Защита персональных данных и не только

Ну и напоследок цитата из статьи 10.1 "Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения". Проблема не в том, чтобы брать в обработку персональные данные, разрешённые для распространения из открытых источников, а в том, чтобы удалять их по первому требованию субъекта и в обозначенные сроки.

Следующий момент. Учитывая ситуацию с судебными разбирательствами, мы можем предположить, что сайт организации был приведен в полнейший порядок (либо он и ранее был в порядке). Можно брать пример.

Коллеги, несу вам определение Конституционного Суда РФ. Оно касается обжалования п. 6 и 7 ч. 1 статьи 6 ФЗ "О персональных данных". КС РФ не нашел противоречия этих пунктов Конституции. Поэтому прежнее судебное решение осталось в силе. Вообще, конечно, весьма любопытный случай. Имея требование от субъекта удалить персональные данные, оператор пытается оспорить законность положений ФЗ 152 в принципе.

Хочу обратить ваше внимание на появление термина "верификация адаптированных базовых мер" в новом документе. Термин не расшифровывается и ранее не упоминался. Возможно, будет какое-то пояснение, каким образом оператору нужно правильно верифицировать, и что понимается под верификацией в данном конкретном случае. В целом же текст проекта очень похож на прежние документы и является наследником четверкнижия по своей стилистике изложения. К сожалению, используемые формулировки остаются также сложными для обывателей, коими могут являться представители операторов. Читать и понимать новые требования неспециалистам будет также сложно, но хотя бы объём документа уменьшится. Вообще хотелось бы в части защиты персональных данных простых и понятных рекомендаций в стиле "делайте так, так не делайте", конструкторов документов на сайте регуляторов, инфографики, визуализации требований. Будем ждать. Пока разбираемся самостоятельно. Прикрепляю вам для наглядности процесс выбора мер в 21 приказе и в новом документе.

И всё также мы можем самостоятельно защищать свою ИСПДн, а можем привлечь лицензиата. Можно применять компенсирующие меры. Но! Обратите внимание, насколько лаконичный документ, исчезла табличная часть, исчезли подробные описания мер.

Коллеги, вчера еще немного продвинулась история с утверждением нового проекта приказа ФСТЭК России, который заменит 21й приказ. Ссылка на документ

А вы замечали, что отрасль ИБ в России погрязла в говнище? Большинству похрен, что происходит и куда это все идет. Другие ссут что-то сказать поперек. Третьи тупо бабло зарабатывают. А те, кому не пофиг, не могут достучаться и прорваться сквозь препоны и стены… #рефлексия

Можно ли пронести профессиональный оптимизм сквозь десятилетия опыта? Думаю, да, но только через большие усилия над собой. Найти хорошее бывает непросто, плохое видно хорошо. Мы приобретаем солидный стаж и теряем надежду. Слишком часто проекты "не выстреливали", слишком многие цели не сбылись. Мне каждый день чудом удаётся останавливать себя от превращения в циничного доктора Хауса, выгоревшего Шерлока Холмса или даже в маниакально дотошную Долорес Амбридж. Пока удаётся.

