Рецепты безопасности от Емельянникова

Блог российского эксперта в области информационной безопасности, защиты персональных данных, коммерческой тайны, государственного регулирования охраны конфиденциальности. Комментарии к «громким» событиям, связанным с утечкой данных и взломом компьютерных сетей.

30 июня 2011 г.

Писк души

Душа хотела крикнуть, но не смогла. На нее упало снятое с операторов персональных данных новой редакцией ФЗ-152 обременение и придавило напрочь, так что напоследок ей удалось только пискнуть. Видимо, не донесли снятое, и уронили прямо на нее, бедную. Вряд ли теперь стоит называть выносимую на второе чтение, судя по повестке, завтра, 1 июля, редакцию закона «поправками Резника», как все привыкли говорить за последний год. Теперь это не его поправки. То, к чему призывал Владислав Матусович в пояснительной записке и предлагаемых изменениях, снесено могучим ураганом новых редакций статей 18 прим, 19 и 22.

Противоречащих друг другу, местами – здравому смыслу, полностью – той цели, ради которой затевались изменения. Духу закона – тоже: они предполагают передачу уполномоченному органу (а судя по содержанию уведомления – и другим регуляторам тоже) персональных данных лиц, ответственных за безопасность, без всякого на то их согласия, но в случаях, прямо предусмотренных ФЗ-152 в новой редакции.

В повестку пленарного заседания на завтра законопроект попал. Докладывает не В.М.Резник, а В.Н.Плигин, который и настаивал на внесении законопроекта в данном виде. Неужели все-таки вынесут? Неужели все-таки примут? Во втором чтении? Сразу и в третьем? Неужели проигнорируют поручение Президента?

Ждать недолго. Душа истомилась. И даже больше не пищит. Пар вышел вместе с воздухом после обрушения обременений.

Кстати, завтра же во втором чтении принимается законопроект о внесении изменений в законодательство в связи с принятием ФЗ-294 "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля". Текст, принятый в первом чтении, делал законным основанием для проведения внеплановых проверок заявления, жалобы, обращения и пр. субъектов персональных данных, органов власти и СМИ, причем без предварительного уведомления операторов, что предполагало внесение изменений в ФЗ-152. Если ничего не изменится, никаких законных оснований для внеплановых проверок соблюдения законодательства в области персональных данных, по-прежнему, не будет.

Чудны дела твои, Дума…

28 июня 2011 г.

Как рождаются сенсации

Накануне 1 июля - срока окончания работ по приведению порядка обработки персданных в соответствие с ФЗ-152 «О персональных данных» позитивные изменения коснулись и борьбы с незаконным распространением баз данных, которые все эти годы спокойно продавались где угодно, а теперь стали объектом пристального внимания спецслужб.

В ходе изъятия баз они активно осваивают возможности PR, предоставляемые интернетом, а наши журналисты, как обычно, делают из любого мало-мальски интересного информационного повода «настоящую» сенсацию.

Итак, сенсация. Сегодня, 28 июня, в 10:43 портал Газета.ru огорошил страшным сообщением: «В Москве изъяты более 15 тысяч баз данных, содержащих гостайну». Для тех, кто хоть немного знаком с особенностями охраны государственной тайны, – это новость, сшибающая с ног. Джулиан Ассанж и его Wikileaks стоят рядом и плачут кровавыми слезами зависти к торгашам с радиорынков. 15 тысяч баз с государственной тайной! Такого в России и СССР не было никогда.

Учитывая невероятность новости, срочно занялся декомпозицией событий.

Газета.ru ссылается на Interfax. Отнюдь не на первой странице этого новостного ресурса нахожу заголовок поскромнее: «Базы данных, содержащих гостайну и сведения о гражданах, изъяты в ходе спецоперации в Москве». Со ссылкой на пресс-службу ГУ МВД России по Москве, Interfax сообщает, что подразделениями московской полиции совместно с УСБ ФСБ России при силовой поддержке ОМОН проведена операция в торговых комплексах "Митинский радиорынок", "Царицыно" и "Савеловский", где изъято 2,5 тысячи электронных носителей с 15 тысячами баз данных, в которых содержалась персонифицированная информация о гражданах, а также сведения, составляющие государственную тайну.

Т.е. не 15 тыс. баз с гостайной, а всего 15 тыс. баз, среди которых есть и гостайна.

В новостной ленте сайта ГУВД Москвы www.petrovka-38.org об этом событии не нашел ни слова. Зато на сайте ФСБ еще 25 июня опубликован пресс-релиз «В Москве пресечена противоправная деятельность лиц, занимающихся распространением электронных носителей с информационными базами данных», в котором сообщается, что «по совокупности сведений, содержащихся на изъятых электронных носителях, выявляется не только персонифицированная информация о конкретном гражданине, но и данные о его семье, адресе проживания, личном автотранспорте, телефонах, местах работы и другие данные, разглашение которых потенциально несет угрозу не только личной безопасности граждан Российской Федерации, но и безопасности государства в целом. В связи с необходимостью устранения предпосылок к совершению противоправной деятельности, как продавцами указанной продукции, так и администрацией торговых комплексов, попустительствующей реализации баз данных на своей территории, мероприятия будут проводиться на всей территории Российской Федерации». И, что очень важно, проводится работа по локализации негативных последствий, связанных с реализацией подобных баз данных. Хотелось бы надеяться, что локализация приведет к выявлению каналов утечки.

Кстати, обо всей операции очень подробно рассказал и показал фото безымянный участник – сотрудник ОМОН.

Ну, и в заключение, что же отнесли авторы Газеты.ru (а до них никто этой информации не раскрывал) к государственной тайне. Читаем: «Сведения из Единого государственного реестра юридических лиц, идентификационные данные государственных структур». Ну, что такое идентификационные данные государственных структур и как они соотносятся с гостайной – оставим на совести журналистов. А вот про ЕГРЮЛ очень четко прописано в Федеральном законе ФЗ-129 «О государственной регистрации юридических лиц и индивидуальных предпринимателей». В части 1 ст.6 абсолютно четко написано: «Содержащиеся в государственных реестрах сведения и документы являются открытыми и общедоступными, за исключением сведений, доступ к которым ограничен в соответствии с абзацем вторым настоящего пункта». А во втором абзаце речь идет о реквизитах паспорта.

Вот такую нашли журналисты государственную тайну – открытую и общедоступную.

И такие у нас сенсации.

27 июня 2011 г.

Неужели все-таки услышали?!

Первое совпадение всегда воспринимаешь как случайность. 13 июня запостил недоумение по поводу наличия независимо друг от друга существующих проекта В.М.Резника и поручения Президента о разработке нового варианта «О персональных данных», неопределенности ситуации и возможных вариантах развития событий. Ровно на следующий день Дума стремительно выложила законопроект ко второму чтению с рекомендацией принять его 17 июня сразу и в целом. Но о пикантности ситуации задумались, похоже, не только в Думе. И 17 июня законопроект не только не слушали, но решили его не слушать на весенней сессии вообще (если кто-нибудь из депутатов не найдет повод для внеочередного рассмотрения).

Совпадение, наверное.

