Документ посвящён вопросам обработки персональных данных в соответствии с 152-ФЗ и охватывает нормативную базу, а также ключевые этапы проектирования систем защиты. В нём обсуждаются меры по обеспечению безопасности, включая получение согласия субъектов и реагирование на их запросы, а также методы оценки угроз и рисков. Также рассматриваются подходы к моделированию угроз и сертификация средств защиты.

1. О ПЕРСОНАЛЬНЫХ ДАННЫХ И НЕ ТОЛЬКО Александр Бондаренко, CISA, CISSP Директор департамента консалтинга Компания LETA

2. История вопроса

3. Нормативная база ОТРАСЛЕВЫЕ СТАНДАРТЫ: Кредитные организации (СТО БР ИББС) Негосударственные пенсионные фонды (НАПФ СТО) НАУФОР … ?

4. План проекта соответствия 152-ФЗ Изменение бизнес-процессов Выбор и проектирование СЗПДн Разработка нормативной документации Обследование Внедрение СЗПДн Обучение персонала Поддержание соответствия

5. Соответствие 152-ФЗ – ключевые моменты Определить структурное подразделение или должностное лицо, ответственное за обеспечение безопасности ПДн Определить состав обрабатываемых ПДн, цели и условия обработки, сроки хранения Получить согласие субъекта на обработку его персональных данных, в т.ч. в письменной форме Определить порядок реагирования на запросы со стороны субъектов ПДн Определить необходимость уведомления РКН

6. Выделить и классифицировать ИСПДн Разработать модель угроз для ИСПДн Спроектировать и реализовать СЗПДн Определить перечень мер по защите ПДн, обрабатываемых без использования средств автоматизации Вести контроль за состоянием уровня защищенности ПДн Соответствие 152-ФЗ – ключевые моменты

7. Сертификация средств защиты Лицензирование ФСТЭК и ФСБ Аттестация «Спорные» темы

8. Угрозы и риски Оценка рисков vs. Моделирование угроз

9. Угрозы и риски

10. Угрозы и риски

11. OCTAVE ISO 27005 NIST SP 800-30 RiskIT PTA Методики оценки рисков

12. Качественные или количественные методы Рост уровня сложности по мере усиления детализации Зависимость от «экспертного» мнения Трудности при проведении оценки рисков

13. Подходы к составлению модели угроз Шаблонный подход Комбинаторика Сценарный подход Гибридный подход

14. Подход ЛЕТА к составлению модели угроз

15. Подход ЛЕТА к составлению модели угроз