Построение системы защиты персональных данных: Этапы создания системы защиты персональных данных

Содержание

Этапы создания системы защиты персональных данных

Компания «Инфолайн» проводит полный цикл работ по созданию системы защиты персональных данных. 

 

1. Предпроектный этап

Проведение обследования информационной системы персональных данных.

Разработка документов:

1. Отчет об обследовании информационной системы персональных данных.

2. Акт классификации ИСПДн.

3. Приказ о назначении администратора защиты.

4. Приказ о назначении ответственного за защиту ПДн лица.

5. Приказ о назначении ответственных за эксплуатацию ИСПДн и СЗИ.

6. Приказ о назначении ответственных за эксплуатацию СКЗИ.

7. Приказ о перечне ПДн.

8. Приказ о списке лиц допущенных к ПДн.

9. Приказ об обеспечении безопасности ПДн, в т.ч. типовые формы журналов для учета:

— криптосредств, ключевых носителей;

— средств защиты информации;

— носителей защищаемой информации;

— хранилищ;

— нештатных ситуаций ИСПДн, выполнения профилактических работ, установки и    модификации программных средств на компьютерах ИСПДн;

— пользователей, допущенных к информационным системам персональных данных;

— периодического тестирования средств защиты;

— проверок электронных журналов.

10.  Приказ об обработке ПДн.

11. Модель угроз ИСПДн (по методическим документам ФСТЭК).

12. Модель нарушителя ИСПДн (по методическим документам ФСБ).

13. Техническое задание на разработку СЗ ИСПДн.

 

 2. Проектный этап

— Проектирование системы защиты персональных данных;

— Поставка средств защиты информации;

— Внедрение средств защиты информации;

— Обучение пользователей;

— Разработка нормативно-распорядительных документов (около 40 документов)

 

3. Опытная и промышленная эксплуатация

— Разработка методики приемо-сдаточных испытаний средств защиты информации;

— Проведение испытаний;

— Протоколирование;

— Ввод в эксплуатацию системы защиты.

 

4. Аттестация или декларирование

— Анализ организационной структуры объекта, информационных потоков, состава и структуры комплекса технических средств и программного обеспечения, системы защиты информации на объекте, разработанной документации и её соответствие требованиям нормативной документации по защите информации.

— Определение правильности категорирования объекта (технических средств) и классификации автоматизированной системы по требованиям безопасности информации, выбора и применения сертифицированных средств и систем защиты информации.

— Проверка уровня подготовки кадров и распределения ответственности персонала за обеспечение выполнения требований по безопасности информации.

— Комплексные аттестационные испытания объектов в реальных условиях эксплуатации путем проверки фактического выполнения установленных требований на различных этапах технологического процесса обработки защищаемой информации, объектовые специальные исследования ОТСС на соответствие требованиям по защите информации от утечки по каналам ПЭМИН.

— Испытание автоматизированной системы на соответствие требованиям по защите информации от несанкционированного доступа.

— Проверка эффективности применяемых на объекте средств и систем защиты информации.

— Оформление протокола испытаний и заключений по результатам аттестационных испытаний в соответствии с установленными требованиями.

— Оформление «Аттестата соответствия требованиям безопасности информации».

Защита персональных данных / Информационная безопасность / Решения

Разработка и внедрение системы защиты персональных данных (СЗПДн) — это ряд мероприятий технического и управленческого характера, ставящих перед собой цель обеспечить комплексную защиту сведений, которые признаются Федеральным Законом от 27.07. 2006 г. N 152-ФЗ персональными данными.

Оператор, которым являются госструктуры и коммерческие предприятия, выполняющие действия по работе с ПДн, заинтересованы в безопасной их обработке, тем самым, признавая необходимость внедрения системы защиты.

Учитывая накопленный при реализации проектов по созданию СЗПДн опыт, представляется возможным определить ряд важных преимуществ от внедрения системы:

На первом месте находится кардинальное снижение как правовых, так и репутационных рисков, возникающих при несоблюдении действующего законодательства относительно сохранности персональных данных.

Вторым важным моментом является тот факт, что научно-обоснованное построение системы защиты позволяет обрабатывать персональные данные сотрудников и клиентов, не опасаясь за их сохранность. Это может стать мощным конкурентным преимуществом при работе с конфиденциальными сведениями частных лиц и информацией, предназначенной лишь для служебного (внутреннего) использования. Грамотно выстроенная СЗПДн легко справляется с наиболее распространенными угрозами – блокирует воздействие вредоносных ПО, предотвращает воровство клиентских баз данных, что часто практикуют уволенные сотрудники.

Третьим фактором, мотивирующим внедрение эффективной СЗПДн, является создание у компании имиджа надежного партнера, которому можно доверять обеспечение конфиденциальности персональных данных.

Как указывают аналитики, частые скандалы, связанные с утечкой конфиденциальной информации, заставляют обращать внимание на систему безопасности при выборе партнера-контрагента. Уже привычными становятся договора о партнерстве либо условия тендера, в которых требуется предоставить задокументированное соответствие СЗПДн действующим нормативным актам.

Не следует забывать, что эффективная СЗПДн обеспечивает непрерывность всех бизнес-процессов в самой компании, устраняет вероятность появления клиентских претензий, обоснованных жалоб со стороны работников, грозных предписания от надзорных органов регулятора.

Этапы выполнения работ по приведению в соответствие 152-ФЗ

1. Инвентаризация, полноценный анализ состояния информационных структур, задействованных в обработке ПДн.

Подобный предпроектный аудит предоставляет объективные сведения о процессах, задействованных при обработке ПДн в компании и мерах по их защите. Специалистами Open Vision в обязательном порядке проводится проверка всей служебной документации, регулярности осуществляемых мероприятий, разработанных для исполнения требований правовой базы относительно безопасности используемых в работе данных ограниченного доступа.

2. Создание концепции системы безопасности, используемой для сохранности персональных данных, предоставление заказчику обоснованных рекомендаций по оптимизации самой обработки ПДн, обеспечению сохранности конфиденциальной информации.

На этом этапе работы квалифицированные специалисты оценивают возможные варианты осуществления проекта, определяют отправные точки для его реализации, устанавливают определенные ограничения по масштабам внедряемого в практику проекта. Определяются основные проблемы, создается обоснование предлагаемых решений. Клиенты получают перечень программно-аппаратных элементов разрабатываемого комплекса защиты информации, с обязательным указанием стоимости по каждому пункту.

3. Уточнение реального уровня защищенности ПДн

В процессе работы определяется возможный тип угроз для защищаемых ПДн, с привязкой к конкретной информационной системе, уточняется предполагаемый состав персональных данных, возможное количество субъектов. Учитывая весь объем полученных сведений, определяется реальное состояние системы безопасности персональных данных.

4. Разработка модели возможных угроз для системы безопасности ПДн, создание модели злоумышленника

Предоставляемый заказчику документ представляет собой систематизированный список возможных угроз для безопасности ПДн при работе с ними в информационных системах персональных данных (ИСПДн). Угрозы безопасности персональных данных (УБПДн) могут возникнуть в результате злонамеренных либо случайных действий физических лиц, деятельности иностранных спецслужб либо специализирующихся на шпионаже организаций, специализированных криминальных группировок, подготавливающих взлом безопасности ПДн, которое затронет права и свободы, как общества, так и государства либо граждан.

5. Разработка Техзадания на строительство СЗПДн

Частное техзадание на построение для определенной информационной структуры СЗПДн определяет ее назначение, преследуемые цели, требования к техническому и организационному обеспечению, план разработки и непосредственного создания СЗПДн.

6. Создание проекта СЗПДн

Создаваемая на этом этапе внедрения СЗПДн проектная документация предусматривает работу, учитывающую предписанные нормативными актами стандарты защищенности данных с ограниченным доступом.

7. Разработка организационно-распорядительной документации

Комплект документов, предписывающих правила обработки, защиты ПДн, состоит из десятков организационно-распорядительных предписаний, которые необходимы для приведения всех процессов по работе и сохранности персональных данных в соответствие с нормативами действующего законодательства.

8. Поставка программно-аппаратных средств информационной защиты

Клиенту поставляются программно-аппаратные элементы для внедрения СЗПДн, прошедшие проверку и соответствующие требованиям законов РФ относительно мер информационной безопасности.

9. Монтаж, настройка СЗИ

На данном этапе внедрения СЗПДн осуществляется монтаж оборудования, инсталлирование программного обеспечения, с соответствующей настройкой. В результате проведенных работ заказчик получает комплект СЗИ, совместимый с применяемой информационной структурой для работы с ПДн.

10. Оценка действенности предпринимаемых мер для создания эффективной защиты персональных данных

Определение эффективности разработанных мер безопасности для данных ограниченного доступа осуществляется до момента запуска СЗПДн в эксплуатацию. Контрольное тестирование системы, работающей в коммерческих структурах, требуется проводить каждые 3 года.

11. Аттестация используемых ИСПДн на соответствие современным требованиям информационной безопасности

Аттестация ИСПДн включает в себя комплекс организационно-технических проверок (аттестационных испытаний), направленных на подтверждение соответствия требованиям информационной безопасности. Предусмотрена для госорганизаций.

рассчитать проект

Защита персональных данных

Компания ИТ Энигма Уфа предлагает полный комплекс решений и услуг на всех этапах создания системы защиты персональных данных (СЗПДн). Наше предложение позволит Вашей компании выполнить требования законодательства в области защиты персональных данных, а также быть готовой пройти проверку контролирующих органов (Роскомнадзор, ФСТЭК и ФСБ России).


Мы предлагаем поэтапное выполнение работ по созданию эффективной системы защиты персональных данных. 

Этап 1. Аудит соответствия ИС организации требованиям законодательства РФ

На данном этапе производится оценка степени соответствия существующей ИС организации требованиям законодательства, а также специальным нормативным документам. Специалисты ИТ Энигма Уфа помогут определить требования к системе защиты информации и разработают необходимые рекомендации, которые будут описывать порядок обработки и защиты персональных (ПДн) в соответствии с законодательством РФ.

 

Этап 2. Разработка организационно-распорядительной документации.

Мы разработаем организационные меры, требования и внутренние нормативные документы по обеспечению защиты ПДн и осуществим их внедрение в организации.


Этап 3. Разработка технического проекта системы защиты персональных данных

На данном этапе будет выполнено проектирование СЗПДн в соответствии с «Техническим заданием на создание СЗПДн». При проектировании СЗПДн мы максимально используем имеющиеся у Вас средства защиты, что уменьшает затраты на систему защиты.


Этап 4. Внедрение системы защиты персональных данных

Данный этап предполагает подготовку организации к вводу в действие комплексной СЗПДн, ее установку и настройку в соответствии с установленным уровнем защищенности и предъявляемыми требованиями по безопасности.


Этап 5. Проведение оценки соответствия (аттестации) ИСПДн различных классов требованиям безопасности информации

В рамках данного этапа специалисты ИТ Энигма Уфа проводят аттестацию соответствия каждой ИСПДн требованиям по безопасности, установленным ФСТЭК и ФСБ России. Аттестация является гарантией соответствия выбранных решений защиты персональных данных требованиям законодательства.


Этап 6. Сервисное сопровождение СЗПДн, консультации персонала по вопросам ее функционирования и порядка обеспечения защиты ПДн

На этом этапе осуществляется сервисное сопровождение СЗПДн с целью экспертного контроля функционирования и эффективности системы защиты, устранения возникающих неисправностей и осуществления помощи в расследовании инцидентов, связанных с нарушением правил обработки ПДн и/или несанкционированным доступом к ним.


Стандартный срок сервисного сопровождения составляет 1 год. 

   Защита персональных данных
Решение по защите персональных данных в ИСПДн представляет собой комплексный проект по созданию системы защиты персональных данных (СЗПДн) и может включать в себя внедрение как организационных, так и технических мер.

Необходимость защиты персональных данных, обрабатываемых предприятиями и организациями, обусловлена не только тем, что до 01.07 2011 г. все ИСПДн необходимо было привести в соответствие с Федеральным Законом №152-ФЗ от 27.07.2006 г. «О персональных данных», но и тем, что последствия неправомерных действий с персональными данными приводят к ущербам на уровне личности, общества и государства. Для учреждений здравоохранения нарушение конфиденциальности обрабатываемых персональных данных персонала и пациентов не только негативно сказывается на репутации, но и способно привести к гражданской, административной, и уголовной ответственности.

ООО «К-Софт», обладая штатом высококвалифицированных специалистов, выполняет работы по защите ПДн – от работы над отдельной стадией проекта по защите ПДн до выполнения всех видов работ по созданию комплексной системы защиты ПДн.

   Мы предлагаем:

  • Разработку организационно-распорядительных документов по защите персональных данных, которые позволят Вашей организации пройти проверку со стороны Роскомнадзора.
  • Внедрение технической системы защиты ПДн в организации, которая соответствует требованиям, предъявляемым со стороны ФСТЭК РФ и ФСБ РФ. Данные работы проводятся после разработки организационно-распорядительных документов.
  • Сопровождение и обслуживание системы ПДн

   Специальные предложения по защите персональных данных

            Для малых предприятий до 10 т.р.

            Для среднего бизнеса от 20 т.р.

            Для медицинских учреждений от 60 т.р.

   В состав работ по разработке организационно-распорядительных документов входит:

  • Обследование документооборота в части персональных данных: проводится изучение информационных системах и мест обработки персональных данных, используемых в организации в целях определения минимальных и достаточных требований по построению системы защиты ИСПДн.
  • Построение Модели угроз безопасности персональных данных: формирование Модели угроз безопасности персональных данных является необходимым этапом в создании системы защиты персональных данных согласно Постановления Правительства РФ от 01.11.2012 г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Правильно сконфигурированная Модель угроз позволит применять именно те контрмеры, которые актуальны для условий использования защищаемой системы, и снизить стоимость организационных и технических мер по защите ПДн. В результате Заказчик получает: Модель угроз безопасности ПДн при их обработке, разработанную и оформленную в соответствии с методическим рекомендациям ФСТЭК России и ФСБ России, которая позволит оптимизировать дальнейшие работы по построению системы защиты персональных данных.
  • Разработка частного технического задания на создание Системы защиты персональных данных: техническое задание (ТЗ) – основной документ, определяющий требования и порядок создания СЗПДн. При разработке ТЗ должны использоваться требования нормативно-методических документов по защите ПДн, лучшие практики по обеспечению информационной безопасности, особенности защищаемых ПДн и ИСПДн. Частное техническое задание разрабатывается на основании «Положения о методах и способах защиты информации в информационных системах персональных данных», утвержденное Директором ФСТЭК России 05.03.2010 г. В результате Заказчик получает: Частное техническое задание на создание СЗПДн, в котором максимально учитываются имеющиеся у Заказчика средства защиты и ресурсы для организации защиты персональных данных, что также позволяет снизить стоимость проекта «Защита персональных данных».
  • Разработка организационно-распорядительной документации по защите персональных данных: методическими документами ФСТЭК России предусматривается в процессе создания системы защиты персональных данных разработка организационно-методической документации, регламентирующей вопросы организации обеспечения безопасности персональных данных.В результате Заказчик получает: Комплект организационно-распорядительных документов, состав и содержание которых определяется с учетом Модели угроз и степени соответствия ИСПДн требованиям безопасности персональных данных.
  • Передача проектной документации по защите ПДн и оценка соответствия требованиям, обучение ответственных специалистов по методологии организации процесса обработки персональных данных, оценка соответствия созданной СЗПДн требованиям регулирующих органов.

           Типовые решения для одной системы персоналных данных

           Типовые решения для двух систем персоналных данных


Комплексная защита персональных данных в Туле

На сегодняшний день деятельность каждой компании связана с хранением и обработкой данных не только сотрудников и партнеров, но и клиентов. Утеря, столь ценных данных может нанести весомый ущерб вашему бизнесу:

  • потеря дохода
  • упущенная выгода
  • потеря клиентов
  • штрафы за несоблюдение закона 152-ФЗ «О персональных данных»

Вследствие участившихся кибератак на сервера компаний, вопрос о защите персональных данных клиентов и сотрудников выходит на первый план. Киберпреступники находят все более изощренные схемы взлома, и защищать информационные системы становится все сложнее. Поэтому во избежание потери конфиденциальной информации, стоит доверить профессионалам защиту персональных данных.

Когда вы начинаете разрабатывать план безопасности, то стоит начать именно с информационной безопасности, потому что это основа безопасности данных вашей компании. За последнее время число киберприступлений возросло, по статистике каждый второй малый и средний бизнес понес убытки из-за утечки информации.