ИЩЕМ 25-Й ЧАС В СУТКАХ Коллеги, если вы, как и я, немножко ленивые, но хотите быть при этом эффективными, ловите секреты экономии рабочего времени. Отрываю от сердца. 1. При поиске шаблонов документов останавливаемся на первом удовлетворительном. Раньше я попадала в эту ловушку, вместо того, чтобы предложить клиенту один хороший пример, предлагала 10 хороших, время тратится, выхлоп тот же. Еще 1-2 года назад мы с вами могли себе позволить перфекционизм и научные изыскания. Сейчас такой возможности нет. 2. При разработке пакета документов ищите максимально похожие на вас организации, но классом чуть повыше (но только чуть!). Если вы частная школа, возьмите документы другой частной школы, не берите огромную сеть школ с филиалами, вам придётся слишком много вносить изменений. 3. Устанавливайте минимум средств защиты, при этом старайтесь использовать комплексные решения или хотя бы решения одного производителя. Меньше разных программ - меньше работы. 4. Выполняйте в первую очередь дела с горящими сроками и за которые несёте ответственность лично вы. Чужие горящие задачи подождут. Казалось бы так просто, но я наблюдала довольно часто добросердечных коллег, которые весь день кому-то помогают, а потом до ночи доделывают свои задачи. Не надо так. 5. Не заморачивайтесь слишком сильно над стилем и оформлением документов. Ни разу не видела, чтобы регулятор наказал за разные поля или отсутствие запятой. Сделали, значит, сделали. "Вылизывать до блеска" можно бесконечно. 6. Документы, которые содержат одинаковые сведения должны делаться параллельно. Если вы сначала делаете полностью политику, потом согласия, потом положение об обработке, потом уведомление, потом что-то меняете в политике, то обязательно возникнет путаница. Завели 5-10 файлов и все изменения вносим разом. Также упрощают жизнь средства автоматизированного формирования документов. Они работают как раз по такому сценарию. Но если денег или навыков программиста нет, значит, будем сами как робот распределять информацию. 7. Учите пользователей только практическим вещам. Никакой истории возникновения криптографии в Древней Греции и заучивания номеров локальных инструкций быть не должно. Вам же и сидеть с ними бесконечно, терять время на "пересдачах". 8. Не печатайте и не используйте бумажные законы и подзаконные акты. Это просто трата времени, формирование такого бумажного архива абсолютно бессмысленно в условиях бесконечного внесения изменений. Опираться на недействующую редакцию статьи в своих выводах, что может быть хуже? 9. Используйте любую систематизацию, которую только сможете придумать. Для файлов и для бумажных документов. Цветные обложки папок, алфавитное распределение, распределение по годам, по темам, по отделам, как угодно, но вы должны плавать в этом океане, как рыба в воде. Куча времени теряется на поиски той самой бумажки. 10. Найдите баланс ручного труда и автоматизации правил для средств защиты информации. Не должно каждое второе событие отрабатывать как ред алерт. Но и тишина в эфире неделями тоже настораживает, значит, у вас уже не только мышь пробегает, тут слоны спокойно проходят через щели забора. 11. Выгружайте всё из головы на бумагу, а бумагу оформляйте на понятном коллегам или подчинённым языке. Я понимаю, что хочется быть незаменимым, но ситуации бывают очень разные. Помню как увольняли одного зама главбуха за то, что она разбиралась в некоторых нюансах единолично, но сломала руку и оперативно приезжать не могла. Пожалуй, достаточно на сегодня. А-то я раскрою вам все секретики, потом не захотите ко мне обращаться за консультацией и книжки мои читать не будете😄

ЧЕМ МЫ МОЖЕМ ПОМОЧЬ ДРУГ ДРУГУ? ✅Если вам нужен консультант по защите персональных данных или методолог по ним же на 0,25-0,5 ставки удаленно, то это, конечно же, я😎 ТК или по ГК, как договоримся. ✅Если вам нужна разова консультация по защите персональных данных, это тоже ко мне. Онлайн, чек предоставляю, могу выставить счет на оплату. 4000р за 1 час. ✅Если вы хотите разместить вакансию по ИБ и ищете специалистов в регионах, то присылайте, размещу безвозмездно, то есть даром. ✅Если вы коммерческая организация и хотите защитить персональные данные своими силами, то для вас актуальна моя книга-самоучитель (2023 год, электронная, неактуальна глава про ГИС). 900р, чек. ✅Если хочется бесплатно убедиться, что я умею писать книги, то по запросу я отправлю вам целых две. Одна 11-летней давности о том, как защищать персональные данные, вторая обо всем, что нас окружает, улыбнуться и подумать. ✅Если у вас есть вопрос или интересный кейс, присылайте, полезный размещу также безвозмездно (анонимно или нет, решаете вы). ✅Интервью, комментарии, подкасты текстом, голосом, видеовключением также доступны при нашей взаимной договорённости. Я нахожусь в Красноярском крае, +4 часа к московскому времени. Микрофон есть, камера на телефоне работает. Резюме прилагаю. Плодотворной рабочей недели, друзья!

