В лабиринтах персональных данных
Автор
Олег Седов
Наличие публичных кейсов по защите ПДн напрямую зависит от числа выполняемых в этой сфере проектов.
Вопросы обеспечения безопасности персональных данных время от времени напоминают бумеранг, от которого тяжело избавиться, так как он постоянно возвращается. Тем не менее эта тема продолжает оставаться актуальной.
Инициативы со стороны регуляторов напоминают движения маятника: сначала от них ждут каких-то внятных трактовок, потом они обескураживают и удивляют, поскольку нужно время на осознание регулирующих документов, а потом приходит понимание, что требования регуляторов в установленные сроки выполнить невозможно. Но так было раньше. Сейчас участники рынка отмечают, что диалог с регуляторами не только возможен, но и носит продуктивный характер.
С этим согласен управляющий партнер консалтингового агентства «Емельянников, Попова и партнеры» Михаил Емельянников. По его мнению, в целом сближение позиций рынка и регуляторов, несомненно, происходит. Все три основных органа федеральной власти, имеющие полномочия на разработку нормативно-правовых актов и осуществление надзорных функций в области персональных данных, так или иначе обращаются к экспертному сообществу. Наиболее последовательно эта тенденция проявляется в деятельности ФСТЭК, которая через свой сайт организовала широкое обсуждение проекта нового приказа по безопасности ИСПДн, а потом провела несколько встреч-обсуждений с наиболее активными специалистами, подавшими свои предложения по содержанию документа. Привлекает представителей экспертного сообщества к формированию своей позиции и Роскомнадзор, как в рамках деятельности Консультационного совета, так и вне его — при подготовке разъяснений по наиболее сложным вопросам применения законодательства. И ФСБ несколько раз приглашала специалистов ранка при подготовке проекта Постановления № 1119.
Однако «проблема в том, что какими бы благими намерениями ни руководствовались регуляторы, они жестко связаны, во-первых, нормами, уже вошедшими в закон и не подлежащими изменению в нормативно-правовых актах, а во-вторых, внутренней политикой ведомств, не допускающей никаких радикальных изменений в нормотворчестве. Поэтому и документы, даже подготовленные с привлечением экспертов рынка, вызывают постоянную критику. По наиболее принципиальным моментам мнение экспертов просто не учитывается в силу изложенных выше причин. А в отношении целей закона и их изменений я придерживаюсь прежнего мнения — закон в нынешней редакции никак не способствует решения поставленной в нем же задачи — защите прав и свобод граждан, а направлен на формирование формальных требований, их проверку и привлечение к ответственности не выполнивших такие требования. При этом с инцидентами все это практически никак не связано и уменьшению их количества никак не способствует».
Андрей Кучеров, руководитель отдела регионального развития ЗАО «Компания «ИнтерТраст», призывает разработчиков информационных систем и пользователей относиться с пониманием к попыткам государства навести порядок в сфере информационной безопасности: «Сегодня как никогда на первый план выходит надежная защита информации в СЭД и обеспечение юридически значимого электронного документооборота. Заказчику проще, да и дешевле выполнить сертификацию или аттестацию своей системы, если входящее в нее программное обеспечение уже имеет сертификат по требованиям безопасности. Большинство систем электронного документооборота обрабатывают информацию, которая не относится к государственной тайне. Следовательно, система электронного документооборота должна соответствовать требованиям по защите от несанкционированного доступа к информации по классу защищенности 1Г или 1Д. Средства вычислительной техники, применяемые в таких системах электронного документооборота, должны соответствовать требованиям по защите от несанкционированного доступа к информации не ниже пятого класса защищенности, а для ИСПДн — по четвертому уровню контроля отсутствия незадекларированных возможностей. Это позволит выполнить основные требования регулятора и создать предпосылки и возможности для обеспечения безопасности. Однако этим нельзя ограничиваться, так как безопасность СЭД зависит от многих факторов, в том числе и от правильной эксплуатацией информационной системы ее владельцем».
По мнению начальника отдела ИБ, компании «Открытые Технологии» Алексея Филатенкова, цели самого федерального закона не изменились, поскольку в самом законе содержатся высокоуровневые требования. Уточнились некоторые формулировки закона. Однако некоторые последние подзаконные акты, например, документы ФСТЭК — результат сотрудничества регулятора с рынком ИБ и сообществом экспертов. «Рынок защиты информации в сфере госсегмента всегда был особенным, потому что здесь никакого творчества не допускается. Все действия регламентированы, решения сертифицированы, мероприятия задокументировны. Инициативы в области защиты ПДн немного отличаются от классической защиты сведений, относимых к компетенциям госорганов, так как по своей сути значительно шире. Произошла парадоксальная ситуация подмены понятий. С одной стороны, персональные данные затрагивают всех нас, и логичнее было бы отдать регулирование этой отрасли на откуп рыночным механизмам. С другой — государство проявило инициативу и самостоятельно установило правила игры. Не очень хорошо, правда, что эти правила постоянно меняются. Несколько раз сдвигались сроки вступления закона в силу, изменяется режим доступа к методическим документам, пересматриваются требования к защите ПДн. Рынок не готов так работать!» — считает Алексей Филатенков.
