Защита персональных данных

Персональные данные – это та информация, которая позволяет установить личность конкретного человека или отличить его от других людей. К ним относятся такие сведения как ФИО, адрес проживания, номера телефонов, электронные адреса, финансовые данные и другая информация, связанная с конкретным человеком. В связи с развитием информационного общества персональные данные становятся более уязвимыми, что приводит к повышенному интересу со стороны преступников. В данной статье мы разберемся в том, что такое защита персональных данных и конфиденциальность данных и в чем заключается их различие. А также мы ознакомимся с основными правилами и законами, которые регулируют защиту персональных данных, и методами их соблюдения.  

Что такое защита данных?

Защита данных – это комплекс процедурных и стратегических действий, направленных на сохранение приватности, доступности и целостности конфиденциальной информации. Часто под защитой данных понимают безопасность данных. Эти действия безопасности крайне необходимы для организаций, которые собирают, обрабатывают или хранят конфиденциальные сведения, т.к. они служат для предупреждения их повреждения, потери или искажения.

Основная задача защиты данных — обеспечение доступности и надежности этой защиты для поддержания доверия и для соблюдения требований при работе с информацией.  

Как обеспечить безопасность данных?

Данные являются ценным ресурсом для любого бизнеса, поэтому их нужно надежно защищать. В основе защиты данных лежат два принципа: доступность данных и управление ими. Доступность позволяет сотрудникам получать доступ к информации, которая необходима им для повседневной деятельности. Поддержание доступности данных – это один из аспектов корпоративного плана по обеспечению непрерывности бизнес-процессов и аварийного восстановления, который, в свою очередь, является важным элементом плана защиты данных и основывается на использовании резервных копий, хранящихся отдельно. 

Что такое конфиденциальность данных?

Конфиденциальность данных – это способность защищать информацию от несанкционированного доступа, использования, раскрытия или уничтожения. Это важно для сохранения репутации и конкурентоспособности организаций, а также соблюдения законодательства и нормативов в разных странах и отраслях. Конфиденциальность также способствует защите прав и интересов физических лиц, чьи персональные данные обрабатываются организациями. Нарушение конфиденциальности может привести к серьезным последствиям, таким как штрафы, судебные иски, потеря клиентов, утечка интеллектуальной собственности и т.д. Для обеспечения конфиденциальности данных необходимо применять различные меры безопасности. Например, шифрование, аутентификацию, контроль доступа, аудит, резервное копирование и восстановление данных. Проблемы, связанные с конфиденциальностью данных, затрагивают все виды приватной информации, с которой работают организации, включая данные клиентов, акционеров и сотрудников.

Правила регулирования конфиденциальности данных

В Российской Федерации существуют определенные правила и нормы, которые регулируют конфиденциальность персональных данных. Основным законодательным актом в этой сфере является Федеральный закон №152-ФЗ «О персональных данных». Если компания нарушает правила обработки персональных данных, она рискует получить штраф, административное или уголовное взыскание. Кроме того, нарушение может негативно сказаться на бизнес-репутации и лояльности клиентов. Поэтому любая компания, которая имеет дело с персональными данными, должна строго следовать требованиям Федерального закона №152-ФЗ и другим нормативным документам, независимо от того, является ли она оператором персональных данных или обрабатывает их по поручению оператора.

Как закон регулирует персональные данные?

Персональные данные – это любая информация, которая позволяет установить личность человека. Такую информацию закон разделяет на четыре типа и определяет уровни защиты для каждого из них. Однако не существует единого решения, которое бы подходило всем организациям, работающим с персональными данными. 

1. Специальные персональные данные. Включают в себя сведения о расовой и национальной принадлежности, религии, состоянии здоровья, сексуальной ориентации, политических и философских взглядах человека.
2. Биометрические персональные данные. Это информация о биологических и физических особенностях человека, которые служат для его идентификации.
3. Общедоступные персональные данные.  Это данные о фамилии, имени, отчестве, дате и месте рождения, адресе, профессии, контактах. Такие данные требуют минимальной защиты, и обычно достаточно согласия человека на их обработку.
4. Иные персональные данные.  Сведения, которые не входят в другие типы, но также могут быть использованы для идентификации человека.

Независимо от типа данных, информационная система, которая обрабатывает персональные данные, должна предотвращать нелегальные действия, такие как копирование, распространение, уничтожение, блокировка и т. д.

Как обезопасить персональные данные в информационных системах? 

Постановлением правительства от 01.11.2012 установлены определенные требования к обеспечению безопасности персональных данных при их обработке в информационных системах. Наш аналитический отдел выделил ключевые технологии и методы защиты, которые следует использовать.

1. Оценка уровня угрозы. Прежде всего, нужно определить размер и сложность информационной системы, выделить возможные источники угроз и выбрать подходящий уровень защиты для разных видов данных. 
2. Создание политики конфиденциальности. Необходимо составить и внедрить политику конфиденциальности, которая будет содержать комплекс правил и инструкций по обработке, передаче и хранению персональных данных.
3. Регулярный аудит безопасности. Требуется проведение плановых проверок безопасности информационных систем и элементов защиты.
4. Подготовка сотрудников. Большая часть нарушений безопасности связана с ошибками сотрудников или незнанием . Необходимо проводить периодические обучения правилам информационной безопасности, включая практические задания.
5. Применение сертифицированных систем защиты. Одним из эффективных способов защиты является использование DLP-системы предотвращения утечек данных (Data Loss Prevention), которая защищает конфиденциальную информацию от неавторизованного доступа, утечек или кражи. Примером такой системы является решение Falcongaze SecureTower, созданное для обеспечения информационной безопасности и защиты персональных данных. Главное достоинство этой системы – комплексность защиты, которая позволяет соответствовать законодательным требованиям без дополнительных решений, в том числе учитывая физические носители, резервирование и восстановление данных, а также контроль доступа сотрудников и их поведения на рабочих местах. 

Вы можете бесплатно протестировать DPL-систему предотвращения утечек данных в течение 30 дней. Для этого перейдите по ссылке.

Как отличить конфиденциальность от защиты данных?

Конфиденциальность данных – это политика, которая определяет, кому разрешен доступ к данным и какие данные могут быть раскрыты. Защита данных – это механизмы, которые обеспечивают соблюдение этой политики. Например, шифрование, пароли, брандмауэры и т.д.

Конфиденциальность и защита данных взаимосвязаны, но не тождественны. Конфиденциальность данных устанавливает правила, а защита данных реализует их. Недостаточно иметь только что-то одно. Если вы создадите политику конфиденциальности данных, но не будете использовать инструменты и процессы их защиты, то ваши данные могут быть скомпрометированы. Если вы примените механизмы защиты данных, но не учтете их политику конфиденциальности, то ваши данные могут быть неправомерно использованы.

Исходя из этого, для обеспечения безопасности данных необходимо учитывать как их конфиденциальность, так и защиту.

Пользователи контролируют конфиденциальность данных, тогда как компании обеспечивают их защиту.

Конфиденциальность и защита данных – это разные, но связанные понятия. Конфиденциальность дает пользователям возможность выбирать, какие данные они готовы раскрывать и кому. Защита данных требует от компаний, которые обрабатывают эти данные, обеспечивать их сохранность и целостность. Главное различие между ними состоит в том, кто имеет власть над процессом. Конфиденциальность – это прерогатива пользователя, а защита данных – это долг компании.