Как отдыхают инфобезопасники Чтобы хорошо работать, нужно хорошо отдыхать. ИБ-спецы знают это как никто другой. ➡️В новом выпуске рубрики «Лайфстайл» отлично уживаются уикенд кольцевых гонок и вышивка крестиком, военно-археологическая экспедиция и теннис, видеоигры под вкусности и полная изоляция где-нибудь в горах. Всё это — проверено кибербезопасниками. Своими рецептами релакса с «Киберболоидом» поделились представители Банка России, «Группы Астра» и Stingray Technologies, независимые эксперты Ярослав Москвитин, Денис Батранков и Дмитрий Беляев, а также авторы каналов: 🟠Doomtech 🟠Защита персональных данных 🟠ServerAdmin.ru 🟠Информационная опасность 🟠Pandora’s Box 🟠PURP #киберболоид #лайфстайл

И правда говорят о дуальности событий. Вот как раз сегодня вышел мой комментарий про отдых :)

#пятничный_оффтоп По моим субъективным личным наблюдениям в ИБ надолго остаются те, кто смог найти отдушину никак не связанную с профессией. Мысль вроде бы простая и понятная, но принять я ее смогла только лет 6-7 назад, когда промежутки между выгораниями стали пренебрежимо малыми. До 32х лет включительно я рассуждала так: зачем нужны хобби, когда можно взять еще одну работу и развиваться как специалист во все стороны гармонично? Действительно. Появился лишний часок, берешь новый проект: одна основная работа, одна поменьше и штук пять мелких подработок. Встал в 5:40, лег в 23:40. Минутка свободная появилась - новости по ИБ можно почитать, например, пост написать. Издеваться таким образом над собой можно довольно долго, даже постепенно наращивая обороты. Создаётся ощущение, что ты сверхчеловек, который как стрела летит к своей цели. И ничто тебя не остановит. А потом всё-таки что-то останавливает. Помню границу, после которой всё изменилось, точнее конкретный зимний день. Было часов 11-12 ночи, темно, старший сын (тогда еще единственный) и муж спали уже давно, а я усиленно работала над новым проектом. Мысль летела, я не чувствовала времени. И вдруг мне стало так плохо, голова закружилась, в глазах потемнело и резко накатила сумасшедшая усталость, это было что-то новенькое. Нет, по здоровью звоночки звенели и раньше, я уже привыкла периодически уходить на больничный и отлёживаться, особенно после больших проектов. Но еще ни разу до этого я не начинала отключаться прямо за компьютером. Это меня сильно напугало: кандидатская по системному анализу позволила мне продолжить линию намечающегося тренда до чего-то очень нехорошего в перспективе. Я не сразу смирилась, но темп твердо решила сбавлять, вспоминая периодически высокоэффективных коллег, которые никогда не отдыхали, царствие им небесное. Сначала убрала, ну как убрала, сократила, работу поздно вечером и ночью. Потом стала внедрять вот эти унылые правила про "ешьте овощи и фрукты каждый день". Вообще, конечно, очень злилась первые годы, что трачу драгоценное время "эксперта по ИБ" на такую скучную вещь, как прогулка или поедание яблока. Ведь я могла не вставать с дивана, перекусить там же чем придется и работать, работать, работать весь день! Хотя, конечно, уже не могла. Со временем новый образ жизни прижился, поддержание здоровья вписалось в график: фитнес 3 раза в неделю, цветоводоство огородное и домашнее, вышивка, уроки живописи, чтение художественной литературы. Отдыхаю и работаю по расписанию. Казалось бы, идеальная жизнь. Но у такого подхода всё же есть ярко выраженный минус: проектов действительно стало меньше и в целом работа над ними идет медленнее. Что ж, с этим просто нужно смириться, если мы идем в ИБ надолго, на десятилетия, то силы надо экономить. Хорошей вам пятницы и выходных, друзья! Берегите себя! И отличного отдыха!

Если это чистое ИБ, то всегда нужно быть готовым ответить на вопрос: "чтобы что?" Мы задали сложные требования для пароля, чтобы что? Чтобы пользователь не скучал и почаще нас вспоминал. Например, так. ✅ Старайтесь регулярно протаскивать что-то интересное лично вам в свою работу. Предлагайте идеи. Пробуйте новые СЗИ, внедряйте инструменты автоматизации своего труда, добавляйте интерактив в обучение пользователей правилам безопасности. Пусть это не последнее ваше рабочее место, наверняка вы найдете что-то получше в будущем, но эта работа может стать приятным воспоминанием и отличным опытом. ✅ Будьте хорошим человеком, как показывает практика, мир ИБ достаточно тесен, а скандалистов знают по именам и стараются до хороших проектов не допускать. В целом в нашей отрасли почти невозможно уйти откуда-то, сжигая мосты, вы постоянно будете пересекаться с бывшими коллегами и начальством, даже в новом городе. Поэтому стараемся вести себя дипломатично в любой ситуации. Насколько возможно. ✅ И главный совет. Ленимся и ищем лёгкие пути. Упрощайте всё, что можно, сокращайте количество листов, машин в аттестуемой сети, разрешенного для пользователей ПО, количество строк в письмах и тд. Много раз я видела огромные пакеты документов, и всегда там была путаница, ошибки и нестыковки. А это у вас почему? "Мы не знаем, остатки первой версии, наверное..." Минилизм решает такие проблемы. Один листочек политики обработки могут содержать в актуальном виде все, столистную политику - никто. И помните, работать в режиме подвига необязательно. ИБ не бег на короткую дистанцию, а марафон. Бережём силы и ресурсы 🫶

