Мысли про… информационную безопасность и жизнь

Мысли про… информационную безопасность и жизнь
Ксения Шудрова

Сборник мыслей об информационной безопасности в частности и жизни вообще. Очерки содержат полезные советы от эксперта по защите информации, а также юмористические заметки.

Мысли про… информационную безопасность и жизнь

Ксения Шудрова

© Ксения Шудрова, 2021

ISBN 978-5-0053-7341-0

Создано в интеллектуальной издательской системе Ridero

ОСНОВАНО НА МОИХ ПОСТАХ В INSTAGRAM @boyarinya_marshmelova

По вопросам сотрудничества и приобретения книг по защите персональных данных:

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

e-mail: shudrova87@mail.ru

Спасибо, что читаете!

ПРО ИНФОРМАЦИОННУЮ БЕЗОПАСНОСТЬ

ПРО ПОНЯТИЕ «ПЕРСОНАЛЬНЫЕ ДАННЫЕ»

Мне очень часто задают вопрос – что такое персональные данные? Этот вопрос можно сравнить с философским «что есть любовь»? И на оба вопроса ответить правильно невозможно! Бывает любовь взаимная и не разделённая, первая и последняя, к животным, детям, людям вообще, к еде, книге и много-много ещё к чему. Персональными данными также может быть что угодно! Помните детскую игру «съедобно – не съедобно»? Так вот, в игру «ПДн – не ПДн» сыграть будет очень сложно! Любое явление, предмет, обстоятельство МОГУТ быть персональными данными. А могут и не быть. Важен контекст. На мой взгляд, совокупность некоторых сведений является ПДн, если человек в ней – главный элемент. Например, список студентов с адресами и телефонами – ПДн, так как совокупность указывает на людей. Перечень расчётов с контрагентами, в котором указаны ФИО директоров фирм – не ПДн, так как главное в этой совокупности – платежи, а не директора. Однако зарплатная ведомость – уже ПДн, так как она больше про людей, чем про деньги. Все очень непросто.

ПРО ПЕРЕДАЧУ ПЕРСОНАЛЬНЫХ ДАННЫХ

«Передавать персональные данные третьим лицам БЕЗ письменного согласия работника только по решению генерального директора, если предоставление таких сведений обусловлено интересами, особенностями взаимоотношений организации с контрагентами и обычаями делового оборота» – лучшая фраза из консультанта, прочитанная мною за последнее время. Обычаи – вот ответ на все вопросы, касающиеся обработки персональных данных. Жаль, что статья 7 ФЗ N152-ФЗ и статья 88 ТК пока обычаями не стали. Вообще нужно быть аккуратными с использованием статей из журналов для бухгалтеров и кадровиков, кои пропитаны особой философией. Дескать, барину виднее, куды данные холопов лучше посылать.

ПРО СОГЛАСИЕ И УВЕДОМЛЕНИЕ

Чтобы понять, чем отличаются понятия «согласие на обработку» и «уведомление об обработке», нужно запомнить простую аналогию. Представьте, что Вы молодой человек (или не представляйте, если так и есть) – это оператор. Девушка, которую Вы собираетесь позвать на свидание – субъект персональных данных. Нужно ли Вам брать с нее согласие на обработку данных? Думаю, да. Но, если она позвала Вас сама (субъект заинтересован) или Вы состоите в браке (договорные отношения), то можно обойтись без согласия. Также доставить девушку в нужное место без согласия могут представители правоохранительных органов. Еще есть общедоступные девушки, к ним за согласием также можно не обращаться. Родителей девушки (это будет РКН) стоит уведомить о своих намерениях обрабатывать данные. Они перепишут номер паспорта (занесут в реестр) и спокойно отпустят Вас на свидание (ведь согласие Вы уже получили). Бывают случаи, когда уведомлять необязательно, например, когда девушка совершеннолетняя (трудовые отношения). Но если Вы нарушите режим обработки, то родители предъявят к Вам претензии, даже если уведомление Вы не подавали. При любом раскладе во всей этой истории – Вы остаетесь оператором.