Что делать владельцу сайта, чтобы избежать штрафов Роскомнадзора? — Применять организационные меры и технические средства защиты персональных данных.

Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы. Стоит понимать, что предоставление данных может быть добровольным и обязательным. Например, доставка почтовых отправлений, здесь согласие на обработку данных необязательно.

Меры внутренней защиты персональных данных:

  • Ограничение числа работников, которым открыт доступ к персональным данным
  • Назначение ответственного лица, которое обеспечивает исполнение организаций законодательства в своей сфере.
  • Утверждение списка документов, содержащих персональные данные.
  • Разработка собственных, внутренних документов по защите персональных данных.
  • Ознакомление работников с действующими документами о защите данных.
  • Порядок уничтожения информации.
  • Устранение нарушений требований.

В соответствии с пунктом 1 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», под персональными данными понимается любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Обеспечение безопасности персональных данных при их обработке в информационной системе — обязательное для соблюдения оператором этой системы требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.

Система обеспечения безопасности персональных данных включает в себя организационные меры и (или) технические средства защиты персональных данных, определенные с учетом актуальных угроз и информационных технологий, используемых в информационных системах

Почему мы?

Компания «Интелком» предлагает свои услуги по построению систем защиты персональных данных, начиная с этапа предпроектного обследования и заканчивая проведением аттестации. Наши специалисты, с учетом существующей инфраструктуры и пожеланий заказчика, помогут с выбором средств защиты информации, осуществят их установку и настройку, разработают необходимые организационно-распорядительные документы, проведут аттестацию, а также обеспечат сопровождение системы комплексной защиты персональных данных.

Профессионализм
Все сотрудники являются
сертифицированными
специалистами
Качество
Даем гарантию на
выполненные работы
Надежность
Лицензиаты ФСТЭК и ФСБ
Точно в срок
Мы придерживаемся
установленных планов и
сроков

Организационные меры комплексной защиты персональных данных

Организационные меры защиты – это меры организационного характера, регламентирующие процессы функционирования ИСПДн, использование ресурсов ИСПДн, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей с ИСПДн таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности или снизить размер потерь в случае их реализации.

Технические средства защиты персональных данных

Технические меры защиты основаны на использовании программных и(или) программно-аппаратных средств защиты. Выбор средств защиты информации осуществляется оператором в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю во исполнение части 4 статьи 19 Федерального закона «О персональных данных».

Интернет-издание о высоких технологиях

Пример решения: Проектирование системы защиты персональных данных телекоммуникационного оператора

Компания «Инфорион» разработала технический проект системы обеспечения информационной безопасности (СОИБ) одной из центральных систем OSS/BSS крупного оператора связи. Частью системы обеспечения информационной безопасности является система защиты персональных данных (СЗПДн), разработанная в соответствии с требованиями Федерального закона № 152-ФЗ «О персональных данных» и иных нормативно-правовых актов в сфере защиты субъектов персональных данных.

О заказчике

Проект выполнен в интересах одной из крупнейших телекоммуникационных компаний России, ведущего оператора фиксированной связи в масштабах федерального округа с населением 13,5 млн. человек.  Уровень цифровизации местной сети – 61,5%. Монтированная емкость оборудования широкополосного доступа превышает 500 тыс. хDSL-портов. В компании работает более 22 тысяч сотрудников.

Задачи проекта

Внедрение в ИТ-инфраструктуре телекоммуникационной компании новой системы OSS/BSS, ориентированной на повышение качества обслуживания абонентов и автоматизацию целого ряда важнейших бизнес-процессов, потребовало уделить должное внимание вопросам обеспечения информационной безопасности, поскольку система заняла одну из ключевых позиций в производственной деятельности компании. Дополнительным фактором риска явилось наличие во вновь создаваемой информационной системе значительного объема персональных данных, необходимость защиты которых явно указана в действующем законодательстве. Таким образом, при выполнении проекта решались две важнейшие задачи: обеспечение информационной безопасности (конфиденциальности, целостности, доступности) информационной системы и дополнительная защита обрабатываемых в ней персональных данных в рамках выполнения требований действующего законодательства.

Решение

Помимо значительного масштаба объекта защиты (большое количество разнообразного сложного оборудования и приложений, несколько сотен пользователей, наличие удаленных технологических площадок, значительная сетевая инфраструктура) важное значение с точки зрения проектирования системы безопасности играло то обстоятельство, что в системе планировалось обрабатывать персональные данные (ПДн). Эта особенность и задала основной вектор проектирования СОИБ, который был сформулирован следующим образом: ввиду наличия требований к обеспечению информационной безопасности (ИБ) системы в целом и требований к защите ПДн в составе СОИБ разрабатывается система защиты персональных данных (СЗПДн). При этом, разумеется, соблюдаются все требования законодательства по защите ПДн.

Ход проекта

Для выполнения работ была создана рабочая группа, состоящая из представителей компании-заказчика, компании-головного исполнителя работ по защищаемой системе и компании-интегратора в области информационной безопасности.

В период проектирования СОИБ защищаемая система находилась в стадии разработки. Это обстоятельство отразилось на ходе проекта и выразилось в сложности получения необходимого объема исходных данных, поскольку следствием нахождения информационной системы в стадии «активная разработка» явилась низкая степень документированности архитектуры и технических решений, постоянные пересогласования вариантов интеграции составных частей, отсутствие ясности в организационных вопросах и тому подобные факторы, влияющие в конечном итоге на качество выполнения работ по защите информации. Для минимизации рисков, сопровождающих подобную ситуацию, было введено т. н. «запаздывающее» планирование работ по направлению ИБ, когда проектирование СОИБ выполнялось с некоторой задержкой (2-3 недели) относительно разработки самого объекта защиты. Кроме того, проектировщики СОИБ буквально «погрузились» в техпроект защищаемой системы, для чего потребовалось привлечь группу самых высококвалифицированных экспертов, обладающих необходимыми знаниями в ИТ-сфере, а так же уделить особое внимание координации работ и взаимодействию с целым рядом рабочих коллективов, занятых в создании ИС (в том числе в рамках нескольких независимых компаний).

В конечном итоге приложенные на начальной стадии работ усилия по сбору исходных данных позволили в заданные сроки осуществить разработку необходимых технических решений и организационных мер по защите информации.

Технические компоненты решения

Создание СЗПДн, пусть и в рамках более масштабной СОИБ, требовало соблюдения всех установок, заложенных в федеральное законодательство и методические документы регуляторов. Для того, чтобы адекватно реализовывать такие установки именно там, где это необходимо, потребовалось произвести уточнение границ объекта защиты. На основе определения, приведенного в Федеральном законе № 152-ФЗ «О персональных данных» были четко выделены и зафиксированы те элементы защищаемой ИС, которые образуют информационную систему персональных данных (ИСПДн). Как и следовало ожидать, границы ИСПДн не совпали с границами ИС в целом. Это обстоятельство позволило отказаться от некоторых избыточных технических решений, поскольку необходимость обеспечивать выполнение требований по защите ПДн в масштабах всей ИС сменилась необходимостью реализовать эти требования только в рамках ИСПДн как ее составной части. Дальнейшее проектирование СОИБ велось с учетом наличия в ней СЗПДн, а так же принципа «СОИБ – для защиты ИС в целом, СЗПДн – для защиты ИСПДн, сформированной в составе ИС».

Важный вопрос, который потребовалось решить совместно с оператором – установление необходимости обработки ПДн и определение их перечня. В рамках проектируемой СОИБ/СЗПДн необходимость обработки персональных данных продиктована как технологией обслуживания клиентов, так и положениями федерального закона № 126-ФЗ «О связи», устанавливающего возможность обработки телекоммуникационной компанией информации об абонентах. Положения статьи 53 упомянутого закона легли в основу перечня персональных данных, обрабатываемых в защищаемой ИСПДн, зафиксировавшего состав ПДн и правовые основания для их обработки.

Во главу угла при выполнении работ по защите ПДн ставится классификация ИСПДн. Разумеется, при создании СОИБ, имеющей в своем составе СЗПДн, это мероприятие в отношении последней имеет статус обязательного. Группа проектирования совместно со специалистами заказчика пришла к выводу, что защищаемая ИСПДн является специальной, поскольку в ней вне зависимости от необходимости обеспечения конфиденциальности ПДн требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности. Составленная в соответствии с методическими документами ФСТЭК частная модель угроз безопасности ПДн позволила, во-первых, адекватно определить класс системы и, во-вторых, выделить именно те угрозы, которые являются актуальными и от которых следует защищаться.

Собственно техническое проектирование СОИБ/СЗПДн проведено в классическом, хорошо зарекомендовавшем себя стиле, на основе выбора оптимальных вариантов реализации тех или иных подсистем (сервисов) информационной безопасности. Проблем с выбором сертифицированных СЗИ, отвечающих перечню актуальных угроз ПДн, так же не возникло: на рынке представлено достаточно большое число решений, и проектировщикам осталось подобрать наиболее подходящее по требованиям и условиям применения.

Особенностью рассматриваемого примера явилась разработка двух групп технических решений по обеспечению ИБ. Первая группа решений ориентировалась на защиту центрального ядра системы и головного филиала оператора, вторая – на защиту типового регионального филиала (их в структуре бизнеса насчитывается девять).

Знание существующей у заказчика системы мер по защите информации позволило использовать уже имеющиеся СЗИ и нормативные документы во вновь создаваемой системе обеспечения безопасности и тем самым снизить конечную стоимость СОИБ и длительность ее разработки, а так же избежать излишних трудностей для оператора при внедрении новых, ранее не использовавшихся СЗИ.

Важное место в проекте отведено организационным мерам, для чего были разработаны необходимые нормативные документы. Поскольку система защиты создавалась не в «чистом поле», важным моментом явилась гармоничная интеграция вновь разрабатываемых документов в существующую нормативную базу заказчика. Подробная информация об имеющихся в организации документах в области защиты информации не только обеспечила построение целостной взаимодополняющей нормативной базы, но и позволила использовать существующие положения при подготовке новых документов по защите информации, включая ПДн. Разумеется, особенности выполнения проекта, связанные с «инкапсуляцией» СЗПДн в СОИБ, внесли свой вклад в нормативную составляющую: помимо документов, обязательных к разработке и определенных требованиями ФСТЭК, были подготовлены дополнительные руководства, например – частная политика ИБ защищаемой системы.

Результаты проекта

В ходе выполнения работ подготовлен законченный технический проект системы обеспечения информационной безопасности с входящей в ее состав системой защиты персональных данных. Помимо документов технического уровня разработана необходимая нормативная база, включающая положения, регламенты и инструкции, ориентированные на обеспечение информационной безопасности и защиту персональных данных. Разработана частная модель угроз безопасности ПДн, а информационной системе персональных данных присвоен соответствующий класс. Кроме того, в состав технического проекта включены предложения по модернизации ИТ-инфраструктуры заказчика. Технический проект СОИБ/СЗПДн прошел экспертизу в организации, аккредитованной ФСТЭК в качестве аттестационного центра и получил положительное заключение о возможности проведения аттестации объекта информатизации по требованиям безопасности информации. Таким образом, проекту системы дан «зеленый свет» к реализации и запуску в коммерческую эксплуатацию.

Построение системы защиты персональных данных компании в соответствии с требованиями законодательства РФ

27.04.2010, Новосибирск

Построение системы защиты персональных данных компании в соответствии с требованиями законодательства РФ

Дата и время#EVENT_DATE#
Место проведения Новосибирск, ул. Ленина, д. 7, кинотеатр Победа, зал № 3
Краткое описание

На конференции будут рассмотрены следующие темы:

  • обзор законодательства РФ, регулирующего отношения в сфере обработки персональных данных и ответственность юридических лиц;
  • процедуры контроля и надзора за обработкой персональных данных Роскомнадзора;
  • процедуры и этапы построения системы защиты персональных данных в организации;
  • процедуры проведения аттестации объектов информационной системы на соответствие требованиям закона о защите персональных данных;
  • процедуры получения лицензий на осуществление деятельности по технической защите конфиденциальной информации;
  • актуальные решения в области построения системы защиты персональных данных и пр.

Также на конференции будет проведена секция, на которой ведущие производители продуктов по информационной безопасности представят свои разработки в данной области. Для Вашего удобства на конференции будет организован круглый стол с сертифицированными специалистами Softline, где можно будет задать вопросы и получить подробную консультацию по построению системы защиты персональных данных.

Выступления Оксана Полякова, руководитель партнерского отдела Aladdin
Максим Чирков, менеджер по работе с технологическими партнерами Aladdin
Формат мероприятия Конференция компании Softline
Подробная информация Описание мероприятия

Поделиться мероприятием

Другие мероприятия

GDPR и Privacy by Design: что нужно знать разработчикам | компанией Sphere Identity | Sphere Identity

Согласно недавнему отчету, 90% мировых данных были собраны за последние два года. К 2020 году ожидается, что мы будем создавать 1,7 мегабайта новой информации каждую секунду для каждого человека на планете. Этот огромный поток данных включает личную и конфиденциальную информацию. Какие проблемы и возможности существуют для предприятий и потребителей во всем мире?

В настоящее время практически невозможно контролировать данные, которые хранятся в организациях, и способы их использования.Поэтому очень важно задавать вопросы о том, что делается с вашими данными или как они хранятся.

Пока мы не построим лучшие системы — личные данные небезопасны. Пришло время по-другому подходить к разработке программного обеспечения и систем. Почему сейчас?

Скоро появится Общий регламент по защите данных (GDPR). GDPR — это новый закон, принятый парламентом ЕС в 2016 году. Он вступит в силу 25 мая 2018 года. GDPR изменяет европейские правила конфиденциальности. Одно существенное изменение — это введение концепции конфиденциальности по дизайну и концепции конфиденциальности по умолчанию.В этой статье мы сосредоточимся на Privacy by Design Framework.

Важно уточнить, что хотя GDPR является европейским законодательством, он будет иметь глобальное влияние. Данные европейских граждан защищены даже в системах ведения бизнеса за пределами ЕС. Вот почему разработчикам всего мира необходимо понимать новые требования.

Структура Privacy by Design состоит из 7 принципов. Эти 7 основополагающих принципов были разработаны бывшим комиссаром Канады по информации и конфиденциальности Энн Кавукян в 2009 году (отражают то, что GDPR пытается поощрять среди контроллеров данных).

Конфиденциальность через дизайн означает, что организациям необходимо учитывать конфиденциальность на первых этапах проектирования и на протяжении всего процесса разработки любых новых продуктов, процессов или услуг, связанных с обработкой персональных данных. Это означает, что речь идет уже не только о защите данных, но и о проектировании и создании систем, обеспечивающих защиту данных.

С Privacy by Design о конфиденциальности и безопасности больше не думают второстепенно.

Короче говоря, статья 25 GDPR требует; «Защита данных по дизайну; Контроллеры данных должны применять технические и организационные меры, такие как псевдонимизация, чтобы свести к минимуму обработку персональных данных ».Создание совместимых систем означает, что необходимо добавить новые функции для обеспечения псевдонимизации данных, шифрования и других мер по повышению конфиденциальности.

Дизайн

1. Действовать в рамках закона и быть подотчетным. Впервые тем, кто создает и проектирует систему, необходимо изучить и применить основы и законодательство в области конфиденциальности.

Стратегия конфиденциальности важна для того, чтобы на ранних этапах процесса разработки сделать выбор в отношении того, как включить конфиденциальность при разработке новой услуги или продукта.Хорошим инструментом для стратегии конфиденциальности является оценка воздействия на конфиденциальность (PIA). Этот инструмент помогает выявлять и снижать риски конфиденциальности проектов. Это также снижает риск причинения вреда людям из-за неправильного использования их личной информации. Это также помогает разрабатывать более эффективные и эффективные процессы обработки личных данных.

Не забывайте сохранять результаты PIA. Это позволит вам на более позднем этапе обосновать определенные решения.

2.Подумайте об этике. Этические аспекты проектирования и разработки систем также должны быть приняты во внимание на раннем этапе. Организация должна решить, насколько прозрачной она хотела бы быть при обработке данных и сколько она хочет знать об участвующих пользователях / клиентах. Анализ того, какие минимальные данные требуются, станет новой нормой. Задайте вопрос, какая информация вам абсолютно необходима? Нужно ли собирать эти личные данные? Например, если требуется разработать систему, которая обнаруживает, что кто-то старше 18 лет, то создание поля для даты рождения больше не является ответом.