В РЕЖИМЕ ПОДВИГА Вы заметили, как с каждым годом нарастает темп нашей работы? К концу года, в декабре, ты вспоминаешь прошлый декабрь со всеми его проектами и удивляешься, насколько увеличилось количество дел, потом с ужасом ждешь января и нового года, который гарантированно станет еще тяжелее. Отчего же так происходит, если цифровизация наоборот должна упрощать нашу с вами жизнь? 1. Основа всего - бесконечная текучка кадров. Специалист приходит на собеседование, еще работая на прошлом месте, а когда устраивается, уже присматривает новые места. Никто не видит себя "здесь через пять лет". А когда ты пришел ненадолго, то и "хозяйство" вроде как не твоё, вникать в детали особо не хочется, тем более затевать какие-то масштабные изменения. Нужно пересидеть, сделать парочку блестящих проектов с гарантированным результатом и идти дальше 🚀 От этого подхода временщиков организация становится похожа на квартиру, которую сдают посуточно: бардак везде, а те, кто в нем виноваты, уже исчезли. 2. Отчётность растёт лавинообразно. Причем как в государственных учреждениях, где исторически сложилась любовь к документам, так и в частных. Потому что в частных организациях руководители теперь не просто руководители, они эффективные менеджеры, а для эффективного менеджмента нужно собирать самую разннобразную отчётность. За свою жизнь я повидала самые разные перегибы в этом вопросе. Где-то просили фиксировать каждую минуту рабочего времени, появлялись такие шедевры, как "шел по коридору в кадры 2 минуты (оптимизировать - закупить скейтборды и передвигаться на них)", "писал ежедневный отчет - 40 минут ( мало, добавить параметров в отчет)", "отвечал на звонок номер 17 - 1 минуту (проработать)", "посещал уборную 7 минут (пометка, разобраться, почему так долго)". Где-то надо было ежедневно считать количество полученных писем, отвеченных писем, неотвеченных писем, перенаправленных писем. За время, которое уходило на отчет, можно было штук 10 непрочитанных писем всё-таки прочитать. Но, увы, статистика важнее дела. Где-то был жесткий контроль бумаги, и каждый лист нужно было запрашивать через специальную электронную систему, которая была написана исключительно для выдачи бумаги. Клиент ждёт документы, я жду чистые листы, всё справедливо. Бумаги, бумаги, бумаги. Горючий материал! Сколько же людей в ИБ выгорело от них... 3. Изменчивость законодательной базы и, как следствие, сложно прогнозируемая судебная практика. Только разобрались специалисты с 17 приказом, его поменяли на 117. Сейчас, по слухам, 117 тоже будут менять. Непрерывные изменения требований порождают абсолютный паралич воли исполнителя. Я вот это сейчас сделаю, а надолго ли хватит? А если ненадолго, есть ли смысл начинать? И не начинает. Что же нам делать, коллеги? Работать же надо, тем более профессия у нас такая хорошая, полезная. Мои способы выживания в ИБ при любых кризисных и не очень обстоятельствах выглядят так: ✅ В первую очередь фиксируем все поручения руководства в виде переписки и/или документов. Мир меняется, утром задание дали, вечером отменили. А в конце месяца спросят, чем вы были заняты. ✅ В первую очередь всегда делаем то, у чего есть определённые сроки и последствия невыполнения. Например, ответы субъекту ПДн на запрос должны выполняться в срок, определённый 152-ФЗ. Аттестационные испытания должны производиться в определённые заранее даты. И тд. ✅Каждый день нужно выполнять какую-то полезную для всего предприятия работу. Контролируйте этот момент самостоятельно, вас могут загрузить отчётами и отчетами по отчётам, а также всякой текучкой отдела, которая абсолютно не интересна высшему руководству, вы потратите на это несколько лет жизни, и что в итоге? Сократят при первой возможности. Расширьте свои компетенции, где ИБ, там и видеонаблюдение, пропускной режим, собственная и экономическая безопасность, некоторые из задач ИТ, например, инвентаризация, резервирование, приносите пользу обществу.

#пятничный_оффтоп Засела сегодня за написание резюме, ощущается как через 50 лет брака начать ходить на свидания, непонятно, но интересно. В последний раз я искала вакансию году в 2010м, потом как-то передавали меня из рук в руки добрые люди. Сейчас, думаю, посмотрю, котируюсь ли еще на рынке невест работяг. Да и некоторые мои большие проекты завершились, хотелось бы открыть новые горизонты, так сказать. Коллеги, какие сейчас тренды в мире трудоустройства? Раньше было круто на один листик резюме умещать всё, сейчас смотрю у некоторых специалистов такие портянки по 10+ листов. Это что же, про всё-всё надо? Поделитесь опытом:) 🙏

ПРОВЕРЯЕТ ЛИ РОСКОМНАДЗОР БАЗЫ ДАННЫХ? Вместо тысячи слов в ответе приведу вам кусочек судебного решения. Ссылку на полный текст оставлю в комментариях. А-то я вам тут нарежу непонятных картинок, а вы будете на них ссылаться. Не надо так. Наш с вами главный принцип в работе - доверять только первоисточнику. Чему нас может обучить данный случай утечки, повлекший за собой штраф в 400.000 рублей? ✅ Для смягчяющих обстоятельств нужны доказательства. Обратите внимание, в тексте прямо указано, что они не предоставлены. А это значит, что нужны так нелюбимые многими "бумажки". И пусть закатывают глаза наши исключительно технически одарённые коллеги, амбассадоры СЗИ, неофиты выпускники и прочие прогрессивные товарищи. Мол, документы - это фу. Но мы-то с вами знаем😉 ✅ Регулятор может доказать принадлежность утекшей базы. Поэтому надеяться на анонимность больше не стоит. Не получится сказать: это не наше, это соседское, наше дома в сейфе лежит. Что делать? Обезличивать данные где это возможно. Минимизировать их состав.