона, адресное сообщение, направленное конкретному физическому лицу и содержащее идентифицирующие его признаки (фамилию, имя, отчество, или только фамилию, или только имя (имя и отчество), совпадающие с соответствующими данными адресата – т.е. его персональные данные), не относится к рекламе – круг лиц, которым оно направлено, конкретно определен.

В «Постатейном комментарии к Федеральному закону от 13.03.2006 № 38-ФЗ "О рекламе"», размещенном на сайте Федеральной антимонопольной службы (http://www.fas.gov.ru/clarifications/clarifications_30337.html#18), указывается, что под неопределенным кругом лиц понимаются те лица, которые не могут быть заранее определены в качестве получателя рекламной информации и конкретной стороны правоотношения, возникающего по поводу реализации объекта рекламирования. Такой признак рекламной информации, как предназначенность ее для неопределенного круга лиц, означает отсутствие в рекламе указания о некоем лице или лицах, для которых реклама создана и на восприятие которых реклама направлена.

Необходимо обратить внимание, что термин «реклама» в статье 15 закона «О персональных данных», требующей получения согласия на осуществление прямых контактов с потенциальным потребителем с помощью средств связи, не используется. По смыслу понятий, определенных в законах о рекламе и о персональных данных, следует различать рекламу, т.е. информацию, адресованную неопределенному кругу лиц, и адресную рассылку или адресное обращение, осуществляемые непосредственно определенным лицам с использованием средств связи в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем.

Т.е. смска «Здравствуйте! Получайте информацию, оплачивайте телефон…» - это реклама. А аналогичное сообщение «Михаил Юрьевич, вклад в …банке – отличный способ сохранить сбережения…» - уже нет.

Все это крайне важно, поскольку дальше начинается самое интересное. Нарушение законодательства о рекламе – сфера деятельности Федеральной антимонопольной службы (ФАС), а нарушение законодательства о персональных данных – вотчина Роскомнадзора. Статья 14.3 КоАП «Нарушение законодательства о рекламе» предполагает минимальный штраф для юрлиц в 100 тысяч рублей, а максимальный – в 500 тысяч. Причем ФАС выписывает штрафы самостоятельно, минуя прокуратуру и суд.

Приснопамятная статья 13.11 КоАП «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)» в действующей редакции обходится гораздо более скромными наказаниями – на юрлицо, если кто забыл, штраф накладывается в размере от 5 до 10 тысяч рублей. Да еще получивший жалобу субъекта, павшего жертвой спама, Роскомнадзор должен убедиться в ее обоснованности, направить материалы в прокуратуру, которая материалы возбужденного административного дела (если возбудит) переправит (если посчитает нужным) в мировой суд, который, если посчитает вину доказанной, выпишет «пятерочку» (обычная практика). В новом законопроекте о внесении изменений в КоАП максимальный штраф за обработку персональных данных без согласия субъекта предполагается установить в 50 тысяч рублей. Как говорится, почувствуйте разницу!

И в подходах к определению суммы штрафа позиции двух ведомств сильно разнятся. Чтобы долго не объяснять, иллюстрация.

Мировой суд г. Перми в сентябре 2014 года признал ООО «Билдинг» виновным в нарушении законодательства о рекламе и назначил штрафы на общую сумму в 3,2 млн рублей. Ранее Управление ФАС по Кемеровской области признало пермское ООО «Билдинг» нарушившим закон «О рекламе» в части незаконной рассылки рекламных сообщений гражданам. По итогам рассмотрения каждого из 12-ти дел Кемеровское УФАС России привлекло общество к административной ответственности в виде штрафа в 100 тысяч рублей. Однако компания штрафов не оплатила. За неоплату административного штрафа предусмотрена ответственность, размер которой составляет двукратный размер неоплаченного штрафа. По каждому факту неоплаты штрафа Кемеровское УФАС России составило 12 протоколов, и направило их в Мировой суд. Рассмотрев 10 из них, мировой судья г. Перми признал ООО «Билдинг» виновным и постановил помимо штрафов, назначенных антимонопольным органом, дополнительно выплатить двойную сумму по каждому из них. Таким образом, общая сумма штрафа составила 3 миллиона 200 тысяч рублей. Т.е. одно нарушение в отношении одного субъекта – один штраф.

А вот совсем свежий пример. Московское областное управление ФАС оштрафовало ОАО «МегаФон» на 300 тыс. руб. за распространение спама в форме смс-сообщений. Овчинка выделки стоит. По этой же ссылке сообщается, что, по оценкам J’son & Partners Consulting, объем рынка смс-рассылок в России в 2013 году составил $101 млн, прогноз на​ 2016 год — $137 млн.