Для обеспечения безопасности данных необходимо принять соответствующие меры для защиты личной информации пользователей и предотвращения утечки данных. Кроме того, чрезмерное использование или эксплуатация личной информации в бизнес-процессах необходимо пересмотреть и изменить. Решение о хранении данных особенно важно для конфиденциальной информации. Развивающиеся технологии распределенного хранения требуют изучения.

3. Коммуникация — ключ к успеху . Общение с пользователями / клиентами очень важно для обсуждения на начальных этапах проектирования и в течение всего процесса разработки.Система должна сделать очевидным для пользователя, кто собирает их данные и как они могут связаться с этим объектом. Если личные данные будут храниться, им необходимо сообщить пользователю, как долго они хранят личные данные и почему / как их данные используются.

Линии связи должны быть свободны, даже если что-то возгорается. Пользователи / клиенты должны быть проинформированы, когда что-то подобное происходит. Если о нарушениях данных не будет сообщено пользователю / покупателю и в ЕС в течение 72 часов, будут наложены значительные штрафы.

При сборе данных необходимо получить активное согласие. Для:
a) сбора или использования личной информации (для каждой цели).
б) передача личной информации третьим лицам.
в) хранение личной информации.

Также должно быть ясно, куда они могут обратиться, если они хотят узнать больше об обработке своих личных данных и о том, как они могут реализовать свои права.

Если третья сторона имеет доступ к личным данным, пользователь должен быть уведомлен.Они имеют право знать, кому будет предоставлена ​​информация, какова цель, а третьи стороны должны предоставить ссылки на их политики конфиденциальности. Пользователи также могут выбрать, хотят ли они, чтобы эти данные были собраны, доступны и использованы третьими сторонами. Для агрегирования данных пользователю необходимо дать разрешение, так как эти данные строятся только из того, чем они делятся.

В рамках управления согласием пользователю / клиенту необходимо сообщить следующее:

— срок действия согласия
— как они могут управлять любым предоставленным им согласием
— последствия отказа или отзыва согласия.

Пользователи должны иметь возможность отозвать согласие простыми и эффективными способами, без неоправданной задержки или чрезмерных затрат. Kantara Initiative имеет очень хороший стандарт для спецификаций получения согласия.

4. Безопасность, качество и удаление данных. Меры безопасности данных необходимы для предотвращения утечки данных. Важно гарантировать качество данных для организации. Сейчас критически важно управлять тем, что организация будет делать с данными после прекращения использования продукта или услуги.

Пользователи должны иметь возможность деактивировать свою учетную запись и иметь возможность удалять свои учетные записи. Это означает, что всю личную информацию / контент необходимо удалить из сети и любых внутренних серверов. Развитие систем и процессов «Право на забвение» станет новой областью.

Реализация

5. Базовые знания о конфиденциальности. Успешное внедрение системы произойдет, когда каждый, кто участвует в разработке и внедрении новых продуктов и услуг, будет иметь достаточно знаний о конфиденциальности.

Должен быть принят систематический подход, основанный на принятых стандартах и ​​структурах процессов и поддающийся внешней проверке. Это должно включать наличие политик защиты данных, оценок воздействия на защиту данных и наличие соответствующих документов о том, как данные обрабатываются.

6. Защита данных документов. Должны быть разработаны четкие политики, руководящие принципы и рабочие инструкции, связанные с защитой данных, и специалист по конфиденциальности должен быть готов помочь.

Политики должны реализовываться на уровне технических и бизнес-процессов.Когда личные данные больше не требуются, их необходимо уничтожить или обезличить. Анонимные данные достигаются за счет удаления информации, которая может идентифицировать человека. Это можно сделать, удалив любую информацию, которая может быть использована для идентификации человека, и сделав невозможным повторную идентификацию человека. Те, кто применяет анонимность, должны тщательно оценить доказанную возможность деанонимизации.

Управление согласием на анонимность, хранение и другие виды обработки данных — неотъемлемая часть систем ближайшего будущего.

7. Процесс разработки. Метод разработки (гибкая, водопадная и т. Д.), Используемый в вашей организации, должен применять концепции на протяжении всего процесса разработки. Это позволит вашей команде разработчиков принять меры на соответствующих этапах.

Важно распределить ответственность, чтобы гарантировать конфиденциальность конечных пользователей. Это необходимо делать на протяжении всего жизненного цикла продукта и различных бизнес-процессов. При сборе персональных данных на каждом этапе процесса должен быть назначен представитель компании, чтобы гарантировать, что конфиденциальность конечных пользователей встроена в сервисы и бизнес-процессы.

8. Мониторинг и оценка. Когда вы запускаете новую систему или политику, она должна быть принята организацией и отслеживаться на протяжении всего срока ее службы.

Соответствие необходимо продемонстрировать, например, путем создания и ведения документации, подтверждающей, что организация использует технологию для непрерывного мониторинга данных и непрерывной оценки уязвимостей.

Эти шаги вместе с 7 принципами Privacy by Design Framework (начиная с процесса проектирования и мониторинга и тестирования после завершения проектирования) кардинально изменят способ управления данными предприятиями по всему миру.Новая задача для разработчиков — создать системы, соответствующие GDPR, и отстоять структуру Privacy by Design.

Sphere Identity предоставляет решения для цифровой идентификации для предприятий и частных лиц. Конфиденциальность по дизайну важна для продуктов, которые мы создаем.

Подпишитесь на обновления от Sphere Identity, нажав здесь.

Создание эффективной программы обеспечения конфиденциальности данных

«Когда дело доходит до конфиденциальности, мне нравится быть за столом« рано и часто », когда команды разрабатывают свои продукты и услуги, и выступать в роли защитника интересов потребителей», — говорит юрист Axiom Сью Гомес.«Это означает, что команды могут еще не обдумать, что находится на пересечении продуктов, закона и технологий ».

Сью Гомес, адвокат Axiom

Обладая обширным опытом работы в промышленности, сначала в качестве предпринимателя, затем в качестве юриста в области технологий, а недавно и в сфере здравоохранения, Сью построила свою карьеру, сосредоточив внимание на коммерческих и технологических сделках. Она помогала компаниям разрабатывать и выпускать продукты, услуги и бизнес-модели с учетом безопасности и конфиденциальности данных.

Во время недавнего сотрудничества Axiom с глобальной технологической компанией F50 Сью работала консультантом по продуктам, где много внимания уделяла конфиденциальности данных. Благодаря ее глубокому пониманию нюансов конфиденциальности данных, она смогла быстро ассимилироваться с командами разработчиков и инженеров, чтобы помочь спроектировать совершенно новую торговую площадку, обеспечивающую конфиденциальность. Сью отмечает: «Чтобы быть действительно хорошим консультантом по продуктам, важно иметь опыт конфиденциальности».

Сью утверждает, что компании должны рассматривать соблюдение конфиденциальности в качестве отличительного признака своего бизнеса, особенно в связи с быстрым развитием среды конфиденциальности и вступлением в силу новых нормативных актов, таких как Закон Калифорнии о конфиденциальности потребителей (CCPA).

Обширный опыт в области конфиденциальности данных
Совокупность образования и опыта

Сью дает ей убедительное представление о том, как компании могут включить конфиденциальность данных в свою деятельность. Она имеет степень бакалавра в области диетологии и специальность по химии, а также имеет степень магистра делового администрирования и доктора юридических наук, а также степень магистра права в области интеллектуальной собственности. Она получила степень магистра, права и магистра права в ночное время, продолжая работать. Она работала в нескольких успешных технологических и медицинских компаниях Кремниевой долины в стартапе, который разработал инструмент для обучения руководителей Кремниевой долины, и является опытным спикером.

После работы в компании Sun Microsystems, а затем гиганта памяти SanDisk, Сью перешла на работу в сфере здравоохранения, где накопила опыт работы в жестко регулируемой среде. Хотя ей нравился сектор здравоохранения, ей было интересно вернуться в технологии, и после присоединения к Axiom она начала работать внутри компании в глобальной технологической компании F50.

Благодаря сочетанию опыта в сфере коммерции, технологий, здравоохранения и интеллектуальной собственности, Сью обладает уникальными возможностями для понимания нюансов законодательства и его влияния на множество различных аспектов деятельности компании.Она знает, как учесть нюансы конкретного законодательства и согласовать их с бизнес-моделью и целями компании, чтобы создать программу функционального соответствия. Это важнее, чем когда-либо, поскольку «нормативные акты становятся более конкретными, правоприменение — более жестким, а штрафы — более крупными». В то время как определенные секторы, такие как здравоохранение и финансы, в течение многих лет подвергались жесткому регулированию, более широкий круг компаний должен ориентироваться в сфере конфиденциальности сейчас, когда эти новые правила вступают в силу.

Разработайте практический подход к конфиденциальности

Сью считает, что ключом к успешной внутренней работе является разработка оперативного подхода ко всем аспектам юридической работы, включая конфиденциальность. Первоначально занимаясь коммерческими и техническими сделками, Сью работала в крупной компании Кремниевой долины, управляя командой и обсуждая контракты, стратегические сделки и бизнес-операции. Однако ее карьера расцвела, когда она взялась за новые задачи по мере роста компании и изменения деловой и правовой среды.Сью признала, что ее компания могла бы извлечь выгоду из повышенного внимания и структуры для конфиденциальности. Поговорив с очень отзывчивым руководством, она взяла на себя функцию уединения как «труд любви». С помощью многих преданных своему делу людей из юридических, продуктов, инженерных, ИТ-отделов и отдела нормативно-правового соответствия она продолжила свою работу над коммерческими транзакциями, создавая и управляя функцией конфиденциальности в течение 10 лет.

Создание офиса конфиденциальности — это действительно многофункциональное мероприятие. «Вам нужно определить видение, отточить, почему это правильно, и найти людей, которые поддержат его и продвигают вперед.Для этого вам необходимо практиковать все навыки, имеющиеся в вашем наборе инструментов, как в бизнесе, так и в юриспруденции, такие как юридические исследования и интерпретация, управление проектами, лидерство, объединение людей и построение структуры, которая работает в рамках корпоративной культуры », — сказала Сью. объясняет.

«Чтобы запустить эффективную программу обеспечения конфиденциальности, вы должны понимать принципы конфиденциальности и то, как они действуют в структуре организации, а затем создать рабочую модель с« участием »бизнеса, юридического и исполнительного руководства.Конфиденциальность не должна рассматриваться как препятствие для разработки продукта. Конфиденциальность может быть как новаторской, так и отражать ценности компании, и ее следует воспринимать как отличительный признак бизнеса », — объясняет Сью. Она описывает свой подход к конфиденциальности как:

  • Знать принципы
  • Разберитесь в потребностях вашего бизнеса
  • Оценить риск относительно направления бизнеса
  • Создайте свою стратегию

Как и многие другие элементы бизнеса, Сью признает, что соблюдение конфиденциальности является подвижной целью.Тем не менее, она подчеркивает, что «при правильном руководстве и приверженности руководства и людей в бизнесе с общим видением защиты личной конфиденциальности мы смогли помочь компании создать программу, размер которой соответствовал нашей конкретной бизнес-модели, и тот, который мы считали одним из лучших ».

Определите правила игры

«Создание программы обеспечения конфиденциальности может быть невероятно полезным, подробным и, без сомнения, стрессовым», — признает Сью. Чтобы добиться успеха, подчеркивает Сью, прежде всего нужна «поддержка со стороны руководства на высоком уровне.«Вам также необходимо инвестировать в обучение руководителей, юридических и бизнес-команд; и в поиске подходящих людей для создания систем и инструментов для поддержки вашей функции конфиденциальности.

«Также важно помнить, что законы — это пол», — говорит Сью. «Как компания, вы можете захотеть прославиться чем-то, помимо простого соблюдения закона. Вместо этого вы хотите быть известны тем, что усиливают защиту конфиденциальности потребителей ».

Как руководитель компании по обеспечению конфиденциальности, Сью объясняет, что у вас есть особая и серьезная ответственность: «заранее подумать о том, какое влияние ваша политика конфиденциальности в нынешней и будущей нормативно-правовой среде может оказать на бренд компании, потому что не все в компании». у вас будет время, знания или образ мышления для этого.”

Разберитесь в своем хлебе с маслом

Прежде чем создавать план обеспечения конфиденциальности, Сью рекомендует потратить время на то, чтобы понять вашу компанию, культуру, склонность к риску, а также системы, процессы и ценности, которые ими движут. «Вы движетесь в области инженерии, финансов или данных?» она спрашивает. Она также рекомендует понимать следующее о ваших данных:

  • Какие данные собираются
  • Где хранятся эти данные и как они хранятся в безопасности
  • Как используются эти данные
  • Как вы получаете согласие пользователя и / или определяете свои правовые основания для обработки данных

«Я думаю, что для руководителей конфиденциальности главное — пройти оценку рисков и понять, что делает их компания и как они собирают данные.В случае солидных компаний вы должны быть уверены, что знаете, откуда поступают 90 процентов данных, а затем продолжать копаться, чтобы понять последние 10 процентов. Для менее устоявшейся компании начните с понимания этих первых 80 процентов, а затем присоединитесь к командам, чтобы продолжить итерацию, и продолжайте после этих последних 20 процентов, пока вы не будете уверены, что ваша программа имеет прочную основу, когда дело доходит до данных. , — объясняет Сью.

Построение стратегического партнерства

По опыту Сью, создание эффективной программы обеспечения конфиденциальности требует систематического подхода.Необходимо, чтобы «люди с ботинками на местах» могли проверять эти программы вместе с инженерами и специалистами по развитию бизнеса, которые могли бы говорить об использовании данных в структуре продуктов, людей, мест и вещей; лидер, чтобы собрать все воедино; и руководители высшего звена, которые фактически проанализируют то, что вы придумаете ».

В SanDisk Сью в партнерстве с ключевыми бизнес-игроками создала комитет по конфиденциальности. На еженедельной встрече каждая функция рассказывала о своих действиях в отношении конфиденциальности.Затем они будут работать вместе, чтобы разработать решение для программы обеспечения конфиденциальности, которое подойдет им и их бизнес-функциям.

Сью использовала пример инженеров, создающих приложение, чтобы проиллюстрировать, как данные собираются и используются, и как регулирование может повлиять на этот процесс. Если разработчикам нужно получить данные с такого устройства, как смартфон, как они могут получить согласие? GDPR требует, чтобы компании использовали предписывающую методологию, которой нужно следовать в случае отзыва согласия. «Вы могли бы остаться без дела, если бы у вас было согласие пользователя на сбор данных шесть месяцев назад, а теперь нет», — объясняет Сью.Этот пример показывает, почему так важно сотрудничать и регулярно общаться с множеством различных заинтересованных сторон в рамках вашего бизнеса.

Изучите ландшафт конфиденциальности

Очень важно, чтобы профессионалы в области конфиденциальности не только тратили время на создание структуры конфиденциальности, но и на ее внедрение. Поэтому компаниям и специалистам в области конфиденциальности важно понимать более широкий ландшафт конфиденциальности, в котором действует конфиденциальность данных.

«Конфиденциальность» состоит из множества компонентов и пересекается с кибербезопасностью и безопасностью данных.Сью описывает создание рабочих групп с директором по безопасности, ИТ-командой и инженерами, чтобы по-настоящему погрузиться в то, как конфиденциальность данных работает на повседневном уровне. Она даже дошла до того, что изучила код, который писали инженеры. В 2011 году она получила сертификат конфиденциальности Международной ассоциации профессионалов в области конфиденциальности (IAPP). В дополнение к ландшафту конфиденциальности и безопасности, чтобы глубже погрузиться в патенты, товарные знаки, авторские права и коммерческую тайну, Сью получила степень магистра права в области интеллектуальной собственности, которая включала курсы по конфиденциальности, в 2014 году.

«Это действительно ценно — быть знакомым не только с законами и постановлениями о конфиденциальности, но и с технологической базой и разговорным языком, особенно с инженерами», — объясняет Сью.

Одно из мест, где профессионалы в области конфиденциальности и безопасности могут работать вместе, — это создание планов реагирования на инциденты, особенно в отношении защиты личных данных. «Вот где было много действий регулирующих органов», — отмечает Сью.

Думайте за пределами стен

Соблюдение конфиденциальности данных распространяется не только на то, что происходит в вашей компании.При реализации плана обеспечения конфиденциальности вам также необходимо учитывать любые внешние заинтересованные стороны, такие как поставщики и регулирующие органы.