Затем 16 июня посомневался насчет эффективности принимаемых мер по борьбе с продажей баз данных о гражданах. И вот уже 25 июня СМИ сообщили о том, что на пресечение незаконной торговли нашими персданными поднялись не только МВД, Роскомнадзор и Прокуратура, но и ФСБ, причем об авторских правах госчиновников, которые меня очень удивили, никто уже не вспоминает, а борьбу планируется развернуть не только на четырех московских рынках, но и по территории всей страны.

Опять совпадение - греет. Может, все-таки будем говорить? «Ищите, да обрящете, стучите и отверзется вам». Не я это сказал.

24 июня 2011 г.

Поставщик ИСПДн о защите персональных данных и ФЗ-152: в каком мире он живет?

Похоже, тема параллельных миров в нашей замечательной стране для меня становится то ли трендом, то ли проклятием. Случайно наткнулся в Интернете на статью «Банки не созрели для соцсетей». Заинтересовался очередными откровениями очередного успешного менеджера – уж очень тема увлекательная.

Мария Бар-Бирюкова, директор направления Microsoft Dynamics CRM компании «КОРУС Консалтинг», делится с нами на сайте banki.ru своим видением сращивания систем дистанционного банковского обслуживания (ДБО) и социальных сетей. Такое впечатление, что активное обсуждения ФЗ-152 и проблем безопасности социальных сетей проходило в каком-то другом, недоступном ей мире.

После четырех с лишним лет действия Федерального закона «О персональных данных» от Марии мы сможем узнать:

· что у нас есть закон о защите персональных данных. Мария, нет такого закона! Ну, загляните в «Консультант» или «Гарант», уж если даете интервью!

· что он вступает в силу 1 июля 2011 года. Мария, он действует вот уже 4 года и 5 месяцев! 1 июля истекает срок приведения информационных систем персональных данных (ИСПДн) в соответствие с законом. Если Вы не знаете, система управления взаимоотношениями с клиентами (CRM) – это и есть ИСПДн в самом что ни на есть чистом виде. И в соответствии с «Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» (Постановление Правительства РФ 2007 г. №781), «работы по обеспечению безопасности персональных данных при их обработке в информационных системах являются неотъемлемой частью работ по созданию информационных систем». То есть, строго говоря, именно на этапе внедрения CRM и должны приниматься меры по защите персональных данных;

· что «этот закон также является препятствием для получения сведений без согласия человека». Вообще-то препятствием является Конституция РФ, в соответствии со ст.24 которой сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются;

· что люди не всегда хотят, чтобы о них знали слишком много, особенно о том, что считают самым сокровенным, — о деньгах. Без этих откровений мы все наивно полагали, что люди всегда хотят, чтобы об их деньгах знали все. Совет Марии банкам «заботиться о максимальном удобстве, качестве, быстроте обслуживания клиента и безопасности его данных» выглядит ну просто открытием;

· что «социальные сети – это прекрасный источник новой информации о клиентах, но при этом надо помнить, что информация из социальных сетей не всегда может быть достоверна, а ее некорректное использование приведет к нарушению закона о защите персональных данных, а также двух статей Уголовного кодекса (137-й и 272-й), не говоря уже о том, что репутация будет подмоченной». Очень интересно, как при получении информации из открытого источника (социальная сеть), выложенной самим субъектом персональных данных, деяние может быть квалифицировано как «незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия» (ст.137 УК) или, что еще более интересно, как «неправомерный доступ к охраняемой законом компьютерной информации» (ст.272 УК).

Вывод из всего этого просто потрясает своей глубиной: «Многие специалисты считают, что проблема «прайвеси» в Сети постепенно исчезнет, так как сохранением личных данных в неприкосновенности в основном озабочено старшее поколение пользователей, выросшее «до Интернета», а современная молодежь спокойно относится к интернет-прозрачности». То есть наступит коммунизм в самом что ни на есть классическом понимании: все станет общим. Деньги – тоже.

Хорошо бы поставщику ИТ-решений для бизнеса почитать законы и разобраться в вопросе, каким образом извлечение прибыли как основная цель деятельности его клиентов согласуется со «спокойным отношением» к Интернет-прозрачности их банковских счетов.

21 июня 2011 г.

Особенности обработки персональных данных при организации образовательного процесса

Тема образования партнерам нашего агентства всегда была как-то особенно близка. Несколько реализованных образовательных проектов и 10 лет непрерывного подъема известного учебного центра - у одного партнера, участие в Учебно-методическом объединении вузов РФ по образованию в области информационной безопасности, «подшефный» вуз – у другого. Из песни слова не выкинешь. Да и не хочется.

Поэтому приглашение выступить на eLearnExpo было воспринято почти как мобилизационная повестка. В выступлении были рассмотрены особенности обработки персональных данных обучаемых и требования к их защите в зависимости от исполнителя, места и формы обучения работников, основные проблемы, возникающие при организации этого процесса, документы Рособразования по обработке персональных данных. Было уделено внимание разным вариантам организации обучения – собственными силами, с привлечением сторонних организаций, дистанционно.

Как обычно, на таких мероприятиях, где люди, далекие от проблем информационной безопасности, неожиданно для себя втягиваются в тему, главный вопрос – презентацию дадите? Выставка и конференция достаточно давно закончились, а просьбы относительно презентации продолжают поступать. Для всех, кому интересно – презентация, подготовленная в Консалтинговом агентстве «Емельянников, Попова и партнеры» по проблемам обработки персональных данных при организации корпоративного, дистанционного (и не только) обучения для кадровиков, корпоративных университетов, юристов, специалистов по безопасности, ИТ-специалистов – словом, для тех, кому это нужно или интересно.

Те, кто хочет послушать поподробнее и живьем, может посетить 28 июня вебинар «Выполнение требований закона «О персональных данных» в образовательных учреждениях Российской Федерации», организованный компанией «Код безопасности» (регистрация предварительная).

Private data in education process

19 июня 2011 г.

Детектив «ФЗ-152» становится многосерийным

17 июня, несмотря на рекомендации Думы, законопроект В.М. Резника, предлагающий радикальные изменения ФЗ-152 «О персональных данных» и значительную либерализацию порядка обработки персональных данных, на заседание Думы вынесен не был. Если честно, что-то подсказывало, что так и будет, поэтому в недавнем посте и предлагал считать цыплят по осени. Осень не наступила. И, похоже, раньше календарного срока и не наступит.

Того же 17 июня постановлением Государственной Думы № 5477-5 ГД был утвержден «Календарь рассмотрения вопросов Государственной Думой с 28 июня по 8 июля 2011 года», т.е. до конца весенней сессии. Второго чтения не предусмотрено и там.

Так что ждать придется осенней сессии, если, конечно, опять не произойдет чего-то экстраординарного.

Для справки. Хроника событий.

12 ноября 2009 в Думе зарегистрирован законопроект «О внесении изменений в Федеральный закон «О персональных данных», который, по оценке его автора В.М. Резника, данной в пояснительной записке, реализует подход к регулированию правоотношений в области персональных данных, рекомендованный в ходе Парламентских слушаний «Актуальные вопросы развития и применения законодательства о защите прав граждан при обработке персональных данных», прошедших 20.10.2009. На слушаниях и в принятом по их итогам документе предлагалось ну очень много всего разного, часть из предложений стали основой проекта. В паспорте к законопроекту появляется странная запись о том, что заключения Правительства РФ на законопроект не требуется.