У Роскомнадзора подход другой. И штрафы пониже, и перспективы пожиже. В марте 2014 года начальник отдела по защите прав субъектов персональных данных, надзора в сфере массовых коммуникаций и информационных технологий управления Роскомнадзора по Псковской области Эдуард Кожокарь, отвечая на вопрос руководителя управления территориального управления федеральной службы по надзору в сфере защиты прав потребителей насколько легитимна СМС-реклама, поступающая к абонентам без их согласия и могут ли сотовые операторы передавать номера абонентов для массовых рассылок, сообщил, что номер телефона не является собственностью абонента, поэтому говорить о нарушениях распространения персональных данных не приходится, а речь может идти только о нарушениях законодательства о рекламе и переправил вопрос правомерности в УФАС.

И еще нюанс. В соответствии с Федеральным законом от 21.07.2014 № 272-ФЗ, в закон «О связи» внесены нормы, жестко регламентирующие спамерские смс-рассылки, деликатно названные в законе «рассылками по сети подвижной радиотелефонной связи».

Теперь спамить могут только операторы связи (рекламораспространители) по договору с рекламодателем, а вот к ответственности за рассылки без согласия получателей могут привлечь и тех, и других. По рекламодателей я уже писал выше. А дальше – про рекламораспространителей. Удмуртское управление ФАС признало компанию «Мегафон» нарушившей антимонопольное законодательство из-за СМС-рассылки рекламы других фирм своим абонентам, подписавшим согласие на получение информации об услугах оператора. В ходе рассмотрения дела УФАС выяснило, что на мобильный номер заявителя поступило рекламное сообщение «Деньги на дом от ООО "Домашние деньги" … Звонок бесплатный». Рассылала рекламу компания ОАО "Мегафон", ссылаясь на то, что согласно договору на оказание услуг связи, абонент согласился получать рекламу. Однако УФАС установило, что заявитель соглашался на СМС-оповещение только об услугах оператора связи.

И последний рецепт. Привлекая коммерческий колл-центр для рекламы своей продукции, не забудьте убедиться, что у вас есть не только согласие конкретного получателя на использование средств связи для продвижения ему вашей продукции, но и его согласие на передачу персональных данных иным лицам, колл-центру – в частности. И не забудьте все грамотно прописать в документах.

Персональные данные в облаках: уйти нельзя остаться

Прошедшая неделя была заполнена бесконечным количеством публикаций о грядущей катастрофе системы бронирования авиабилетов в России после 1 сентября и вступления в силу норм закона 242-ФЗ о территориальности баз персональных данных россиян. Отличались эти публикации одной характерной чертой – подхватив первое сообщение на эту тему, СМИ и интернет-ресурсы даже не пытались разобраться в сути проблемы, перепечатывая чужие публикации в собственной интерпретации и все дальше уходя от реальной оценки ситуации.

Детальный ее анализ сделал А. Лукацкий, опираясь на Варшавскую и Чикагскую конвенции. Я с его выводами не согласен, поскольку не вижу в этих документах никакого прямого разрешения сразу передавать персональные данные пассажиров в глобальные системы бронирования без организации их хранения на территории конкретного государства, но, в данном случае, речь пойдет совсем о другом.

Российским авиакомпаниям решить проблему соответствия закону можно довольно просто, и это вовсе не требует миллионных затрат и создания российской посконной и домотканой системы бронирования. Надо просто создать базу данных своих пассажиров на российских серверах (а она в любом случае создается в соответствии с законом «О транспортной безопасности» и без 242-ФЗ), а из нее «пробрасывать» заявку на бронирование билетов в глобальные системы.

Однако существует огромное количество иных ситуаций, когда простые и дешевые решения для выполнения новых требований законодательства вовсе не являются очевидными. И это создает реальную угрозу бизнесу, в первую очередь, транснациональному и зарубежному, который ведется на территории нашей страны. На угрозы, порожденные рисками, разный бизнес реагирует по-разному. Отбросив промежуточные варианты, остановимся на двух полярных – избежание государственного или регуляторного риска, т.е. полный отказ от бизнеса не территории страны с неясными правилами, и снижение риска до приемлемой величины, установленной правилами менеджмента. Именно этими двумя путями и идет большинство зарубежных компаний, чья деятельность на территории России или с российскими резидентами связана с обработкой персональных данных.

Наглядный пример такого подхода – прямо противоположные решения относительно хостинга и облачных вычислений в России, принятые компаниями T-Systems CIS, «дочкой» Deutsche Telekom, и Orange Business Services, тоже «дочкой» телекома, но французского. Полностью закрыть бизнес, убоявшись несоответствия закону, или активно его развивать, глядя на замешкавшихся конкурентов и найдя решения, позволяющие это соответствие обеспечить – решения, принимаемые отнюдь не технарями и не с их подачи, а топ-менеджментом, в первую очередь – финансовым, на основании выводов, сделанных юристами. Не нашли юристы способов разруливания ситуации, устраивавших, в первую очередь, пугливых клиентов, – и нет бизнеса. Но свято место пусто не бывает, и на освободившиеся «площади» приходит конкурент, правовая служба которого эти самые пути решения проблемы определившая.

