Персональные данные и 152-ФЗ в курсовой по ИБ
Кто такой оператор персональных данных, реестр Роскомнадзора, уровни защищённости, категории данных и типовой раздел о защите ПДн в дипломе.
Почти любая информационная система в дипломе хранит фамилии, телефоны или адреса — значит попадает под 152-ФЗ. Раздел о защите персональных данных требуют всё чаще, и написать его несложно, если понимать структуру закона.
Основные понятия
| Термин | Значение |
|---|---|
| Персональные данные | Любая информация, относящаяся к определённому или определяемому физлицу |
| Оператор | Тот, кто организует и осуществляет обработку — организация, ИП, госорган |
| Субъект | Человек, чьи данные обрабатываются |
| Обработка | Любое действие: сбор, запись, хранение, уточнение, использование, удаление |
| ИСПДн | Информационная система персональных данных — совокупность данных и средств их обработки |
Категории персональных данных
- Общедоступные — те, к которым субъект дал согласие на неограниченный доступ.
- Иные (обычные) — ФИО, телефон, адрес, email. Самая частая категория в учебных системах.
- Специальные — раса, национальность, политические взгляды, здоровье, судимость. Обработка ограничена жёстко.
- Биометрические — фото, отпечатки, голос, используемые для установления личности.
Реестр операторов
Оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные и попадает в публичный реестр. Реестр открыт: по нему проверяют, зарегистрирована ли организация. Для курсовой достаточно указать, что уведомление подаётся до начала обработки, и перечислить сведения из уведомления: цель, категории данных, перечень действий, сроки, меры защиты.
Уровни защищённости
Постановление Правительства № 1119 задаёт четыре уровня защищённости. Уровень определяется категорией данных, типом актуальных угроз и количеством субъектов.
| Уровень | Когда применяется | Примеры мер |
|---|---|---|
| УЗ-4 | Иные ПДн, менее 100 000 субъектов, угрозы 3 типа | Режим помещений, учёт носителей, назначение ответственного |
| УЗ-3 | Специальные или более 100 000 субъектов | Плюс сертифицированные СЗИ, регистрация событий |
| УЗ-2 | Специальные ПДн, угрозы 2 типа | Плюс контроль доступа, криптозащита каналов |
| УЗ-1 | Специальные ПДн, угрозы 1 типа | Максимальный набор, включая контроль НДВ |
Что писать в разделе диплома
- Определить, какие ПДн обрабатывает ваша система, и отнести их к категории.
- Определить количество субъектов и тип актуальных угроз.
- Обосновать уровень защищённости по 1119.
- Перечислить организационные меры: приказ о назначении ответственного, политика обработки, согласия субъектов, инструкции пользователям.
- Перечислить технические меры: разграничение доступа, парольная политика, журналирование, резервное копирование, шифрование канала.
- Указать сроки хранения и порядок уничтожения данных по достижении цели обработки.
Согласие субъекта
Согласие должно быть конкретным, информированным и сознательным. В форме на сайте это означает: отдельный чекбокс без предустановленной галочки, ссылка на политику обработки, перечисление целей. Формулировка «продолжая пользоваться сайтом, вы соглашаетесь» для персональных данных недостаточна.
Частые вопросы
Нужна ли политика обработки ПДн для учебного проекта?
Юридически — если система реально работает и собирает данные людей, да. В дипломе достаточно приложить её проект как приложение.
Обязательно ли хранить данные россиян в России?
Да, статья 18 требует, чтобы первичные сбор, запись и хранение велись в базах на территории РФ. В работе это обосновывает выбор российского хостинга.