А что будет за невыполнение требований ФЗ-152 «О персональных данных»?
Ответ банальный:
Лица, виновные в нарушении требований несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную в РФ ответственность.
Ну… это понятно, а что реально?
Придут, посмотрят. Если будут нарушения, выдадут предписание, может быть, будет штраф.
А какой штраф?
Обычно 10 000 – 20 000 рублей.
У-у-у-у… так я буду платить эти штрафы хоть каждый месяц!
Позиция имела бы право на существование, если бы не одно НО.
Для начала история, которую показывали вчера в новостях:
В Ставропольском крае за тонировку стекол сажают.
Схема следующая. Сначала в соответствии с законом инспектор выписывает штраф в размере 100 рублей и выдает предписание, «снять в течение суток не соответствующее госстандарту затемнение».
Если через сутки машину с тонировкой остановят снова, а пленка все еще на месте, наказывать будут уже не за тонировку, а за неисполнение предписания. За это Административным кодексом, а именно статьей 19.3 предусмотрено наказание до 15 суток ареста.
Похожая схема возможна и в случае с персональными данными, только в случае невыполнения предписания включается статья 19.5 КоАП РФ. Мягко говоря, не самая приятная.
Другими словами отмахиваться от 152-ФЗ после получения предписания уже не получится.
Ну и еще одна деталь. Если предписания Роскомнадзора выполнить своими силами в относительно короткие сроки реально, то возможные технические предписания ФСТЭК выполнить сложнее, тем более, если учитывать особенности выделения денежных средств на некоторых предприятиях, когда закупка оборудования планируется за 1-1,5 года.
Ну и самое обидное – чтобы ни произошло, в конечном итоге предписание придется выполнить.
По всей видимости, тема персональных данных будет вновь на первом месте. Большие надежды возлагаю на доклады операторов персональных данных, которые проводили работы самостоятельно. Пока неизвестно кто будет читать доклады, а главное какие, тем не менее, есть шанс услышать что-то неизбитое. Если организационные решения уже давно ясны и новшеств здесь немного, то техническую защиту на просторах нашей родины обеспечивают по-разному, иногда, особенно в крупных компаниях с распределенной структурой, находят очень гибкие и элегантные решения, которые могут удовлетворить и регуляторов и бизнес. К сожалению, о таких интересных проектах удается узнать только неофициально. До сегодняшнего дня операторы очень неохотно делились личным опытом проведенных работ по защите персональных данных на открытых мероприятих. Причины понятны, кто-то не уверен за адекватность результата, кто-то решил «не афишировать» проект и т.п. Может в этот раз что-то изменится? Все-таки почти 2 года обсуждаем…
Все забываю сделать ссылку на свою статью в журнале IT Manager (если долго скачивается можно посмотреть тут). Здесь в свободной манере мы с Александром Саниным пишем об основных изменениях, которые произошли в связи с принятием Приказа ФСТЭК №58 и отменой 2-х документов из «Четверокнижия». Статья полностью актуальна, хоть и вышла несколько недель назад. Занятно, что предположение о возможных изменениях рынка, которые мы делали несколько недель назад, на сегодняшний день полностью подтверждаются:
Проекты станут дешевле, однако их количество может увеличиться в разы, и в целом рынок защиты персональных данных должен увеличиться. К тому же, «смягчение» требований по использованию сертифицированных СЗИ позволит операторам подойти к их выбору с точки зрения повышения уровня информационной безопасности в целом, а не с позиции наличия/отсутствия сертификата. Теперь стало значительно проще выполнять требования по защите персональных данных в рамках комплексного проекта по повышению уровня информационной безопасности (будь то проекты по СТО БР ИББС, PCI DSS или построение СУИБ). Связано это с исчезновением противоречивых требований и дорогостоящих работ, которые создавали препятствия при выполнении требований других стандартов.
Конференция получилась очень интересной, но рассказать даже вкратце о всех выступлениях не получится как бы этого не хотелось. Поэтому расскажу о первых докладах, в которых, по сути, были озвучены основные вехи. Итак, первым докладчиком был Андрей Викторович Емелин Председатель АРБ по правовым вопросам. Рассказал о текущей ситуации в правовой части задачи защиты персональных данных. В целом ничего нового, однако, такие разъяснения на открытую публику выносились впервые, поэтому доклад получился очень интересным, как и вопросы после доклада. Что ж, законопроект Резника внесен в Госдуму и почти точно пройдет первое чтение, с условием внесения поправок ко второму чтению. В данной ситуации сказать плохо это или хорошо, довольно сложно. Дело в том, что лично я не понимаю «massage» этого законопроекта. Факт его принятия в сегодняшнем виде не устранит существующие значимые противоречия, и вполне может быть породит новые. Поэтому к своему сожалению, я совсем не фанат этого документа, хотя некоторым коллегам он нравится больше законопроекта АРБ.
Учет интересов заинтересованных сторон из рабочей группы Минсвязи возможен ко второму чтению, но некоторые коллеги высказали сомнение о возможности учета интересов банков в рамках подготовки законопроекта ко второму чтению. Поэтому, сказать о том, каким будет законопроект в финальной редакции, даже примерно, пока нельзя. А жаль! Без четкого понимания, к какому закону мы идем, очень сложно рассуждать о том, какими должны быть подзаконные акты и уж тем более отраслевые стандарты. Тем не менее, АРБ по этому направлению продолжает работать, а уж что получится в результате, поживем-увидим.
Андрей Петрович Курило подчеркнул приоритетность задачи защиты персональных данных для всех кредитных организаций. Рассказал о том, что произошло за прошедший год и что нас ждет в ближайшем будущем. Доклад очень емкий, в сухом остатке получаем:
Разработана система документов в рамках СТО БР ИББС включающие в себя требование по защите персональных данных. Скачать их можно отсюда. Данные документы пока не получили финального согласования с регуляторами. При этом их можно использовать, т.к. по разным оценкам документы уже согласованы на 95-98%. Система документов будет окончательно согласована до середины мая.
По факту окончания согласования начнется процедура создания саморегулируемой организации, о которой я уже писал.
В пакете документов есть рекомендации по стандартизации, в который включены требования по безопасности персональных данных. Данный документ согласуется с приказом ФСТЭК №58 и со стандартом ISO по защите персональных данных, который разрабатывался на основе 27002-2005.
Все стандарты в РФ носят рекомендательный характер, также как и СТО БР ИББС. Поэтому, для того чтобы не отвечать за исполнение требований закона о персональных данных перед регуляторами в одиночку и по непонятным правилам, кредитным организациям предлагается внутренними приказами ввести ВСЮ систему документов СТО БР ИББС обязательной к исполнению. И в этом случае такие организации начинают руководствоваться своим отраслевым стандартом, который хорошо адаптирован под них.
Вот так.
В очередной раз представителей ФСТЭК не было. Это уже превратилось в привычное явление, хотя, на мой взгляд, такими действиями руководство ФСТЭК оскорбляет своих коллег. Почти все участники конференция в кулуарах высказывали свое недовольство позицией и действиями ФСТЭК. В отличие от Роскомнадзора и ФСБ, работать с ними очень тяжело. Поэтому основной риск применения норм закона о персональных данных исходит именно от этого регулятора.
Александр Павлович Баранов сделал интересный доклад, мне запомнилась его позиция по вопросу контроля операторов персональных данных. Проверять банки как таковые очень затратно по ресурсам и не очень эффективно, поэтому предлагается проверять саморегулируемую организацию, а проверку операторов проводить только по факту наличия жалоб. Естественно на вопрос о возможности использовать несертифицированные средства ответ был простой – сертификат обязателен.
По-хорошему улыбнула ремарка Грициенко Андрея Александровича насчет вчерашнего репортажа на Первом канале.
Ну вырвали они комментарий из контекста, так это ж не со зла :
Для нас это режет слух, а для целевой аудитории Первого канала все было нормально.
Проснулся в 4 утра от звонившего телефона. На той стороне университетский друг, который живет в Томске:
- Привет! Завтракаю и смотрю тебя по телевизору…)))
- Сколько?
- Что сколько?
- Времени сейчас сколько?
- Уже 7 утра.
- А в Москве?
- …. Ой! А ты спишь?..
- )))
Пришлось просыпаться, т.к. следом позвонил еще один зритель Первого канала.
Недавно помогал коллегам с Первого канала в съемке репортажа по теме защиты персональных данных. Так вот сегодня этот репортаж вышел.
Помимо самого интервью, мы съездили на Савеловский рынок и со скрытой камерой пообщались с продавцами баз данных. Найти их оказалось совсем не трудно. Прямо при входе на рынок висит табличка «БАЗЫ ДАННЫХ», тут же стенд с дисками. Чего там только нет… базы ФНС, ФССП, ГИБДД, Пенсионный фонд, МТС, Билайн и т.п. Видимо «до кучи» продается база vkontakte.ru . Продавцы оказались настолько милы, что показали заинтересовавшие базы в работе. «Наколки» не нашел, все что запускали – работает. На прилавке есть как старые базы, вроде базы ГИБДД до 2008 года, так и совсем свежие. Для некоторых есть обновления вплоть до марта месяца текущего года. Цены порядка 1500 рублей за диск. Дешевле купить оптом, а еще лучше принести свой винчестер для записи на месте. В этом случае за терабайт всех баз данных, которые у них есть, с меня попросили 25 000 руб. Думаю, что если поторговаться, то можно легко скинуть до 10 000-15 000 руб. Как показал этот случай, именно столько сейчас стоит исчерпывающая информация о гражданах РФ.
:
Проснулся в 4 утра от звонившего телефона. На той стороне университетский друг, который живет в Томске:
Последние комментарии