На самом деле никакого запрета на обработку персональных данных россиян за пределами Российской Федерации закон не содержит. Вводимые с 1 сентября ограничения касаются только периода сбора персональных данных, как первичного, так и приводящего к их изменению, уточнению или обновлению. Именно поэтому я написал выше, что авиакомпаниям надо создать российский буфер перед системами глобального бронирования, где будут храниться фамилии, имена и отчества их пассажиров, паспортные данные, сведения о дате рождения и совершенных полетах рейсами конкретной компании. После создания такой учетной записи никаких препятствий для обращения в систему бронирования закон не создает. Нет в нем запрета на передачу, предоставление, доступ и даже удаление и уничтожение данных за рубежом. То же самое касается и абсолютного большинства других случаев использования персональных данных в информационных системах за пределами России – будь то кадровый учет транснациональной корпорации, ведущей бизнес и в России, ERP или CRM система зарубежного владельца российской компании или банковская система международного банка с российской «дочкой».

Мы об этом долго и подробно разговаривали на встрече, организованной интернет-омбудсменом Дмитрием Мариничевым. Довольно детально моя позиция изложена на форуме, созданном по результатам дискуссии здесь.

Так что оснований для паники я не вижу. А вот детальная правовая проработка проблемы, подготовка соответствующих договоров и рекомендаций для клиентов, обеспечивающих соответствие закону со стороны иностранных компаний, которые решат продолжить работу в России, просто необходимы. Те компании, которые всерьез решили работать на российском рынке, этим занимаются, в том числе, - наши клиенты, которым мы в этом активно помогаем. И потратить дополнительные деньги на создание «буферной зоны» придется. Но не так много, как обычно об этом говорят. 

Банковская безопасность на круглых столах в Магнитогорске

В этом году на банковском форуме в Магнитогорске я с презентацией не выступал, но поучаствовал в двух круглых столах. В одном, с регуляторами, - в качестве ведущего, в другом, по приглашению Натальи Касперской, – в качестве эксперта.

Регуляторов собралась серьезная команда – сенатор, зампредседателя комитета Совфеда по конституционному законодательству Л.Н. Бокова, замначальника ГУБЗИ Банка России А.М. Сычев, и замдиректора департамента НПС Т.К. Батырев, начальник управления защиты прав субъектов персональных данных Роскомнадзора Ю.Е. Контемиров, начальник 2 Управления ФСТЭК России В.С. Лютиков и два представителя ФСБ России – В.М. Простов и С.Н. Юдин. Хотел бы еще раз, публично, выразить благодарность участникам обсуждения за активное участие в этом мероприятии. Магнитогорск – одно из немногих мест в нашей среде, где представители органов власти и Банка России оказываются вместе, обсуждают общие проблемы и где любому из них можно задать любой вопрос. Последним, кстати, на мой взгляд, банковское сообщество воспользовалось весьма слабо. И предварительных вопросов именно от банков было очень мало, и на сессии вопросов зажигали в основном не банкиры.

И тот, и другой круглые столы оказались непростыми. Разговорить регуляторов – всегда задачка с несколькими неизвестными, и чем более сложный вопрос, тем больше вероятность получить самый общий ответ. Не ставлю задачей этого поста глубокий анализ сказанного, но кое-какие выводы сделал сразу. Некоторые посчитали все ответы Л.Н. Боковой не слишком конкретными, однако в них была заложена одна совершенно четкая мысль – свои проблемы банки, в первую очередь, должны решать сами, инициируя нужные им законодательные инициативы, формируя их текст и лоббируя принятие. И особо рассчитывать на чью-то помощь при этом не надо. Снова всплывает тема саморегулирующейся организации, что, при наличии двух крупных банковских ассоциаций, вызывает у участников рынка довольно неоднозначную реакцию.

Похоже, непросто будет строиться FinCERT и завязываться с ГосСОПКА (система обнаружения и предупреждения компьютерных атак, создаваемая ФСБ России). Не видно перспектив облегчения работы с банковской отчетностью, пока, во всяком случае. Заработает на полную мощность FinCERT, закончатся уточнения распределений полномочий между реформированными подразделениями Банка России, вот, может быть, тогда…

Очень понравились ответы Ю.Е. Контемирова – по делу, без попыток увести в сторону. Если ответить по какой-то причине нельзя – так и говорится. Мне показалось, что потихоньку к некоему знаменателю приходит тема 242-ФЗ, для банков, во всяком случае. Из ответов (на слух, запись не анализировал) показалось, что особых проблем новый закон российским банкам не создаст, как тем, которые являются «дочками» иностранных и ведут информационный обмен по персоналу и клиентам с материнским банком, так и для осуществляющих трансграничные денежные переводы. На март обещано очное разъяснение позиции регулятора кредитно-финансовым учреждениям, что тоже крайне полезно.

В.С. Лютиков порадовал неизменностью позиции ФСТЭК в отношении лицензирования деятельности по ТЗКИ и призвал решать вопросы путем направления конкретных запросов во ФСТЭК. Службу в последнее время отличает готовность к диалогу, приверженность выбранной линии развития системы нормативного регулирования и активное привлечение к работе специалистов отрасли, желающих поучаствовать в процессе.