Где кейсы?
На протяжении всей истории Федерального закона о персональных данных в условиях неясностей время от времени появлялись публичные кейсы о реализации проектов с ПДн. Однако сейчас, когда ясности стало больше, публичных кейсов стало меньше. Почему?
Технический директор департамента информационной безопасности, компании Oberon, Алексей Перевалов, убежден в том, что в условиях неопределенности каждый исполнитель трактовал формулировки закона на свое усмотрение (как мог или как считал правильным). Этим и объясняется большое количество разноплановых предложений как по объему реализации, так и по их способам. После появления разъяснений, предложения, не отвечающие требованиям, ушли с рынка.
Но наличие публичных кейсов по защите ПДн напрямую зависит от числа выполняемых в этой сфере проектов. Елена Козлова, эксперт по защите ПДн Центра информационной безопасности компании «Инфосистемы Джет», считает: «Безусловно, их общее количество сократилось, снизилась и значимость каждого отдельно взятого проекта. Это связано с тем, что в большинстве случаев базовые системы ИБ, учитывающие и необходимость защиты ПДн, уже построены. Сейчас они получают развитие в части модернизации, надстройки, увеличения функциональности созданных систем защиты. Но эти работы не афишируются, так как их значимость обычно несоизмерима с уже выполненным полноценным проектом».
К сожалению, по мнению Алексея Филатенкова («Открытые технологии»), полной ясности в вопросах обеспечения соответствия требованиям регуляторов до сих пор так и нет. «Есть лишь практика прохождения проверок, которые, по моим данным, будут разделены на два типа — для государственных и коммерческих организаций. Публичные кейсы притягивают много внимания. И их публикация, во-первых, это ноу-хау конкретного интегратора, обеспечивающего защиту, во-вторых, не факт, что защита сделана правильно. Согласитесь, факт прохождения проверки говорит лишь о соответствии ряду требований, так сказать, первом шаге на пути к защите данных, а не о реальной защищенности».
Отчасти эту точку зрения разделяет и Андрей Степаненко, директор по маркетингу ООО «Код Безопасности»: «Я не согласен с тем, что сейчас ясности стало больше. Появление публичных кейсов о реализации проектов по защите персональных данных практически прекратилось после принятия последней редакции Федерального закона в июле 2011 года. Это связано с тем, что в новой редакции закона появились новые подходы к классификации систем, обрабатывающих персональные данные, и новые требования по их защите, которые должны были конкретизировать новые документы Правительства России, ФСТЭК и ФСБ. Поэтому неудивительно, что с осени 2011 года многие компании фактически заморозили или не начинали проекты по защите персональных данных до публикации новых требований, чтобы не оказаться в ситуации, когда результаты проекта не будут соответствовать изменившимся требованиям. Но первое Постановление Правительства вышло только в ноябре 2012 года, проект нового приказа ФСТЭК по защите персональных данных был опубликован в декабре 2012-го, документы ФСБ до сих пор в стадии разработки, в результате эти полтора года неопределенности не лучшим образом сказались на ситуации с защитой персональных данных».
По прогнозам директора департамента информационной безопасности группы «Астерос» Сергей Коношенко, можно ожидать роста активности в этом вопросе весной-летом 2013 года, когда будет опубликована очередная редакция требований регуляторов, ожидаются заметные изменения в подходах и требованиях по защите персональных данных.
Постановка задачи
Остается открытым вопрос, как в условиях неопределенности требований регуляторов заказчик ставит задачу сейчас? И чем она отличается от того, что было выполнено на ранних проектах по ПДн и что делать с теми проектами, на которые уже были затрачены средства, силы и время?
По наблюдениям Михаила Емельянникова («Емельянников, Попова и партнеры»), задачи в последнее ставятся гораздо более конкретно. Не «приведение порядка обработки персональных данных и обеспечения их безопасности в соответствие закону», а решение очень четко сформулированных проблем, связанных с особенностями деятельности заказчика. «Мы занимались такими проблемами, как обработка персданных в CRM-системе, обслуживаемой внешним оператором с привлечением к этой деятельности большего количества внешних подрядчиков, организация работы в холдинге, создавшем специализированную компанию для кадрового и бухгалтерского учета всех компаний группы, определение правовых оснований обработки для большого количества субъектов, находящихся в каких-либо отношениях с кредитно-финансовыми, страховыми, медицинскими организациями и т. п. Это совсем другой уровень проектов, не предложение заказчику пакетов типовых нормативных документов, когда меняется лишь название заказчика, для которого она готовится, а глубокий анализ бизнес-процессов, где так или иначе используются персональные данные. А с ранее выполненными проектами ничего особенно делать не надо, лишь чуть подправить их под требования и терминологию новых нормативных правовых актов. Но только при условии, если проекты были сделаны качественно, а не путем «копипаста» документов мясокомбината для банка».
Основная тенденция, которую отмечает Сергей Коношенко, («Астерос»), заключается в комплексности выполнения работ. Заказчика интересует «отработка» всех аспектов проблематики защиты персональных данных: юридические, организационно-технические, финансовые аспекты, а также гарантии «беспроблемного» прохождения проверочных мероприятий со стороны регуляторов — Роскомнадзора, ФСТЭК России и ФСБ России. «Так называемые ранние версии ФЗ, с точки зрения технологии реализации работ по обеспечению безопасности персональных данных, не принципиально отличаются от требований современной правовой базы. Скорее стоит отметить не различие в правовом поле, а меньшую зрелость процессов в период «раннего» ФЗ, реализуемых как непосредственно регуляторами (интерпретация положений законодательства, проведение проверочных мероприятий, вынесение решений и т. п.), так и заказчиками (постановка задач, использование результатов работ) и, конечно, исполнителями. Защита информации — это живой процесс, он требует постоянного совершенствования, учета новых трендов развития рынка защиты информации и обеспечения безопасности от новых угроз. То есть невозможно просто построить систему защиты и «забыть» о ней».
Елена Козлова («Инфосистемы Джет») предлагает в соответствии с подходом к постановке задач всех заказчиков условно разделить на два больших лагеря. Первые — те, кто ориентирован на реальную защищенность с формальным соответствием требованиям закона. Обычно такая постановка задачи подразумевает реализацию крупного проекта с использованием реально работающих технических решений. Вторые предпочитают при минимальных затратах обеспечить соответствие требованиям закона на уровне документов (так называемая «бумажная безопасность»).
В первом случае внедряются средства и механизмы защиты, инвариантные по отношения к ранним или более поздним версиям ФЗ, эффективно функционирующие в любой момент времени. И определенные доработки могут потребоваться не столько с точки зрения изменения каких-то положений закона и подзаконных актов, сколько с точки зрения развития ИТ вообще. Появление новых ИТ-сервисов, новых информационных систем, открытие новых офисов — эти причины, являющиеся логичным результатом развития бизнеса, обусловливают возможные доработки в части защиты ПДн.
Очень тонкий вопрос, уходящий корнями глубоко в терминологию, подметил Алексей Филатенков («Открытые технологии»): «Заказчик может: 1) порой и не знать, что он является оператором персональных данных, 2) знать, что он оператор, но не быть зарегистрированным, 3) быть по сути оператором, но не быть зарегистрированным и согласно букве закона им не являться де-юре. Надо понимать, что львиная доля трудозатрат в проектах защиты ПДн идет именно на организационные мероприятия и методически правильные подходы к ее реализации. Задача заказчиком не декомпозируется и звучит как желание просто соответствовать законодательным нормам. И интегратору предлагается реализовать данный проект полностью или частично. Иногда документы по защите ПДн заказчик берется разработать сам. Старые проектные решения при этом остаются в силе, так как раньше требования были жестче».
Решения для малого бизнеса
До сегодняшнего дня неясным остается вопрос, как соответствовать требованиям регуляторов предприятиям малого бизнеса и социальным учреждениям, у которых нет средств и компетенций собственных сотрудников на реализацию проектов по ИБ?
Ответа на этот вопрос действительно нет, считает Михаил Емельянников: «Бюджетники могут выполнить работы по приведению обработки персданных в соответствие закону только при выделении соответствующих средств и только в том объеме, который соответствует выделенному бюджету. Для них работа разбивается обычно на две части: формирование нормативки и рисование дорожной карты по технической защите, которая будет реализовываться по мере выделения средств. А малый бизнес вообще этим не занимается. Незачем, некому и не на что. При нынешней системе надзора и меры воздействия не очень страшны».
По мнению Елены Козловой («Инфосистемы Джет»), с точки зрения отсутствия компетенции сотрудников в сфере предприятий малого бизнеса и соцучреждений, ничего не изменилось: «Их как не было, так и нет. И скорее всего, они не появятся. Большинство предприятий малого бизнеса и соцучреждений идут по «бумажному» пути обеспечения ИБ, ограничиваясь разработкой необходимых комплектов документов. При этом до внедрения дело доходит редко. Это связано с тем, что внедрение требует финансовых затрат, привлечения лицензиатов к проектированию, поставке и настройке средств защиты, определенных компетенций сотрудников для дальнейшей работы с системой ИБ».
Однако Сергей Коношенко («Астерос») придерживается другого мнения: «На мой взгляд, тема «мы сами неместные, бедные, и у нас нет средств» — это откровенный шантаж и попытки уйти от ответственности. Никто же, например, не дает послаблений предприятиям малого бизнеса и социальным учреждениям, оказывающим услуги населению, связанные с жизнью и здоровьем.
Персональные данные — это очень чувствительная к «беспорядочному использованию» составляющая любого законопослушного гражданина. Что касается социальных учреждений, здесь вопрос, конечно, к государству, которое должно быть озадачено бюджетной и кадровой политикой и не допускать наличия объективных причин невыполнения требований законодательства, связанных с недофинансированием и отсутствием необходимых специалистов. Что касается бизнеса, то приняв решение заниматься оказанием услуг, сопряженных с необходимостью хранения и обработки персональных данных граждан, необходимо четко осознавать уровень связанной с этим ответственности и соответствующим образом выстраивать бизнес процессы».
Алексей Филатенков («Открытые технологии») также не видит в этом вопросе больших проблем: «После того как методические рекомендации по защите ПДН были открыты (снят гриф, позволявший прикоснуться к этим документам лишь тем интеграторам, у которых была соответствующая компетенция и лицензия), на рынке появилось много контор, готовых чуть более чем за тысячу долларов построить ИСПДН для малого предприятия. Основной путь соответствия требованиям ФЗ-152 для таких компаний видится в реализации типовых решений, описание которых есть и в открытом доступе. Упростит задачу также сокращение объема обработки ПДн в ИТ-системах. Первоначально, правда, была идея построить независимого оператора ПДН, который бы в своем регионе продавал услугу по обработке ПДН для СМБ, но рынок распорядился иначе — создать бизнес без гарантий со стороны государства невозможно».
Тем не менее складывается впечатление, что проекты по защите персональных данных становятся ярким примером «бумажной» безопасности. Насколько эту ситуацию можно считать приемлемой или сертификаты есть, а безопасности нет? Ответственность конкретно за утечки фактически не предусмотрена ни одним кодексом, определяющим систему наказаний, за исключением Трудового, допускающего увольнение работника за разглашение персданных других работников. «А когда требуется формальное выполнение формальных требований, каких-либо других результатов, кроме «бумажной» безопасности, ожидать не стоит», — считает Михаил Емельянников («Емельянников, Попова и партнеры»). Для предотвращения инцидентов необходимо установить ответственность именно за их возникновение по вине оператора, а для этого предстоит радикально поменять парадигму закона.
Михаил Емельянников («Емельянников, Попова и партнеры»):
"Когда требуется формальное выполнение формальных требований, каких-либо других результатов, кроме «бумажной» безопасности, ожидать не стоит".
Андрей Кучеров («Компания «ИнтерТраст»):
"Безопасность СЭД зависит от многих факторов, в том числе и от правильной эксплуатацией информационной системы ее владельцем".
Алексей Филатенков («Открытые технологии»):
"С одной стороны, персональные данные затрагивают всех нас, и логичнее было бы отдать регулирование этой отрасли на откуп рыночным механизмам. С другой — государство проявило инициативу и самостоятельно установило правила игры".
Алексей Перевалов («Oberon»)
"Отсутствие инцидента – это «пряник», который хорошо используется предприятием для продвижения себя на рынке. Косвенно отсутствие инцидента может говорить о надежности предприятия, его способности выполнять сложные задачи и решать проблемы на высоком уровне".
Елена Козлова («Инфосистемы Джет»):
"Большинство предприятий малого бизнеса и соцучреждений идут по «бумажному» пути обеспечения ИБ, ограничиваясь разработкой необходимых комплектов документов".
Андрей Степаненко («Код Безопасности»):
"Появление публичных кейсов о реализации проектов по защите персональных данных практически прекратилось после принятия последней редакции Федерального закона в июле 2011 года".
Сергей Коношенко («Астерос»):
"Защита информации — это живой процесс, он требует постоянного совершенствования, учета новых трендов развития рынка защиты информации и обеспечения безопасности от новых угроз".
Опубликовано 27.03.2013