Контракты с поставщиками, аффилированными лицами или партнерами, а также «сторонними поставщиками» являются предметом внимания как GDPR, знакового европейского регламента конфиденциальности 2018 года, так и CCPA, и должны быть в центре внимания любой функции обеспечения конфиденциальности. «Еще одним важным фактором для обеспечения конфиденциальности является управление поставщиками и партнерами — это не только то, что происходит в ваших собственных четырех стенах, но также и в вашей третьей стороне — кто они, как вы делитесь с ними своими данными, что они с ними делают, и насколько глубоко в цепочке нужно пройти, чтобы убедиться, что данные адекватно управляются и защищены », — объясняет Сью.

Сью предупреждает, что некоторые поставщики и партнеры могут быть не в состоянии выполнить требования конфиденциальности и будут сопротивляться, когда вы пересматриваете свои контракты. Сью отмечает, что при пересмотре контрактов с целью соблюдения новых правил конфиденциальности «очень помогает иметь действительно сильный опыт коммерческих переговоров и технологий».

Обслуживание бизнеса по мере развития нормативных требований

«Как юристы, мы хотим защищать интересы наших клиентов, а также помогать формировать законы», — говорит Сью.По состоянию на октябрь 2019 года еще как минимум 15 штатов США приняли или рассматривают закон о конфиденциальности, что делает работу профессионалов в области конфиденциальности еще более сложной. Сью отмечает: «Уровень детализации в действующих и разрабатываемых законах ошеломляет, но, как юристы, лучше всего мы можем собрать требования, найти общую высокую планку и построить программы вокруг этого».

Поскольку не существует национальных или международных стандартов конфиденциальности, юристы должны выявить различия между GDPR, CCPA и другими законами о конфиденциальности.«Например, существует множество нюансов относительно того, применяется ли CCPA», — говорит Сью. «Вот почему вам нужны сильные юристы и тесные связи с отраслевыми группами, такими как IAPP, чтобы понять коллективную интерпретацию и реализацию».

В целом, если вы, как профессиональный юрист, связаны с более широким сообществом по вопросам конфиденциальности и хорошо осведомлены о последних изменениях в законах, их толковании и применении, а также убедитесь, что ваша программа обеспечения конфиденциальности отражает это, Сью отмечает: быть в лучшем положении, когда дело доходит до поддержки решений и действий вашей компании по соблюдению этих правил.”

Роль руководителя по вопросам конфиденциальности также состоит в том, чтобы гарантировать, что вся выполняемая работа по обеспечению конфиденциальности будет понятна будущим сотрудникам, а также регулирующим органам. Когда у вас есть план обеспечения конфиденциальности, включающий рабочие потоки по обеспечению конфиденциальности, участие руководства и бюджет, вам также необходимо принять решение о плане аудита. «Обеспечение конфиденциальности работы и ее понимания для следующего человека, особенно регулирующего органа, — это постоянная проблема, требующая прозрачности», — говорит Сью. Она отмечает, что юристы могут сыграть важную роль в преобразовании структуры и требований регулирующих органов в практику конфиденциальности компании.

Она призывает компании «знать общий знаменатель, определять высокую планку, предлагать решения и системы, которые управляют этими рисками в вашей организации, и быть готовыми обосновать и определить то, что вы делаете. В противном случае вы можете потеряться в мелочах, а это не поможет вашему клиенту. Вашим клиентам нужны решения.

Юристы Axiom, такие как Сью, являются частью мощной сети профессиональных юристов, которые приносят нашим клиентам преимущества своего обширного коммерческого опыта и понимания отрасли.Для получения экспертных рекомендаций по настройке, структурированию и масштабированию вашей программы конфиденциальности, а также для работы с опытными профессионалами в области конфиденциальности, такими как Сью, свяжитесь с нами в Axiom.

Реализация конфиденциальности по дизайну — политика конфиденциальности

Общий регламент по защите данных (GDPR) внес много изменений в то, как компании и государственные органы думают о конфиденциальности. Одним из таких способов является решение закрепить в законе понятие «конфиденциальность по дизайну» (PbD) в соответствии со статьей 25.

К счастью, в отличие от большей части GDPR, концепция Privacy by Design довольно хорошо известна.

Что такое Privacy by Design, почему это требует GDPR и как вы можете внедрить PbD в свой бизнес? Ниже вы найдете ответы и контрольные списки, которые помогут вам на этом пути.



Что такое конфиденциальность по дизайну?

Самое простое объяснение Privacy by Design немного больше, чем « защита данных через технологический дизайн ».

По сути, это означает, что вам необходимо интегрировать функции защиты данных и конфиденциальности в вашу системную инженерию, методы и процедуры.Это не должно быть второстепенным или дополнением к вашим процессам или инфраструктуре.

Один из способов описать это — указать, что Privacy by Design не является . Например, если вы просматриваете Интернет индивидуально, не имеет значения, используете ли вы VPN и брандмауэр для защиты своего компьютера, если вы также используете пароль: «password123» для каждой отдельной учетной записи. VPN не компенсирует использование слабых паролей. Вам необходимо интегрировать конфиденциальность на каждом уровне , а затем вы можете добавить дополнительные функции безопасности, такие как VPN.

Что это означает на практике для бизнеса? Вот некоторые примеры Privacy by Design:

Тем не менее, Privacy by Design идет намного дальше и влияет почти на все области использования ваших технологий и обработки данных. Эти примеры просто демонстрируют некоторые способы обеспечения конфиденциальности в ваших процессах.

7 принципов конфиденциальности по дизайну

В концепции Privacy by Design семь принципов, и каждый так же важен, как и следующий.Вот эти принципы:

  1. Упреждающий, не реагирующий / Профилактический, не исправляющий
  2. Конфиденциальность по умолчанию
  3. Конфиденциальность в дизайне
  4. Полная функциональность
  5. Сквозная безопасность
  6. Видимость и прозрачность
  7. Уважение конфиденциальности пользователей

Начнем с принципа 1 : Упреждающий, а не реагирующий / Профилактический, а не исправляющий.

Первый принцип утверждает, что конфиденциальность данных должна возникать в начале процесса планирования.Если ваша практика безопасности состоит из тушения пожаров и устранения нарушений, то вы реагируете. В нем заложена философская суть остальных принципов.

Принцип 2 Конфиденциальность как настройка по умолчанию — это, пожалуй, самый сложный принцип, который компании могут осознать. Он утверждает, что конфиденциальность должна быть во главу угла того, что вы делаете. Это означает ограничение вашего совместного использования, использование минимизации данных, удаление данных, которые вы больше не используете, и постоянную работу на законных основаниях.Это также означает использование функций подписки и отказа, а также защитных мер для данных потребителей.

В Принципе 3 идея состоит в том, что конфиденциальность должна найти отражение в дизайне или одновременно в вашей архитектуре и в бизнесе. Другими словами, конфиденциальность — это основная функциональность продукта. Вы должны регулярно использовать шифрование, аутентификацию и тестирование уязвимостей. Неважно, работает ли ваш процесс должным образом; у него есть недостаток дизайна, если есть уязвимость в системе безопасности.

Принцип 4 гласит, что нет причин бояться Privacy by Design.Если вы жертвуете функциональностью ради конфиденциальности, значит, вы делаете это неправильно. Это скорее культурный сдвиг, требующий баланса между ростом и безопасностью.

В рамках принципа End-to-End Security (# 5) есть аргумент, что защита конфиденциальности следует за данными на протяжении всего жизненного цикла от сбора до удаления / архивирования. Шифрование и аутентификация являются стандартом на каждом этапе, но на других этапах вам нужно пойти дальше. Например, вы должны собирать только те данные, которые вам нужны и для которых есть законное основание.И когда вы закончите с данными, вы должны использовать методы удаления / уничтожения, соответствующие GDPR, для сквозной защиты.

В предпоследнем документе Principle 6 Visibility and Transparency вы узнаете, что конфиденциальность нужна не только для обеспечения конфиденциальности. Субъекты данных должны знать о ваших методах обеспечения конфиденциальности (и обработки), и вы должны открыто делиться ими. Этот принцип является аргументом в пользу хорошо написанной Политики конфиденциальности, которая необходима, если вы в любом случае подпадаете под юрисдикцию GDPR или другого закона, такого как CalOPPA.В нем также утверждается, что должен существовать механизм, позволяющий субъектам данных выражать свои претензии, задавать вопросы и просить об изменениях.

Наконец, принцип 7 утверждает, что все должно оставаться ориентированным на пользователя. Это означает признание того, что даже если у вас есть данные, они принадлежат потребителю, у которого вы их получили. Ваш субъект данных может предоставить и отозвать свое согласие на использование вами своих данных, а не наоборот.

Конфиденциальность по дизайну: для кого это?

Privacy by Design предназначен для всех, но это особенно важно для вашего бизнеса, если вы являетесь контроллером данных, подпадающим под действие GDPR.

GDPR включает и проверяет конфиденциальность по дизайну в статье 25. Однако в законодательстве не указываются точные меры, которые необходимо принять, помимо таких функций, как псевдонимизация или шифрование и анонимность. Вместо этого GDPR требует, чтобы функции конфиденциальности были разумными и подходящими как для используемых вами процессов, так и для данных, которые вы собираете .

В статье 25 (2) прямо сказано:

«Контроллер должен принять соответствующие технические и организационные меры для обеспечения того, чтобы по умолчанию обрабатывались только те персональные данные, которые необходимы для каждой конкретной цели обработки.»

Статья 25 затем ссылается на Статью 42 и описывает меры сертификации для большей ясности в отношении соответствия.

После публикации GDPR не включал ясности в отношении мер по сертификации и того, кто такие органы по сертификации. В феврале 2019 года Европейская комиссия опубликовала исследование статей 42 и 43 (органы по сертификации). Вы можете прочитать полный отчет здесь.

Что делать, если GDPR не распространяется на мой бизнес?

Даже если вы не будете или не обязаны соблюдать GDPR, Privacy by Design все равно будет хорошей идеей для вашего бизнеса.

Внедрение Privacy by Design r отражает понимание ценности личной информации как для вашего бизнеса, так и для ваших клиентов. Он признает, что конфиденциальность и личный контроль над данными являются важной свободой, и это та свобода, которую не только все больше отражает закон, но и которую вам необходимо поддерживать самостоятельно на рынке.

Если вы думаете, что люди не слишком беспокоятся о конфиденциальности потребителей, подумайте еще раз. Опрос, проведенный ExpressVPN, показал, что 71% людей обеспокоены тем, как маркетологи собирают и используют свои данные.

И 68 процентов американских интернет-пользователей заявили, что поддержат регулирование, подобное GDPR, в Соединенных Штатах.

Подход к конфиденциальности с точки зрения дизайн-мышления гарантирует, что она является неотъемлемой частью ваших операций от планирования до выполнения. Это позволяет защитить ваш бизнес в будущем как с точки зрения клиентов, так и с точки зрения нормативных требований.

Как реализовать конфиденциальность с помощью дизайна: контрольные списки по статье 25

Статья 25, как известно, расплывчата, но тщательность по-прежнему важна как для защиты от угроз, так и от штрафов GDPR.Независимо от того, запускаете ли вы веб-сайт, приложение или продукт SaaS, конфиденциальность должна соблюдаться:

  • На стадии проектирования
  • На протяжении всего жизненного цикла
  • Между сквозным зацеплением
  • После помолвки
  • После того, как ваш сайт или приложение перестают работать

GDPR требует « технических и организационных мер », таких как шифрование и псевдонимизация, но это не начало и конец Privacy by Design. К сожалению, в самом GDPR нет контрольного списка.Вам нужно задавать свои собственные вопросы и давать свои собственные ответы, не руководствуясь законом или его подробностями.

Один из полезных способов разбить реализацию Privacy by Design — разделить ее на три части: системы , процессы и управление рисками .

Контрольный список систем

Privacy by Design начинается с установленных систем. Поскольку он начинается сверху, именно здесь и начинается ваш список.

Чтобы включить конфиденциальность в свои системы, вы должны начать со следующих пунктов (как минимум):

  • Наличие документально подтвержденной приверженности организации стандартам защиты данных (в том числе корпоративной культуры, деловой практики и бизнес-услуг)
  • Назначение сотрудника по защите данных (DPO), если применимо, или использование консультанта по защите данных (случаи, не относящиеся к GDPR)
  • Создание структуры защиты данных (включая шифрование и анонимность)
  • Создание и документирование системы учета для операций обработки
  • Идентификация системы управления рисками (включая управление соответствием)
  • Обновление курса обучения конфиденциальности для сотрудников , которые обрабатывают персональные данные (как для клиентов, так и для других сотрудников)
  • Использование самооценки для аудита и мониторинга внедрения задокументированных систем выше
  • Установление мер безопасности , используемых для предотвращения инцидентов и нарушений

Следуя этому контрольному списку, вы будете лучше подготовлены к проектированию процессов обработки данных.

Контрольный список процессов

Наибольшее внимание в вашей работе по соблюдению конфиденциальности и соответствия требованиям GDPR уделяется разделу процессов, но она не будет работать без предварительного запуска в ваших системах.

Пунктов в вашем списке:

  • Распределение обязанностей по контролю за воротами (ИТ, юриспруденция, закупки и т. Д.)
  • Выявление рисков конфиденциальности во всех ваших процессах
  • Документирование обработки ваших данных (с использованием системы учета, разработанной в Системном контрольном списке)
  • Использование DPIA, оценки рисков и соответствия перед сбором данных для использования или хранения
  • Добавление средств управления конфиденциальностью , таких как Центр конфиденциальности, которые позволяют субъектам данных получать доступ к их личным данным на их условиях
  • Реализация мер контрольного списка систем выше

Контрольный список для управления рисками

Даже если вы встроите конфиденциальность в свой процесс, вам все равно придется управлять рисками на протяжении всего жизненного цикла данных.Управление рисками начинается на системном уровне и продолжается до обработки.

Вы должны уметь:

  • Опишите цель обработки (правовая основа)
  • Определить меры , которые предотвращают обработку данных для целей, отличных от указанных выше
  • Монитор , меры по минимизации данных и соответствующие меры контроля (дальнейшая минимизация, анонимизация и псевдонимизация)
  • Укажите меры, используемые для , обеспечивающие точность данных
  • Имя и документ людей и команды, имеющие доступ к данным
  • Схема средства управления доступом к данным
  • Создание соглашений об обработке данных (DPA) и их рассмотрение с каждым сторонним процессором
  • Монитор реализован меры безопасности
  • Указать источник информации и уведомить субъектов данных об обработке данных
  • Опишите процесс, которому следует следовать в случае нарушения безопасности и данных (в соответствии с правилами уведомления GDPR)
  • Выполните меры, указанные в контрольных списках систем и процессов выше

Помните принципы статьи 25 GDPR при применении контрольных списков .

Статья 25 (1) включает следующие обязательства и ограничения, которые необходимо учитывать:

  • Современное состояние (помните, что это изменения)
  • Стоимость внедрения
  • Характер, объем, контекст и цели обработки
  • Риски различной степени вероятности и серьезности для прав и свобод физических лиц
  • Соответствующие технические и организационные меры

Все это способствует передовой практике Privacy by Design, не делая ее недоступной для малых и средних предприятий и тех, кто не участвует в процессах обработки данных, сопряженных со значительным риском.

Другими словами, вам не нужно тратить миллионы на систему безопасности, чтобы собирать только адреса электронной почты и рассылать информационные бюллетени. Ваша практика должна соответствовать характеру, объему, контексту, целям и рискам рассылки информационного бюллетеня. Если вы Deutschebank, то это другая история.

Конфиденциальность через дизайн — лучшая практика

Независимо от того, нужно ли вам соблюдать GDPR, Privacy by Design теперь считается лучшей практикой для всех организаций, которые занимаются обработкой данных, независимо от того, насколько они велики или малы.

Конфиденциальность через дизайн означает , учитывающую конфиденциальность с самого начала проекта и интегрирующую ее в ваши системы и операции . Это не меры безопасности или инструмент, которые будут добавлены позже. Правильный подход означает поощрение организационной культуры, посвященной признанию и уважению ценности личных данных как для вашей компании, так и для ваших клиентов.

Приведенные выше контрольные списки помогут вам реализовать Privacy by Design в вашей компании. Но помните, что GDPR также требует, чтобы вы рассмотрели такие вопросы, как стоимость реализации , характер и объем обработки и риски , с которыми сталкиваются ваши клиенты в случае нарушения.

Согласно GDPR, Privacy by Design доступен для всех предприятий, поэтому нет оправдания, чтобы не начать.

Защита данных по умолчанию и по умолчанию

Краткий обзор

  • GDPR Великобритании требует от вас принятия соответствующих технических и организационных мер для эффективного внедрения принципов защиты данных и защиты прав личности. Это «защита данных по умолчанию и по умолчанию».
  • По сути, это означает, что вам необходимо интегрировать или «встроить» защиту данных в свои процессы обработки и бизнес-практики, начиная со стадии проектирования и заканчивая жизненным циклом.
  • Эта концепция не нова. Ранее известная как «конфиденциальность по дизайну», она всегда была частью закона о защите данных. Ключевым изменением GDPR Великобритании является то, что теперь это требование закона.
  • Предназначенная для защиты данных цель заключается в том, чтобы заранее учитывать вопросы защиты данных и конфиденциальности во всех ваших действиях. Это может помочь вам обеспечить соблюдение основополагающих принципов и требований GDPR Великобритании и является частью акцента на подотчетности.

Контрольные списки

☐ Мы рассматриваем вопросы защиты данных как часть разработки и внедрения систем, услуг, продуктов и бизнес-практик.

☐ Мы делаем защиту данных важным компонентом основных функций наших систем обработки и услуг.

☐ Мы предвидим риски и события, нарушающие конфиденциальность, до того, как они произойдут, и принимаем меры для предотвращения нанесения вреда людям.

☐ Мы обрабатываем только те личные данные, которые нам нужны для наших целей, и что мы используем данные только для этих целей.

☐ Мы обеспечиваем автоматическую защиту личных данных в любой ИТ-системе, услуге, продукте и / или бизнес-практике, чтобы частным лицам не приходилось предпринимать какие-либо конкретные действия для защиты своей конфиденциальности.

☐ Мы предоставляем идентификационные данные и контактную информацию лиц, ответственных за защиту данных как внутри нашей организации, так и отдельным лицам.

☐ Мы применяем политику «простого языка» для любых общедоступных документов, чтобы люди легко понимали, что мы делаем с их личными данными.

☐ Мы предоставляем людям инструменты, с помощью которых они могут определить, как мы используем их личные данные и соблюдаются ли наши политики должным образом.

☐ Мы предлагаем надежные параметры конфиденциальности по умолчанию, удобные параметры и элементы управления и уважаем предпочтения пользователей.

☐ Мы используем только обработчики данных, которые обеспечивают достаточные гарантии своих технических и организационных мер для защиты данных в соответствии с дизайном.

☐ Когда мы используем другие системы, услуги или продукты в нашей деятельности по обработке, мы следим за тем, чтобы использовать только те, разработчики и производители которых принимают во внимание вопросы защиты данных.

☐ Мы используем технологии повышения конфиденциальности (ПЭТ), чтобы помочь нам в соблюдении наших обязательств по защите данных в соответствии с обязательствами по дизайну.

Вкратце

Что GDPR Великобритании говорит о защите данных по умолчанию и по умолчанию?

GDPR Великобритании требует от вас интегрировать вопросы защиты данных во все аспекты вашей обработки.Этот подход — «защита данных по умолчанию и по умолчанию». Это ключевой элемент подхода GDPR Великобритании, основанного на оценке риска, и его упора на подотчетность, то есть вашу способность продемонстрировать, как вы соблюдаете его требования.

Некоторые организации уже применяют «подход к конфиденциальности через дизайн» в качестве передовой практики. Если это так, то у вас есть все возможности для соответствия требованиям защиты данных как по дизайну, так и по умолчанию. Однако вам все равно может потребоваться пересмотреть свои процессы и процедуры, чтобы убедиться, что вы выполняете свои обязательства.

Статьи 25 (1) и 25 (2) GDPR определяют ваши обязательства в отношении защиты данных по умолчанию и по умолчанию.

Статья 25 (1) определяет требования к защите данных посредством дизайна:

‘Принимая во внимание современное состояние, стоимость реализации и характер, объем, контекст и цели обработки, а также риски различной вероятности и серьезности для прав и свобод физических лиц, связанные с обработкой, контролер должен, как во время определения средств обработки, так и во время самой обработки, применять соответствующие технические и организационные меры, такие как псевдонимизация, которые предназначены для реализации принципов защиты данных, таких как минимизация данных, в эффективный способ и интегрировать необходимые меры безопасности в обработку, чтобы соответствовать требованиям настоящего Регламента и защищать права субъектов данных.’

Статья 25 (2) определяет требования к защите данных по умолчанию:

«Контроллер должен принять соответствующие технические и организационные меры для обеспечения того, чтобы по умолчанию обрабатывались только те персональные данные, которые необходимы для каждой конкретной цели обработки. Это обязательство распространяется на объем собранных персональных данных, объем их обработки, срок их хранения и их доступность. В частности, такие меры должны гарантировать, что по умолчанию личные данные не станут доступными без вмешательства отдельного лица для неопределенного числа физических лиц.’

Статья 25 (3) гласит, что если вы придерживаетесь утвержденной сертификации в соответствии со статьей 42, вы можете использовать это как один из способов продемонстрировать свое соответствие этим требованиям.

Что такое преднамеренная защита данных?

Предусмотренная защита данных — это, в конечном счете, подход, который гарантирует рассмотрение вопросов конфиденциальности и защиты данных на этапе проектирования любой системы, услуги, продукта или процесса, а затем на протяжении всего жизненного цикла.

Согласно GDPR Великобритании, вам необходимо:

  • внедрил соответствующие технические и организационные меры, направленные на эффективное внедрение принципов защиты данных; и
  • интегрирует меры безопасности в вашу обработку, чтобы вы соответствовали требованиям GDPR Великобритании и защищали личные права.

По сути, это означает, что вам необходимо интегрировать или «встроить» защиту данных в свою деятельность по обработке и деловую практику.

Дизайн-защита данных имеет широкое применение. Примеры включают:

  • разработка новых ИТ-систем, услуг, продуктов и процессов, связанных с обработкой персональных данных;
  • разработка организационной политики, процессов, деловой практики и / или стратегий, имеющих значение для конфиденциальности;
  • физический дизайн;
  • приступает к инициативам по обмену данными; или
  • использование персональных данных в новых целях.

Основные концепции защиты данных по дизайну не новы. Под названием «конфиденциальность по замыслу» они существуют уже много лет.

Что такое защита данных по умолчанию?

Защита данных по умолчанию требует, чтобы вы обрабатывали только те данные, которые необходимы для достижения вашей конкретной цели. Он связан с фундаментальными принципами защиты данных, заключающимися в минимизации данных и ограничении целей.

Вам необходимо обработать некоторые личные данные для достижения ваших целей.Защита данных по умолчанию означает, что вам необходимо указать эти данные до начала обработки, соответствующим образом проинформировать людей и обрабатывать только те данные, которые вам нужны для ваших целей. Это , а не требует, чтобы вы приняли решение «по умолчанию выключено». Что вам нужно делать, зависит от обстоятельств вашей обработки и рисков, связанных с отдельными лицами.

Тем не менее, вы должны учитывать такие вещи, как:

  • использование подхода «конфиденциальность прежде всего» с любыми настройками систем и приложений по умолчанию;
  • , гарантируя, что вы не предоставите людям иллюзорный выбор в отношении данных, которые вы будете обрабатывать;
  • не обрабатывает дополнительные данные, если это лицо не решит, что это возможно;
  • обеспечение того, чтобы персональные данные не стали автоматически общедоступными для других, если только отдельное лицо не решит сделать это так; и
  • , предоставляя физическим лицам достаточный контроль и возможности для реализации своих прав.

Кто несет ответственность за соблюдение защиты данных по умолчанию и по умолчанию?

Статья 25 определяет, что как контролер вы несете ответственность за соблюдение требований по защите данных по умолчанию и по умолчанию. В зависимости от ваших обстоятельств у вас могут быть разные требования к разным областям вашей организации. Например:

  • ваше высшее руководство, например, развитие культуры «осведомленности о конфиденциальности» и обеспечение разработки политик и процедур с учетом защиты данных;
  • ваши инженеры-программисты, системные архитекторы и разработчики приложений, например, те, кто проектирует системы, продукты и услуги, должны учитывать требования защиты данных и помогать вам в выполнении ваших обязательств; и
  • вашей деловой практики, например, вы должны убедиться, что вы изначально встроили защиту данных во все свои внутренние процессы и процедуры.

Конечно, это может относиться не ко всем организациям. Тем не менее, защита данных по своей природе подразумевает принятие общеорганизационного подхода к защите данных и учет соображений конфиденциальности при любых выполняемых вами операциях по обработке. Это не применимо только в том случае, если вы относитесь к типу организации, у которой есть собственные разработчики программного обеспечения и системные архитекторы.

При рассмотрении вопроса о наложении штрафа ICO примет во внимание технические и организационные меры, которые вы приняли в отношении защиты данных с помощью дизайна.Кроме того, в соответствии с Законом о защите данных 2018 (DPA 2018) мы можем выдать против вас Уведомление о принудительном исполнении в случае любых нарушений в отношении статьи 25.

А как насчет процессоров данных?

Если вы используете другую организацию для обработки персональных данных от вашего имени, то эта организация является обработчиком данных в соответствии с GDPR Великобритании.

В статье 25 конкретно не упоминаются обработчики данных. Однако в статье 28 указаны соображения, которые вы должны учитывать при выборе процессора.Например, вы должны использовать только процессоры с:

«достаточные гарантии для реализации соответствующих технических и организационных мер таким образом, чтобы обработка соответствовала требованиям настоящего Регламента и обеспечивала защиту прав субъекта данных»

Это требование распространяется как на защиту данных в соответствии со статьей 25, так и на другие аспекты (например, ваши обязательства по обеспечению безопасности согласно статье 32). Ваш процессор не обязательно может помочь вам с защитой ваших данных за счет конструктивных обязательств (в отличие от мер безопасности), однако вы должны использовать только те процессоры, которые обеспечивают достаточные гарантии для выполнения требований GDPR Великобритании.

А как насчет других партий?

Защита данных по умолчанию и по умолчанию также может повлиять на организации, отличные от контроллеров и процессоров. В зависимости от вашей деятельности по обработке могут быть задействованы другие стороны, даже если именно здесь вы покупаете продукт или услугу, которые затем используете в своей обработке. Примеры включают производителей, разработчиков продуктов, разработчиков приложений и поставщиков услуг.

Recital 78 расширяет концепции защиты данных посредством дизайна на другие организации, хотя не требует от них соблюдения — это остается за вами как за контролером.Там написано:

‘При разработке, проектировании, выборе и использовании приложений, услуг и продуктов, которые основаны на обработке персональных данных или обработке персональных данных для выполнения своей задачи, следует поощрять производителей продуктов, услуг и приложений учитывать право для защиты данных при разработке и проектировании таких продуктов, услуг и приложений и, с учетом современного уровня техники, для обеспечения того, чтобы контроллеры и процессоры могли выполнять свои обязательства по защите данных.’

Таким образом, при рассмотрении того, какие продукты и услуги вам необходимы для обработки, вы должны выбрать те, в которых дизайнеры и разработчики приняли во внимание защиту данных. Это может помочь гарантировать, что ваша обработка данных соответствует требованиям к защите данных.

Если вы являетесь разработчиком или дизайнером продуктов, услуг и приложений, GDPR Великобритании не накладывает на вас каких-либо конкретных обязательств в отношении того, как вы проектируете и производите эти продукты.(У вас могут быть определенные обязательства в качестве контролера по своему собственному праву, например, в отношении любых данных сотрудников.) Однако вы должны отметить, что контролеры должны учитывать дизайн защиты данных при выборе услуг и продуктов для использования в их деятельности по обработке данных — поэтому если вы разрабатываете эти продукты с учетом защиты данных, вы можете оказаться в лучшем положении.

Что мы должны делать?

Вы должны принять соответствующие технические и организационные меры, направленные на эффективное внедрение принципов защиты данных и защиту прав личности.

Для этого не существует универсального метода, и нет единого набора мер, который вы должны принять. Это зависит от ваших обстоятельств.

Ключевым моментом является то, что вы рассматриваете проблемы защиты данных с самого начала любой обработки и принимаете соответствующие политики и меры, которые соответствуют требованиям защиты данных по дизайну и по умолчанию.

Вот несколько примеров того, как это можно сделать:

  • минимизация обработки персональных данных;
  • при первой возможности псевдонимизации персональных данных;
  • обеспечение прозрачности в отношении функций и обработки персональных данных;
  • позволяет физическим лицам контролировать обработку; и
  • создание (и улучшение) функций безопасности.

Это не исчерпывающий список. Соблюдение защиты данных по умолчанию и по умолчанию может потребовать от вас гораздо большего, чем указано выше.

Однако мы не можем предоставить полное руководство по всем аспектам защиты данных по умолчанию и по умолчанию при любых обстоятельствах. Это руководство определяет основные моменты, которые вам следует учитывать. В зависимости от выполняемой вами обработки вам может потребоваться консультация специалиста, выходящая за рамки данного руководства.

Когда мы должны это сделать?

Защита данных по замыслу начинается на начальном этапе любой системы, услуги, продукта или процесса.Вам следует начать с рассмотрения ваших предполагаемых действий по обработке данных, рисков, которые они могут представлять для отдельных лиц, и возможных доступных мер для обеспечения соблюдения вами принципов защиты данных и защиты прав личности. Эти соображения должны охватывать:

  • состояние дел и затраты на выполнение любых мероприятий;
  • характер, объем, контекст и цели вашей обработки; и
  • риски, которые ваша обработка представляет для прав и свобод людей.

Это похоже на оценку информационного риска, которую вы должны выполнить при принятии мер безопасности.

Эти соображения приводят ко второму этапу, на котором вы вводите реальные технические и организационные меры для реализации принципов защиты данных и интеграции мер безопасности в вашу обработку.

Вот почему не существует единого решения или процесса, применимого к каждой организации или каждому процессу обработки, хотя есть ряд общих черт, которые могут относиться к вашим конкретным обстоятельствам, как описано ниже.

GDPR Великобритании требует от вас выполнения следующих действий:

  • «во время определения средств обработки» — другими словами, когда вы находитесь на этапе проектирования любой обработки; и
  • «во время самой обработки», то есть в течение жизненного цикла вашей обработки.

Каковы основные концепции защиты данных по умолчанию и по умолчанию?

Основные концепции по существу выражены в семи «основополагающих принципах» конфиденциальности по дизайну, разработанных Комиссаром по информации и конфиденциальности Онтарио.

Несмотря на то, что конфиденциальность по своей природе не обязательно эквивалентна защите данных по дизайну, эти основополагающие принципы, тем не менее, могут лежать в основе любого вашего подхода.

«Проактивный, а не реактивный; профилактическое, а не лечебное ’

Вы должны проявлять упреждающий подход к защите данных и предвидеть проблемы и риски конфиденциальности до того, как они произойдут, вместо того, чтобы ждать их постфактум. Это применимо не только в контексте системного проектирования — это включает в себя развитие культуры «осведомленности о конфиденциальности» в вашей организации.

«Конфиденциальность по умолчанию»

Вы должны разработать любую систему, услугу, продукт и / или бизнес-практику для автоматической защиты личных данных. Поскольку конфиденциальность встроена в систему, человеку не нужно предпринимать никаких шагов для защиты своих данных — его конфиденциальность остается неизменной, и им не нужно ничего делать.

«Конфиденциальность, заложенная в дизайн»

Встраивайте защиту данных в дизайн любых систем, услуг, продуктов и бизнес-практик.Вы должны убедиться, что защита данных является частью основных функций любой системы или службы — по сути, она становится неотъемлемой частью этих систем и служб.

«Полная функциональность — положительная сумма, а не нулевая сумма»

Также называемый «беспроигрышным», этот принцип, по сути, направлен на избежание компромиссов, таких как вера в то, что в любой системе или услуге возможно только обеспечение конфиденциальности или , но не безопасность конфиденциальности и . Вместо этого вам следует стремиться включить все законные цели, обеспечивая при этом соблюдение своих обязательств.

«Сквозная безопасность — защита полного жизненного цикла»

С самого начала внедрите строгие меры безопасности и распространите эту безопасность на весь «жизненный цикл данных», то есть безопасно обрабатывайте данные, а затем безопасно уничтожайте их, когда они вам больше не нужны.

«Видимость и прозрачность — не закрывайте»

Убедитесь, что любая бизнес-практика или технология, которые вы используете, работают в соответствии со своими предпосылками и целями и поддаются независимой проверке.Речь также идет об обеспечении видимости и прозрачности для отдельных лиц, например, о том, чтобы они знали, какие данные вы обрабатываете и для каких целей вы их обрабатываете.

«Уважение к конфиденциальности пользователей — сохраняйте их ориентацию на пользователя»

Сохраняйте первостепенное значение интересов отдельных лиц при разработке и внедрении любой системы или услуги, например, предлагая строгие параметры конфиденциальности по умолчанию, предоставляя людям средства контроля и обеспечивая отправку соответствующих уведомлений.

Как это сделать на практике?

Одним из способов претворения этих концепций в жизнь является разработка набора практических, действенных руководств, которые вы можете использовать в своей организации, исходя из вашей оценки рисков и доступных вам мер.Вы можете основывать их на семи основополагающих принципах.

Однако то, как вы это сделаете, зависит от ваших обстоятельств — кто вы, что вы делаете, какие ресурсы у вас есть, и характер данных, которые вы обрабатываете. Возможно, вам не потребуется наличие набора документов и организационных средств контроля, хотя в некоторых ситуациях вам потребуется иметь определенные документы, касающиеся вашей обработки.

Ключ в том, чтобы использовать организационный подход, который позволяет достичь определенных результатов, например, обеспечение того, чтобы:

  • вы рассматриваете вопросы защиты данных как часть разработки и внедрения систем, услуг, продуктов и бизнес-практик;
  • вы делаете защиту данных важным компонентом основных функций ваших систем обработки и услуг;
  • вы обрабатываете только те личные данные, которые вам нужны в связи с вашими целями, и что вы используете эти данные только для этих целей;
  • персональные данные автоматически защищены в любой ИТ-системе, услуге, продукте и / или деловой практике, поэтому людям не нужно предпринимать какие-либо конкретные действия для защиты своей конфиденциальности;
  • идентификационные данные и контактная информация лиц, ответственных за защиту данных, доступны как внутри вашей организации, так и для частных лиц;
  • вы принимаете политику «простого языка» для любых общедоступных документов, чтобы люди легко понимали, что вы делаете с их личными данными;
  • вы предоставляете людям инструменты, чтобы они могли определить, как вы используете их личные данные, и правильно ли вы применяете свои политики; и
  • , вы предлагаете надежные параметры конфиденциальности по умолчанию, удобные для пользователя параметры и элементы управления и уважаете предпочтения пользователей.

Многие из них связаны с другими обязательствами GDPR Великобритании, такими как требования прозрачности, документация, сотрудники по защите данных и DPIA. Это показывает общий характер защиты данных, заложенной в дизайн, и то, как она применяется ко всем аспектам вашей обработки. Наше руководство по этим темам поможет вам при рассмотрении мер, которые необходимо принять для защиты данных по умолчанию и по умолчанию.

Подробнее — Европейский совет по защите данных

Европейский совет по защите данных (EDPB) принимает рекомендации по соблюдению требований GDPR ЕС.

EDPB приняла руководящие принципы по защите данных по умолчанию и по умолчанию.

Рекомендации

EDPB больше не имеют прямого отношения к режиму Великобритании и не являются обязательными для режима Великобритании. Однако они могут по-прежнему давать полезные советы по определенным вопросам.

Как защита данных по умолчанию и по умолчанию связана с оценками воздействия на защиту данных (DPIA)?

DPIA — это инструмент, который вы можете использовать для выявления и снижения рисков защиты данных в процессе обработки.Они также могут помочь вам разработать более эффективные и действенные процессы обработки личных данных.

DPIA являются неотъемлемой частью защиты данных по умолчанию и по умолчанию. Например, они могут определить тип технических и организационных мер, необходимых вам для обеспечения соответствия вашей обработки принципам защиты данных.

Однако DPIA требуется только в определенных обстоятельствах, например, когда обработка может привести к риску для прав и свобод, хотя в любом случае рекомендуется проводить DPIA.Напротив, защита данных по замыслу является более широкой концепцией, поскольку она применяется в организации и требует от вас принятия определенных соображений еще до того, как вы решите, приведет ли ваша обработка к высокому риску или нет.

Какова роль технологий повышения конфиденциальности (ПЭТ)?

Технологии повышения конфиденциальности или ПЭТ — это технологии, которые воплощают фундаментальные принципы защиты данных, сводя к минимуму использование личных данных, максимизируя безопасность данных и расширяя возможности людей.Полезное определение Агентства Европейского Союза по кибербезопасности (ENISA) относится к ПЭТ как:

«программные и аппаратные решения, т.е. системы, охватывающие технические процессы, методы или знания для достижения определенных функций конфиденциальности или защиты данных или для защиты от рисков нарушения конфиденциальности отдельного лица или группы физических лиц».

ПЭТ

тесно связаны с концепцией конфиденциальности по своему дизайну и, следовательно, относятся к техническим мерам, которые вы можете принять.Они могут помочь вам в соблюдении принципов защиты данных и являются средством реализации защиты данных в рамках вашей организации на техническом уровне.

Дополнительная литература

В ближайшем будущем мы предоставим дальнейшие рекомендации по ПЭТ. ENISA также опубликовала отчеты об исследованиях ПЭТ, которые могут вам помочь.

А как насчет международных переводов?

Предназначенная для защиты данных защита также применяется в контексте международной передачи в случаях, когда вы намереваетесь передать личные данные за границу в третью страну, у которой нет решения о достаточности.

Вам необходимо убедиться, что какой бы механизм вы ни использовали, для этих переводов предусмотрены соответствующие меры безопасности. Как подробно описано в Рекитале 108, эти меры безопасности должны включать соблюдение защиты данных по дизайну и по умолчанию.

Какова роль сертификации?

Статья 25 (3) гласит, что:

«Утвержденный механизм сертификации в соответствии со Статьей 42 может использоваться в качестве элемента для демонстрации соответствия требованиям, изложенным в параграфах 1 и 2 этой Статьи.’

Это означает, что утвержденный механизм сертификации, как только он будет доступен, может помочь вам продемонстрировать, как вы соблюдаете и внедряете защиту данных по дизайну и по умолчанию.

Какие дополнительные инструкции доступны?

ICO вскоре опубликует более подробное руководство по защите данных с помощью дизайна и технологий повышения конфиденциальности, а также о том, как эти концепции применяются в контексте кодекса практики по дизайну, соответствующему возрасту, в разделе 123 DPA 2018.

Между тем существует ряд публикаций о подходе к конфиденциальности через дизайн. Мы кратко изложили некоторые из них ниже.

Дополнительная литература

Уполномоченный по информации и конфиденциальности провинции Онтарио (IPC) разработал концепцию конфиденциальности в 1990-х годах. IPC имеет ряд соответствующих публикаций о концепции и о том, как вы можете реализовать ее в своей организации, в том числе:

Агентство Европейского Союза по кибербезопасности (ENISA) также опубликовало исследование и руководство по конфиденциальности по дизайну, в том числе:

Норвежский орган по защите данных (Datatilsynet) подготовил руководство о том, как разработчики программного обеспечения могут реализовать защиту данных по умолчанию и по умолчанию.

Как управлять данными клиентов в 2021 году

Сводка поста:

  • Что такое GDPR и почему он важен для вашего бизнеса?
  • Как GDPR и CRM могут помочь вам на пути к соответствию
  • 3 функции CRM, которые помогут вам лучше управлять данными клиентов

Вступил в силу новый регламент ЕС о конфиденциальности, называемый Общим регламентом защиты данных (GDPR).

С его помощью он предъявляет строгие требования к способам сбора, хранения и управления персональными данными предприятиями.

Если вы не знакомы с GDPR, вот что вам нужно знать:

GDPR предоставляет гражданам ЕС больший контроль над своими личными данными и гарантирует, что их информация надежно защищена по всей Европе, независимо от того, происходит ли обработка данных в ЕС или нет.

Личными данными могут быть имя, адрес электронной почты, адрес, дата рождения, личные интересы, уникальные идентификаторы, цифровые следы и многое другое.

Обычно это данные, которые вы храните в своей CRM-системе.

Но GDPR влияет только на крупные компании, верно?

Неправильно!

Если вы используете базу данных для хранения информации о потенциальных клиентах или клиентах, то вы не можете игнорировать GDPR.

Согласно опросу, проведенному Глобальным альянсом ассоциаций по маркетингу, основанному на данных (GDMA) и Winterberry Group, 92% компаний используют базы данных для хранения информации о клиенте или потенциальном клиенте .

Следовательно, GDPR влияет на предприятия всех форм и размеров .

Включая вашу.

Почему GDPR важен для вашего бизнеса?

GDPR включает в себя 3 основных области, которые необходимо учитывать каждому бизнесу:

  1. Само постановление GDPR
  2. Системы , которые вы используете для хранения всех ваших данных о клиентах
  3. Юридические аспекты постановления и то, как они повлияют на то, как вы обрабатываете личные данные

Если вы используете программное обеспечение CRM, оно должно поддерживать безопасный сбор и управление личными данными.

Что касается регулирования и понимания правовых аспектов и прав на неприкосновенность частной жизни, описанных в законе, мы рекомендуем вам обратиться за юридической консультацией и ознакомиться с другими ресурсами GDPR, чтобы убедиться, что ваш бизнес соответствует требованиям.

В вашем национальном органе по защите данных есть полезные описания и пояснения по вопросам конфиденциальности. Для получения дополнительных ресурсов по GDPR вы можете прочитать полный законодательный текст GDPR здесь, а в ЕС есть официальный веб-портал GDPR, где вы найдете соответствующие объяснения того, что нужно делать вашему бизнесу.

Как CRM может помочь вам на пути к соблюдению GDPR?

GDPR оказывает большое влияние на то, как компании собирают, хранят и защищают личные данные клиентов.

Это означает, что GDPR влияет на маркетинг, меняет перспективы продаж и требует изменений в отделах обслуживания клиентов, поскольку все личные данные должны обрабатываться более профессионально.

Хорошая новость заключается в том, что GDPR и CRM имеют много общего, поскольку и GDPR, и CRM направлены на укрепление доверия и лояльности с новыми и существующими клиентами за счет профессиональной обработки личных данных клиентов.

В SuperOffice наша продуктовая группа была занята разработкой новых функций, чтобы помочь нашим клиентам на пути к соблюдению нормативных требований.

Вот 3 ключевые функции, которые мы запустили на данный момент:

1. Конфиденциальность по дизайну

GDPR и управление конфиденциальностью идут рука об руку. Конфиденциальность — это не то, что добавляется к существующему приложению, а встроено в основную архитектуру и функциональность.

В SuperOffice мы стремимся обеспечить конфиденциальность на начальных этапах проектирования и на протяжении всего процесса разработки новых продуктов, процессов или услуг, связанных с обработкой личных данных

2.Управление жизненным циклом данных о конфиденциальности

GDPR включает восемь основных прав.

Эти права предоставляются отдельным лицам для защиты своей частной жизни и контроля за цифровыми следами, которые они оставляют при использовании интернет-приложений и сервисов.

Эти права предназначены для обеспечения открытости, контроля и доверия между сторонами.

Специальная функция

GDPR в SuperOffice CRM поддерживает выполнение каждого из 8 прав.

3.Управление личными данными с помощью CRM

Данные клиента, которые передаются в CRM, по умолчанию также являются личными данными. Для разных типов данных действуют разные правила их обработки.

Например, основные данные, такие как имена, адреса, номера телефонов, являются более общими данными и могут быть открыты для всех сотрудников вашей компании.

С другой стороны, очень конфиденциальные данные, такие как налоговая информация, информация о банковских счетах, личные соглашения и контракты, требуют большей безопасности и соответствующего доступа пользователей.

SuperOffice CRM позволяет настраивать процедуры и автоматические правила того, как ваша компания может и должна обрабатывать различные типы личных данных.

3 функции CRM, которые помогут вам управлять данными клиентов

Ряд функций, соответствующих GDPR, будет продолжать внедряться в течение года. Но первая волна функций GDPR стала доступна в новой версии SuperOffice CRM в феврале 2018 года — задолго до крайнего срока 25 мая.

Эти 3 функции включают управление согласием , управление подпиской и массовые обновления .

1. Согласие управления

GDPR требует, чтобы у предприятий была определенная цель для лиц, собирающих информацию. Эта причина (или цель) всегда должна подкрепляться правовым основанием.

Что такое правовая основа?

Правовой основой может быть договорное обязательство, законный интерес для хранения и использования данных или данное явное согласие.

Каждый раз, когда это согласие используется в качестве правовой основы для сбора и хранения личных данных, GDPR требует, чтобы компания доказала, что согласие было предоставлено физическим лицом.

Для каждого контакта (человека) внутри SuperOffice CRM вы можете записать согласие в цифровом виде, указать правовое основание для того, почему вы храните данные, сохранить источник, из которого вы получили согласие (например, веб-форму), и сохранить, когда и кто получил обновил информацию.

Вы можете точно увидеть, как работает управление согласием в SuperOffice, посмотрев короткое трехминутное видео ниже:

2. Управление подпиской

Даже если контактное лицо дало свое согласие на получение маркетинговых кампаний по электронной почте от вашей компании, всегда должно иметь право возразить или отказаться от получения маркетинговых сообщений в будущем в соответствии с GDPR.

Новые функции внутри SuperOffice позволяют потенциальным клиентам и клиентам решать для себя, какую информацию хочет, чтобы получал — будь то обновления сообщений в блогах, официальные документы или учебные материалы по продукту, — а также решать, какой тип контента они не используют. хочу получить.

Эта новая функция означает, что вы можете отправлять подписчикам электронные письма с точным таргетингом на основе их интересов, что поощряется GDPR, когда речь идет об электронном маркетинге.

Для маркетологов электронной почты это Святой Грааль, поскольку сегментированные кампании по электронной почте значительно улучшают результаты вашего электронного маркетинга.

3. Массовые обновления

Этот первый этап использования этих функций CRM был направлен на то, чтобы помочь вам привести вашу клиентскую базу данных в соответствие с GDPR.

После того, как вы оценили свою базу данных на предмет того, какая у вас личная информация, откуда она взялась и на каком правовом основании у вас есть ее, и настроили, как вы хотите обрабатывать данные, вам понадобится способ обновления все эти личные данные в новом мире GDPR.

Массовые обновления помогут вам легко настроить и очистить базу данных.

Вместо того, чтобы обновлять личные записи по одной, что может занять много времени, вы можете установить определенные правила и использовать функцию массового обновления, чтобы установить цель, правовую основу, источник и дату для нескольких записей одним щелчком мыши. — экономия времени!

Заключение

GDPR действует в полном объеме!

Если ваша текущая CRM-система не поддерживает эти функции, соответствующие GDPR, вам нужно найти новое решение, пока не стало слишком поздно!

Чтобы протестировать эти новые функции, подпишитесь на бесплатную демонстрацию.После того, как вы зарегистрируетесь, один из наших опытных торговых представителей расскажет о новых функциях и покажет вам, как они могут поддержать ваш бизнес в мире GDPR.

Если вы еще не готовы к бесплатной пробной версии, зарегистрируйтесь на одно из наших мероприятий, чтобы узнать, как GDPR влияет на то, как вы управляете данными клиентов.

Для клиентов, которые используют наше облачное CRM-решение , эти функции автоматически становятся доступными при запуске. Plus, наша SaaS CRM сертифицирована по ISO, поэтому вы и ваши клиенты можете быть уверены, что ваши данные в безопасности.

Следующие шаги

Перед тем, как вы уйдете, у меня к вам быстрый вопрос:

С какими проблемами вы столкнулись на пути к GDPR?

Дайте нам знать в разделе комментариев ниже.

Хотите узнать больше о GDPR и SuperOffice CRM?

Запросите бесплатную персонализированную демонстрацию ниже, и мы рассмотрим ее шаг за шагом.

Заявление об ограничении ответственности: Содержание этого сообщения в блоге (включая все ответы на комментарии) не следует рассматривать как юридическую консультацию и должно использоваться только в информационных целях.

