Kept Cyber представляет новую рубрику – «Де-юре»

Мы будем публиковать наиболее заметные опубликованные и вступившие в силу нормативно-правовые акты по тематике информационной безопасности и приватности в нашем канале. Сегодня представляем подборку на период 1 января – 10 апреля 2024 года.

Сводка опубликованных и вступивших в силу нормативно-правовых актов
(01.01.2024 - 10.04.2024)

Вступило в силу 1 января 2024 г.:
• Положение ЦБ РФ № 833-П о требованиях ИБ для участников платформы цифрового рубля
• ПП РФ № 1429 и № 1430 об изменениях в использовании ЕБС
 
Вступило в силу 12 января 2024 г.:
• Приказ Минцифры о формах подтверждения соответствия информационных и технических средств, предназначенных для обработки биометрических персональных данных
• Перечни типовых отраслевых объектов КИИ в области химической промышленности
 
Вступило в силу 24 января 2024 г.:
• Методические рекомендации Минтранса РФ по категорированию объектов КИИ в сфере транспорта
• ПП РФ № 4 об утверждении Правил установки, эксплуатации и модернизации в точках обмена трафиком технических средств противодействия угрозам сети Интернет на территории РФ
 
Вступило в силу 25 января 2024 г.:
• Перечни типовых отраслевых объектов КИИ в области горнодобывающей, металлургической и оборонной промышленности
 
Вступило в силу 1 февраля 2024 г.:
• ПП РФ № 58 об утверждении правил переоформления и прекращения допуска к государственной тайне
 
Вступило в силу 6 февраля 2024 г.:
• Перечень национальных стандартов, разработанных ТК 362 и принятых Росстандартом
 
Вступило в силу 1 марта 2024 г.:
• Методические рекомендации Банка России № 4-МР по усилению контроля за отдельными операциями клиентов - физических лиц
 
Вступило в силу 27 марта 2024 г.:
• Методические рекомендации ЦБ РФ № 7-МР по управлению риском ИБ и обеспечению операционной надежности
 
Вступило в силу 1 апреля 2024 г.:
• Положение ЦБ РФ № 821-П о требованиях к обеспечению защиты информации при осуществлении переводов денежных средств
• Положение Банка России № 822-П о требованиях к защите информации, содержащейся в автоматизированной информационной системе страхования
 
Вступило в силу 6 апреля 2024 г.:
• Приказ Роскомнадзора № 25 об утверждении условий установки техсредств противодействия угрозам, а также требований к сетям связи при использовании таких средств

#ДеЮре
#Privacy
#ИБ

Вопрос:
Для чего нужен Реестр процессов обработки персональных данных (ПДн)?

Ответ:
Реестр процессов обработки ПДн (далее – Реестр) – это инструмент, который содержит информацию о процессах обработки ПДн в компании. Основная задача Реестра – составить полную картину о составе, целях и способах обработки ПДн в компании. Также наличие Реестра позволяет соблюсти требование п. 2 ч. 1 152-ФЗ по наличию внутреннего документа, определяющего цели обработки ПДн и перечень ПДн.

Законодательство РФ в области ПДн не содержит требований к содержанию Реестра, поэтому в качестве «лучших практик» предлагаем обратиться к ст. 30 GDPR а также рекомендациям и инструментам по ведению Реестра от регуляторов Евросоюза.

Команда Kept Cyber предлагает включать в Реестр следующие разделы:

· название процесса обработки ПДн;
· роль компании в обработке ПДн;
· цели, правовые основания обработки ПДн, их объем, а также сроки хранения;
· перечень субъектов ПДн, которым принадлежат данные;
· подразделения, участвующие в процессе обработки ПДн;
· сведения о способе обработке ПДн (документы и информационные системы, в которые передаются ПДн, и информация о местах расположения баз данных таких систем);
· сведения о взаимодействии с третьими лицами (передаются ли данные третьим лицам, каким именно и на каком правовом основании, включая трансграничную передачу).

#KeptОтвечает
#Privacy

Неотъемлемой частью процесса безопасной разработки ПО является проверка безопасности исходного кода. Одним из методов такой проверки является статическое тестирование безопасности (SAST).

SAST проводится по методу «белого ящика», то есть с полным доступом к исходному коду, что позволяет обнаруживать критические уязвимости, такие как SQL-инъекции, переполнение буфера, межсайтовый скриптинг (XSS) и иные уязвимости OWASP Top 10 и SANS TOP 25.

Преимущества SAST:
• Полный анализ исходного кода, потоков управления и потоков данных на предмет соответствия правилам и политикам безопасности, основанным на известных уязвимостях и стандартах безопасности;
• Простота интеграции в процесс разработки ПО;
• Поддержка широкого спектра языков программирования и платформ SAST-инструментарием;
• Точное определение слабых мест в программном коде.
Однако в рамках SAST может возникать большое количество ложных срабатываний, что может потребовать значительные временные затраты на их обработку.
 
#ИБ

Ранее мы описали различия обезличивания и анонимизации персональных данных (ПДн), сегодня расскажем об их методах.
 
Роскомнадзор определяет следующие методы обезличивания ПДн:

· введение идентификаторов: замена части ПДн идентификаторами;
· изменение состава: удаление / изменение части данных;
· декомпозиция: разделение множества ПДн на несколько частей с их последующим раздельным хранением;
· перемешивание: перестановка групп или отдельных записей в массиве ПДн.
 
Законами РФ не определена сущность «анонимизация», поэтому мы обратимся к методикам, указанным в мнении Рабочей группы по статье 29 (WP.29):

· обобщение: снижение детализации или разбавление атрибутов путем изменения соответствующего масштаба или порядка величины (страна вместо адреса или название месяца вместо точной даты);
· рандомизация: ряд техник по изменению ПДн или добавлению новых данных (добавление шума, перестановка);
· удаление очевидных атрибутов и идентификаторов.
 
Стоит помнить – если первоначальный набор данных не удален, то информация не может считаться анонимизированной, так как существует вероятность деанонимизации.

#ПолезноЗнать
#Privacy

Вопрос:
Можно ли при подаче уведомления в Роскомнадзор объединять схожие цели обработки персональных данных (ПДн)?

Ответ:
Существует практика, когда компании при подготовке уведомления о намерении осуществлять обработку ПДн ограничиваются только примерами перечня целей обработки ПДн.

Но мы рекомендуем не ограничиваться данным перечнем и максимально детализировать цели обработки ПДн. Это поможет избежать указания избыточного объема ПДн в рамках цели, некорректных сроков обработки ПДн, а также некорректного правового основания обработки ПДн.

Также в приказе Минцифры от 15.11.2021 № 1187 содержится перечень индикаторов риска нарушения обязательных требований. Одним из индикаторов является установление Роскомнадзором трех и более фактов несоответствия информации, указанной в Уведомлении, и во внутренних документах компании (Политика обработки ПДн). Поэтому важно, чтобы сведения о целях обработки ПДн в Уведомлении совпадали с целями в Политике обработки ПДн.
 
#Отвечает Kept
#Privacy