Не так просто шло общение с представителями ФСБ. Находящихся на сцене можно понять – они находятся в жестких рамках ведомственной позиции. Но от этого не легче – использование протокола https в системах ДБО, электронная подпись из облака, аттестация рабочих мест, на которых установлены СКЗИ, по-прежнему остаются в некой пограничной зоне, а поэтому и в зоне риска банков.

Из круглого стола Н. Касперской про жизнь отрасли во время кризиса сделал для себя вывод, что главной проблемой ближайших лет будут не отсутствие денег, не технологии, не таргетированные атаки (кто-то из участников, по-моему, Р. Хайретдинов справедливо отметил, что других теперь и нет), а кадры. Тема персонала постоянно всплывала в ходе обсуждения, и ничего утешительного я не услышал и не сказал сам. Я приводил пример – при сокращении штатов, большом количестве ищущих работу, в том числе банковских специалистов, на мое сообщение в Фейсбуке о вакансии в банке, где надо было конкретно заняться нормативкой, а не «руководить процессом», пришло ровно одно резюме. Одно. Могу лишь повторить свой неутешительный прогноз: там, где служб ИБ не было, они в ближайшее время не появятся, там, где служба не смогла доказать, что приносит (не дает красть, экономит) конкретные, поддающиеся подсчету, деньги, службу сократят до возможного, по мнению руководства банка, минимума. Возможно – совсем. Не случайно В. Окулесский много рассказывал о том, что они делают в «Банке Москвы» именно с точки зрения сокращения реальных затрат и потерь.

В целом мне эти мероприятия понравились. Все-таки живое общение лучше монотонных презентаций, особенно, если выступающий сидит за трибункой на стуле или перемежает слайды на русском и английском языке.

В заключение. Все высказанные в посте мнения являются субъективными и оценочными. Вполне допускаю, даже уверен, что у кого-то прямо противоположная точка зрения или совсем другие впечатления.

И спасибо организаторам. Все-таки подготовка пятидневных мероприятий – колоссальный труд, по себе знаю. Ни одной сколь-нибудь серьезной проблемы с точки зрения организации я не увидел.

Есть одна очень важная задача для того, чтобы форум сохранился и развивался дальше. Надо делать все, чтобы на него приезжало больше банкиров. Знаю, что трудно. Но очень надо.

Разместить персональные данные в облаке, привлечь десяток их обработчиков и выполнить закон

Вчерашняя презентация на Cyber Security Forum 2015 по проблемам организации обработки персональных данных в условиях их передачи большому количеству контрагентов и привлечения большого количества обработчиков, хостинга или колокации информационных систем персональных данных в коммерческом ЦОДе вызвала огромный интерес. Обсуждение 15-минутной презентации продолжалось очень долго. Как и обещал – презентацию выкладываю.

Пятая графа персональных данных

Сенатор Совета Федерации Жанна Яновна Иванова 2 февраля внесла в Государственную Думу законопроект, возвращающий в паспорта россиян «пятую графу» – сведения о национальности. Не предложение «об изменениях отдельных федеральных законов», как это стало модным в последнее время, а вполне себе самостоятельный закон. Это явно становится трендом российского законотворчества – аналогичный законопроект уже вносили почти год назад. Тогда инициаторы-коммунисты шли еще дальше, предлагая россиянам указать заодно и свое вероисповедание. Но проект завернули, убоявшись новых расходов. Сейчас с бюджетом все хорошо, свободных денег много, и можно наконец-то заняться сакральным. Кроме того, совсем недавно нездоровый интерес к национальности рождающихся, брачующихся и умирающих проявили в Минюсте, обосновав его вопросами статистики, но предусмотрев сугубую добровольность указания этой специальной категории персональных данных, требующей письменного согласия граждан на обработку при обращении этих самых граждан в органы записи актов гражданского состояния, что меня также немало удивило.

Когда я читаю о таких новациях, у меня всегда первым появляется вопрос – зачем? Чего в супе так не хватает, что туда срочно надо добавить экзотические специи, которые существенно поменяют его вкус? За ответами надо обращаться не только к тексту законопроекта, но и к пояснительной записке к нему, благо они в АСОЗД есть.

Начинается текст внесенного проекта с почти прямой цитаты части 1 ст.26 Конституции, закрепляющей право каждого определять и указывать свою национальную принадлежность. Но вот про вторую часть, устанавливающую, что никто не может быть принужден к определению и указанию своей национальной принадлежности, почему-то в законе умалчивается.

Законопроект в преамбуле утверждает, что национальная принадлежность гражданина Российской Федерации является одним из главных признаков самоидентификации любого человека, воспринимается в качестве одной из важнейших ценностных категорий для отдельной личности, выступает гарантом сохранения самобытности каждой национальной (этнической) общности многонационального народа Российской Федерации, способствует гармонизации межнациональных (межэтнических) отношений в стране и укреплению единства российской нации в целом. Утверждения более, чем спорные, а учитывая периодические проявления самых разных форм ксенофобии (одно из самых сильных обострений со времен чеченских войн мы наблюдаем сейчас) – не только спорные, но и в корне не соответствующие действительности.