CRM

Вернуться к статьям

Руководство по конфиденциальности данных: определения, пояснения и законодательство

Конфиденциальность данных или конфиденциальность информации — это раздел безопасности данных, связанный с надлежащим обращением с данными — согласием, уведомлением и нормативными обязательствами. В частности, практические проблемы конфиденциальности данных часто вращаются вокруг:

  1. Передаются ли данные третьим сторонам и каким образом.
  2. Как данные собираются или хранятся на законных основаниях.
  3. Нормативные ограничения, такие как GDPR, HIPAA, GLBA или CCPA.

В этом руководстве мы рассмотрим, почему конфиденциальность данных важна и как она связана с безопасностью данных. Затем мы рассмотрим законодательство, регулирующее конфиденциальность данных в нескольких ключевых странах и в нескольких ключевых отраслях. Наконец, мы дадим вам несколько способов улучшить конфиденциальность ваших данных как в личной, так и в деловой среде.

Получите бесплатное основное руководство по соответствию и правилам защиты данных США

Как мы увидим, безопасность и конфиденциальность данных тесно связаны, и поэтому обеспечение конфиденциальности данных означает использование полного решения безопасности, подобного тому, что предлагает Varonis.

Почему важна конфиденциальность данных?

Существует два фактора, объясняющих, почему конфиденциальность данных является одной из наиболее важных проблем в нашей отрасли.

Данные — один из важнейших активов компании. С ростом экономики данных компании находят огромную ценность в сборе, совместном использовании и использовании данных. Такие компании, как Google, Facebook и Amazon, построили империи на вершине экономики данных. Прозрачность в том, как компании запрашивают согласие, соблюдают свою политику конфиденциальности и управляют собранными данными, имеет жизненно важное значение для укрепления доверия и подотчетности с клиентами и партнерами, которые рассчитывают на конфиденциальность.Многие компании осознали важность конфиденциальности на собственном горьком опыте из-за получивших широкую огласку неудач в отношении конфиденциальности.

Во-вторых, конфиденциальность — это право человека быть свободным от незваного наблюдения. Безопасное существование в своем пространстве и свободное выражение своего мнения за закрытыми дверями имеет решающее значение для жизни в демократическом обществе.

«Конфиденциальность — основа нашей свободы. У вас должны быть моменты сдержанности, размышлений, близости и уединения », — говорит д-р Энн Кавукян, бывший комиссар по информации и конфиденциальности Онтарио, Канада.

Доктор Кавукян кое-что знает о конфиденциальности данных. Она наиболее известна своим лидерством в разработке концепции Privacy by Design (PbD), которая теперь служит краеугольным камнем для многих современных законов о конфиденциальности данных.

Конфиденциальность и безопасность данных

Организации обычно считают, что защита конфиденциальных данных от хакеров означает, что они автоматически соблюдают правила конфиденциальности данных. Это не тот случай.

Безопасность данных и конфиденциальность данных часто используются как взаимозаменяемые, но между ними есть явные различия:

  • Data Security защищает данные от взлома внешними злоумышленниками и внутренними злоумышленниками.
  • Конфиденциальность данных регулирует сбор, передачу и использование данных.

Рассмотрим сценарий, в котором вы приложили все усилия для защиты информации, позволяющей установить личность (PII). Данные зашифрованы, доступ ограничен, имеется несколько перекрывающихся систем мониторинга. Однако, если эта PII была собрана без надлежащего согласия, вы могли нарушить правила конфиденциальности данных, даже если данные находятся в безопасности.

Защита данных — это сила, стоящая за нашим правом на конфиденциальность

Несмотря на последние достижения в законодательстве и практике конфиденциальности данных, конфиденциальность потребителей регулярно нарушается или нарушается компаниями и правительствами.Это заставило некоторых утверждать, что потребители уже проиграли войну за конфиденциальность.

Хотя вы можете получить защиту данных без конфиденциальности данных, вы не можете обеспечить конфиденциальность данных без защиты данных.

Обеспечение конфиденциальности данных означает, что вы не та зловещая компания, которая жадно собирает все личные данные ваших клиентов — будь то пассивное отслеживание местоположения, приложения, тайно поглощающие вашу личную адресную книгу, или веб-сайты, записывающие каждое нажатие вашей клавиши.

Вместо этого сотрудники должны регулярно проходить обучение по защите данных, чтобы они понимали процессы и процедуры, необходимые для обеспечения надлежащего сбора, совместного использования и использования конфиденциальных данных как части портфеля безопасности данных.

Конфиденциальность информации также включает правила, необходимые компаниям для защиты данных. По мере того, как во всем мире растет количество правил защиты данных, глобальные требования и требования к конфиденциальности также будут расширяться и меняться. Однако неизменным является адекватная защита данных: это лучший способ гарантировать, что компании соблюдают закон и гарантируют конфиденциальность информации.

Продукты

Varonis — одни из самых передовых доступных средств защиты данных. По этой причине наши системы используются для защиты конфиденциальности потребителей во всем мире.

Различные определения конфиденциальности данных

Хотя большинство людей согласны с важностью конфиденциальности данных, и все согласны с тем, что защита данных лежит в основе обеспечения конфиденциальности, само определение «конфиденциальности данных» является общеизвестно сложным.

Ни один из упомянутых в этой статье законов — GDPR, CCPA или HIPAA — не определяет точно, что они подразумевают под конфиденциальностью данных. Вместо этого содержащиеся в них положения предлагают ряд передовых методов и разъясняют права потребителей и предприятий.Поскольку все законодательные акты индивидуальны, попытка точно определить, что подразумевается под «конфиденциальностью», может быть чрезвычайно сложной.

Ситуация не улучшится, если мы ограничим нашу сферу действия одним законодательным актом. Европейский GDPR, возможно, является наиболее обширным и всеобъемлющим законодательным актом о конфиденциальности данных. К сожалению, это также сбивает с толку: New York Times еще в мае 2018 года назвала это «большим запутанным беспорядком». Закон предоставляет гражданам ряд прав, включая право на переносимость данных (что позволяет людям перемещать свои данные между платформами) и право не подчиняться решениям, основанным на автоматизированной обработке данных (запрещая, например, использование алгоритм отклонения соискателей на работу или ссуды).

Проблема в том, что практические последствия этих правил невероятно сложны. GDPR — как и многие другие законы ЕС — стремится представить компромисс между различными системами и ценностями многих различных национальных государств. Из-за этого «многие ученые и менеджеры данных, которые будут подчиняться закону, считают его непонятным» и сомневаются, что его полное соблюдение вообще возможно.

Для предприятий в США это может стать огромной проблемой. Подчинение как GDPR, так и CCPA является проблемой, потому что определение конфиденциальности данных, используемое в этих двух законодательных актах, и способ, которым они определяют «добросовестное использование» данных, сильно различаются.Вот основные отличия:

  • Во-первых, вы должны признать, что CCPA применяется к резидентам Калифорнии (хотя и несколько странно), независимо от того, где находится ваша компания. Аналогичным образом GDPR защищает права граждан ЕС, независимо от того, где находится ваша компания. Если вы имеете дело с гражданами ЕС или Калифорнии, вы застрахованы.
Раздел 1798.140 (7) G CCPA, показывающий определение жителя Калифорнии
  • CCPA защищает права жителей Калифорнии не продавать свои данные компаниями.Компании, работающие с калифорнийцами (то есть все компании с веб-сайтом), должны включать ссылку «не продавать мою личную информацию» на своих домашних страницах, чтобы дать потребителям право отказаться от продажи своей информации. GDPR, с другой стороны, не рассматривает эту проблему.
  • Еще одно ключевое отличие состоит в том, что в соответствии со статьей 6 GDPR компании должны продемонстрировать, что у них есть правовая основа для обработки информации о клиентах. CCPA, с другой стороны, не требует от вас обоснования сбора или обработки личных данных.
Статья 6 GDPR, показывающая правовые основы для обработки данных
  • GDPR также содержит конкретные правила о том, как данные о состоянии здоровья могут быть собраны и сохранены. GDPR определяет «биометрические данные» и «генетические данные» как два отдельных типа персональных данных, тогда как в соответствии с CCPA такая информация относится к единой категории «персональная информация».
  • GDPR применяется ко всем компаниям, работающим с данными, тогда как CCPA применяется только к коммерческим предприятиям.
  • В некотором смысле GDPR строже, когда речь идет об управленческих процессах, необходимых для достижения соответствия. Законодательство требует, чтобы в компаниях назначались «сотрудники по защите данных». CCPA не требует этого, пока соблюдаются другие положения нормативного акта.
  • Что касается штрафов, которые могут быть наложены в соответствии с обоими законодательными актами, также существуют огромные различия. Статья 83 GDPR гласит, что компании могут быть подвергнуты штрафам в размере до 20 миллионов евро или 4% от общего мирового оборота.Для некоторых компаний это может быть огромная сумма, и Google уже оштрафован на 50 миллионов евро за нарушение конфиденциальности данных во Франции. CCPA, с другой стороны, гораздо более снисходительный: компаниям дается льготный период в 30 дней для устранения нарушения, а затем штрафуют только 2500 долларов за нарушение.

Короче говоря, разные определения конфиденциальности данных, используемые только в этих двух законодательных актах (не говоря уже о HIPAA или других законодательных актах), крайне сбивают с толку. То, что считается «разумным», значительно различается в каждом законе, как и штрафы за их нарушение.

На практике это означает, что компании, работающие с частными данными, должны выходить за рамки закона, чтобы гарантировать, что их методы обработки данных намного превосходят требования, предусмотренные законодательством. Мы скоро поговорим о том, как это сделать, но сначала давайте подробнее рассмотрим уже упомянутые законодательные акты.

Законы и законы о конфиденциальности данных

К счастью, законодатели признали важность регулирования конфиденциальности данных и необходимость возложения на компании ответственности за данные конечных пользователей.

Компании теперь должны определять, какие законы и законы о конфиденциальности данных влияют на их пользователей. Например, вы должны знать, откуда поступают данные (страна и штат), какую личную информацию они могут содержать и методологию использования.

Давайте подробнее рассмотрим, как последние правила конфиденциальности данных влияют на пользователей и компании. Вот четыре наиболее важных законодательных акта о конфиденциальности данных.

GDPR: Закон ЕС о конфиденциальности данных

Вступивший в силу в мае 2018 года, GDPR направлен на защиту личных данных граждан ЕС и уже оказывает серьезное влияние на компании в Европе.GDPR имеет множество аспектов и множество задач, которые компании должны выполнять для достижения и поддержания соответствия GDPR. К ним относятся, но не ограничиваются:

  • Явное согласие пользователей на подписку
  • Право запрашивать данные у компаний
  • Право на удаление ваших данных

GDPR дает потребителям определенные права на их данные, а также возлагает обязательства по безопасности на компании, хранящие их данные. Для компаний одним из сложных аспектов законодательства является требование отвечать на запросы о доступе к темам.

Реальность такова, что большинство организаций не могут легко найти, предоставить или удалить личные данные человека по запросу. Многие ИТ-директора и сотрудники по вопросам конфиденциальности данных полагаются на программное обеспечение, отвечающее требованиям GDPR, которое автоматически обнаруживает и классифицирует личные данные, чтобы обеспечить их защиту и ускорить запросы доступа к данным.

Конфиденциальность данных в здравоохранении

Несмотря на то, что в ЕС действует GDPR, одним из наиболее важных законов США о защите данных и конфиденциальности на федеральном уровне является HIPAA — положение о конфиденциальности данных, которое было введено для защиты личной информации о здоровье пациентов.

Поставщики медицинских услуг всегда были привлекательной мишенью для утечки данных. На самом деле медицинские записи чрезвычайно ценны — примерно в 10-20 раз более ценны, чем номера кредитных карт. Вот почему они должны убедиться, что соответствуют требованиям HIPAA.

Несмотря на то, что Конгресс принял HIPAA в 1996 году, призывы к еще большей защите конфиденциальности данных усилились: количество утечек данных достигло рекордно высокого уровня, а скорость, с которой компании используют и продают собранные ими данные о своих пациентах, быстро растет.

К счастью, в декабре 2000 года Министерство здравоохранения и социальных служб США (HHS) издало Правило конфиденциальности, чтобы выполнить мандат HIPAA по защите конфиденциальности индивидуально идентифицируемой информации о здоровье.

Если вам интересно, как соотносятся GDPR и HIPAA, имейте в виду, что GDPR охватывает еще более широкий охват, чем HIPAA, и не касается исключительно данных о здоровье. GDPR призывает к защите «конфиденциальных личных данных», включая защиту данных о здоровье. Итог: GDPR сопоставим с нормативными требованиями HIPAA.

Конфиденциальность данных финансовых учреждений

Еще один нормативный акт, который должен быть в вашем распоряжении, — это Закон Грэмма-Лича-Блайли (GLBA). GLBA требует от финансовых учреждений защиты финансовых данных потребителей. Для этого воспользуйтесь классификацией, чтобы быстро определить, где хранятся ваши конфиденциальные финансовые данные.

Достижение соответствия GLBA дает множество преимуществ. Это снижает возможные штрафы и репутационный ущерб из-за несанкционированного обмена или потери конфиденциальных финансовых данных.Конечно, GLBA — это не то же самое, что GDPR ЕС, но скоро Америка получит свою собственную.

Новаторские законы США о конфиденциальности данных

В США конфиденциальность данных также регулируется рядом других законов. Некоторые из них действуют на государственном уровне, а некоторые распространяются на всю страну. Эти законы представляют собой новаторский подход к обеспечению конфиденциальности данных в стране и в некоторых случаях идут намного дальше, чем действующее законодательство, которое касается отдельных секторов.

CCPA, например, — это закон в Калифорнии, который расширяет защиту конфиденциальности данных в этом штате.Компании, работающие в штате Калифорния, должны быть готовы к 1 января 2020 года, чтобы CCPA выявлял и обнаруживал личную информацию, выполнял запросы доступа к данным и защищал данные потребителей. CCPA дает потребителям право контролировать, как компании собирают и используют их личные данные. Это означает, что компании должны иметь возможность быстро и точно находить и классифицировать конфиденциальные данные, чтобы они могли идентифицировать данные, подпадающие под действие CCPA, и выполнять запросы доступа к данным (DSAR).

Точно так же COPPA, Закон о защите конфиденциальности детей в Интернете, направленный на защиту конфиденциальности детей младше 13 лет, был принят еще в 1998 году. Этот закон предусматривает, что компании должны запрашивать разрешение родителей на сбор данных о детях, а также уточняет способ хранения и обработки этих данных.

Несколько штатов рассматривают законы, аналогичные законам Калифорнии, и, похоже, законодатели заинтересованы в повышении безопасности и конфиденциальности данных в других секторах.Некоторые даже предлагали создать Федеральный департамент кибербезопасности для стандартизации этих законов по всей стране, но на данный момент ситуация по-прежнему представляет собой лоскутное одеяло из различных нормативных актов.

Другие законы о конфиденциальности данных

Хотя упомянутые выше законы являются наиболее важной нормативно-правовой базой, когда речь идет о конфиденциальности данных, вы также должны знать, что существуют законы о конфиденциальности данных, которые применяются к определенным типам компаний или к определенным типам данных.

Что из этого применимо к вашему бизнесу, будет зависеть как от вашего сектора, так и от того, как вы храните и обрабатываете данные, но стоит проверить положения о соответствии ISO 27001, FISMA и Sox.

Varonis может помочь вам добиться соответствия всем этим структурам, предоставив решения для полной защиты данных, которые обеспечат безопасность ваших данных и полное соответствие с действующим законодательством. Если вы хотите обсудить свои требования к конфиденциальности данных, позвоните нам сегодня.

Советы по защите данных

Если вы прочитали вышесказанное, вы, вероятно, задаетесь вопросом, как обеспечить конфиденциальность данных. В этом разделе мы дадим вам несколько советов о том, как это сделать, независимо от того, являетесь ли вы бизнесом или просто заинтересованным потребителем.

Советы по обеспечению конфиденциальности данных, ориентированных на бизнес

Ранее мы писали о том, как предприятия могут обеспечить безопасность данных, и, поскольку существует связь между безопасностью данных и конфиденциальностью данных, наши советы также помогут вам обеспечить конфиденциальность данных, которые вы храните как компания.

