Неотъемлемой частью процесса безопасной разработки ПО является проверка безопасности исходного кода. Одним из методов такой проверки является статическое тестирование безопасности (SAST).

SAST проводится по методу «белого ящика», то есть с полным доступом к исходному коду, что позволяет обнаруживать критические уязвимости, такие как SQL-инъекции, переполнение буфера, межсайтовый скриптинг (XSS) и иные уязвимости OWASP Top 10 и SANS TOP 25.

Преимущества SAST:
• Полный анализ исходного кода, потоков управления и потоков данных на предмет соответствия правилам и политикам безопасности, основанным на известных уязвимостях и стандартах безопасности;
• Простота интеграции в процесс разработки ПО;
• Поддержка широкого спектра языков программирования и платформ SAST-инструментарием;
• Точное определение слабых мест в программном коде.
Однако в рамках SAST может возникать большое количество ложных срабатываний, что может потребовать значительные временные затраты на их обработку.
 
#ИБ

Ранее мы описали различия обезличивания и анонимизации персональных данных (ПДн), сегодня расскажем об их методах.
 
Роскомнадзор определяет следующие методы обезличивания ПДн:

· введение идентификаторов: замена части ПДн идентификаторами;
· изменение состава: удаление / изменение части данных;
· декомпозиция: разделение множества ПДн на несколько частей с их последующим раздельным хранением;
· перемешивание: перестановка групп или отдельных записей в массиве ПДн.
 
Законами РФ не определена сущность «анонимизация», поэтому мы обратимся к методикам, указанным в мнении Рабочей группы по статье 29 (WP.29):

· обобщение: снижение детализации или разбавление атрибутов путем изменения соответствующего масштаба или порядка величины (страна вместо адреса или название месяца вместо точной даты);
· рандомизация: ряд техник по изменению ПДн или добавлению новых данных (добавление шума, перестановка);
· удаление очевидных атрибутов и идентификаторов.
 
Стоит помнить – если первоначальный набор данных не удален, то информация не может считаться анонимизированной, так как существует вероятность деанонимизации.

#ПолезноЗнать
#Privacy

Вопрос:
Можно ли при подаче уведомления в Роскомнадзор объединять схожие цели обработки персональных данных (ПДн)?

Ответ:
Существует практика, когда компании при подготовке уведомления о намерении осуществлять обработку ПДн ограничиваются только примерами перечня целей обработки ПДн.

Но мы рекомендуем не ограничиваться данным перечнем и максимально детализировать цели обработки ПДн. Это поможет избежать указания избыточного объема ПДн в рамках цели, некорректных сроков обработки ПДн, а также некорректного правового основания обработки ПДн.

Также в приказе Минцифры от 15.11.2021 № 1187 содержится перечень индикаторов риска нарушения обязательных требований. Одним из индикаторов является установление Роскомнадзором трех и более фактов несоответствия информации, указанной в Уведомлении, и во внутренних документах компании (Политика обработки ПДн). Поэтому важно, чтобы сведения о целях обработки ПДн в Уведомлении совпадали с целями в Политике обработки ПДн.
 
#Отвечает Kept
#Privacy