Статья 1 закона совершенно неожиданно заявляет, что «в соответствии с Конституцией Российской Федерации настоящий Федеральный закон устанавливает порядок реализации права совершеннолетних дееспособных граждан Российской Федерации на определение и указание своей национальной принадлежности, а также права родителей либо единственного родителя (иного законного представителя) на определение и указание национальной принадлежности их ребенка (несовершеннолетнего подопечного) – гражданина Российской Федерации». Право родителей определять и указывать национальность детей – это что-то фундаментально новое для российского законодательства.

Такого не было даже во времена СССР. В свидетельстве о рождении ребенка и в советский период истории (во всяком случае тот, который я помню), и сейчас национальность ребенка не указывалась. Там были и есть только сведения о национальности родителей, которые сейчас указываются сугубо по их желанию. Получая свой первый паспорт, гражданин СССР делал выбор своей национальности, и, насколько я помню, она не обязательно должна была совпадать с национальностью родителей или одного из них. Автор законопроекта об этом, наверное, помнит, и с вольностями предлагает покончить, требуя «обоснованного сочетания при определении национальной принадлежности лица соответствующего субъективного желания с объективными критериями такого определения». Т.е., видимо, если представителю ФМС, которому закон предоставляет права реализовывать этот принцип, лицо кандидата получить определенную национальность при выписке внутреннего паспорта покажется не соответствующим сложившимся у него критериям национальной принадлежности, он вправе отказать в самоидентификации обратившемуся гражданину, отправив его в суд для защиты своего права выбрать национальность (пункт 9 статьи 2 законопроекта).

Критерии национальной принадлежности в законопроекте предлагаются следующие: родной язык, традиции и обычаи, культура, религия, родство и родственные связи, проживание в соответствующей этнокультурной среде, а также иные объективные критерии определения национальной принадлежности, предусмотренные федеральным законом.

Вся процедура простановки в паспорте сведений о национальности основана на том, что таковая будет указана в свидетельстве о рождении, и решение родителей о национальности ребенка при желании указать иную национальность надо будет оспаривать в суде.

Предполагается, что отметке о национальной принадлежности в паспорте будет присвоен индивидуальный регистрационный номер, а для каждого гражданина будет изготовлено загадочный индивидуальный штамп (клише) отметок о национальной принадлежности, который будет храниться в органе ФМС, которую параллельно хотят ликвидировать. Кстати, зачем этот индивидуальный штамп нужен, кроме разовой простановки в паспорте, из текста законопроекта не ясно. Изготовляться он будет, естественно за счет заявителя – лица, решившего увековечить свою национальность. Процедура установления национальности – многоуровневая, с заявлениями, рассмотрением, оплатой и прочее, и предусматривает принятие постановления правительства, может быть – и не одного.  

Инициатор закона почему-то считает, что «известно, что в рамках существующего гражданского оборота национальная принадлежность ребенка по желанию его родителей (или единственного родителя) в соответствии с законодательством Российской Федерации об актах гражданского состояния (Федеральным законом от 15 ноября 1997 г. № 143-ФЗ «Об актах гражданского состояния» и другими нормативными правовыми актами) уже указывается, - поэтому представленный законопроект логически встраивает данное положение в более комплексное законодательное регулирование соответствующих правоотношений». Интересное утверждение. В главе II этого закона, определяющей содержание записи о рождении ребенка и сведения, вносимые в свидетельство о рождении, упоминается только национальность родителей или одного из них, а о национальности ребенка нет ни слова.

Внимательно изучив закон, пояснительную записку и прочие приложенные к нему документы, ответ на вопрос «зачем это нужно?» я так и не нашел. В очередной раз удивившись тому, что с законодателями мы, наверное, читаем разные законы. Где они берут свои, я не знаю.

И последнее. Национальность – специальная категория персональных данных. Каждое снятие копии с паспорта, где указана национальность, потребует получения согласия субъекта в письменной форме, предусмотренной частью 4 статьи 9 закона «О персональных данных».

Ох, повеселимся.

Сервера и базы данных одесную и ошую

Пока все ели оливье и селедку под шубой, пили водку с шампанским, пускали фейерверки, катались на лыжах все каникулы напролет, подкрался первый рабочий день. С трудовым началом нового года всех!

У нас, правда, трудовые будни практически не прерывались, поскольку нашим заказчикам стало очень интересно, а как жить после 1 сентября 2015 года, когда в соответствии с 242-ФЗ сбор персональных данных россиян будет производиться только с использованием баз данных на территории России. Желание заказчиков – для нас святое, и после ежедневной лыжной пробежки все силы бросались на разрешение этого вопроса. Попутно выяснялась масса интересных фактов.

Если кто не следил за работой принтера, сообщаем, что 31 декабря, за несколько часов до наступления нового года, президентом были подписаны два федеральных закона № 531-ФЗ «О внесении изменений в статьи 13 и 14 Федерального закона "Об информации, информационных технологиях и о защите информации" и Кодекс Российской Федерации об административных правонарушениях» и № 526-ФЗ «О внесении изменения в статью 4 Федерального закона "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях"». Ну вы поняли – о внесении изменений в ранее внесенные изменения.

Из прочтения этих законов родилось четкое ощущение, что весь состав законодателей был разбит на две группы, например, по признаку размещения одесную и ошую председателя, и каждая группа творчески работала над своим законом, причем заглядывать в конспекты соседей было строго запрещено.

Группа депутатов, что сидела одесную, пришла к выводу, что с 1 июля 2015 года (в соответствии с 531-ФЗ), технические средства информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями, государственными и муниципальными учреждениями должны размещаться на территории Российской Федерации. То есть всякие там сервера баз данных, почтовые и файловые серверы, а равно и веб-, надо перенести в российские дата-центы и вопрос закрыть. И это правильно. Официальный почтовый ящик российского министерства на сервисе google.com у любого нормального человека вызывает легкую оторопь, а у маньяков-ибешников – так вообще истерику.

В это время вторая группа - та, что ошую, решала сложный вопрос – а когда все-таки сбор персональных данных россиян, в том числе посредством сети интернет, будет производиться так, что запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации будет обеспечено с использованием баз данных, находящихся на территории Российской Федерации. Подумав примерно полгода, депутаты решили, что все-таки не 1 сентября 2016 года, но и не 1 января 2015. Компромисс был найден – 1 сентября 2015 года.

Отлично! Вот только в 242-ФЗ, установившем это требование, есть исключения. Можно не заморачиваться размещением серверов на территории России, если обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (а государственные органы, органы местного самоуправления, государственные и муниципальные унитарные предприятия, государственные и муниципальные учреждения, упомянутые в 531-ФЗ, с утра до вечера только этим и занимаются), если она необходима для исполнения судебного акта (привет базам судебных приставов!) и для исполнения полномочий органов власти и местного самоуправления в предоставлении государственных и муниципальных услуг. Я об этом уже как-то писал, но эти замечательные исключения на фоне глобальных проблем тотального переноса всего в Россию особого интереса не вызвали.

Таким образом, к 1июля все эти базы должны быть возвращены в Россию, если они там не размещались, а с 1 сентября их при желании можно снова отправить за границу. Или нельзя? Вопрос к читателям-юристам и правоведам: если два закона, устанавливающих противоречивые нормы, подписаны в один день, какой из них действует? Тот, что вступил в силу ранее? Или позднее? Оба? Ни один? Так переносить или пока подождать? А если еще заглянуть в закулисье законотворческой деятельности, закрытый перелом головного мозга неизбежен. Недавно все желающие обсуждали и даже готовили предложения по проекту Федерального закона «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации»», посвященному нормативному правовому регулированию использования услуг облачных вычислений в деятельности органов государственной власти, органов местного самоуправления, органов управления государственными внебюджетными фондами. Законопроект предусматривает внесение в трехглавый закон новой статьи 15.6, в соответствии  с которой при организации предоставления услуг облачных вычислений органам государственной власти, органам местного самоуправления, органам управления государственными внебюджетными фондами должны соблюдаться определенные условия, среди которых предоставление услуг облачных вычислений указанным органам поставщиками услуг облачных вычислений, являющимися российскими юридическими лицами или индивидуальными предпринимателями, облачная инфраструктура которых находится на территории Российской Федерации при условии прохождения ими государственной аккредитации. Обратите внимание – государственных и муниципальных унитарных предприятий, государственных и муниципальных учреждений в законопроекте нет, зато есть органы управления государственными внебюджетными фондами, которых нет в 231-ФЗ и 242-ФЗ.

Так кому чего можно, чего нельзя и когда? Есть над чем подумать в новом году! С прошедшими праздниками! За работу, товарищи, коллеги и друзья!

С Новым 2015 годом!

Базам персональных данных - вернуться на главную базу

Всем готовиться к 1 сентября 2015 года! Незаметно и иносказательно сайт Думы сообщил о переносе сроков вступления в силу Федерального закона 242-ФЗ, получившего неофициальное название «о территориальности персональных данных россиян».

Утреннее пленарное заседание Госдумы сегодня, 17 декабря.

По предложению Романа Чуйченко, выступившего от Комитета по информационной политике, информационным технологиям и связи, депутаты вернули во второе чтение законопроект № 596277-6 «О внесении изменения в статью 4 Федерального закона «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях», уточняющий срок вступления закона в силу, а затем приняли законопроект сразу во 2-м и 3-м чтениях.

К документу принята одна поправка:

«Внести в статью 4 Федерального закона от 21 июля 2014 года № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях» … изменение, изложив ее в следующей редакции:

«Статья 4

Настоящий Федеральный закон вступает в силу с 1 сентября 2015 года».

Дальше начинается казуистика и крючкотворство. Но об этом – как-нибудь позже, когда закон подпишет президент, а у меня появится время.