8 апреля 2010, до рассмотрения проекта на первом чтении, тем не менее появляется не заключение, но официальный отзыв Правительства Российской Федерации. Документ весьма интересный. Поддержка законопроекта Правительством обуславливается необходимостью учета при подготовке проекта ко второму чтения сформулированных в отзыве замечаний. Среди них – категорическое неприятие предложений по ограничению полномочий Правительства в части установления требований к обеспечению безопасности персональных данных (ч.2 ст.19 ФЗ-152). Между тем – это одно из главных и принципиальных нововведений законопроекта.

5 мая 2010, после нескольких переносов, законопроект был все-таки принят в первом чтении. Как обычно, предлагалось в течение 30 дней представить поправки к законопроекту.

Через 1 год, 1 месяц и 9 дней, 14 июня 2011, когда весенняя сессия близилась к закату, вдруг появилось предложение профильного комитета уже 17 июня принять законопроект во втором чтении и одновременно в целом, что тоже весьма характерно для заключительных заседаний Думы, когда проектов остается очень много, а времени очень мало.

Спешка несколько странная, но не более того. И, казалось, впереди – хеппи-энд, победа либерализма и торжество «правильных идей».

Но вот, что очень важно – этому предшествовало подписание 2 июня 2011 Президентом РФ перечня поручений по итогам встречи с представителями интернет-сообщества, среди которых – уже широко обсуждавшееся, об ускорении приведение законодательства России в соответствие с требованиями Конвенции Совета Европы и устранение необоснованных обременений для операторов персональных данных.

Вот только актуальность этого поручения после принятия законопроекта Резника оценить было бы очень сложно.

Похоже, что так показалось не только мне.

Как было упомянуто выше, 17 июня законопроект на пленарку вынесен не был. Это же заседание приняло план работы до конца весенней сессии, куда законопроект тоже не попал. Есть, правда, возможность внеочередного рассмотрения.

Видимо, все-таки придется дождаться, пока Минкомсвязи-МВД-ФСБ выполнят поручение Президента, и сравнить редакции. Пленарные заседания Думы в рамках осенней сессии начнутся 5 сентября.

Кстати, в упомянутом перечне поручений Президента есть еще одно, за номером шесть, также касающееся персональных данных, но почему-то практически не обсуждаемое: «МИДу России передать депозитарию ратификационную грамоту о присоединении Российской Федерации к Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных». Срок – один месяц со дня вступления в силу федерального закона о внесении изменений в законодательные акты Российской Федерации, направленных на приведение их в соответствие с международными обязательствами Российской Федерации в сфере защиты персональных данных».

Для справки. Со дня принятия этого закона в первом чтении 21 июня скоро минует ровно … 5 лет и 7 месяцев. Срок предоставления поправок ко второму чтению дважды переносился – в 2007 и 2009. Учитывая, что принятие нового закона в любом варианте неизбежно потребует изменений законодательства, исполнения поручения № 6 придется, видимо, ждать. Как долго?

Детектив под названием «ФЗ-152», который так увлеченно читают вот уже четыре с лишним года, становится увлекательным сериалом. И в нем появляется политическая линия сюжета.

16 июня 2011 г.

Как прекратить торговлю персональными данными

В преддверии 17 июня началось активное обсуждение подготовленного ко второму чтению законопроекта Резника. Поскольку в опубликованном тексте уже ничего изменить нельзя, обсуждать его, как мне кажется, есть смысл уже после принятия. Поэтому сегодня – о другом.

С 9 июня по Интернету кочует перепечатываемая различными СМИ и новостными сайтами информация о рейде ГУВД Москвы и Роскомнадзора в ходе которого на «Горбушкином дворе» изъято 40 дисков «предположительно с базой зонального информационного центра ГУВД Москвы», которыми пыталось торговать неустановленное лицо.

Как сообщает уполномоченный орган по защите прав субъектов персональных данных, «по результатам проведенных мероприятий ГУВД по г. Москве в отношении владельцев торгового павильона возбуждено и направлено в суд дело об административном правонарушении по ст. 7.12 КоАП (нарушение авторских и смежных прав, изобретательских и патентных прав)». Текст во всех источниках практически идентичен, лишь «Ведомости» 14 июня дали свой комментарий к данному событию с привлечением юристов и представителей антипиратских организаций.

В той же информации на сайте Роскомнадзора сообщается, что в ходе предыдущего рейда было изъято 180 дисков с «тематическими подборками» «Прописка», «Резюме 2009», «ГАИ + Полисы КАСКО и ОСАГО», «В Контакте», «Федеральная таможенная служба», «МОСКОМЗЕМ», «Перелёты авиарейсов Сирена», «Федеральный розыск», «Пенсионный фонд», «Роспотребнадзор» и др. Между тем, подобные новости рождают целый ряд вопросов, которые издания, распространяющие новость, почему-то не задают.

Первый вопрос, простой и очевидный – причем здесь ст.7.12 КоАП, авторские и смежные права? Если база установлена лишь «предположительно», чьи конкретно авторские права нарушены? И даже если ее создатель известен – разве у лиц, внесших в нее записи об адресах граждан и их судимостях, возникают авторские права? Или нарушено авторское право ГУВД Москвы? Его ЗИЦ? Чего только не узнаешь…

Второй вопрос тоже достаточно очевидный. Логично было бы предположить, что контрольные и надзорные органы примут меры к установлению источников утечки персональных данных, виновных в этом лиц, оценке разумности и достаточности принимаемых мер защиты и всего прочего. Тем более, что проведенные проверки привели к существенному повышению активности прокурорского надзора («Прокуратура г. Москвы сообщила Роскомнадзору об инициировании сбора от районных прокуроров информации, касающейся состояния законности и прокурорского надзора в сфере исполнения законодательства о персональных данных» - из той же публикации Роскомнадзора). Но об этом – ни слова. Прокуратура тоже собирается заниматься деятельностью только Царицынского, Савеловского, Митинского рынков и ТК «Горбушкин двор». А вовсе не полицией, из которой утекли сведения о судимостях (ЗИЦ), регистрации автомобилей (ГАИ) и лицах, находящихся в розыске («Федеральный розыск»). Или, например, ФМС (подборка «Прописка»).

Т.е. лечить в который раз предлагается не болезнь, а симптомы.

Между тем, закон и Постановление Правительства № 781-2007 г. обязывают надзорные органы заниматься именно болезнью. Так, ст.19 ФЗ-152 требует от ФСБ и ФСТЭК проверки обязательных требований к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, а ст.23 предписывает Роскомнадзору принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований закона. Логично было бы предположить, что в госорганах, откуда данные утекли, их обработка не соответствует обязательным требованиям и осуществляется с нарушением закона.

А Постановление Правительства № 781-2007 г. требует от операторов проведения разбирательств и составления заключений по фактам несоблюдения условий хранения носителей персональных данных, которые могут привести к нарушению их конфиденциальности, разрабатывать и принимать меры по предотвращению возможных опасных последствий подобных нарушений.

Может, именно в эту сторону надо направить энергию контролирующих и надзирающих? И тогда торговать на рынках будет нечем.

13 июня 2011 г.

Все смешалось в доме Облонских

Рунет подозрительно молчит. А между тем, на ниве персданных появились какие-то новые и неожиданные всходы.

После загадочного заявления о наличии у Минкомсвязи собственного варианта ФЗ-152 «О персональных данных» и безуспешных поисков его следов в Думе повторное внесение законопроекта «через Президента» потеряло всякий смысл. Если чего-то нет, его надо создать! Быстро, как никогда, появляется поручение Президента от 2 июня «Ускорить приведение законодательства Российской Федерации в соответствие с требованиями Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных», предусмотрев устранение необоснованных обременений для операторов персональных данных».

Выбор исполнителей этого поручения как-то озадачил. Относительно непосредственного руководителя главного защитника прав субъектов г-на Ситникова, министра всея связи и коммуникаций Щеголева и руководителя уполномоченного органа в области безопасности Бортникова особых вопросов нет – их ведомствам (или находящимся в их глубине структурам) законам нарезаны определенные обязанности, права и полномочия. А вот как в этой компании модернизаторов закона оказалось МВД и его руководитель – большой вопрос. Что это? Радикальная смена парадигмы? Новое течение? А что, собственно, должно по этому поводу предложить МВД, функции которого в реализации прав субъектов равны нулю? Активизировать применение ст.137 УК, карающей за незаконный сбор сведений о частной жизни граждан? Или установить новый порядок проверки персданных южных гастарбайтеров при входе в московское метро? Ну, прост-таки революция!

Вызывает также вопросы требование о приведении нашего законодательства в соответствие с Конвенцией Совета Европы. Весь пафос ФЗ-152 был как раз в том, что мы ее ратифицировали и приняли локальный закон, обеспечивающий правоприменение Конвенции в России. Ан нет?

Масло в огонь подливает заверение общественности со стороны помощника Президента г-на А. Дворковича о том, что больше переносов сроков приведения ИСПДн в соответствие закону (уж какому есть) не будет, если верить Twitter.

Так что вырисовывается новый сценарий. Законопроект Резника – под сукно (или в долгий ящик), срочное создание нового проекта правительства с участием трех указанных выше структур (возможно, не только их), отсутствие отсрочек. При этом, несмотря на явное признание несовершенства закона и наличие обременений для операторов, на второе полугодие проверки защиты персданных в ИСПДн по линии ФСТЭК запланированы и в сводном плане Генпрокуратуры есть. И органы ФСБ тоже предусмотрели проверки «выполнения оператором персональных данных требований по обеспечению безопасности информации с применением шифровальных (криптографических) средств», например, в Управлении Роскомнадзора по Хабаровскому краю. А вот про административные регламенты проверок ФСБ и ФСТЭК пока не слышно.

Сложная закручивается интрига.

10 июня 2011 г.

Сбербанк разрабатывает банкоматы со встроенным детектором лжи

Прочел про новые банкоматы со встроенными детекторами лжи. Ужаснулся. Проверил календарь. Не 1-е апреля. Огорчился. А теперь, по сути, и к слову для планирующих использовать «банкоматы с детекторами лжи».
Принятие решения, порождающего юридические последствия для субъекта персональных данных на основании исключительно автоматизированной их обработки, запрещено ФЗ-152 «О персональных данных», если гражданин не дал письменное согласие на принятие такого решения. Хорошо бы новому банкомату и письменное согласие у субъекта запрашивать.

5 июня 2011 г.

Персональные данные: технари наконец-то передают эстафетную палочку юристам

Встречи с представителями российских банков на семинаре «Сложные проблемы применения законодательства о персональных данных в кредитно-финансовых учреждениях» подтверждают вывод, сделанный ранее и ставший причиной создания этого семинара – проблема соответствия российскому законодательству о персональных данных медленно, но уверенно выводится из ведения специалистов по информационной безопасности и уходит к профессиональным юристам. Т.е. то, что выглядело наиболее логичным с момента принятия закона, со значительным опозданием, но все-таки происходит.

Отбросив явно завышенные требования регуляторов к технической защите в их первых нормативно-методических документах, можно спокойно констатировать, что ничего принципиально нового с точки зрения механизмов защиты информации от операторов никто и не требует. Камнем преткновения остается обязательность сертификации СЗИ, особенно на отсутствие недекларируемых возможностей (НДВ). Но Постановление Правительства № 330-2010, фактически единственный нормативно-правовой акт, где прямо говорится об обязательной сертификации, так и не стало доступным, и большинство операторов махнули на него рукой – невидимый объект не существует. А сертификация на отсутствие НДВ с легкой руки Банка России, движение которой оставило яркий след в СТО БР ИББС, обходится просто и элегантно – по формальным признакам ИСПДн относится к специальным, и тогда вопрос об отнесении ее к конкретному классу является предметом бесконечной дискуссии, поскольку регуляторы ничего внятного по этому поводу так и не сказали. Любое экспертное мнение имеет право на жизнь, но это все-таки не более чем мнение одного конкретного человека.

Все остальное решается более или менее просто, продуктов на рынке достаточно, есть известные «дыры» в требованиях типа проблем безопасности в виртуальной среде или при терминальном доступе, но они существуют и без персональных данных, и решать их так или иначе придется все равно.

С правовыми проблемами гораздо хуже. Они оставались в тени, несмотря на периодические вопли технарей, а сейчас стали выдвигаться на первый план, во многом – благодаря активности Роскомнадзора и его территориальных управлений.

Надо ли получать согласие пациента районной больницы на обработку его персональных данных? Если да, то кому? В каких отношениях с точки зрения ФЗ-152 находится средняя школа, ее ученики и их родители? Должен ли банк иметь подтверждаемое согласие на обработку персональных данных плательщика и получателя при отплате товаров и услуг без открытия банковского счета? Надо ли и можно ли уведомлять выгодоприобретателя по вкладу об обработке его персональных данных банком, если на это нет согласия вкладчика? Является ли медсестра, вносящая под диктовку врача сведения в историю болезни, «лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну»?

Вопросы, первоначально обрушившиеся на совершенно не готовых к ним специалистов по информационной безопасности, наконец-то стали обсуждаться юристами. В последнее время на моих семинарах в среднем был только один технарь из 20 участников-юристов или кадровиков. И очень здорово, что совместными усилиями с правоведами мы выяснили, что персональные данные клиентов банка ни в коем случае нельзя уничтожать в течение трех суток после прекращения договора о предоставлении банковских услуг, поскольку сроки исковой давности требуют их хранения в течение трех лет. Налоговый кодекс, если банк выполнял функции налогового агента, предусматривает четыре года хранения, а закон о противодействии отмыванию незаконно полученных доходов (115-ФЗ) предусматривает, что копии документов, необходимых для идентификации личности клиента банка, подлежат хранению не менее пяти лет со дня прекращения банком отношений с ним. Причем преждевременное уничтожение этих сведений может стать основанием для привлечения к административной и даже уголовной ответственности.

Мы выстроили схему ухода под законодательство об архивном деле для реализации принципа «Знай своего клиента» без нарушений ФЗ «О персональных данных» и придумали рецепты лечения многих других болезней или их симптомов, спровоцированных непроработанностью 152-ФЗ. Без острых, нелицеприятных вопросов правоведов это было бы невозможным. Есть описанные проблемы, есть формализованные пути их решения, объем которых с каждым новым семинаром растет.

Наступает время, когда пироги будет печь пирожник, а сапоги тачать сапожник. Ну, а те, кто успел освоить и то и другое, активно в процессах поучаствуют.

31 мая 2011 г.

