07.12.2007 | Михаил Сергеев

Персональные данные: новые гарантии безопасности

В соответствии с законом «О персональных данных» российское правительство утвердило специальное положение, которое регламентирует меры защиты персональной информации при ее обработке в компьютерных системах.

Ответственными за проверку надежности защиты персональных данных назначена Федеральная служба по техническому и экспортному контролю (ФСТЭК) и Федеральная служба безопасности (ФСБ), а также Мининформсвязи, которое займется классификацией информационных систем. Появление подзаконных актов о защите персональной информации в один день не остановит подпольную торговлю уже похищенными базами данных. Однако более жесткий контроль наверняка сократит риск утечки персональных данных в будущем.

Закон «О персональных данных» был разработан экспертами Мининформсвязи и после утверждения в Госдуме вступил в действие с начала 2007 года. Особенности защиты персональных данных (ПД) неоднократно обсуждалась на площадке Центра развития информационного общества (РИО-Центра), где эксперты сформировали общие принципы сбора, обработки и передачи ПД.

До принятия закона «О персональных данных» основные дискуссии шли вокруг возможного нарушения прав личности и сохранения тайны личной жизни в условиях информационного общества. При этом технические детали организации защиты персональных данных практически не обсуждались. Между тем с вступлением закона в действие стало ясно, что сам по себе этот нормативный акт никак не ухудшает степень защиты частной жизни граждан. Однако последовательное внедрение практических мер защиты данных повысит степень и уровень защиты персональных данных.

Согласно закону «О персональных данных», эти данные можно получить от гражданина только при его явном согласии и только те сведения, которые необходимы для достижения объявленных целей их обработки. Под персональными данными понимается любая информация, однозначно связанная с конкретным человеком, включая его фамилию, имя, отчество, год и место рождения, адрес, сведения о семейном, социальном, имущественном, служебном положении, образовании, профессии, доходах и т.п.

На круглом столе «Закон «О персональных данных»: мифы и реальность», который был организован РИО-Центром в начале 2006 года участники дискуссии говорили об опасности утечки данных, защита которых иногда никак не обеспечена. Новое же решение Правительства РФ устанавливает, что «возможные каналы утечки информации при обработке персональных данных определяются ФСБ и ФСТЭК». При этом для каждого класса информационных систем (который определит Мининформсвязи) будет разработана собственные методы защиты персональных данных.

Как известно, основным каналом утечек уже похищенных баз данных были не внешние атаки хакеров, а внутренние злоупотребления. Чтобы перекрыть этот канал предполагается фиксировать каждый запрос к данным, а также установить ограниченный доступ к персональным данным. Все факты предоставления персональных данных будут автоматически регистрироваться в электронном журнале обращений, который будут периодически проверять уполномоченные ФСБ и ФСТЭК.

По закону о персональных данных, существующие информационные системы должны быть приведены в соответствие с новыми требованиями до 1 января 2010 года. Поэтому у государственных и частных операторов еще есть время для технической подготовки к работе в «защищенном режиме». Однако уже до 10 января 2008 года все операторы персональных баз данных должны заявить о своей деятельности и самостоятельно зарегистрироваться в открытом государственном реестре.

Новые мероприятия по защите персональных данных предполагают и специальные разбирательства по фактам несоблюдения условий хранения носителей персональных данных. Разбирательства также угрожают тем, кто используют недостаточные средства защиты информации, которые грозят нарушением конфиденциальности.

Нечто подобное предстоящим в России разбирательствам происходит сегодня в Великобритании, где из-за потери персональных данных о 25 миллионах граждан разразился громкий правительственный скандал. По сообщениям прессы, один из младших чиновников отправил компьютерные диски с персональными данными по обычной почте, что было явным нарушением требований безопасности. При этом компьютерные диски с персональными данными были утеряны, а глава налогового ведомства страны, откуда произошла утечка, был вынужден подать в отставку.

Версия для печати