Про указание ЦБ, идентификацию, хакеров и паспорта

Как мы помним, Указанием Банка России от 21 января 2014 г. N 3179-У, для проверки действительности паспорта физического лица, являющегося гражданином Российской Федерации, кредитная организация должна использовать информационный сервис «Проверка действительности паспорта гражданина Российской Федерации, удостоверяющего личность гражданина Российской Федерации на территории Российской Федерации» на официальном сайте Федеральной миграционной службы (ФМС) в сети интернет. Правда, порядка проведения такой проверки и документирования ее результатов Положение 262-П и указание о внесении в него изменений не содержат, оставив решение этой непростой проблемы на откуп банков.

Законопослушные банки бросились указание исполнять, сервер ФМС, содержащий ресурс, не являющийся к тому же официальным, естественно, упал, и, полежав на боку некоторое время, восстал из пепла под новым имением «Проверка по списку недействительных (утраченных (похищенных), оформленных на утраченных (похищенных) бланках паспорта гражданина Российской Федерации, выданных в нарушение установленного порядка, а также признанных недействительными) паспортов граждан Российской Федерации, удостоверяющих личность гражданина Российской Федерации на территории Российской Федерации». Т.е. Положение ЦБ есть, а ресурса, который он требует использовать, нет, есть другой, в Положении не упомянутый. Чтобы не перегружать запросами сервер ФМС и не пытаться получить информацию под тяжелым взглядом ожидающего клиента, можно скачать «Список недействительных (утраченных (похищенных), оформленных на утраченных (похищенных) бланках паспорта гражданина Российской Федерации, выданных в нарушение установленного порядка, а также признанных недействительными) паспортах граждан Российской Федерации, удостоверяющих личность гражданина Российской Федерации на территории Российской Федерации», который обновляется по рабочим дням, и встроить его в свою информационную систему.

Насколько этот перечень является достоверным – вопрос непростой. По этому поводу Ассоциация российских банков уже направляла запрос в Банк России, обращая внимание на неполноту базы паспортов и нестабильную работу информационного ресурса, а также отсутствие порядка фиксации обращения банка на сайт ФМС.

Банк России в своем ответе относительно фиксации обращения предложил самостоятельно определять порядок в правилах внутреннего контроля. Проблемы недостоверности сведений и перегруженности сайта ФМС банкам предложено решать с использованием Единой системы межведомственного электронного взаимодействия, к которой банки подключаются как участники Государственной информационной системы о государственных и муниципальных платежах.

При этом ЦБ полагает, что в случае, если при проверке действительности паспорта на сайте ФМС получен ответ «Сведениями по заданным реквизитам не располагаем» либо «В электронных учетах ФМС России в настоящее время не значится», кредитная организация может отказать такому лицу в приеме на обслуживание либо в выполнении распоряжения о совершении операции до получения официального ответа территориального подразделения ФМС России о действительности паспорта данного лица. А если паспорт числится недействительным, банку следует отказать такому лицу в приеме на обслуживание либо в выполнении распоряжения о совершении операции до представления клиентом доказательств, подтверждающих действительность паспорта (например, официального ответа территориального подразделения ФМС о действительности паспорта данного лица).

Проблема заключается в том, что сайт выдает иные варианты ответа «По Вашему запросу о действительности паспорта РФ ____ № _____ получен ответ о том, что данный паспорт «Среди недействительных не значится» или что «данный паспорт недействителен (ЗАМЕНЕН НА НОВЫЙ)».

Но изменения работы, видимо, коснулись не всех. Сегодня городской портал города Перми Properm.ru сообщил, что хакеры взломали сайт областного управления ФМС, получили доступ к номерам паспортов жителей края и немного порезвились, внеся изменения в данные. Поэтому, по сообщению городского портала, многие обратившиеся в банк горожане после обращения работников банка на сайт узнают, что их паспорта недействительны или сведений о них нет, и получают отказ в оказании банковской услуги – см. рекомендации ЦБ выше. Правда, об этих проблемах знают не во всех районных подразделениях города.

Сообщение о недействительности паспорта или отсутствии сведений о нем влечет необходимость личного обращения в подразделение УФМС, получения соответствующей справки или даже замену паспорта. Проблему  со справкой чиновники обещают решить в срок от двух дней до недели.

Почему у Перми есть своя система проверки подлинности паспортов, связана ли она информационно с официальным сайтом ФМС, я не знаю. Тем не менее сведений о моем паспорте в ней нет:

А вот сайт ФМС о моем паспорте знает и подтверждает его подлинность.