Как в воду глядел…

Сколько замечательных литературных штампов было рождено в недавнюю эпоху. Штамп – он потому и штамп, что безусловно верен как вербальное выражение коллективного опыта, по сей причине часто используемое. Сегодня – про идею, овладевшую массами и ставшую материальной силой.

Попытка построить е-правительство любой ценой, не вкладывая в это особо денег (как квинтэссенция: «Реализация Федерального закона «О персональных данных» бюджетных ассигнований не требует» - из пояснительной записки к проекту ФЗ-152) очевидно должна была привести к весьма неоднозначным (я предельно мягок) последствиям.

Они наступили.

Год назад, в комментариях Яне Милюковой из BFM.ru решение ФМС регистрировать граждан по месту жительства, используя электронную почту, я честно сказал: «Электронная почта не защищена в принципе, сообщения передаются в открытом виде, могут быть сравнительно легко перехвачены квалифицированными пользователями сети Интернет или просто прочитаны администраторами транзитных серверов, через которые проходит электронная почта. И без установки на компьютерах граждан специальных программ решение проблемы [безопасности] представляется невозможным. Но этому препятствует приказ МЭР 2009 года № 470, запрещающий установку какого-либо софта на компьютерах граждан для получения ими государственных электронных услуг».

Идея воспользоваться очевидными возможностями овладела массами быстро. В конце апреля этого года наша окружная газета «За Калужской заставой» (теперь это не в Брунее, это в Москве) опубликовала душещипательное письмо гражданки Н.С. из Гагаринского района (обезличиваю персональные данные) о двоих неизвестных, зарегистрировавшихся в ее квартире через ФМС посредством электронной почты. Начальник управления социального развития префектуры ЮЗАО г-жа Р.Пустынникова в той же газете печально согласилась, что «подобные случае нередки…», а обязательное в случае использования электронной почты уведомление о регистрации «вы могли и не заметить и выбросить вместе с рекламной макулатурой, которой заполнены почтовые ящики». Позиция беспроигрышная.

Такой порядок реализует беспрецедентные возможности, предоставленные гостям столицы и ее окрестностей, а также прочих регионов страны, менее продвинутых в ИТ, Постановлением Правительства № 885 от 11.11.2010 г., о последствиях которого я и пытался рассказать корреспонденту BFM.ru. Москвичи не одиноки – примерно то же творится в Питере. ФМС, естественно, заявляет, что все – это галлюцинации квартировладельцев. Самое интересное, что, по мнению адвокатов, добиться отмены регистрации можно только через суд. То есть зарегистрироваться – по электронной почте, а выписать – по решению суда. Сказка.

Вчера тестировал другие возможности сайтов госэлектроуслуг.

На сайте Службы судебных приставов – новые возможности. Теперь о судебном производстве в отношении конкретных граждан можно узнать не только при знании их ФИО, номера паспорта или ИНН. Достаточно ФИО, населенного пункта и названия улицы (без номера дома и квартиры). Работает.

Чтобы попасть в личный кабинет любого физлица-налогоплательщика и узнать обо всех его проблемах с налоговой, достаточно ФИО, ИНН и региона проживания (зачем просят, непонятно – вводится автоматически после ИНН). Все. Где сейчас необходимо указывать ИНН – даже говорить не хочется. Ну, очень конфиденциальные сведения.

Естественно, все «заходы» к приставам и налоговикам идут по HTTPS(OpenSSL, RSA – для понимающих, о чем я). Привет всем, потратившим деньги на сертифицированную криптографию.

Как говаривал незабвенный сатирик товарищ Аркадий Райкин, «успехов всем» в борьбе за сохранность личной тайны, своих прав и размеров коммунальных платежей.

29 мая 2011 г.

Законы – для граждан, права – для чиновников?

Умеют у нас чиновники правильно обставить события и организовать информирование о них. О том, что новый мэр Москвы лично инспектирует вокзалы, дворы и подъезды, знают все – это освещают телеканалы, об этом полно информации в интернете, пишут все московские газеты.

А вот о подписании господином Собяниным 12 мая скромного распоряжения № 376-РП «О базовом регистре информации, необходимой для предоставления государственных услуг в г. Москве» почти никто не знает. Да и обсуждения по этому поводу никто не устраивал.

А зря. Документ очень и очень интересный. В соответствии с ним создается новый информационный ресурс Правительства Москвы, без которого, как полагают авторы распоряжения, услуги москвичам в электронном виде предоставлять будет нельзя, потому как (цитирую): «Базовый регистр является основным источником сведений для принятия и оформления решений, формирования документов, используемых в процессе предоставления государственных услуг».

Не поленюсь перечислить все те сведения о живущих ныне и умерших москвичах, которые будут храниться в регистре: фамилия, имя и отчество, пол, гражданство, дата и место рождения, дата, место и причина смерти, СНИЛС (страховой номер индивидуального лицевого счета в Пенсионном фонде России), ИНН, номер полиса ОМС, СНИЛСы родственников и супругов с указанием родственных отношений, место регистрации с указанием даты начала и конца. Для всех перечисленных сведений указываются также основания – получение фамилии, имени, отчества, смерти и т.п., выдачи соответствующих полисов, учетных и идентификационных номеров. Но это только начало. Дальше – больше. В регистр включаются все сведения об оказываемых жителю столицы мерах социальной поддержки, отношении к льготным категориям с указанием основания, естественно, со всеми датами. Там же будут храниться все сведения о сделках с недвижимостью с указанием данных о сторонах сделок, ограничении и обременении вещных прав на объекты. Но без сведений о движимом имуществе счастье чиновников было бы неполным. Поэтому в регистре будут все сведения о транспортных средствах (те же, что и МРЭО ГАИ, или как они теперь там называются). Ну, и конечно, в реестре должны быть все сведения о доходах каждого гражданина – с указанием источника дохода, конечно, включая доходы от операций с ценными бумагами и финансовыми инструментами, сведения о доходах за пределами страны, а также о доходах от предпринимательской и адвокатской деятельности и частной практике. Ну, и напоследок – все сведения о земельных участках и строительстве на них.

Про то, как будет обеспечиваться информационная безопасность этого колоссального массива исчерпывающей информации о гражданах, по традиции, пара строчек: «Защита сведений Базового регистра осуществляется в соответствии с федеральными законами, иными правовыми актами Российской Федерации». Все. Про персональные данные и о деньгах на защиту – ни слова.

Между тем документ рождает целый ряд вопросов к его авторам.

Федеральный закон о персональных данных категорически запрещает (ст.5) объединение созданных для несовместимых между собой целей баз данных информационных систем персональных данных, что, несомненно, имеет место при создании регистра. Кроме того, ст.13 закона прямо устанавливает, что правовой статус государственного регистра населения, создаваемого в связи с обработкой их персональных данных в государственных или муниципальных информационных системах должен быть установлен специальным федеральным законом. Такого закона пока нет.

Никто не отменял и предусмотренную ст.18 обязанность оператора, получившего персональные данные не от субъекта, а от иных лиц, до начала их обработки этого самого субъекта найти и сообщить ему информацию об операторе, целях и правовых основаниях обработки, пользователях персданных и правах субъекта, например, таких, как возможность отзыва согласия на обработку сведений. Да и требование доказывания оператором наличие согласия субъекта на обработку его данных является одним из краеугольных положений действующего закона, и пока неизвестно, будут ли приняты поправки В.М.Резника, предусматривающие возможность декларирования условия соглашения об обработке персданных путем размещения в форме, доступной для ознакомления неограниченному кругу лиц, или путем его предоставления по требованию.

Хотелось бы узнать, кто, в данном случае, является оператором, каким образом он может подтвердить наличие именно моего согласия (сразу оговорюсь, я его не давал и не дам), а также когда меня начнут информировать о передаче данных между различными органами и организациям ми Москвы.

Речь здесь даже идет не о «большом брате». Он и так смотрит на нас. Я готов начать заключение пари на срок, в течение которого после создания Базовый регистр появится на Горбушке, и Митинском радиорынке и популярном месте торговли базами данных на углу Маросейки и Лубянского проезда – прямо напротив здания президентской администрации. И запуск в оборот еще одного пособия для московских и заезжих домушников без принятия надлежащих мер безопасности меня, как жителя Москвы, тревожит. Что надлежащих мер не будет, сомнений, к сожалению, нет. Читаем пояснительную записку депутата А.Г.Аксакова к законопроекту, в очередной раз передвинувшему создание систем безопасности еще на полгода, до 1 июля: «Выполнение органами государственной власти, органами местного самоуправления, бюджетными организациями требований к информационным системам персональных данных потребует резкого увеличения расходов из бюджетов всех уровней, что неосуществимо в условиях кризиса. Кроме того, сами расходы для приведения информационных систем в соответствие с требованиями закона не предусмотрены Федеральным законом «О федеральном бюджете на 2010 год и на плановый период 2011 и 2012 годов». Вы думаете, депутат сразу побежал изыскивать бюджетные средства? Ничего подобного. Срок сдвинули, и точка. И, похоже, сдвинут еще раз. И еще…

Очень хотелось бы получить по этому поводу комментарии уполномоченного органа по защите прав субъектов. Или его территориального органа. Вроде бы как из закона и административного регламента следует их прямая обязанность на подобные события реагировать. А не только прикрывать сайты, где появились персональные данные г-на Ситникова.

18 мая 2011 г.

Ну, и где это е- в нашем электронном правительстве?

Недавно натолкнулся на любопытное письмо в газету от начинающего бизнесмена. Привожу этот крик души, понятный каждому, обращавшемуся за электронными услугами, с незначительными сокращениями (стилистика автора сохранена).

«Уважаемый редактор,
В этом письме я хотел бы выразить свое разочарование по поводу того, с чем я столкнулся и вытерпел при регистрации новой компании в нашей стране.

1. Начать здесь бизнес не так просто. Вы должны все тщательно спланировать, рассчитать свои усилия и найти стартовый капитал. Но, как оказалось, существуют гораздо более сложные проблемы. Это регистрация в наших госорганах. Пожалуйста, обратите внимание, что в бизнесе потеря времени означает потерю прибыли. Поэтому хотелось бы, что все документы обрабатывались максимально быстро.

Первое, что нужно было сделать – зарегистрировать название компании и получить разрешение на ведение бизнеса. Для регистрации компании потребовалось несколько недель, как будто в наличии всего один чиновник, имеющий право оценивать представленные документы и подписывать разрешения.

2. Несмотря на громкое заявление на сайте госрегистрации о наличии одного окна, в зависимости от характера вашего бизнеса вы должны лично обратиться в несколько различных государственных ведомств, чтобы получить соответствующее разрешение. Мне это представляется неудобным и неэффективным. Не понятно, почему нельзя сделать действительно одно окно для регистрации бизнеса в нашей стране?
Например, чтобы открыть интернет-кафе, после посещения сайта госрегистрации мне нужно лично обратиться в центральный офис для подачи заявки, затем представить в местное отделение поэтажный план помещения и оплатить годовую лицензию в Министерстве связи. Разве это разумно?

3. Специально для ускорения этих процессов был создан широко разрекламированный в последнее время сайт госуслуг, для чего было потрачено масса времени и усилий. Но он фактически не работает! Я не смог на нем ничего зарегистрировать. Кроме предоставления информации, сайт не выполняет никаких других функций. И это заставляет меня задать вопрос: где это самое е- в нашем электронном правительстве?

4. В связи с открытием моя компания хотела бы организовать публичную презентацию в следующем месяце. Для получения разрешения на ее проведение я обратился в Министерство внутренних дел и узнал, что он-лайн заявление подать нельзя. Ну, и где же электронное правительство?

5. После всех этих мучений я решил подать жалобу через официальный сайт правительства. Но этот сайт не работает вообще.

Я не какое-то высокопоставленное лицо, у меня нет связей среди высоких должностных лиц в правительстве. Я просто законопослушный гражданин, пытающийся заработать себе на жизнь в малом бизнесе.

Мне хотелось бы сказать гораздо больше, но я понимаю, что в правительстве все очень заняты, а изменения требуют времени. Я прошу прощения, если был в этом письме немного резок, но я просто хотел добиться исправления недостатков».

Несколько смутило то, что письмо написано на английском языке и в центральную газету Государства Бруней-Даруссалам. Подпись все разъяснила – «Смиренный слуга Брунейского правительства». От сердца сразу отлегло – это не про нас. И потеплело – мы не одиноки. Брунейцы наши проблемы поняли бы.

29 апреля 2011 г.

Кибер-безопасность по-малазийски

Красивая страна Малайзия. Куала-Лумпур – модерновый город с небоскребами под предводительством башен Петронас, историческим центром и национальными кварталами – маленькой Индией, арабским и непременным чайна-тауном, каждый из которых бережно хранит свою самобытность. И люди в этой стране замечательные – всегда улыбаются и искренне не только хотят помочь, но и помогают. Все это способствует бурному развитию туристического бизнеса, и собственно, именно так мы к этой стране в большинстве своем и относимся – еще один экзотический рай для продвинутых европейцев, вездесущих японцев и богатых американцев.

Между тем Малайзия, похоже, значительно обогнала нас не только в чистоте улиц, количестве и скорости строительства небоскребов, числе улыбок на квадратный метр площади. В стране бурно развиваются самые современные технологии. Но, в отличие от России, здесь очень трезво смотрят на происходящее и стремятся проактивно защищаться от угроз, искать новые пути решения и новые ответы на новые вызовы.

В малазийском выпуске газеты The Sun (300 тыс. только печатных экземпляров ежедневно) в каждом номере (!) – две-три статьи по проблемам информационной безопасности. Это отражает происходящее – в Малайзии практически ежемесячно проходят крупные мероприятия по безопасности информационных технологий и противодействию киберпреступности.

Вот события последней недели, которые произошли в период моей бизнес-поездки в эту страну.

На только что закончившемся Пятом саммите по киберпреступности Министерство науки, технологий и инноваций представило 10-й (!) малазийский план противодействия растущим угрозам киберпреступности. В нем масса интереснейших мероприятий, среди которых надо выделить создание Центра помощи пострадавшим от инцидентов с безопасностью – Cyber999, создание специального плагина для интернет-браузеров (пока для Mozilla и Chrom) “DontFishMe”, предназначенного для определения поддельных банковских сайтов и логотипа доверия Trust Mark (как вариант, с использованием цифрового сертификата), который будет размещаться на проверенных (и доверенных) сайтах, обеспечивающих должный уровень безопасности.

Запуск этих отнюдь не дешевых проектов имеет очень четкое обоснование. В созданный центр Cyber999 за первый квартал этого года было 3563 обращения, более 400 из которых связаны с созданием фишинговых сайтов, имитирующих сайты малазийских банков. Общие потери от киберпреступлений, включая фишинговые аферы и мошенничество в электронном банкинге, составили за прошедший год более 900 миллионов долларов.

Между тем, как отмечалось на финансовой конференции, завершившейся в прошедший уикенд, рост мобильного банкинга в стране составляет 200% в год.

На этом фоне компания Tricubes при поддержке правительства страны заявляет о создании к 2014 году системы денежных переводов по электронной почте, причем проблемы обеспечения безопасности специального веб-портала, шифрования трафика, авторизации и аутентификации пользователей являются ключевыми вопросами этого амбициозного проекта. Что интересно, сразу же после объявления о стартапе его начинают обсуждать не только специалисты, но и пресса, причем отнюдь не отраслевая.

Все это делается публично, на основе точно подсчитанной стоимости проектов, размера уже понесенных и возможных в будущем потерь, при активном участии правительственных органов, банков, телекоммуникационных компаний и просто граждан.

При таком развитии событий мы, может быть, и сохраним лидерство в области балета. А вот с безопасностью новых технологий и, главное, приложением усилий для подготовки ответов на новые вызовы информационного мира в далекой Малайзии, похоже, дела обстоят гораздо лучше.

17 апреля 2011 г.

Крупнейшая утечка данных о клиентах у них. А что нам?

Инцидент с глобальной утечкой персональных данных клиентов крупнейших компаний мира из почтовой системы компании Epsilon для России не стал значимым событием. Однако на него, на мой взгляд, стоит обратить внимание: похоже на то, что мир столкнулся с принципиально новой атакой на приватные данные. Очень коротко – суть события, информация о котором прошла 4 апреля.

Крупнейший в мире аутсорсер Epsilon, специализирующийся на электронной рассылке сообщений, отправляет в интересах своих клиентов более 40 миллиардов писем в год. Корпоративные клиенты Epsilon – это более двух с половиной тысяч серьезных компаний, среди которых – U.S. Bank, JPMorgan Chase, Citibank, Visa, Capital One, McKinsey, Ritz-Carlton, Disney, Dell

Australia

и многие другие.

Взлом почтового сервера и хищение данных о клиентах неприятны сами по себе. Однако компания то ли не может установить масштаб инцидента, то ли старательно его скрывает, подчеркивая, что похищены только фамилии, имена и адреса электронной почты пользователей, что по ее мнению, не очень опасно. Такое поведение является весьма типичным - по данным, полученным в исследовании McAfee, большинство компаний неохотно идут на расследование несанкционированных доступов в свои системы, опасаясь имиджевых потерь и просто элементарно экономя – качественное расследование стоит недешево. Каждая седьмая компания вообще не сообщала о проникновении злоумышленников в свою компьютерную сеть или об утечке информации, а о произошедшей утечке и понесенных убытках дает информацию только треть пострадавших. И это на западе, где законодательство значительно строже относится к попыткам скрыть негативную информацию, затрагивающую третьих лиц.

После кражи данных с сервера Epsilon большинство зарубежных экспертов в своих комментариях говорили о том, что сведения о принадлежности списков рассылки конкретным корпоративным клиентам значительно повышают шансы успешного фишинга – письма будут приходить от имени того банка или интернет-магазина, услугами которым получатель реально пользуется. Рик Фергюсон, директор Trend Micro по исследованиям в области безопасности и телекоммуникаций в регионе EMEA, советует клиентам пострадавших компаний внимательно относиться к электронным письмам в течение нескольких месяцев, а, может быть, даже и лет! Яркой иллюстрацией успешности целевого фишинга стал перевод в течение нескольких месяцев американским издательством Condé Nast оплаты за услуги типографии на подложный счет, который был изменен на основании простого электронного письма.

В прошедшую пятницу в сети появилась информация о том, что специалисты WebSense обнаружили на сайте Epsilon подмену веб-страниц. Пользователь, зашедший на сайт, при попытке проверить, была ли украдена его персональная информация, получает предложение загрузить специальную программку безопасности - Epsilon Secure Connect Tool, которая на самом деле является трояном. Еще раз подчеркиваю, все это происходит на официальном сайте пострадавшей ранее компании! Похоже, что атака является многоходовой, и на каждом последующем этапе будут использоваться результаты предыдущих.

Ситуацию существенно ухудшает стремительное повышение защищенности вредоносных программ. Обфускации (шифрованию) теперь подвергаются не просто имена функций, а целые блоки кода, при этом используются весьма стойкие алгоритмы шифрования, такие, как DES, а также механизмы управления электронными правами.

В этих условиях обычными средствами защиты распознать вредоносный код все сложнее и сложнее, а повсеместно применять реверсинг в пользовательских антивирусных программах и системах обнаружения вторжений дорого и сложно технически. В результате используемый направленными атаками вредоносный код не распознается средствами защиты и может работать на зараженной машине месяцами, а может быть, и годами. Чтобы не говорили производители антивирусов, но они пока не успевают за кибер-преступниками.

Мой сосед вчера поставил домашний компьютер на полную проверку. Антивирус в нем никогда не отключается, обновляется ежедневно, иногда даже – несколько раз в день. Нашел 17 вирусов и троянов. А сколько не нашел? И откуда они взялись? Вопросы риторические, ответ очевиден. Но крайне неприятен.

Складывающаяся ситуация требует уже сегодня коренного изменения к безопасности систем, основанных, в первую очередь, на веб-технологиях. Разделение приложений и баз данных, вынос баз данных за дополнительные экраны, сплошное шифрование чувствительной информации – это уже не паранойя. Это реалии сегодняшнего дня для тех, кто действительно думает о защите информации.

10 апреля 2011 г.

Велик могучий русский языка!

Проводил в минувшую пятницу очередной курс по информационной безопасности – для кадровиков, которые часто остаются наедине с проблемами регулирования отношений между работником и работодателем по вопросам охраны коммерческой тайны, обработки персональных данных, особенно там, где айтишники существуют номинально, а безопасники ничем, кроме охраны и сопровождения грузов не занимаются (если они есть вообще). Но речь сейчас не об этом.

А о наших законах, которые наряду с двумя главными общеизвестными бедами нашей страны, похоже, уверенно становятся третьей. Аудитория, перед которой я выступал, особенно благоприятна для свежего взгляда на проблему – для них все это в диковинку, поэтому то, к чему мы уже привыкли, общаясь в профессиональной среде, здесь приходится тщательно разбирать и разбираться.

Долго, хором и поодиночке, читали часть 12 ст. 9 Федерального закона «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (ФЗ-294): «О проведении плановой проверки юридическое лицо, индивидуальный предприниматель уведомляются органом государственного контроля (надзора), органом муниципального контроля не позднее чем в течение трех рабочих дней до начала ее проведения». Я не верю в опечатки в законах. Они проходят через такое количество и таких рук, что опечатка там невозможна в принципе. Так что же тогда имели ввиду авторы под словами «не позднее, чем в течение трех рабочих дней»? Эта фраза на русский язык не переводится никаким образом. За один час предупредить можно? Это же не позднее? А за неделю? Это позднее или раньше?

Это самый яркий образец (умышленного?) лукавства в законе. Но есть и другие, не менее занятные. Закон относит к полномочиям органов контроля разработку и принятие административных регламентов проведения проверок, а также административных регламентов взаимодействия. При этом по просьбе руководителя проверяемой организации должностные лица органа государственного контроля обязаны ознакомить подлежащих проверке лиц с административными регламентами проведения мероприятий. Но вот что интересно. Обязанности разработать регламент закон не устанавливает. На сегодняшний день административных регламентов проведения проверок выполнения требований по защите персональных данных нет ни у ФСБ, ни у ФСТЭК, на которые Федеральным законом «О персональных данных» возложены функции контроля и надзора. 1 июля их представители могут прийти на проверки. Обязаны они иметь регламенты или нет? Вопрос, конечно, интересный.

Дальше – больше. ФЗ-294 обязывает органы контроля и надзора согласовывать планы проверок с прокуратурой, Генпрокуратура и контролирующие органы должны размещать планы проверок на своих сайтах. Такие планы есть. На сайте Роскомнадзора – в явном виде, на сайте Генпрокуратуры – в виде поисковой формы. Они не совпадают! В плане Роскомнадзора проверка конкретной организации есть, в сводном плане Генпрокуратуры – нет. И что из этого следует? Можно проводить проверку или нет? Законна ли она? В ФЗ-294 ответа снова нет. Основанием для признания результатов проверки, проведенной с грубым нарушением закона, недействительными является отсутствие согласования с прокуратурой только внеплановых проверок или отсутствие плановой проверки в плане самого контролирующего органа. Зачем же тогда затевать бодягу с генпрокуратурой?

Жалобы на несоблюдение законодательства в области персональных данных не могут являться основанием для внеплановых проверок – исчерпывающий перечень оснований есть в ФЗ-294. На исправление этого «перекоса» (по мнению регулятора) направлены изменения, принятые в первом чтение Госдумой. Но! Читаем Отчет о деятельности Уполномоченного органа по защите прав субъектов персональных данных за 2009 год (есть на сайте Роскомнадзора, за 2010 год не подготовлен, хотя постановление Правительства требует готовить его до 15 марта. Готовить, но не размещать): «Во втором полугодии отчетного периода необходимо отметить динамику снижения (почти на 50%) количества внеплановых проверок по сравнению с первым полугодием 2009 года. Это напрямую связано с вступлением в силу Федерального закона от 26 декабря 2008 г. № 294-ФЗ «О защите прав юридических лиц …при осуществлении государственного контроля (надзора) …Очевидно, что отсутствие в указанном федеральном законе такого основания для проведения внеплановых проверок в области персональных данных как обращения или заявления граждан на действия (бездействие) Операторов резко снизило эффективность защиты их прав и законных интересов». Т.е. Роскомнадзор знает, что проверять на основании жалобы нельзя. Но проверяет! Правда, в два раза реже, чем хотелось бы…

Ах, как прав был безвременно ушедший Александр Иванов: «Велик могучий русский языка!». На нем можно писать законы, понять которые нельзя, а чиновник, тем не менее, всегда оказывается прав. А все остальные, соответственно, неправы…

8 апреля 2011 г.

Разрешимы ли неразрешимые проблемы персональных данных

Затаив дыхание, специалисты ждут второго чтения законопроекта депутата В.М.Резника и того, насколько радикальными будут изменения в законе «О персональных данных». Между тем, особых надежд на то, что принятие законопроекта снимет все вопросы, порожденные нынешним «неряшливым» законом, питать не стоит. Вряд ли результаты согласования проекта с Правительством приведут к еще большей либерализации норм закона. Скорее, наиболее радикальные предложения Резника будут скруглены и смягчены, а влияние государственных регуляторов на организацию обработки персональных данных сохранится.

Между тем за четыре года действия закона стало очевидно, что основная проблема кроется отнюдь не в построении подсистемы информационной безопасности. Для нее действительно нужны весьма серьезные вложения, да и применение только сертифицированных средств защиты не только усложняет выбор и архитектуру решения, но и отрицательно сказывается на таких потребительских характеристиках, как производительность или пропускная способность. Но что делать - примерно ясно. Хотя и дорого…

А вот с регулированием правовых проблем гораздо хуже. Пока видится, что даже после принятия законопроекта в максимально полном варианте наиболее очевидные вопросы организации обработки персональных данных останутся без ответа. Как построить систему бронирования авиабилетов, если она находится в трансграничном «облаке» монстров типа Sabre или Gabriel, билеты бронирует на большую группу один человек, не подтверждая согласие остальных (персональные данные оператор получает не от субъекта, а от третьих лиц), а для бронирования используется web-форма, в которой получение доказательств согласия субъекта на обработку невозможно в принципе. Надо ли, и если надо – то как, получать согласие получателя платежа - физического лица, если оно банку, осуществляющему платеж, неизвестно в принципе? Как партнеры банков, входящих в систему электронных платежей, должны до начала обработки найти получателя платежа и уведомить его об этом? Как технически сделать невозможным доступ администратора медицинской информационной системы к информации о состоянии здоровья пациента, поскольку если этого не сделать, надо получать письменное согласие пациента на обработку данных не врачом.

Перечень подобных вопросов можно продолжать бесконечно. Какая-то часть из них, может быть, и снимется, если в закон будут внесены понятия конклюдентных действий субъекта, акцепта оферты или декларирования условий обработки. Но далеко не все. Да и застрявший с 2005 года на первом чтении законопроект о внесении изменений в законодательные акты в связи с принятием ФЗ-152 оптимизма не добавляет.

Значит, ответы надо искать сегодня.

Наиболее серьезно к реализации закона отнеслись, пожалуй, в российских банках. Там при активном участии Банка России и ассоциации российских банков наработана значительная практика регулирования вопросов обработки персональных данных, классификации информационных систем, разработки соответствующих нормативных документов. С целью обобщить эту практику, систематизировать найденные решения, как получившие подтверждение регуляторов, так и принятые в силу невозможности изменить существующие бизнес-процессы, мною подготовлен семинар «Сложные проблемы применения законодательства о персональных данных в кредитно-финансовых учреждениях», который состоится 22 апреля. В основе семинара - практический опыт, приобретенный, в том числе, при подготовке ответов на вопросы, направляемые в Консультационный центр Ассоциации российских банков, написании многочисленных статей и участии в спорах и дискуссиях, которых за эти годы прошло немало.

Заявление автора

1. Целью ведения этого блога является исключительно удовлетворение личных образовательных потребностей и интересов его читателей: приобретение знаний, умений, опыта деятельности и компетенции для профессионального развития в сфере информационной безопасности.

2. Комментарии анонимов не публикуются. Хотите обсуждать - представьтесь.

Страницы

30 июня 2011 г.

28 июня 2011 г.

27 июня 2011 г.

24 июня 2011 г.

21 июня 2011 г.

19 июня 2011 г.

16 июня 2011 г.

13 июня 2011 г.

10 июня 2011 г.

5 июня 2011 г.

31 мая 2011 г.

29 мая 2011 г.

18 мая 2011 г.

29 апреля 2011 г.

17 апреля 2011 г.

10 апреля 2011 г.

8 апреля 2011 г.