Взгляд из-за океана: персональные данные – что это?

Европа и Америка готовятся к пересмотру подходов к защите персональных данных. Это, в общем-то, логично. Европейская Конвенция, из-за желания следовать которой (не вполне добровольного) родился российский закон «О персональных данных», была принята в далеком 1981 году, когда интернета, соцсетей и электронной коммерции в современном понимании не было. Да и пластиковые и электронные деньги для большей части населения земли были экзотикой.

Жизнь изменилась, должны меняться и законы. Россия тоже не в стороне от этого процесса. Уполномоченный орган, один известный сенатор и один не менее известный думец постоянно говорят о необходимости достаточно радикального изменения закона и дороге к европейским нормам.

К процессу выработки новых правил активно подключились глобальные интернет-компании, последнее время находящиеся в центре бесконечных скандалов, связанных с приватностью, использованием попавших в их руки данных о гражданах, доступом спецслужб к их серверам, а, следовательно, и к нашим данным. Естественно, что лоббируется максимальная либерализация правил, определяющих порядок использования персональных данных, в первую очередь – доступа к ним, передачи третьим лицам и хранения в течение неограниченного времени без согласия клиентов. Даже одиозный CISPA, головную боль Банка России, и не только его, Google, Microsoft, Yahoo, Cisco, Oracle и Marvell дружно поддержали.

Евгений Бартов разместил перевод весьма интересной статьи Вильяма Бэйкера (William B. Baker) и Энтони Матьяшевски (Anthony Matyjaszewski) ««Персональные данные» и «неперсональные данные»», опубликованной на сайте International Association of Privacy Professionals (IAPP), в которой представлен заокеанский взгляд на то, что же на самом деле требует защиты из неопределенной массы «любой информации, относящейся к прямо или косвенно определенному или определяемому физическому лицу». Специалисты IAPP изучили определения персональных данных в 36 законах о защите данных 30 стран.

Для начала я бы обратил внимание, что в «Директиве Европейского Парламента и Совета Европейского Союза 95/46/ЕС от 24.10.1995 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных» после слов про «прямо и косвенно», так глянувшихся нашим депутатам, идут слова про определение этого самого лица через идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности. А в Европейской конвенции речь идет о «конкретном или могущем быть идентифицированным лице». Все-таки европейские нормы говорят, в первую очередь, именно об идентификации, а не просто об информации, относящейся к кому-то. Она вся к кому-то относится.

Но самое интересное – это вывод авторов о том, что ни один из рассмотренных в исследовании законов не требует, чтобы лицо действительно было идентифицировано. Они либо оставляют такую возможность, используя термин identifiable (поддающийся идентификации), либо конкретизируют, что данные являются персональными, если по ним можно идентифицировать субъекта или с их помощью субъект ПДн поддается идентификации. Таким образом, даже малейшая возможность идентификации лица может быть достаточной для того, чтобы отнести данные к ПДн.

А теперь, после затравки, - про статью. Главный ее посыл в том, что, прежде чем говорить о защите персональных данных, необходимо определиться, что защищать надо, а что вовсе в этом не нуждается. С подачи Джулии Брилл, члена Федеральной торговой комиссии США, использовавшей вынесенные в заголовок термины «персональные данные» (personally identifiable information, PII) и «неперсональные данные» (non-PII) авторы статьи препарируют блюдо, пытаясь разделить в нем собственно котлету и мух.

В результате анализа законодательства уже упомянутых 30 стран (!) авторы приходят к неожиданному для нас с вами выводу, что во всех законах, даже размытых европейских, речь всегда идет об идентифицирующих данных. Вот кто бы это объяснил нашим законотворцам и применителям. За рубежом законодатели иногда даже опускаются до унылого перечисления всего того, что к таким данным относится, создавая фактически исчерпывающие перечни. Порадовал вывод: «Гибкие формулировки [определения ПДн] позволяют адаптироваться к будущим изменениям, но при этом создают неопределенность».

Следующие важнейшие вопросы касаются того, надо ли защищать только зафиксированные на материальном носителе данные, или любые, в том числе, например, просто произнесенные, и какие способы их фиксации влекут необходимость защиты. Нам бы их проблемы. У нас бабушку с внучкой в больнице не принимают, считая, что бабушке без нотариальной доверенности на представление интересов ребенка про ОРЗ внучки знать нельзя.

Следующая глобальная проблема – надо ли защищать ложные сведения о субъекте? Без комментариев. Надо, думают в некоторых странах. И фиксируют это в законах.

Отдельная тема – про публичные личности. Где граница допустимости обработки персданных Барака Обамы (в переводе – Владимира Путина :-)) и есть ли она?

Очень интересный вопрос – рабочая контактная информация. В документах наших клиентов приходилось видеть такие шикарные формулировки, как «допустимость использования имени (имени и отчества) при личном обращении к субъекту на территории предприятия и согласие на это». Это уже жесть, что называется «довели народ до кондиции». Кстати, вопрос использования адреса электронной почты и отнесения почтовых систем к ИСПДн остается весьма нетривиальным.

А как вам персданные только живых или неживых людей, в том числе не рожденных?

Мы в своей практике уже не раз сталкивались с оценкой правомерности обработки персданных умерших субъектов, являвшихся стороной договора с оператором, и оценки правомерности обработки данных их правопреемников, наследников и выгодоприобретателей. И мало не показалось никому.

В оценке идентифицирующих данных крайне интересными являются подходы к отнесению к этой категории данных IP-адресов, как статических, так и динамических, цифровых отпечатков или, например, конфигурации компьютера субъекта, особенностей использования браузеров, шрифтов или кликов мышью.

А как насчет ваших данных, сдаваемых управляющим и ресурсопоставляющим компаниям, операторам связи и прочее-прочее? Они вас идентифицируют? По каким признакам?

Общий вывод и совет интересующимся проблемой. Почитайте. Крайне интересно. Вдруг среди вас окажутся пишущие законы… И мы включимся в общемировой процесс обсуждения этих проблем. Их же все-таки надо решать.

Изменения в законодательстве о персональных данных: почему 14, а не 23 или 17?

Принятый Думой 26 апреля сразу во втором и третьем чтении после почти 8-летнего нахождения под сукном и подписанный 7 мая 2013 г. Президентом Федеральный закон № 99-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона “О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных” и Федерального закона “О персональных данных”» в конечном итоге оказался не очень похож на тот, который прошел первое чтение.