Пока очевидно, что с сервисом есть проблемы. На страничке проверки паспортов честно сообщается: «Улучшаем сервис с помощью граждан. Скорректировано сведений в АС «Российский Паспорт»: 80738». Это значит, что граждане сообщили о более чем 80 тысячах записей, являющихся неверными. По сообщению информационного агентства «Гарант.РУ», такая ситуация обеспокоила Национальный совет финансового рынка (НСФР), который, отметив значительный рост отказов банков от обслуживания клиентов-физических лиц, обратился в Управление Роспотребнадзора по г. Москве с предложением об оказании содействия в предотвращении нарушений прав потребителей, вызванных установлением такой обязанности банков. НСФР отмечает, что ресурс ФМС носит исключительно информационной характер, а для получения юридически значимой информации следует обратиться в территориальное подразделение ФМС России. Отказ в оказании банковских услуг – дело серьезное, а тут для такого решения используется неофициальная и, возможно, недостоверная информация…

Я думаю, надо ждать дальнейшего развития событий. Точки ставить рано.

В заключение – благодарность аналитикам нашего агентства, готовящим ежемесячный отчет о правоприменении, за извлечение приведенных фактов из Больших данных интернета J.

И вечный аудит. Покой банкам и не снится

Есть в стандарте Банка России СТО БР ИББС 1.0-2014 требование о наличии в кредитно –финансовой организации, присоединившейся к стандарту, такого документа, как программа аудита. В соответствии с определением, там должны быть сведены планы проведения проверок выполнения требований не только стандарта, но и всех остальных проверок состояния информационной безопасности (ИБ): «Программа аудита ИБ включает всю деятельность, необходимую для планирования, проведения, контроля, анализа и совершенствования аудитов ИБ (и других проверок ИБ)».

За окошком – декабрь, и мы с нашими клиентами корректируем планы работ в новом году. Дошли руки и до программы аудита, как-никак документ во многом базовый, да и стандарт требует периодической корректировки программы.

Банк России рекомендует чередовать самооценку выполнения требований стандарта с аудитами с привлечением внешней проверяющей организации, есть ряд обязательных требований о проведении проверок безопасности и в других документах.

Обобщив и подытожив, получаем картину довольно суровую.

Допустим, банк с учетов выхода новой редакции стандарта провел аудит силами привлекаемой организации. Значит, в соответствии с требованиями стандарта, через два года, в 2016 году, ему целесообразно провести самооценку, а в 2018 – снова аудит.

Между самооценкой и аудитом скучать тоже будет некогда.

1 ноября 2012 года постановлением Правительства № 1119 были утверждены «Требования к защите персональных данных при их обработке в ИСПДн», среди которых – необходимость контроля за их выполнением оператором самостоятельно или с привлечением на договорной основе лицензиатов ФСТЭК не реже 1 раза в 3 года. Эти три года с момента установления нормы истекают как раз в ноябре 2015 года, значит, если банк этого не сделал раньше (а большинство КФУ, по нашим наблюдениям, этого не делало), в 2015 году надо провести проверку выполнения требований к защите персональных данных.

Как мы с вами помним, в соответствии с положением Банка России № 382-П, первая оценка выполнения его требований должна была завершиться не позднее 9 января 2014 года. Периодичность проведения оценок – раз в два года. Значит, до конца 2015 года надо провести и работу по 382-П, и не просто провести, а отчитаться за нее Банку России. Аналогичная работа должна быть проведена и в конце 2017 года, а в 2018 – снова аудит на соответствие СТО БР ИББС с привлечением внешней организации. И так по кругу.

Не будем забывать, что проверка – не самоцель, каждая из них должна заканчиваться анализом полученных результатов и выработкой предложений по результатам проверки, подготовкой и представлением руководству Банка предложений по совершенствованию системы защиты информации и программы аудита, а затем надо обеспечить еще и реализацию всех подготовленных предложений, получив для этого не только «добро» руководства банка, но и необходимые ресурсы.

А между всеми этими проверочными, планирующими и корректирующими мероприятиями должен, как это требует стандарт, вестись непрерывный мониторинг информационной безопасности и контроля защитных мер в банке в целях оперативного и постоянного наблюдения, сбора, анализа и обработки данных для контроля за реализацией положений внутренних документов по обеспечению информационной безопасности в банке, выявления нештатных, в том числе злоумышленных, действий в автоматизированной банковской системе и инцидентов информационной безопасности, а также анализ функционирования системы обеспечения информационной безопасности.

Вот такой вот вечный бой. В заключение – табличка, построенная исходя из того, что внешний аудит проводился банком в 2014 году и первое контрольное мероприятие выполнения требований в защите персональных данных будет в 2015 году.

2014	Аудит соответствия состояния информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014
2015 (до ноября)	Проверка выполнения требований к защите персональных данных при их обработке в ИСПДн и эффективности реализованных в рамках системы защиты персональных данных мер по обеспечению их безопасности
2015 (до 9 января 2016)	Оценка выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств, установленных Положением Банка России от 09.06.2012 № 382-П
2016	Проведение самооценки соответствия информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014
2017 (до 9 января 2018)	Оценка выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств, установленных Положением Банка России от 09.06.2012 № 382-П
2018	Аудит соответствия состояния информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014

И не забудем отправить в Банк России сведения о результатах оценки выполнения требований 382-П, «Подтверждения соответствия организации БС РФ стандарту Банка России СТО БР ИББС-1.0-2014» по результатам аудита и самооценки!