Эти методы включают:

  • Обеспечение осведомленности о проблемах и методах безопасности и конфиденциальности данных для каждого сотрудника вашей компании. Вам следует включить обучение конфиденциальности данных в свою общую программу обучения, и оно должно быть частью процесса адаптации новых сотрудников.
  • Убедитесь, что вы пользуетесь преимуществами имеющихся бесплатных инструментов безопасности. Сюда входят решения для зашифрованного хранилища, менеджеры паролей и VPN. Эти небольшие инструменты могут значительно снизить вашу уязвимость для атак, их легко использовать и устанавливать.
  • Контролируйте свою сеть на предмет подозрительной активности, чтобы вы могли вовремя поймать атаку и уменьшить ущерб.
  • Не стоит недооценивать интерес хакеров к вашей компании из-за того, что она небольшая или только начинающая — взломы и атаки затрагивают организации любого размера, включая стартапы и малые предприятия.
  • Реализуйте модель нулевого доверия. Как сказал нам Сиван Техила, основатель компаний Leading Cyber ​​Ladies и Cyber19w, «Zero Trust ограничивает доступ ко всей сети, изолируя приложения и сегментируя доступ к сети на основе разрешений пользователей, аутентификации и проверки пользователей.С помощью политики Zero Trust можно легко реализовать политику и защиту для всех пользователей, устройств, приложений и данных, независимо от того, откуда пользователи подключаются. Этот ориентированный на пользователя подход делает проверку авторизованных объектов обязательной, а не необязательной. Этот образ мышления «доверяй, но проверяй» абсолютно необходим для сегодняшних организаций ».

Советы по защите данных, ориентированные на потребителей

Как потребитель, вы не можете полностью контролировать, как компании хранят ваши данные и насколько хорошо они хранят их в тайне.Тем не менее, вы можете предпринять ряд простых шагов, которые могут улучшить конфиденциальность ваших данных. Хороший первый шаг — ознакомиться с доступными инструментами обеспечения конфиденциальности. Это означает как минимум VPN для шифрования вашего интернет-соединения и менеджер паролей для повышения безопасности ваших онлайн-аккаунтов.

  • Используйте многофакторную аутентификацию для дополнительных уровней безопасности и убедитесь, что важные учетные записи не могут быть легко взломаны при взломе паролей. Предпочтительно использовать параметры MFA, не основанные на SMS.Многие онлайн-компании теперь предлагают многофакторную аутентификацию бесплатно, поэтому попросите их внедрить ее в вашей учетной записи.
  • Знайте, что шпионское ПО в IoT означает для конфиденциальности данных: это была одна из самых больших историй в области кибербезопасности за последний год, и она указывает на важность обновления всех ваших устройств IoT с помощью новейшего программного обеспечения безопасности.
  • Часто выполняйте резервное копирование данных. Если хранилище данных когда-либо будет взломано, у вас будет больше шансов сохранить эти данные, если у вас есть безопасная резервная копия.
  • Следите за странными запросами, орфографическими и грамматическими ошибками, кричащим содержанием клик-приманки и другими вещами, которые могут показаться «неуместными».

Как Varonis помогает в обеспечении конфиденциальности данных

Для достижения нирваны конфиденциальности данных организациям необходимо решение для обеспечения безопасности данных, которое защищает корпоративные данные, предотвращает утечки данных, снижает риски и помогает обеспечить соответствие нормативным требованиям. В Varonis наш подход к безопасности данных, связанный с повышением конфиденциальности данных, включает:

Управление доступом к конфиденциальным и регулируемым данным

Вы никогда не услышите, чтобы кто-то жаловался на слишком большой доступ.Вот почему регулярные проверки прав с помощью DatAdvantage и DataPrivilege гарантируют, что только нужные люди имеют доступ к нужным данным: неограниченный доступ подвергает компании риску утечки данных, кражи или неправомерного использования. Если вы хотите быстрее достичь минимальных привилегий и соответствия требованиям, Automation Engine поможет вам в этом, чтобы вы могли автоматически исправлять глобальный доступ и исправлять разрешения файловой системы.

Соблюдайте надлежащие нормативные требования

Любите вы или ненавидите, но нормативные требования являются базовым уровнем, который обеспечивает достижение целей конфиденциальности данных для обеспечения свободы, близости и уединения.С помощью Data Classification Engine вы найдете и классифицируете регулируемый и конфиденциальный контент. После этого у вас будет возможность автоматически переносить данные туда, где они должны быть, а также выполнять запросы доступа к данным по мере необходимости.

Отслеживание и обнаружение подозрительного поведения в отношении конфиденциальных данных

Вооружение вашей организации с помощью DatAlert означает, что у вас будет постоянный мониторинг и оповещение обо всех данных вашей организации. Это означает, что компании могут выявлять и отслеживать личные данные потребителей, отслеживать, кто к ним обращается, выделять необычные действия и сообщать о странных действиях, которые регулируются и являются конфиденциальными.В конечном счете, знание того, что ваши данные всегда в безопасности, также обеспечивает конфиденциальность данных.

Новости и ресурсы о конфиденциальности данных

Конфиденциальность данных стала основной проблемой за последний год, и эта проблема появилась во всех крупных газетах. Однако, если вы хотите быть в курсе последних новостей в области конфиденциальности данных, также стоит проверить специализированные СМИ: WIRED часто публикует статьи о конфиденциальности данных, как и HackerNoon и InfoSecurity Magazine.

Вот некоторые из самых значительных событий в области конфиденциальности данных на данный момент:

CCPA в Калифорнии вступает в силу

По мере того, как 2019 год подходит к концу, все взоры прикованы к следующему году, когда в штате Калифорния вступит в силу CCPA. Этот закон представляет собой самые строгие меры защиты конфиденциальности данных в США на данный момент, и компании готовились к его внедрению в течение многих лет. Ключевой вопрос заключается в том, сможет ли такой закон в конечном итоге применяться по всей стране.

Google Project Nightingale вызывает опасения по поводу конфиденциальности данных

Что касается потребительской стороны уравнения, то в последнее время в большинстве дискуссий доминировало разоблачение «проекта соловья», соглашения о совместном использовании данных между Google и Ascension, вторым по величине поставщиком медицинских услуг в США.Хотя этот обмен данными был полностью законным, он дал людям новую информацию о том, сколько личных данных они делятся и как они обрабатываются.

Индия вводит новый закон о конфиденциальности данных

Согласно новостям из дальних стран, Индия в настоящее время принимает национальное законодательство, регулирующее действия компаний с личными данными. Новый закон основан на аналогичных рамках ЕС и США и потенциально окажет огромное влияние на растущий технологический сектор страны.

Часто задаваемые вопросы о конфиденциальности данных

Даже после получения всей этой информации у вас могут возникнуть вопросы о конфиденциальности данных.Мы здесь, чтобы помочь.

В. Существует ли глобальный закон о конфиденциальности данных?

A: Нет. Законы о конфиденциальности данных в любом случае относительно новы и не имеют мировых стандартов. Тем не менее, многие компании обращаются к GDPR — европейскому закону о защите данных — как к руководству по правильному хранению и управлению конфиденциальностью данных, даже если они не ведут бизнес в ЕС. В зависимости от сектора и местоположения к вашему бизнесу будут применяться разные законы, поэтому обязательно проверьте свои обязанности.

Вопрос: Можем ли мы защитить наши данные в других странах?

A: Опять же, из-за фрагментарного характера законов о конфиденциальности данных может быть чрезвычайно сложно обеспечить безопасность ваших данных, если вы отправляете их за границу.Ключевым моментом для заинтересованного потребителя является обмен информацией только с компаниями, которые открыто и честно заявляют о своей политике конфиденциальности и не будут продавать вашу информацию тому, кто предложит самую высокую цену.

Вопрос: Как компании могут обеспечить конфиденциальность данных при использовании публичных облаков?

Выберите правильного облачного провайдера. По правде говоря, у большинства компаний не будет времени или ресурсов, чтобы нанять специального специалиста по облачной безопасности. Поэтому лучшим решением для большинства будет выбор поставщика облачных услуг, который также предоставит вам функции безопасности и может проконсультировать вас о ваших юридических обязанностях.

Последнее слово

Конфиденциальность данных важна по ряду причин. Как потребитель, вы должны знать, что ваши данные хранятся и используются целым рядом компаний, и убедитесь, что вы не делитесь больше, чем должны. В конце концов, конфиденциальность — это фундаментальное право.

Конфиденциальность данных для компании еще более важна. Возможно, вам придется выполнять юридические обязательства в отношении того, как вы собираете, храните и обрабатываете личные данные, а несоблюдение требований может привести к огромному штрафу.Если вы станете жертвой взлома, последствия с точки зрения потери дохода и доверия клиентов могут быть еще хуже.

Вот почему мы создали комплексное решение безопасности, которое обеспечивает расширенные функции защиты данных. DatAdvantage и DataPrivilege гарантируют, что только те люди, которые должны иметь доступ к вашим данным, будут иметь доступ к вашим данным, и вы сможете легко и эффективно работать над соблюдением конфиденциальности данных.

Разработка приложений, отвечающих требованиям конфиденциальности ЕС: 15 основных шагов

Введение Европейского закона о конфиденциальности данных в Интернете, который включал в себя уже известные Общие правила защиты данных (GDPR) и Директиву о защите данных, окажет большое влияние на то, как организации обрабатывают личные данные своих пользователей и управляют ими.Закон был принят в январе 2019 года и полностью вступил в силу в том же году. Для организаций, которые регулярно обрабатывают клиентские или персональные данные, обслуживающие граждан Европы, возникают вопросы, связанные с техническими последствиями для их онлайн-веб-приложений и операций.

Основная директива этого закона дает людям право контролировать свои данные. Это означает, что организации, которые запрашивают у людей личную информацию в Интернете, должны сообщить им, что именно произойдет с этими данными с момента их отправки.

Наиболее важными аспектами закона являются следующие четыре:

  • «Более легкий доступ к вашим собственным данным: люди будут иметь больше информации о том, как обрабатываются их данные, и эта информация должна быть доступна в ясной и понятной форме».

  • «Право на переносимость данных: будет проще передавать ваши личные данные между поставщиками услуг».

  • «Уточненное« право на забвение »: если вы больше не хотите, чтобы ваши данные обрабатывались и при отсутствии законных оснований для их сохранения, данные будут удалены.«

  • « Право знать, когда ваши данные были взломаны: например, компании и организации должны уведомить национальный надзорный орган о серьезных нарушениях данных как можно скорее, чтобы пользователи могли принять соответствующие меры ».

Итак, как реализовать приложение, соответствующее GDPR — приложение, обеспечивающее полный контроль над личными данными для пользователей? Ниже приведены 15 рекомендаций, основанных на рекомендациях OWASP Top Ten по конфиденциальности:

1.Определите, действительно ли приложению требуются все запрошенные личные данные.

Идеальная реализация конфиденциальности сохраняет как можно меньше личных данных, таких как дата рождения, имя, страна проживания и т. Д. Это возможно не во всех случаях; некоторым организациям потребуется дополнительная информация. Однако в любом случае разработчики и руководство должны точно определить, какие данные абсолютно необходимы.

2. Зашифруйте все личные данные и сообщите об этом пользователям

Если приложению необходимо сохранить личную информацию, данные должны быть зашифрованы с помощью правильных и надежных алгоритмов шифрования, включая хеширование.В случае утечки данных Эшли Мэдисон все личные данные были в виде открытого текста, что имело огромные последствия для пользователей. Пользователям следует прямо указать, что все их личные данные, включая номера телефонов, страну проживания и адрес, будут зашифрованы и хешированы, чтобы избежать любой формы извлечения данных и потенциального раскрытия в случае утечки данных.

[См. Также: GDPR и ваш бизнес: достижение трансформации через соответствие GDPR]

3.Подумайте о переносимости данных с помощью OAUTH

Протоколы для единого входа, такие как OAUTH, позволяют пользователям создавать учетные записи, просто предоставляя другую учетную запись, но они также гарантируют, что никакие личные данные, кроме идентификатора аутентификации из другой службы, не сохраняются.

4. Обеспечьте безопасную связь через HTTPS

Многие организации не используют HTTPS для своих веб-сайтов, потому что не считают это необходимым. Например, если приложение не требует какой-либо формы аутентификации, HTTPS может показаться ненужным.Но некоторые вещи легко упустить из виду. Например, некоторые приложения собирают личную информацию через формы «свяжитесь с нами». Если эта информация будет отправлена ​​в виде открытого текста, она будет опубликована через Интернет. Кроме того, вы должны убедиться, что сертификат SSL был правильно развернут и не подвержен уязвимостям, связанным с протоколами SSL.

5. Информируйте пользователей и зашифруйте личные данные с помощью форм «свяжитесь с нами»

Приложения собирают информацию не только посредством аутентификации или подписки, но и через контактные формы.Большая часть этой информации носит личный характер, включая адрес электронной почты, номер телефона и страну проживания. Пользователи должны быть проинформированы, как эти данные будут храниться и как долго. Для хранения этой информации настоятельно рекомендуется использовать надежное шифрование.

6. Убедитесь, что сеансы и файлы cookie истекли и были уничтожены после выхода из системы.

Пользователи должны иметь надлежащую информацию об использовании файлов cookie приложением. Они должны быть проинформированы о том, что приложение использует файлы cookie, приложение должно предоставлять пользователям возможность принимать или отклонять файлы cookie, а файлы cookie должны быть должным образом уничтожены после бездействия или выхода из системы.

7. Не отслеживайте активность пользователей для бизнес-аналитики

Многие приложения электронной коммерции в Интернете отслеживают пользователей, чтобы определить их вкусы с помощью их поиска или приобретенных продуктов. Часто такие компании, как Amazon и Netflix, используют такую ​​информацию в своих рекомендательных системах. Поскольку личные предпочтения и предпочтения пользователей отслеживаются и сохраняются в коммерческих целях, пользователи должны иметь возможность принять или отклонить это как вариант. Если пользователи решат согласиться на такое отслеживание, им следует сообщить, как данные хранятся в системе и как долго.И, конечно же, все, что связано с личной информацией, должно быть зашифровано.

8. Сообщите пользователям о журналах, в которых сохраняется местоположение или IP-адреса.

Многие приложения используют IP-адреса или местоположения в качестве параметра для управления аутентификацией и авторизацией и регистрируют эту информацию на случай, если кто-то попытается обойти элементы управления аутентификацией. Об этом следует сообщить пользователям, а также о том, как долго логи будут храниться в системе. Никогда не включайте в журналы более конфиденциальную информацию, например пароли.

9. Храните журналы в надежном месте, желательно в зашифрованном виде.

Храните все журналы, содержащие информацию о пользователях, в безопасном месте и информируйте пользователей о том, что происходит с этими журналами: как они хранятся и как долго они хранятся. Сами журналы должны быть зашифрованы.

10. Вопросы безопасности не должны включать личные данные пользователей

Во многих приложениях вопросы безопасности используются в качестве формы для подтверждения личности пользователя. Эти вопросы не должны включать личные компоненты, такие как девичья фамилия матери или даже любимый цвет пользователя.Если возможно, замените эти вопросы двухфакторной аутентификацией. Если это невозможно, разрешите пользователям создавать свои собственные вопросы и предупредите их, чтобы они не создавали вопросы, содержащие личные данные. Любая предоставленная информация должна быть зашифрована.

11. Создайте четкие условия и убедитесь, что пользователи их читают.

Не скрывайте свои условия. Согласно новым законам ЕС о конфиденциальности, положения и условия должны быть на целевой странице любого веб-приложения и должны быть хорошо видны в любое время, пока пользователь перемещается по приложению.Механизм обеспечения соблюдения необходим, чтобы пользователи должны были согласиться с условиями, прежде чем им будет разрешен доступ к приложению, особенно если условия были изменены. Положения и условия также должны быть изложены на понятном языке.

12. Информируйте пользователей о любом обмене данными с третьей стороной s

Если ваша организация передает личные данные третьим сторонам, будь то внешние плагины, филиалы или правительственные организации, этот факт должен быть включен в условия и условия.

13. Создайте четкую политику в отношении утечки данных

Одним из наиболее важных аспектов законодательства ЕС является право пользователей на получение информации в случае утечки данных. Организации должны внедрять четкие политики, устанавливающие роли и действия, которым необходимо следовать, чтобы, например, пользователи были незамедлительно информированы о любом нарушении.

14. Удаление данных пользователей, отказавшихся от обслуживания

Многие веб-приложения не дают четкого представления о том, что происходит с личными данными после того, как пользователь отменил обслуживание или удалил учетную запись.Имея право на забвение, компании должны уважать право пользователей удалять всю информацию о своих учетных записях и связанные с ними данные. Пользователи должны видеть, что они могут покинуть службу, и все их данные будут удалены.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *