Нормативно-методические документы в области защиты персональных данных. Лицензирование деятельности по защите персональных данных.

1. Нормативно-методические документы в области защиты персональных данных

В Российской Федерации долгое время политике в области защиты персональных данных не уделялось должного внимания.
Сейчас список документов в данной области достаточно обширен, но пробелов в обеспечении защиты персональных все равно достаточно. К таким законодательным актам относят:
1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» .
2. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» .
3. Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи».
Указы Президента РФ:
1. Указ Президента РФ от 06.03.1997 № 188 «Об утверждении перечня сведений конфиденциального характера».
2. Указ Президента РФ от 05.12.2016 № 646 «Об утверждении Доктрины информационной безопасности Российской Федерации».
3. Указ Президента РФ от 22.05.2015 № 260 «О некоторых вопросах информационной безопасности Российской Федерации».
Приказы ФСТЭК РФ:
1. Приказ ФСТЭК РФ от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
2. Приказ ФСТЭК РФ от 11.02.2013 № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».
Приказы ФСБ РФ:
1. Приказ ФСБ РФ от 09.02.2005 № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005).


2. Лицензирование деятельности по защите персональных данных

В соответствии с положениями Федерального закона от 4 мая 2011 г. N 99 «О лицензировании отдельных видов деятельности» и Постановление Правительства РФ от 3 февраля 2012 г. N 79 «О лицензировании деятельности по технической защите конфиденциальной информации» операторы ИСПДн при проведении мероприятий по обеспечению безопасности персональных данных (конфиденциальной информации) должны получить лицензию на осуществление деятельности по технической защите конфиденциальной информации в установленном порядке.
Согласно Постановление Правительства РФ N 79 лицензированию подлежат следующие виды работ и услуг:
а) контроль защищенности конфиденциальной информации от утечки по техническим каналам в: средствах и системах информатизации; технических средствах (системах), не обрабатывающих конфиденциальную информацию, но размещенных в помещениях, где она обрабатывается; помещениях со средствами (системами), подлежащими защите; помещениях, предназначенных для ведения конфиденциальных переговоров (далее — защищаемые помещения);
б) контроль защищенности конфиденциальной информации от несанкционированного доступа и ее модификации в средствах и системах информатизации;
в) сертификационные испытания на соответствие требованиям по безопасности информации продукции, используемой в целях защиты конфиденциальной информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля защищенности информации);
г) аттестационные испытания и аттестация на соответствие требованиям по защите информации;
д) проектирование в защищенном исполнении;
е) установка, монтаж, испытания, ремонт средств защиты информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля защищенности информации).
Обращаем особое внимание на п. «е», из которого однозначно следует, что настройка и установка средств защиты информации (в том числе антивирусных средств), является лицензионным видом деятельности.
Почему защита персональных данных осуществляется так же, как защита конфиденциальной информации и при этом требуется лицензирование деятельности?
Представим «логическую цепочку» нормативно-правовых актов: