СЗПК — система защиты персональных данных¶
СЗПК (система защиты персональных клиентских данных) — комплекс программно-аппаратных средств и организационных мер, обеспечивающих защиту персональных данных клиентов при их обработке в информационных системах организаций. Термин широко используется в российской практике банковского дела, телекоммуникаций и розничной торговли, где обработка персональных данных клиентов регулируется Федеральным законом «О персональных данных» (№ 152-ФЗ).
¶Правовая основа
В Российской Федерации обработка персональных данных регулируется рядом нормативных актов:
- Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
- Указ Президента РФ от 17 марта 2008 года № 364 «Вопросы обеспечения государственной защиты персональных данных»;
- Постановления Правительства РФ, устанавливающие требования к защите персональных данных при их обработке в информационных системах;
- Приказы ФСТЭК России, определяющие требования к защите информации.
Согласно законодательству, операторы персональных данных обязаны принимать необходимые правовые, организационные и технические меры для защиты данных от неправомерного доступа, изменения, копирования, блокирования, удаления и распространения. СЗПК является инструментом выполнения этих требований.
¶Состав и архитектура
Типовая СЗПК включает следующие компоненты:
| Компонент | Назначение |
|---|---|
| Межсетевой экран | Фильтрация сетевого трафика, предотвращение несанкционированного доступа |
| Средство контроля доступа (DLP) | Предотвращение утечки данных через каналы вывода информации |
| Средство шифрования | Криптографическая защита данных при хранении и передаче |
| Система аудита и журналирования | Регистрация действий пользователей с персональными данными |
| Средство обнаружения вторжений (IDS/IPS) | Мониторинг и реагирование на аномальную активность |
| Средство аутентификации | Контроль доступа сотрудников к обрабатываемым данным |
| Средство резервного копирования | Обеспечение восстановления данных после инцидентов |
Архитектура СЗПК строится на принципе «защиты в глубину» — многоуровневой защите, при которой компрометация одного уровня не ведёт к раскрытию всей информации.
¶Классификация систем
По уровню защищаемых данных СЗПК подразделяются на:
- Системы 1-го класса — для обработки данных, размещаемых в государственных информационных системах (ГИС), включая ЕСИА, ЕБД и другие государственные реестры.
- Системы 2-го класса — для обработки персональных данных, содержащихся в информационных системах коммерческих организаций (банки, операторы связи, сети розничной торговли).
- Системы 3-го класса — для обработки обезличенных персональных данных.
По способу развёртывания выделяют аппаратные, программные и комплексные (аппаратно-программные) решения.
¶Применение в России
СЗПК наиболее широко применяются в следующих отраслях:
- Банковский сектор — защита данных клиентов при проведении банковских операций, кредитовании, работе с платёжными системами. Крупные российские банки развёртывают собственные центры обработки данных с полным набором средств защиты.
- Телекоммуникации — защита данных абонентов, данных о трафике и местоположении. Операторы связи обязаны обеспечивать защиту в соответствии с требованиями ФСБ и ФСТЭК.
- Розничная торговля — защита данных участников программ лояльности, покупателей интернет-магазинов.
- Государственный сектор — защита данных в ГИС, системах социального обеспечения, здравоохранении и образовании.
¶Требования к сертификации
СЗПК, используемые для обработки персональных данных, подлежат оценке соответствия требованиям законодательства. Основные формы оценки:
- Декларирование соответствия — для средств защиты информации 2-го и 3-го классов;
- Сертификация — для средств защиты информации 1-го класса;
- Государственный контроль (надзор) — со стороны Роскомнадзора и ФСТЭК России.
Операторы обязаны уведомлять Роскомнадзор о начале обработки персональных данных и обеспечивать их защиту на протяжении всего жизненного цикла.
¶Организационные меры
Помимо технических средств, СЗПК включает организационные меры:
- назначение ответственных лиц за организацию обработки и защиты персональных данных;
- разработка и утверждение политик обработки персональных данных;
- проведение инструктажей и обучение сотрудников;
- регулярный аудит состояния защиты;
- заключение соглашений о конфиденциальности с сотрудниками и контрагентами;
- разграничение доступа сотрудников к персональным данным в объёме, необходимом для выполнения трудовых обязанностей.
¶Проблемы и перспективы
Основными проблемами внедрения СЗПК в России являются высокая стоимость комплексных решений, дефицит квалифицированных специалистов в области информационной безопасности и необходимость постоянного обновления средств защиты в ответ на новые угрозы. Вместе с тем российский рынок средств защиты персональных данных развивается: по данным отраслевых обзоров, объём рынка информационной безопасности в России стабильно растёт, что связано с ужесточением требований регуляторов и повышением осведомлённости бизнеса о рисках утечек данных.
Источники:
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
- Приказ ФСТЭК России от 11 февраля 2013 года № 17 «Об утверждении состава и содержания организационных и технических мер по защите персональных данных при их обработке в информационных системах персональных данных»
- Указ Президента РФ от 17.03.2008 № 364 «Вопросы обеспечения государственной защиты персональных данных»
- Методические рекомендации Роскомнадзора по защите персональных данных