Панов Александр, группа компаний Hosting Community

Закон «О персональных данных»
Отсрочка, мотивация и возможные
варианты
Апрель 2011
Закон «О персональных данных»
в России
 Федеральный Закон от 27 июля 2006 г. N 152-ФЗ «О персональных
данных».
 Федеральный Закон от 27 июля 2006 г. № 149-ФЗ «Об информации,
информационных технологиях и о защите информации».
 Указ Президента Российской Федерации от 6 марта 1997 года № 188 «Об
утверждении перечня сведений конфиденциального характера»
 Постановление Правительства Российской Федерации от 17 ноября 2007
года № 781 «Об утверждении положения об обеспечении безопасности
персональных данных при их обработке в информационных системах
персональных данных».
 Приказ Федеральной службы по техническому и экспортному контролю,
ФСБ РФ и Министерства информационных технологий и связи РФ от 13
февраля 2008 г. № 55/86/20 «Об утверждении Порядка проведения
классификации информационных систем персональных данных».
Причины введения отсрочки
 Отсутствие у компаний инфраструктуры и специалистов, готовых
работать с персональными данными. Высокая стоимость.
 Сложная процедура получения лицензий.
 Не понимание преимуществ, отсутствие увязки требований с текущими
бизнес-моделями операторов.
 Противоречие требований закона «О персональных данных» бизнес-
процессам регистраторов (передача информации сторонним реестрам).
Требования закона для регистратора
(на примере доменной отрасли)
Услуга ЗИ
лицензия
приказ
55/86/20
1 категория
Регистратор
>100.000
Реестр
(ТЦИ)
ИСПДн
ИСПДн
СЗИ+СПЗИ
приказ ФСТЕК №58
Сложности приведения системы регистрации в
соответствие требованиям закона
Барьер
Техника
Трансграничная
передача
Бизнес
Координация
• Невозможность выполнения требований
закона небольшими компаниями
• Необходимость существенной модификации и
сертификации информационных систем
• Взаимодействие с международными
реестрами
• Различные бизнес - модели операторов
• Отсутствие поддержки со стороны
Регистратуры по причине “бизнес”
Насколько отсрочка эффективна?
 Отсрочка введена, но не указаны меры, которые будут приниматься в
отношении нарушителей.
 Со стороны государства не предпринимаются шаги для облегчения
процедуры.
 Отсутствие четкого понимания сроков вступления (в Госдуму внесено
предложение о продлении отсрочки до 2012 года) – как следствие,
отсутствие стимула.
Возможные сценарии
Отсрочка будет
продлена
Компании, не
успевшие
подготовить
инфраструктуру,
начнут платить
штрафы
Мелкие операторы
начнут пользоваться
услугами крупных
компаний по
обработке
персональных данных
Пути решения
(на примере доменной отрасли)
• Ведение реестра ПД только на стороне регистратора
• Проблема смерти регистратора
• Проблема смены регистратора
Каждый сам
за себя
Закон есть
закон
• Все участники системы – операторы ПД
• Проблема маленьких
• Проблема Реселлеров/Партнеров
Собрал –
зашифруй
• Хранение данных Регистратурой в зашифрованном виде
• Проблема смены регистратора
• Проблема периодической смены ключей
ЭЦП
•
•
•
•
Замена ПД на ЭЦП
Проблема применимости
Проблема образованности
Проблема беспечности
Наиболее оптимальная схема приведения системы
регистрации в соответствие с требованиями законодательства
Реестр
(ТЦИ)
БД
домены
ИСПДн
Центр
хранения
архивных
копий ПД
Лицензия ЗИ
Использование закона
«О цифровой электронной подписи»
Создание удостоверяющего центра
Использование индивидуального цифрового ключа
(электронной подписи) для верификации пользователя без
предоставления персональных данных
Разработка единого порядка
взаимодействия между собой
всех 3-х сторон
Регистратор
Пользователь
Удостоверяющий
центр
Лицензии ФСБ
• На деятельность по разработке и(или) производству средств защиты
конфиденциальной информации (№ 0740 от 17.09.2010 г.)
• На деятельность по технической защите конфиденциальной информации (№ 1239
от 17.09.2010 г.)
Лицензии ФСТЭК
• На осуществление распространения шифровальных (криптографических)
средств (№ 8870 Р от 28 мая 2010г.)
• На осуществление предоставления услуг в области шифрования информации
(№8871 У от 28 мая 2010г.)
• На осуществление разработки, производства шифровальных
(криптографических) средств, защищенных с использованием шифровальных
(криптографических) средств информационных и телекоммуникационных
систем (№8868 П от 28 мая 2010г.)
• На осуществление разработки и (или) производства средств защиты
конфиденциальной информации (№8867 К от 28 мая 2010г.)
• На осуществление технического обслуживания шифровальных
(криптографических) средств (№8869 Х от 28 мая 2010г.)
Спасибо!
Вопросы?
Сюда их!
Александр Панов
www.hostcomm.ru