Методы защиты персональных данных в различных учреждениях

Внедрение программного обеспечения в бизнес-процессы современных компаний приводит к необходимости приятия мер, обеспечивающих безопасность эксплуатации программного обеспечения, минимизации вероятности возникновения инцидентов, связанных с утечками информации, разглашением конфиденциальных сведений, возникновением ситуаций, приводящих к недоступности информационных ресурсов, предотвращения несанкционированного использования криптографических систем и средств электронной подписи.
Задачами обеспечения защиты информации в условиях современных компаний являются: обеспечение целостности, конфиденциальности, доступности информации. Нарушение какого-либо из требований защиты информации приводит к прямым материальным потерям компании, невозможности проведения оплат, обмена документами, невозможности исполнения сотрудниками своих функций вплоть до остановки работы компаний в целом.
Меры по защите информации включают [14]:
 создание организационной структуры, обеспечивающей исполнение требований в области защиты информации;
 издание нормативных документов, регламентирующих деятельность сотрудников компании в части соблюдения требований по защите информации;
 использование систем физической защиты, укрепленности помещений, систем охраны, сигнализации, видеонаблюдения;
 использование средств программной защиты информации, обеспечивающих защиту ИТ-инфраструктуры;
 использование инженерно-технических решений, обеспечивающих защиту от утечек информации.
Специфика деятельности современных компаний предполагает необходимость защиты информации, передаваемой по сети, в части соблюдения требований к конфиденциальности, защиты каналов передачи данных, по которым осуществляется работа с информационными ресурсами, предотвращение инцидентов, в рамках которых возможно предоставление доступа к конфиденциальной информации со стороны злоумышленников.
Проводя классификацию информационных рисков, выделяют следующие критерии: по источникам (внутренние и внешние), по характеру (преднамеренные и непреднамеренные), по виду (прямые или косвенные), по виду нарушения (информационные, физические, организационно-правовые), по механизму воздействия (стихийного бедствия, техногенные, политические, социальные, развитие информационно-коммуникационных технологий).
Классификация рисков в области информационной безопасности имеет важное значение для правильной оценки информационных рисков, охватывающих все возможные инциденты, угрозы информационной безопасности, которые могут привести к нарушению свойств информации. Инцидент информационной безопасности — событие или группа событий, вследствие которых вероятна реализация угроз, связанных с нарушением защищенности системы информационной безопасности на предприятиях.
Рекомендации по предотвращению инцидентов информационной безопасности и методология реагирования на них определены в стандартах. В документе [1] подробно описаны стадии планирования, эксплуатации, анализа и улучшения системы управления инцидентами безопасности. В документе [2] определена необходимость выполнения организациями деятельности по выявлению инцидентов ИБ и реагированию на инциденты ИБ.
Методические рекомендации ГосСОПКА разработаны для органов государственной власти, принявших решение о создании ведомственных центров ГосСОПКА, государственных корпораций, операторов связи и других организаций, осуществляющих лицензируемую деятельность в области защиты информации и принявших решение о создании корпоративных центров ГосСОПКА.
В рамках проведения анализа причин возникновения инцидентов информационной безопасности проводятся работы:
 устранение негативных последствий, которые были вызваны возникновением инцидентов;
 определение сферы ответственности сотрудников, курирующих направления работы, по которым возникли проблемы безопасности, привлечение их к установленной ответственной;
 выявление причин происшествий, документирование, разработка профилактических мер.
К категории персональных данных относятся сведения о физических лицах, посредством которых можно провести их однозначную идентификацию. Персональные данные могут включать:
 анкетные данные, включающие ФИО, данные о дате и месте рождения;
 реквизиты документов, удостоверяющих личность субъекта (серия и номер паспорта, СНИЛС, ИНН, военный билет, водительское удостоверение и др.);
 адрес электронной почты, номера телефонов;
 информация о полученной квалификации, трудовой деятельности;
 информация о вероисповедании;
 идентификаторы в информационных системах банов и государственных учреждений;
 медицинская документация.
В качестве субъектов ПДн выступают физические лица, которые могут быть однозначно определены посредством информации, являющейся носителем ПДн.
Проблематика обеспечения защиты ПДн является предметом обсуждения международных форумов в области информационной безопасности, экономического развития, обороны, информационных технологий. По данным [3], несанкционированное использование персональных данных, сетевые атаки, используемые для получения несанкционированного доступа к информационным ресурсам, содержагщим ПДн, входят в первую пятерку актуальных рисков, с которыми сталкиваются компании – операторы информационных систем, в которых осуществляется обработка конфиденциальных сведений, включающих ПДн. На рисунке 1 приведена диаграмма количества инцидентов, связанных с утечками ПДн в 2023 г в сравнении с 2022 г.г.

Рисунок 1 - Диаграмма количества инцидентов, связанных с утечками ПДн в 2023 г в сравнении с 2022 г.г.

Как показано на рисунке 1, для современного состояния информационных систем предприятий характерно наличие тренда, связанного с увеличением количества инцидентов информационной безопасности, связанных несанкционированным использованием ПДн, что приводит к негативным последствиям для субъектов ПДн. Статистика инцидентов, связанных с несанкционированным использованием ПДн в условиях Российских операторов за 2022г., приведена на рис.2.

Рисунок 2 – Статистика инцидентов, связанных с несанкционированным использованием ПДн в условиях Российских операторов за 2022г.

Причинами инцидентов, связанных с утечками ПДн, могут являться как халатность сотрудников компании – оператора ПДн, а также преднамеренная активность сторонних лиц, направленная на получение доступа к защищаемым информационным ресурсам.
В организациях, являющихся операторами по обработке ПДн, в соответствии с действующим законодательством, необходимо принятие ряда мер по обеспечению защищенности информационных ресурсов, нарушение которых может приводить к санкциям в виде штрафов, уголовной ответственности руководства и приостановки деятельности организации.
В рамках своей деятельности организации осуществляют обработку данных о сотрудниках в деятельности отдела кадров и бухгалтерского учета, о клиентах (в рамках деятельности компаний, предоставляющих услуги различного вида). В настоящее время также сбор персональных данных осуществляется в рамках маркетинговой деятельности и работы программ лояльности. Обработка ПДн возможна только при наличии согласия, поданного субъектом в письменной форме.