Первоначально предполагалось, что изменения будут внесены в 23 закона, в конечно варианте таковых оказалось чуть больше половины – 14 (в том порядке, как они расположены в законе):

●      «О прокуратуре Российской Федерации»

●      «Об актах гражданского состояния»

●      «О негосударственных пенсионных фондах»

●      «О государственной дактилоскопической регистрации в Российской Федерации»

●      «О государственной социальной помощи»

●      «О государственном банке данных о детях, оставшихся без попечения родителей»

●      Трудовой кодекс Российской Федерации

●      Гражданский процессуальный кодекс Российской Федерации

●      «О системе государственной службы Российской Федерации»

●      «О связи»

●      «О лотереях»

●      «О государственной гражданской службе Российской Федерации»

●      «О муниципальной службе в Российской Федерации»

●      «Об образовании в Российской Федерации».

Какие законы в конечную редакцию не попали? Список тоже очень интересный:

●      «О Федеральной службе безопасности»

●      «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»

●      Воздушный кодекс Российской Федерации

●      «О воинской обязанности и военной службе»

●      «О статусе военнослужащих»

●      Кодекс Российской Федерации об административных правонарушениях

●      «Об электронной цифровой подписи»

●      «Об обязательном страховании гражданской ответственности владельцев транспортных средств»

●      «Об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации»

●      «Об инвестировании средств для финансирования накопительной части трудовой пенсии в Российской Федерации»

●      "О выборах депутатов Государственной Думы Федерального Собрания Российской Федерации"

●      «О выборах Президента Российской Федерации»

●      «О Государственной автоматизированной системе Российской Федерации "Выборы"».

А вот изменения в этих законах, попавших в итоговый документ, при первом чтении вообще не рассматривались:

●      «О государственной социальной помощи»

●      Гражданский процессуальный кодекс Российской Федерации

●      «О муниципальной службе в Российской Федерации»

●      «Об образовании в Российской Федерации».

Можно достаточно долго и подробно рассуждать  на тему, почему это произошло, как отличаются первоначальные предложения от принятых в законе и к чему это ведет, но времени и места для этого нет. Детально с последствиями принятия закона будем разбираться на курсах и семинарах, ближайший из которых пройдет в Учебном центре «Информзащита» 27-28 мая.

Все внесенные изменения я бы разделил на три основных части:

1)    локальные, касающиеся ограниченной группы субъектов, и не влияющие на деятельность основной массы операторов;

2)    уточняющие нормы специальных законов;

3)    носящие принципиально новый характер и изменяющие условия обработки персональных данных.

К первой группе относятся корректировки законов о прокуратуре, о системе государственной службы, о государственной гражданской службе, о муниципальной службе, об актах гражданского состояния, которые уточняют конкретные нормы доступа к персональным данным для соответствующих категорий служащих и их обработки.

Ко второй группе я бы отнес изменения в закон о дактилоскопической регистрации. Однако изменения эти минимальны (теперь прямо сказано, что дактилоскопическая информация – это биометрические персональные данные, и сообщено об обязанности обеспечивать их безопасность и об ответственности за нарушения требований закона, как будто это прямо не вытекает из существовавших уже норм). А вот противоречия в основаниях для обязательной обработки дактилоскопии между частью 2 ст.11 ФЗ «О персональных данных» и ст.9 закона о дактилоскопической регистрации никак не устранены. Жаль, а можно было. Сюда же попадают и изменения в закон «О государственном банке данных о детях, оставшихся без попечения родителей».

Во вторую группу включаю очень полные и подробные новые нормы закона «О лотереях», регламентирующие обработку персданных участников. Чувствуется уверенная рука лоббистов!

Третья группа включает изменения в закон о негосударственных пенсионных фондах, достаточно радикально решающие вопросы получения согласия субъектов персональных данных и передачи их обработки третьим лицам, я об этом достаточно подробно уже писал ранее.

Такого же уровня и значимости изменения внесены и в закон «О связи», освобождающие оператора связи от обязанности получать согласие абонента на передачу его данных иным лицам с целью заключения и исполнения договора.

К этой же группе я отношу изменения в закон «О государственной социальной помощи», наделяющие орган, осуществляющий ведение Федерального регистра лиц, имеющих право на получение государственной социальной помощи (Пенсионный фонд Российской Федерации), полномочиями по определению правил ведения регистра и доступа к информации в нем.

И сюда же, в третью группу, я бы включил и изменения в Трудовой кодекс. Они кажутся минимальными и техническими, но отмена ст.85, определяющей понятие персональных данных работника, представляется весьма неудачной и даже опасной.  В утратившей силу статье обработка персональных данных работодателем четко ограничивалась трудовыми отношениями и конкретным работником, применение же расширительного толкования определения из 152-ФЗ ничего, кроме головной боли, операторам не добавит.

Новая часть ст.29 Гражданского процессуального кодекса наделяет субъекта персональных данных правом подавать иски о защите прав, в том числе о возмещении убытков и компенсации морального вреда по месту жительства истца, что также весьма важно, учитывая количество нарушений, приходящихся на область интернет-коммерции. Вот только активного использования этого права в стране пока не наблюдается.

Отдельного пояснения заслуживают изменения в закон «Об образовании». Уточняя часть 4 ст.98 в части порядка формирования и ведения федеральной информационной системы, региональных информационных систем в системе образования, закон исключает из этой статьи все нормы, предусматривавшие возможность обработки персданных в рамках ЕГЭ без согласия участвующих в процессе субъектов. Это изменение можно было бы только приветствовать, но при одном условии – если бы в нем, наконец, появилась норма, ясно и четко говорящая о том, что для реализации возложенных законом на образовательное учреждение функций и полномочий не требуется получения согласия участников процесса обучения на обработку их персональных данных, необходимых для этого. Очевидно, что школа не может работать без персданных учеников, их родителей и законных представителей. Всем очевидно. Кроме законодателей. И школы, детские сады, колледжи и вузы который год собирают какие-то бессмысленные и нарушающие права граждан согласия на обработку.

Подводя итоги этого обзора, который, к сожалению, не получился коротким, пора ответить на вопрос, вынесенный в заголовок. Отвечаю. А не почему. Просто так получилось. У нас более сотни законов и 250 постановлений Правительства, так или иначе регулирующих обработку персональных данных. Исправили (да и то фрагментарно) 14. Нашлись силы, которые добились изменения именно в них. На остальные, видимо, «толкачей» не объявилось. И когда теперь появятся – неизвестно.

Особого внимания заслуживает тот факт, что внесенные изменения все-таки не коснулись Кодекса об административных правонарушениях, ужесточения наказания не произошло, новых составов правонарушений не появилось, а функции по привлечению нарушителей к ответственности инспекторам Роскомнадзора не переданы. Я отношу это к традиционным для Думы сдержкам и компенсациям. Жизнь некоторым операторам упрощена, изменения сделаны – пока можно ограничиться и этим.

Между тем изменения, и гораздо более серьезные, давно нужны. Несоответствие 152-ФЗ и других законов в части получения согласия субъектов, в том числе – на передачу третьим лицам, а также информирования субъектов о начале обработки данных, полученных от других лиц, коллизии с банковской и врачебной тайной, невозможность реализации своих полномочий без обработки персданных в некоторых видах деятельности и отсутствие оснований их обрабатывать в статьях 6,10, 11 и 12 закона «О персональных данных» требуют регулирования именно законами. И противоречивая практика правоприменения лишь обостряет эти проблемы.

Об искусстве, информации и пропаганде

Насколько далеко можно идти, определяя допустимую и недопустимую информацию для наших детей, да и для нас тоже? Следуя логике наших законодателей, возникает вопрос, а должен ли быть запрещен к распространению, например, роман Л.Н.Толстого «Анна Каренина», суицид в котором – одно из центральных мест, определяющих нравственную позицию главной героини, а также все возможные вариации романа – экранизации, балеты, электронные версии в интернет-библиотеках и т.п.? Допустима ли пропаганда ненависти к социальной группе ростовщиков (банкиров), материальным воплощением которой стал удар топором Раскольникова?

Попытки подменить цензуру, запрещенную российской Конституцией, на многочисленные черные списки со ссылками на еще более жесткое зарубежное законодательство, которое, впрочем, даже не цитируются при обосновании необходимости дальнейшего регулирования (ограничения) контента ресурсов в Интернете, наводят на эти мысли постоянно.

Есть такой город в Черногории – Будва. Фактически центр туристического бизнеса со всеми его атрибутами: отличными многокилометровыми адриатическими пляжами, пиниевыми рощами, бесчисленными ресторанами и ресторанчиками, и, наконец, старым городом, история которого насчитывает две с половиной тысячи лет.

А главным преданием древнего города является легенда о двух влюбленных, давшая имя городу. Искусный каменотес Марко полюбил девушку Елену, родители которой воспротивились браку с неровней. Несчастные влюбленные бросились с городской стены в море, но боги смилостивились над ними и превратили в рыб. Кто-то при этом воскликнул «Ко едно нек буду два!» - «Пусть одним будут эти двое», отсюда и Будва – «буду два». Появилась странная рыба, состоящая из двух половинок, ставшая эмблемой города и размещенная на городской стене (предание, заметьте, никто не запретил по причине наличия суицида).  

В этом году в городе среди прочих бесчисленных летних праздников уже прошел карнавал. А предшествовал ему конкурс детского рисунка на тему городских «духовных скреп», как теперь говорят у нас.

Результаты конкурса вывешены перед крепостной стеной, традиционно являющейся декорацией для главных городских событий. 

Центральное место в экспозиции заняли иллюстрации детей к главной городской легенде и символу города.

Вот, например, признание в любви, слезы отчаяния и принятие трагического решения о смерти вдвоем.  

А вот - последнее мгновение перед шагом с городской стены в море. 

Судя по рисункам, авторы – еще дошкольники.

Наверное, организаторы конкурса тоже думали о детской психике, о недопустимости пропаганды суицида, о нравственном здоровье. Но посчитали все это возможным, и даже важным и полезным. И не было никаких сообщений, что после конкурса кто-то пытался повторить столь радикальное решение вопроса о допустимости встреч юных влюбленных, хотя наверняка не всем родителям черногорских ромео и джульет нравятся избранники их любимых чад. И не одно поколение городских жителей эту легенду с детства знает, и туристам, и туристам, и семьям с детьми тоже рассказывают.

Я к тому, что, может, не стоит запрещать все то, что кажется опасным для детской психики людям, уполномоченным на то государством? Может, родители сами разберутся с допустимостью чтения Шекспира, временем и возможностью знакомства с судьбой бедной Лизы и Катюши Масловой? Ведь выросли же на этих произведениях и мы с вами тоже…

И Интернет здесь совсем ни при чем. В созданных веками произведениях искусства – книгах, фильмах, живописи, гораздо больше того, что подходит под определение ресурсов, доступ к которым в сети должен быть ограничен, чем в созданных специально для размещения на интернет-сайтах. И «Курение мака» Грема Джойса или советские «Вам и не снилось» Галины Щербаковой (повесть) и Ильи Фрэза (фильм) – совсем не про пропаганду наркотиков и смерть (хотя цензура вмешалась в советскую повесть про влюбленных и тогда).  

Может, не надо запрещать так много? Запретный плод вызывает интерес. Провести грань между искусством, информацией и пропагандой иногда очень сложно. Но очень важно в конечном итоге.  

Изменения в законодательстве, связанные с персональными данными. Пока про пенсионные фонды

Законопроект № 217355-4 «О внесении изменений в некоторые законодательные акты РФ в связи с принятием ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных» и ФЗ «О персональных данных» - один из рекордсменов в Государственной Думе. Принятый в первом чтении еще 25 ноября 2005 года, он больше семи лет (!) лежал в дальнем углу ящичка законодателей фактически без всякого движения. Депутаты вспоминали о нем в 2007, 2009 и 2012 годах, предлагая в очередной раз продлить срок подготовки поправок, назначить новых ответственных и соисполнителей.

И вдруг произошел взрыв. 21 марта Правительство на своем официальном сайте разместило полный текст предлагаемых поправок, предлагая сократить число корректируемых законов с первоначальных 23 до 17. Дума активно поработала с текстом, и 26 апреля, оставив в проекте изменения в 14 законов, приняла его сразу во втором и третьем чтениях и передала в тот же день для одобрения в Совет Федерации.

Совфед, презрев выходной день и подготовку к традиционной первомайской посадке картошки, немедленно, в субботу 27 апреля 2013 года принял решение, что рассмотрение закона Советом Федерации не является обязательным, и одобрил поправки. Глава Комитета Совета Федерации по конституционному законодательству, правовым и судебным вопросам, развитию гражданского общества Андрей Клишас пояснил, что поправки, в частности, предусматривают «повышенные меры охраны и защиты персональных данных ограниченного доступа» (ищите здесь).

Как сообщает пресс-служба Совета Федерации, сведения о политических, религиозных и иных убеждениях, членстве в общественных объединениях и профсоюзной деятельности работника без его согласия работодателем обрабатываться не могут, а согласие субъекта персональных данных на предоставление его данных и дальнейшую обработку третьим лицам обязательно. Сенаторы единодушно согласились с этим.

Детальный анализ внесенных изменений требует внимательного и детального их рассмотрения, и лучше его будет сделать не спеша после подписания проекта Президентом. Я же остановлюсь на том изменении, к которому имею самое непосредственное отношение, поскольку готовил его текст и искал проходную для Думы формулировку.

Статья 3 законопроекта радикально меняет статью 15 «Конфиденциальная информация фонда» Федерального закона от 7 мая 1998 года № 75-ФЗ «О негосударственных пенсионных фондах». В новой редакции предусматривается, что фонд вправе получать, обрабатывать и хранить информацию, доступ к которой ограничен в соответствии с федеральными законами, в том числе осуществлять обработку персональных данных вкладчиков-физических лиц, страхователей-физических лиц, участников, застрахованных лиц, выгодоприобретателей и правопреемников участников и застрахованных лиц. При этом фонд не обязан получать согласие вкладчиков, страхователей, участников, застрахованных лиц и выгодоприобретателей на обработку персональных данных в объеме, необходимом для исполнения договора, в том числе – касающихся состояния здоровья указанных лиц и предоставленных ими или с их согласия третьими лицами. Указанная информация может быть передана правопреемникам участников и застрахованных лиц. Фонд вправе поручить обработку персональных данных всех этих субъектов организациям, которые, в соответствии с договором, осуществляют ведение пенсионных счетов, если указание на такие организации содержится в правилах фонда, а также иным организациям, если это необходимо для исполнения пенсионного договора, договора об обязательном пенсионном страховании, договора о создании профессиональной пенсионной системы и не обязан получать согласие субъектов персональных данных на поручение обработки персональных данных всем этим третьим лицам.

Теперь никаких проблем с получением согласия практически всех лиц, чьи данные обрабатываются негосударственным пенсионным фондом, в том числе – о состоянии здоровья, а также с передачей персданных любым третьим лицам в рамках исполнения договора, не требуется. Я считаю это прорывом и свидетельством того, что позитивные изменения вполне реальны. Да и прецедент создан.

Для меня это – самое серьезное личное достижение в законотворчестве. И подтверждение того, что терпение и труд…

На смерть приватности

Может, конечно, она еще не совсем умерла, но при смерти точно. Я уже как-то писал об этом в своем давнем посте, но вопрос заслуживает отдельного рассмотрения.

Как мне кажется, 21 век стремительно уничтожает выпестованный столетиями институт приватности сведений о гражданах. Мы наблюдаем фантастическую, стремительно разворачивающуюся в реальном времени картину изменения характера, фундаментальных взглядов и менталитета людей под влиянием технологий, причем технологий информационных. Я не социолог, но рискну предположить, такого изменения отношения к собственной жизни в течение такого короткого срока человечество еще не наблюдало. Причем атака на личную тайну идет одновременно со всех направлений.

Тайна частной жизни атакуется «снизу» – потому что приватность уничтожают сами люди. Стремительное проникновение во все стороны нашей жизни Интернета и, особенно, социальных сетей, привело к тому, что пользователи сами, добровольно, без всякого принуждения, стали сообщать огромное количество сведений о себе, своих близких, своей жизни неограниченному кругу лиц. Познакомился, поругался, обручился, женился, заболел, поехал в отпуск с указанием не только страны, но и конкретного отеля, с какого вокзала, с кем вместе, какую машину арендовал, что съел и выпил (обязательно с фото), и так без конца и ограничений.

Приватность атакуется «сверху». Трещит по всем швам выкованная тысячелетним опытом банковская тайна, причем трещина пошла не от тоталитарных стран, требующих от граждан полного повиновения, а от совсем недавно бывшей эталоном Швейцарии. Капитулировал еще один недавний образец недоступности банковских счетов – Люксембург. К американскому закону о налогообложении иностранных счетов (FATCA) уже присоединились семь государств (три из них подписали, но не ратифицировали соглашение), еще семь – в стадии активных переговоров (из них два – оффшорные острова Мэн и Джерси), предварительный диалог ведут 17, изучают варианты заключения – 14.

Не отстают и наши законодатели. Вот-вот получат доступ к счетам физических лиц налоговики, а руководитель одного из банковских сообществ и депутат по совместительству вносит в Думу законопроект о расширении круга субъектов, которым могут быть предоставлены сведения, составляющие банковскую тайну, чем ошарашивает даже Правительство.

И, что важно, мы не на финише. Мы в начале процесса.

Боковые атаки на приватность тоже множатся. Знамя запертого в эквадорском посольстве Ассанджа, заварившего эту кашу в мировом масштабе, но пока ограниченного в возможностях, подхватил консорциум журналистов ICIJ, создавший невиданных масштабов базу данных владельцев счетов и фирм в оффшорах Offshoreleaks.

Никто уже не удивляется вываливаемым ежедневно в СМИ и Интернет гигабайтам материалов прослушки и электронных писем кого угодно – от политиков до воров в законе (разница есть не всегда) до шоу-звезд и телеведущих. Никто не удивляется и никто, что для меня более странно, не возмущается. Более того, все эти прослушенные-перехваченные продолжают говорить по обычным сотовым телефонам и слать мыло через публичные серверы.

Видя такую беспредельную толерантность граждан к нарушению приватности, радостно оживают государственные фискалы и спецслужбы, готовые не только воспользоваться данными, явно слитыми кем-то из их коллег , но и под шумок упростить доступ к переписке и разговорам частных лиц.

Не теряют время и крупнейшие компании, построившие свой бизнес в мире, где главный источник информации, главное средство коммуникации и главное место покупок и развлечений – Интернет. Они настойчиво и, похоже, успешно, лоббируют смягчение требований к защите персональных данных в Европе, а пока новые нормы не приняты - строят мощнейшие системы сбора данных о каждом чихе своих клиентов в сети, научившись по кукам и движению мышки определять возраст, пол, цвет кожи, фиксируя каждый посещенный сайт каждую покупку и сливая это рекламным компаниям и продавцам.

Все это – факты, собранные в течение всего одного месяца аналитиками нашего агентства для ежемесячного обзора.

Такой взгляд на приватность фактически поддерживает значительная часть населения, усилиями которой на повестку дня выдвинут безумный лозунг «Честным людям скрывать нечего». Я уже много раз это слышал от вполне адекватных, казалось бы, людей.

Мне кажется, эйфория открытости неизбежно пройдет. Человек – животное стадное, но не до такой же степени. И тогда придется думать, что делать в высокотехнологичном мире, просвечивающем людей получше любого рентгена. Многое можно сделать уже сегодня. Но об этом как-нибудь в следующий раз.

Про лаборатории, кнут, пряник, гадалку и суд

По давней традиции, на два периода - апрель и стык сентября-октября приходится наибольшее количество мероприятий, связанных с информационной безопасностью. Этот год – не исключение. Поэтому приходится выбирать то, что кажется наиболее интересным и близким по содержанию.

18-19 апреля – межотраслевой форум директоров по информационной безопасности VI CISO Forum 2013. Не путать с прошедшим в марте Russian CSO Summit VI, хотя, конечно, их американские доллары удивительно похожи на наши российские баксы.

