С 1 сентября 2022 года произошли важные изменения в законодательстве о персональных данных (152-ФЗ)

1 сентября 2022 года вступили в силу июльские поправки в Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных», направленные на повышение защищенности персональных данных граждан от несанкционированного доступа неограниченного круга лиц, а также на усиление государственного контроля в указанной сфере (Федеральный закон от 14 июля 2022 г. № 266-ФЗ).

Что изменилось для операторов ПДн?

Основные изменения касаются обязательного уведомления Роскомнадзора о начале обработки ПДн, экстерриториальности 152-ФЗ и трансграничной передачи ПДн.

Уведомление в Роскомнадзор об обработке ПДн теперь надо будет подавть почти во всех случаях обработки ПДн. Поправками закреплена обязательность форм уведомлений о начале и прекращении обработки ПДн, а также об изменении ранее представленных сведений, которые устанавливаются Роскомнадзором.

Поправки вводят экстерриториальность 152-ФЗ и устанавливают возможность вмешательства уполномоченных органов в вопросы обработки иностранными лицами ПДн российских граждан.

Помимо этого, поправками:

• установлена обязанность операторов ПДн обеспечивать взаимодействие с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (ГосСОПКА), включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн;
• введены дополнительные обязанности оператора по устранению нарушений законодательства, допущенных при обработке ПДн, по уточнению, блокированию и уничтожению ПДн;
• скорректированы требования к согласию на обработку ПД (ранее от такого согласия требовалось быть конкретным, информированным и сознательным. Теперь оно должно быть еще и предметным, а также однозначным);
• уточнены требования к содержанию документов, определяющих политику оператора в отношении обработки ПДн, локальных актов по вопросам обработки ПДн.

Документ, определяющий политику в отношении обработки ПДн, и сведения о реализуемых требованиях к защите ПДн необходимо опубликовать «в том числе на страницах принадлежащего оператору сайта в интернете, с использованием которых осуществляется сбор ПДн».

Уточнены положения, касающиеся обработки биометрических персональных данных и предусмотрен целый ряд иных изменений.

Что нужно сделать Операторам, чтобы соответствовать измененному 152-ФЗ?

Неполный перечень мероприятий, который в сжатые сроки необходимо реализовать операторам ПДн, чтобы не попасть в число нарушителей законодательства РФ в области ПДн, включает в себя следующее:

• Подача уведомление о намерении осуществлять обработку ПДн по установленной Роскомнадзором форме.
• Разработка или актуализация поручения на обработку ПДн.
• Ревизия договоров, стороной которых является субъект ПДн.
• Принятие решения о способе информирования ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн.
• Определение порядка взаимодействия с ГосСОПКА. При необходимости, реализация технического подключения к инфраструктуре ГосСОПКА напрямую или через коммерческие центры мониторинга ИБ.
• Актуализация организационно-распорядительную документацию в части обработки ПДн, реагирования на обращения субъектов ПДн и реагирования на компьютерные инциденты, повлекших неправомерную передачу ПДн.
• Актуализация должностных обязанностей лиц, ответственных за обработку и защиту ПДн.
• Направление в Роскомнадзор по установленной форме уведомления о намерении осуществлять трансграничную передачу ПДн (при осуществлении трансграничной передачи ПДн).
• Актуализация организационно-распорядительную документации в части трансграничной передачи ПДн.
• Получение от иностранных лиц сведения о принимаемых мерах по защите передаваемых ПДн и об условиях прекращения их обработки.
• Проведение оценки вреда субъектам ПДн.

Куда обратиться за помощью?

Компания ГлобалТраст оказывает полный комплекс услуг по приведению организаций, включая их бизнес-процессы и информационные системы, в соответствие с требованиями законодательства и нормативной базы РФ в области персональных данных.

Для получения более подробной информации обращайтесь к нам:

• по телефону: +7 (925) 203-95-11
• по e-mail: info@globaltrust.ru
• через web-форму

GlobalTrust присвоен статус Золотого партнера компании RSA

GlobalTrust присвоен статус Золотого партнера компании RSA. Сотрудничество с RSA, в частности, позволяет GlobalTrust реализовать современную централизованную систему автоматизации процессов менеджмента информационной безопасности в организациях любого размера и сферы деятельности на базе решения RSA Archer IT & Security Risk Management.

Американская компания RSA Security LLC изначально фокусировалась на средствах криптографической защиты информации и была названа в честь своих основателей (Ron Rivest, Adi Shamir и Leonard Adleman) и одноименного криптографического алгоритма RSA, ставшего фактическим стандартом криптографии с открытыми ключами. Среди криптографических продуктов RSA широко известны криптобиблиотека RSA BSAFE и токены аутентификации SecurID. Ежегодно проводится международная конференция по информационной безопасности RSA Conference.

Первоначально RSA была основана как частная независимая компания в 1982 году. В 2006 году она была приобретена EMC Corporation за 2.1 миллиарда долларов, а в 2016 году Dell Technologies приобрела EMC и RSA вошла в состав Dell Technologies. Штаб квартира RSA находится в Бедфорде, штат Массачусетс, США, также имеются многочисленные региональные офисы и представительства по всему миру.

Современная линейка продуктов RSA охватывает следующие направления:

• Детектирование и реагирование на угрозы (Threat Detection & Response)
• Предотвращение мошенничества (Fraud Prevention)
• Управление идентификацией и доступом (Identity & Access Management)
• Управление, риски и соответствие (Governance, Risk & Compliance)

GRC платформа RSA Archer Suite уже несколько лет подряд является лидером рынка по данным Gartner.

Сотрудничество с RSA позволяет GlobalTrust реализовать современную централизованную систему автоматизации процессов менеджмента информационной безопасности в организациях любого размера и сферы деятельности на базе решения RSA Archer IT & Security Risk Management, включающего в себя модули для автоматизации:

• управление активами
• управление инцидентами
• управление рисками
• управление уязвимостями
• управление соответствием
• управление политиками
• и прочее

Обеспечивается интеграция централизованной системы менеджмента ИБ со многими средствами защиты информации через соответствующие коннекторы.

Правовые и неправовые аспекты мониторинга контента: американский опыт

В августовском номере журнала Директор по безопасности опубликована статья экспертов ГлобалТраст под заголовком «Правовые и неправовые аспекты мониторинга контента: американский опыт».

Одной из важных особенностей современных корпоративных сетей является их размер, который зачастую исчисляется тысячами, а и иногда и десятками тысяч компьютеров. При этом деятельность пользователей может быть распределена среди различных компьютеров, а одна и та же проблема часто решается группами пользователей. Важной задачей является контроль работы, как отдельных пользователей, так и групп пользователей.

Основными целями контроля являются: обеспечение информационной безопасности, выявление инцидентов, в том числе выявление случаев некорректного, непрофессионального или нецелевого использования ресурсов, оценка характеристик функционирования корпоративной сети и параметров использования ресурсов.

При этом приоритетной задачей является раннее обнаружение «внутренних вторжений», т.е. выявление действий пользователей, которые могут предшествовать внутренним вторжениям. Чем крупнее организация, тем актуальней является для нее проблема предотвращения внутренних вторжений, в частности кражи и утечки информации, так как именно кража является конечной целью большинства внутренних вторжений. Связано это с тем, что в больших организациях затрудняется контроль над обращением информации и существенно возрастает цена ее утечки. Указанные обстоятельства определяют высокий уровень озабоченности данной проблемой со стороны крупного бизнеса и правительственных структур. Решение данной проблемы заключается в использовании средств электронного мониторинга.

В настоящей статье рассматриваются риски и проблемы, связанные с электронным мониторингом действий работников корпораций в соответствии с законодательством США и сложившейся в этой стране практикой. Цель состоит в том, чтобы повысить осведомленность ИТ и ИБ менеджеров организаций в вопросах применения средств и методов электронного мониторинга и вооружить их лучшими практиками в данной области.

Журнал Директор по безопасности Выпуск 8 (Август) 2019 г.

Читать статью на портале InfoSecPortal.ru