Дьявол всегда в деталях. Вот за счет деталей и формируется отношение к тому или иному мероприятию. На Форуме, например, сразу четко разбили программу на две части – Лаборатория стратегии и Лаборатория практики. Хотите про проблемы и тренды – вам на стратегию. Хотите про конкретный продукт или услугу из первых рук – пожалуйте на практику. И не пытаются организаторы перемешать вендорские доклады с проблемными, чтобы народ не разбежался. Каждый волен слушать то, что ему ближе. Кстати, в умелых руках и подготовленных устах евангелиста или умного продакт-менеджера выступление про продукт/услугу – не обязательно голимая реклама с бессмысленным набором тактико-технических характеристик, никак не увязанным со сценарием использования. И на продуктовые вебинары, если они правильно организованы, народ в последнее время через Интернет хорошо собирался.

Что еще интересного. Мне лично – послушать про внутренний маркетинг и PR в деятельности службы информационной безопасности в исполнении Константина Коротнева из «Эльдорадо». О том, что надо научиться продавать сервисы безопасности внутреннему заказчику, давно уже говорят. Но мало кто делает. Поэтому и интересно. Или про «психологию внедрения нового» применительно к защите информации от Андрея Ерина из лизинговой компании CARCADE. Пару лет назад фирма, занимающаяся автомобильным лизингом, обратила на себя внимание, вывешивая на HeadHunter несколько месяцев подряд вакансию специалиста по информационной безопасности с весьма привлекательными 150 тысячами оклада. Видимо, не зря так долго искали.

В первый день после обеда Алексей Лукацкий будет вести секцию про мобильность и BYOD, особый интерес в которой для меня представляет участие руководителя направления ИБ «Яндекс» Антона Карпова. Широко известный в узких кругах интересующихся Дмитрий Козюра раскроет волнительную тему лицензирования деятельности, связанной с криптографическими средствами, в новых условиях 99-ФЗ и ПП-313.

Закончится деловая часть первого дня Вечерним дискуссионным клубом, который обсудит естественно, по требованиям трудящихся на ниве защиты, проблемы персональных данных. Состав желающих высказаться на эту животрепещущую тему собирается просто-таки «звездный» (по алфавиту, чтобы ни в чем не обвинили): А.Бондаренко (LETA), А.Волков («Северсталь»), Д.Костров (Минкомсвязи), А.Лукацкий (Cisco), А.Сычев (Банк России), А.Токаренко (традиционно на таких мероприятиях – независимый эксперт) и Д.Устюжанин (Вымпелком). Ну, а следить за порядком в таком представительном сообществе и обеспечивать возможность высказаться всем и примерно поровну попросили меня. Предполагаем, в первую очередь, сосредоточиться на вопросах участников из зала. Их, кстати, можно задать заранее, направив по адресу club@infor-media.ru. В этом случае приоритетное рассмотрение могу гарантировать.

Второй день начнется банковской сессией и параллельно – анализом практики обеспечения безопасности АСУ ТП, рассмотрением интеллектуальной безопасности и SIEM 2.0. После обеда – выходящая на первый план в последнее время проблема безопасности исходного кода, и взгляд на безопасность практика С.Голяка с Магнитки.

Заключительный аккорд Форума – Лаборатория стратегии «Охрана интеллектуальной собственности». Взявшись за его организацию, я поставил задачу рассмотреть самые разные аспекты этой проблемы. Среди обсуждаемых вопросов – защищенный (т.е. допускающий возможность обработки информации ограниченного доступа) юридически значимый документооборот, система мотивации, позволяющая защитить секреты производства пряником, и система контроля с использованием DLP, больше похожая на кнут. Я расскажу, почему при нарушении прав обладателя секрета производства лучше идти в суд, а не к гадалке с вопросом «Что дальше будет?», и как к этому походу подготовиться. Особую пикантность мероприятию придает участие в дискуссии, которая завершит фиксированные выступления, примут последовательный критик DLP-систем Алексей Волков из «Северстали» и Константин Левин, директор по продажам производителя таких систем – компании InfoWatch. Надеюсь, что будет познавательно и не скучно.

До встречи на Форуме.

Grand-2013

А? Как звучит? Героическими усилиями Дмитрия Мацкевича и его команды 28 марта в Holiday Inn Сокольники пройдет Международный Гранд Форум «Вокруг ЦОД, Вокруг Облака, Вокруг IP. Бизнес и информационные технологии». Похоже, несколько сот человек найдут любую интересную для себя тему, связанную с дата-центрами, облаками и всем остальным – от пожаротушения до продажи сервисов, от «зеленых» ЦОДов до стартапов, живущих где-то за облаками, от социальных сетей до оценки облачного рынка в целом.

Что интересно лично мне: про влияние ИТ на успех бизнеса от организатора; про ИТ-инфраструктуру в облаке для распределенной виртуальной компании (звучит-то как!) от Рустэма Хайретдинова, как раз такой компанией и владеющего; про игровые механики для мотивации сотрудников с использованием ИТ-технологий от Алексея Любко из «Пряников»; про BYOD от Дениса Дубровина из Aastra Technologies Limited (как безопаснику, интересно сверить позиции); управление ДИТ как бизнесом при помощи частных облаков от Михаила Козлова из DevBusiness.ru, ну, и кое-что еще.

Все это показалось увлекательным, и мы тоже втянулись. Решили рассказать про грабли, спрятанные в ЦОДе (естественно, про обработку персональных данных в ЦОДе и облаке и про то, как на них не наступить). Так уж сложилось, что законотворчество и технический прогресс идут каждый своими путями, которые почему-то редко пересекаются. Это произошло и у нас с персональными данными. Государственное регулирование их обработки и обеспечения безопасности практически не учитывает особенности работы в Интернете, возможности переноса обработки на технологические площадки коммерческих центров обработки данных и совсем не отражает все большую популярность размещения данных в облачных инфраструктурах. 

В выступлении мы попытаемся найти ответ на вопрос, как в этих условиях добиться соответствия законодательству и, в то же время, не нарушить законные права граждан, чьи данные обрабатываются оператором, кто, как должен и может нарисовать модель угроз, сколько их должно быть и что с ними делать. О мерах на стороне ЦОДа и на стороне его клиента. О криптошлюзах для доступа в ЦОД и причинах ограничения их производительности. Если ребята из латвийского DEAC к этому времени останутся, можно будет поговорить и о трансграничке, ЦОДе за рубежом как площадке для обработки персданных, рисках, регуляторах и возможных проблемах.

Тема более чем актуальная, по оценке нашего агентства. ЦОДов и облаков, предлагающих XaaS для персональных данных, все больше. Хостинг, колокация, дидикейтед – повседневная практика для многих компаний (почему-то чаще зарубежных, работающих на российском рынке, но и об этом пару слов скажем). А вот насколько это вписывается в 152-ФЗ «О персональных данных»– большой вопрос. Поищем ответы вместе. Для этого большие конференции и нужны. 

Сегодня, 20 марта, в 19:15 беседа Виттеля и Емельянникова о кибератаках в Интернете

Сегодня, 20.03.2013, в 19:15 на РБК-ТВ в программе «Виттель. Обозреватель» беседа Игоря Виттеля и Михаила Емельянникова о кибератаках в Интернете.

Ссылка на телеканал: http://rbctv.rbc.ru/live

На пути к безопасному Интернету

Среди того, что я переношу крайне плохо, особое место занимают хамство и воровство. К сожалению, Интернет, предоставляя фантастические возможности в поиске и распространении информации, от этих двух явлений никакой защиты не предусматривает. Более того, анонимность и доступность Интернета часто не просто создают для них условия, но и провоцируют их.

Я не являюсь сторонником идеи о создании какой-то новой, «белой и пушистой» глобальной сети, где строго поименованные паиньки будут мило общаться по самым высоким стандартам английской вежливости, не будут выкладывать чужие объекты интеллектуальной деятельности и ворованные тексты, а запрет на анонимность уничтожит фальсификацию и дезинформацию. Просто не верю в это.

Поэтому решать проблемы придется самим пользователям. Об одном из таких решений – авторской социальной сети «Цифровой автограф» я написал статью в рамках партнерства с ее создателем - компанией «Сигнал-КОМ». И разместил ее в этой самой авторской сети. 

Планирую там же выкладывать и другой накопившийся и создаваемый контент – блоги, фото, видео. С факсимильным автографам и электронной подписью. И раздавать его друзьям и знакомым с дарственными надписями и пожеланиями. Идея показалась мне весьма интересной. А пока приглашаю почитать статью в мультимедийном формате. 

СМС-оповещения о движении средств по счету: всегда ли это безопасно

Купил как-то в Штатах местную SIM-карту. И стали с тех пор на мой номер приходить СМС-ки о состоянии текущего банковского счета прежнего владельца телефонного номера и движении средств по нему в Bank of America. Примерно такие.

Посмеялись мы над забывчивостью владельца, не сообщившего в банк о смене номера мобильного телефона, и, как казалось, история на этом и закончилась.

Но, оказывается, есть банки, с которыми в такие игры лучше не играть.

Примерно такая же история, что и со мной, приключилась с одной юной особой, и не в Америке, а на родных просторах. И банк был несколько другой. И стал он девушке не только об операциях по счету кредитной карты сообщать, но и настойчиво предлагать воспользоваться  услугами «Мобильного банка». Если так предлагают, то почему бы не воспользоваться? Оказалось, чтобы денежки со счета забывчивого предыдущего владельца перевести на свой счет не просто, а очень просто. Надо на заветный короткий номер отправить распоряжение в виде СМС о переводе средств ну, например, на лицевой счет этой самой SIM-карты. И все! Банк, в глаза не видевший ни девушку, ни кредитную карту в ее руках, карточный счет благополучно обнулил, пополнив телефонный счет на ту же сумму. Ну, а дальше еще проще – девушка бежит в «Юнистрим» и полученную сумму благополучно обналичивает.

А банк сообщает о переводе средств не только авантюристке, но и владельцу кредитной карты. Наличие двух номеров, привязанных к счету, и, соответственно, двух подключений «Мобильного банка» к двум разным симкам банк все это время (2,5 года с моменты смены владельцем телефонного номера) нисколько не смущали. На два номера рассылать – так на два. С двух номеров получать распоряжения по средствам – ничего особенного, можем и с двух.

Интерес появился только после опустошения счета и жалобы клиента. Предприимчивая новая владелица SIM-карты свои данные указала честно, ее вычислили, нашли и осудили за кражу по пункту «в» части 2 ст.158 УК (в) (причинение значительного ущерба гражданину). Дело было в богоугодном Дивееве, и, видимо, близость святого места к районному суду сделала самый гуманный суд в мире гуманным до крайности. При максимальном штрафе по этой части статьи в 200 тысяч рублей суд ограничился наказанием в 5 тысяч, то ли посчитав, что сам по себе процесс поспособствовал полному  исправлению, то ли войдя в тяжелое материальное положение воришки, покусившейся аж на 18 с небольшим тысяч. Даже КоАП за мелкое хищение (до 1 тысячи рублей) предусматривает штраф не менее этой самой тысячи до пятикратной стоимости похищенного имущества.

О частном определении  в отношении банка, предоставившего такие невиданно простые возможности для хищения чужого имущества, ничего не сообщается. Видимо, его и не было. О том, что банк после этого перестроил систему мобильного управления счетами, тоже сведений не поступало. В результате возникает вопрос, способствует ли подобный приговор предотвращению краж и не возникает вопрос о том, почему банки так настойчиво добивались (и добились) переноса срока вступления в силу статьи 9 нового 161-ФЗ «О национальной платежной системе», обязывающей возместить клиенту сумму операции, совершенной без согласия клиента после получения уведомления об этом в установленный срок.

В общем, будьте бдительны. Тем более что мошенники ищут все новые и новые способы изъятия денежных средств со счетов и на каждую новую защитную меру в системах дистанционного банковского обслуживания (ДБО) и электронных платежей находят свои контрмеры. Вот и Брайан Кребс, эксперт по компьютерной безопасности, сообщает, что для коммуникаторов на Android’е создана вредоносная программа Perkele, перехватывающая СМС-сообщения, передаваемые системами ДБО. Программа заточена под интернет-банкинг 69 конкретных банков 10 стран (России в этом списке пока нет, а вот относительно зарубежных банков, работающих в России и использующих родные системы ДБО, этого уверенно сказать нельзя). Perkele работает с другой вредоносной программой, которая меняет инструкции в банковском клиенте на смартфоне и от его имени требует установки для двухуровневой аутентификации дополнительную программу (естественно, Perkele). Кребс сообщает, что версия программы для атаки на клиентов одного банка стоит всего тысячу долларов, а полная версия (для 69 банков) – пятнадцать тысяч.

Будьте бдительны!

Бойся инсайдера, в банк приходящего

На пост сподвигли три события. Бурное обсуждение под Магнитогорском безопасно-банковских проблем, в отношении которых есть возможность мнить себя стратегом, видя бой со стороны (в основном, в изложении Алексея Лукацкого). Круглый стол по безопасности систем дистанционного банковского обслуживания на Инфофоруме. И, наконец, последний отчет о правоприменении законодательства о персональных данных за январь 2013 года, который специалисты нашего агентства подготовили для своих клиентов-банков.

Возник какой-то внутренний диссонанс. Представители банковского сообщества в один голос винят во всех смертных грехах «самое слабое звено» - клиента, который неправильно, неумело, коряво и даже просто преступно пользуется предоставленным банком отличным инструментом под названием ДБО, или «клиент-банк», или интернет-банкинг, в результате чего некие злые хакеры или просто плохие парни захватывают контроль над клиентской машиной и от имени клиентов выводят денежки куда-то в «голубое нигде». А потом имеет наглость ждать вступления в силу пресловутой 9-й статьи 161-ФЗ с тем, чтобы заставить банк оплатить свое же головотяпство. При этом, правда, рассказывать клиенту о рисках в полном объеме как-то не комильфо, а то он уйдет к менее щепетильному конкуренту-молчуну. Да и оплачивать повышение осведомленности хорошо бы государству – это же его граждане портачат.

Но вот читаю ежемесячный отчет. И не в первый раз за последний год (я как-то писал на эту тему)  поражаюсь количеству мошенничеств, совершаемых инсайдерами. Т.е. вполне себе легитимными пользователями АБС и прочих банковских систем, где хранится и обрабатывается информация о клиентах, их счетах и с использованием которых совершаются транзакции. Теми, кто после неких проверочных мероприятий (в свете 152-ФЗ не вполне законных обычно, но также обычно проводимых) был принят на работу, которым предоставили доступ к информационным системам (т.е. к деньгам, вроде бы виртуальным, но вполне себе конвертируемым в наличность) и доверили банковскую и коммерческую тайну, да еще и персональные данные до полного комплекта, положили не самую маленькую в стране зарплату и пустили в огород.

А что же они, неблагодарные? Воруют. Деньги – банка и клиентов. Идентификационные данные – пользователей ДБО. Сведения о пластике, позволяющие выпустить карту-двойник или оплатить покупки через Интернет. И вообще, все что плохо и даже хорошо в банке лежит.

Вот сотрудница некоего смоленского банка, к своим 21 годам доросшая аж до кредитного инспектора, несмотря на столь юный возраст отлично приноровилась оформлять кредиты по неизвестно как добытым ее сообщником паспортным данным, приобретать на них не самую дешевую бытовую технику и сбывать ее.

Вот в неведомом мордовском Ковылкине ее коллега запугала пенсионерку, которая уже оформила все документы на кредит, да так, что дама от займа отказалась, а кредит получила сама, предоставив 57-летней несостоявшейся клиентке возможность возвращать банку 90 тысяч рублей.

В подмосковной Рузе менеджер по продажам финансовых продуктов (кредитов) ЗАО «Связной Логистика» оформляла кредитные карты на бывших покупателей, чьи данные остались в базе, и, естественно, сама же их и обналичивала, заработав таким нехитрым способом 700 тысяч рублей.

Менеджер группы отдела обслуживания физических лиц солидного западного банка, работающего в России, вошел в состав преступной группы, главную скрипку в которой играли полицейские, разыгрывающие сложные костюмированные спектакли со снятием наличных по поддельным документам, которые были оформлены на лиц, внешне похожих на VIP-клиентов банка. Сведения о них как раз менеджер и поставлял. Поскольку операция была сложной и многоходовой, ребята не мелочились и снимали суммы миллионов так по 12.

А уж когда за дело берутся инсайдеры на позициях топ-менеджеров банка, масштаб воровства становится соответствующим. Вслед за лишенным лицензии «Трансэнергобанком», феерически быстро оформившим задним числом вклады на безумную сумму группе подельников, прибежавших в Агентство по срахованию вкладов за «полагающимися» пайками, аналогичную комбинацию попытался провернуть АКБ «Экспресс» из солнечного, но загадочного Дагестана.

Это итоги одного месяца. Может, стоит подумать о том, что  слабое звено – не обязательно вне банка? И что масса людей, находящихся к деньгам гораздо ближе клиентов, и к значительно бОльшим деньгам, могут нанести гораздо более значительный ущерб своему работодателю, чем клиенты, для которых механизм возврата средств по мошенническим операциям вновь отодвинут на год? Может, что-то не так в консерватории? Не случайно заместитель начальника ГУБЗИ Банка России А.Сычев говорил о требованиях к DLP- системам, учитывающим банковскую специфику. Враг внутренний всегда гораздо опаснее внешнего.

Защита «на глазок»

Михаил Емельянников, управляющий партнер агентства «Емельянников, Попова и партнеры», — о ситуации вокруг Постановления Правительства РФ № 1119

Николай Смирнов, «Директор информационной службы», № 01, 2013

В но­яб­ре 2012 года всту­пи­ло в силу По­ста­нов­ле­ние Пра­ви­тель­ства РФ № 1119 «Об утвер­ждении тре­бо­ва­ний к за­щи­те пер­со­наль­ных дан­ных при их об­ра­бот­ке в ин­фор­ма­ци­он­ных си­сте­мах пер­со­наль­ных дан­ных». Со­глас­но его тре­бо­ва­ни­ям, опе­ра­то­ру пред­ла­га­ет­ся са­мо­сто­я­тель­но опре­де­лить тип угроз без­опас­но­сти пер­со­наль­ных дан­ных, ак­ту­аль­ных для ин­фор­ма­ци­он­ной си­сте­мы. В по­ста­нов­ле­нии при­ве­де­ны три типа угроз, два из ко­то­рых свя­за­ны с на­ли­чи­ем недо­ку­мен­ти­ро­ван­ных воз­мож­но­стей в ПО. Про­ком­мен­ти­ро­вать из­ме­не­ния и ре­ак­цию на них со сто­ро­ны рос­сий­ско­го биз­не­са мы по­про­си­ли Ми­ха­и­ла Еме­льян­ни­ко­ва, управ­ля­ю­ще­го парт­не­ра кон­сал­тин­го­во­го агент­ства «Еме­льян­ни­ков, По­по­ва и партнеры».

Что но­во­го при­внес­ло По­ста­нов­ле­ние № 1119 в пра­во­вой ланд­шафт РФ?

По­ста­нов­ле­ние при­внес­ло, к со­жа­ле­нию, очень много неожи­дан­но­го. Во-пер­вых, оно по­ка­за­ло, что от­вет­ствен­ным струк­ту­рам можно не вы­пол­нять тре­бо­ва­ния фе­де­раль­но­го за­ко­на и не раз­ра­ба­ты­вать в со­от­вет­ствии с ним под­за­кон­ные акты, а пе­ре­кла­ды­вать ре­ше­ние про­блем на биз­нес. Как из­вест­но, имен­но го­су­дар­ствен­ные ор­га­ны и обя­за­ны со­здать пра­ви­ла, вы­пол­няя ко­то­рые, сле­ду­ет со­блю­дать закон.

Кроме того, об­на­ру­жи­лось, что каж­дый за­ве­ду­ю­щий дет­са­дом, глав­врач или ди­рек­тор ма­га­зи­на долж­ны от­лич­но по­ни­мать, что такое неде­кла­ри­ро­ван­ные воз­мож­но­сти си­стем­но­го и при­клад­но­го про­грамм­но­го обес­пе­че­ния. В за­ви­си­мо­сти от этого по­ни­ма­ния и оцен­ки уров­ня воз­мож­но­стей по­тен­ци­аль­но­го взлом­щи­ка ком­пью­те­ров им пред­ла­га­ет­ся при­ни­мать ре­ше­ния, по­рож­да­ю­щие для вве­рен­ной ор­га­ни­за­ции юри­ди­че­ские последствия.

Что еще пе­чаль­нее, был на­пи­сан до­ку­мент, опре­де­ля­ю­щий по­ря­док за­щи­ты от при­ду­ман­ных ре­гу­ля­то­ра­ми угроз, но не на­зван ни один спо­соб за­щи­ты от них, что опять-та­ки пе­ре­кла­ды­ва­ет про­бле­му на того, кто дол­жен до­ку­мент исполнять.

Как свя­за­но По­ста­нов­ле­ние № 1119 с Фе­де­раль­ным законом

№ 152-ФЗ «О пер­со­наль­ных дан­ных»? И как его вы­пол­не­ние от­ра­зит­ся на тех пред­при­я­ти­ях, ко­то­рые уже по­ста­ра­лись при­ве­сти свои ин­фор­ма­ци­он­ные си­сте­мы в со­от­вет­ствие с су­ще­ство­вав­ши­ми ранее требованиями?

Закон и по­ста­нов­ле­ние свя­за­ны очень четко: по­ста­нов­ле­ние раз­ра­бо­та­но в со­от­вет­ствии с тре­бо­ва­ни­я­ми части 3 ст.19 за­ко­на. Вот толь­ко преду­смот­рен­ный за­ко­ном учет воз­мож­но­го вреда субъ­ек­ту пер­со­наль­ных дан­ных, а также вида де­я­тель­но­сти, при осу­ществ­ле­нии ко­то­ро­го об­ра­ба­ты­ва­ют­ся пер­со­наль­ные дан­ные, в по­ста­нов­ле­нии от­ра­же­ния никак не нашел. Тре­бо­ва­ния же к за­щи­те пер­со­наль­ных дан­ных, ко­то­рые ука­за­ны в по­ста­нов­ле­нии, никак не могут ней­тра­ли­зо­вать, сни­зить или ком­пен­си­ро­вать угро­зы, свя­зан­ные с на­ли­чи­ем неде­кла­ри­ро­ван­ных воз­мож­но­стей при при­зна­нии ак­ту­аль­ны­ми угроз пер­во­го и вто­ро­го типа.

Если опе­ра­тор вы­пол­нил меры по тех­ни­че­ской за­щи­те в со­от­вет­ствии с утра­тив­шим силу Постановлением № 781 от 2007 года, При­ка­зом ФСТЭК № 58 и ме­то­ди­че­ски­ми до­ку­мен­та­ми ФСБ, при­знав для себя ак­ту­аль­ны­ми угро­зы толь­ко тре­тье­го типа, де­лать ему прак­ти­че­ски ни­че­го не при­дет­ся. Речь будет идти лишь о до­ра­бот­ке нор­ма­тив­ной до­ку­мен­та­ции, за­мене акта клас­си­фи­ка­ции ин­фор­ма­ци­он­ных систем пер­со­наль­ных дан­ных на акт вы­бо­ра типа ак­ту­аль­ных угроз и оцен­ку уров­ня за­щи­щен­но­сти. Воз­мож­но, по­тре­бу­ет­ся под­пра­вить част­ную мо­дель ак­ту­аль­ных угроз в со­от­вет­ствии с ожи­да­е­мы­ми до­ку­мен­та­ми ФСБ и ФСТЭК. При­ня­тых мер за­щи­ты в аб­со­лют­ном боль­шин­стве слу­ча­ев ока­жет­ся вполне достаточно.

А вот если ак­ту­аль­ны­ми будут при­зна­ны угро­зы пер­во­го и вто­ро­го типа, что де­лать, се­год­ня не знает, на­вер­ное, никто, вклю­чая ав­то­ров по­ста­нов­ле­ния правительства.

В целом по­ста­нов­ле­ние об­лег­чи­ло или услож­ни­ло жизнь ком­па­ний — опе­ра­то­ров пер­со­наль­ных дан­ных? Какие у него плюсы и ми­ну­сы с точки зре­ния ком­па­ний, вы­нуж­ден­ных ему следовать?

Этого пока нель­зя ска­зать даже пред­по­ло­жи­тель­но. Струк­ту­ра по­ста­нов­ле­ния пред­по­ла­га­ет обя­за­тель­ное при­ня­тие для его ис­пол­не­ния фе­де­раль­ны­ми и ре­ги­о­наль­ны­ми ор­га­на­ми ис­пол­ни­тель­ной вла­сти, Бан­ком Рос­сии, ФСБ и ФСТЭК це­ло­го па­ке­та до­ку­мен­тов. Без этих до­ку­мен­тов по­ста­нов­ле­ние, со­дер­жа­щее массу от­сы­лоч­ных норм, ра­бо­тать не сможет.

Со­мне­ний нет, что ФСБ и ФСТЭК такие до­ку­мен­ты при­мут. А вот что может за­ста­вить это сде­лать фе­де­раль­ные ор­га­ны ис­пол­ни­тель­ной вла­сти, осу­ществ­ля­ю­щие функ­ции по вы­ра­бот­ке го­су­дар­ствен­ной по­ли­ти­ки и нор­ма­тив­но-пра­во­во­му ре­гу­ли­ро­ва­нию, — ни закон, ни по­ста­нов­ле­ние от­ве­тов не со­дер­жат. Непо­нят­но и что де­лать тем опе­ра­то­рам, у ко­то­рых нет ор­га­нов, ре­гу­ли­ру­ю­щих де­я­тель­ность «в уста­нов­лен­ной сфере».

Мо­де­ли по­ве­де­ния опе­ра­то­ров на се­го­дняш­ний день при­мер­но одни и те же — при­знать ак­ту­аль­ны­ми угро­зы толь­ко тре­тье­го типа (не свя­зан­ные с ис­поль­зо­ва­ни­ем зло­умыш­лен­ни­ком неде­кла­ри­ро­ван­ных воз­мож­но­стей) и за­щи­щать­ся по ми­ни­му­му. Су­ще­ству­ю­щие до­ку­мен­ты никак та­ко­му пути не препятствуют.