ПРО ПЛОХИЕ СОГЛАСИЯ

ЧТО ДОЛЖНО НАСТОРОЖИТЬ ВАС В СОГЛАСИИ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ? Каждый раз, когда Вас просят подписать согласие на обработку персональных данных (в больнице, детском саду, на работе и в магазине), обращайте особое внимание на следующие моменты: Распространение – это слово будет означать передачу информации о вас неопределенному кругу лиц. Общедоступные – такие данные можно размещать где угодно (хоть на сайте, хоть на плакате, хоть на заборе). Передача третьим лицам, без их указания – равнозначно их распространению. Данные о здоровье, религиозных убеждениях и политических взглядах и другая очень личная информация – уточняйте, нужны ли такие сведения о вас. ? Третьи лица – внимательно изучите список лиц, которым может быть передана информация о вас.

? Перечень данных (ФИО, адрес, номер телефона и т.д.). Никогда не давайте о себе сведений больше, чем того требует ситуация.

ПРО ОТЗЫВ СОГЛАСИЯ

Операторы часто забывают, что у согласия на обработку персональных данных есть возможность отзыва. Согласие воспринимается как индульгенция на всё. Это опрометчиво. Субъект в любой момент может написать заявление и согласие забрать, в этом случае нужно будет прекратить обработку его данных. Что делать для минимизации подобных инцидентов? Не злоупотреблять доверием/ Чуть меньше рекламных рассылок, чуть меньше звонков с опросами посреди ночи, может быть третьим лицам без разрешения не передавать. Все индивидуально.

ПРО СОГЛАСИЕ НА СОГЛАСИЕ

Нужно ли согласие на дачу согласия? Вопрос не такой глупый, как кажется на первый взгляд. В одном из разъяснений РКН говорит, что по достижении целей обработки ПДн субъекта согласия необходимо уничтожать. А что, если субъект пожалуется на неправомерную обработку в прошлом? Например, найдет газету старую со статьей о себе А согласие уничтожено! Опубликовали статью же, цель достигнута. Как быть? На мой взгляд, по окончании обработки ПДн стоит сдавать согласия в архив, на архивы 152ФЗ не распространяется

ПРО КОММЕРЧЕСКУЮ ТАЙНУ

«Коммерческая тайна, осторожно, коммерческая тайна!» – слышно отовсюду. Даже самая маленькая фирма хочет заявить о том, что у нее есть секреты. Так ли это актуально? Тема достаточно мутная. Организовать все правильно довольно сложно, ещё сложнее привлечь сотрудника к ответственности в случае чего. Мой любимый случай из судебной практики связан с хлебом. Женщина работала на производстве хлеба, затем уволилась и открыла свою фирму, которая занималась… внимание! Производством хлеба. Что-то там у неё не пошло, чтобы исправить ситуацию она пробралась на старую работу с целью выкрасть рецепт. Боюсь даже представить, какие секретные ингредиенты она хотела уточнить и знала ли о существовании гугла. Но факт остаётся фактом, её осудили.

Так вот, ребята, хлеб пекут не везде!

ПРО ГРУППЫ ВКОНТАКТЕ

Проблема переименования групп ВКонтакте. Вчера ты был любителем животных, красивых цитат и кулинарии, а сегодня член сообщества извращенцев. В результате ущерб репутации, семейные скандалы, косые взгляды коллег. Доказать непричастность крайне трудно. Нужно принимать какие-то профилактические меры. Во-первых, ни на какие сообщества не подписываться и в группы не вступать. Ну кроме моей страницы, конечно, мне можете верить! Во-вторых, обращать внимание на галочку официального сообщества. Особо ушлые ребята галки из смайликов в название ставят, но они визуально отличаются. В-третьих, вступайте в группы, где уже есть ваши друзья. Так, даже если станете извращенцами, то все разом, не обидно. В-четвёртых, поставьте себя на место спамеров, нужна ли им аудитория этой конкретной группы библиотекарей? Скорее всего нет. А вот городские сообщества и паблики смешных картинок интересуют уже больше. Аудитория шире и интересы самые разные. В-пятых, если вы вступили в непотребную группу сами, всегда говорите, что это бывший клуб садоводов.

ПРО ДЕДА МОРОЗА И ПДН

Поговорим о Дедушке Морозе. Теперь он оператор ПДн! Да ещё и ПДн несовершеннолетних. Может ли он обрабатывать их данные без согласия? С одной стороны, ПДн обрабатываются в интересах детей (субъектов). С другой стороны, согласие на обработку данных детей могут дать только их законные представители (обычно родители). Да и к тому же дед, скорее всего, работает не один (снегурочка), а здесь уже пахнет передачей ПДн! Передача согласно статье 7 ФЗ возможна только с согласия, если иное не указано в законе. А что-то я не припомню ФЗ «О дедморозовой деятельности» Так что письмо нужно дополнить согласием родителя! А это значит, что к данным детей добавятся данные родителей, в том числе паспортные Вы можете возразить, мол, какие же это ПДн ребёнка, когда там имя и возраст? Вернитесь к статье 7 – про обезличенные ни слова! Про общедоступные источники есть в статье 8, но опять же для включения туда данных нужно письменное согласие. Вот в такие дебри можно зайти, если подходить к закону буквально.

ПРО ПДН В БОЛЬНИЦЕ

На больничном и темы приходят соответствующие. Часто спрашивают, а зачем в больнице берут согласие на обработку ПДн? Вроде как медицинское учреждение, пациент приходит по доброй воле, обработка в его интересах. Зачем же согласие? Данные о состоянии здоровья относятся к специальным категориям ПДн. А такие ПДн согласно пп. 4 п. 2 ст. 10 могут обрабатываться только лицами, профессионально занимающимися медицинской деятельностью. Однако в больницах сейчас установлены компьютеры, и обслуживают их лица без медицинского образования. Поэтому необходимо письменное согласие субъекта, а для детей – согласие родителя.

ПРО БИОМЕТРИЮ

Недавно читала новость про цыганского барона, который потребовал убрать из автобусов фото цыганок, пойманных на воровстве. Дело было не у нас, барону отказали. А как обстояли бы дела, обратись он с такой просьбой в России? На лицо распространение персональных данных, да ещё и биометрических. На мой взгляд, ориентироваться нужно на 11 статью ФЗ 152, где говорится об обработке ПДн (а обработка может включать распространение) в целях обеспечения транспортной безопасности (наверное, не очень подходит), оперативной розыскной деятельности и т. д. С другой стороны, никто не отменял ст. 152.1 ГК РФ «Охрана изображения гражданина». Также важно, что цыганки уже были осуждены за воровство, а значит, публикация их фото в целях оперативно-розыскной деятельности смысла не имеет. Склоняюсь к тому, что фото ранее судимых (если они не в розыске) публиковать нельзя. А вы как думаете?

ПРО ИБ В ЦЕЛОМ

Зачем нужна информационная безопасность? В 2005 году, когда я поступала в университет, ответ на этот вопрос дать было тяжеловато. Конечно, компьютер в те времена многие уже не только видели, но и трогали, но Интернет все же был предметом роскоши. Помню, как в начале двухтысячных показывали какое-то ток-шоу, где гости рассказывали, что у них интернет-зависимость. Они представлялись мне настоящими олигархами. Так вот, о чем я? На дворе 2005й. Есть у тебя дома компьютер, Интернета нет. Все сообщение с внешним миром происходит через дискеты (1,44мегабайта) и диски (ооо, ааа, космос). Все, что может плохого случится – поймаешь вирус и потеряешь свои файлы. Соответственно, если на компьютере стоит антивирус и он обновляется, а фотографии сохранены на нескольких носителях, то волноваться не о чем. Что сейчас? 2019 год. Интернет буквально везде. Телевизор выходит в интернет, часы выходят в интернет, все выходит в интернет. Живых вирусов встретить на флешке все сложнее, а вот потерять контроль над своими секретами: все легче! Антивируса мало! Каждое приложение что-то куда-то отправляет, календарю нужен доступ к контактам на телефоне, а игре – данные о месте вашего пребывания?! Что делать? Знание основ безопасной жизнедеятельности не помогает, цифровая жизнь кажется вовсе небезопасной. Сейчас информационная безопасность нужна каждому! Может быть даже больше, чем умение находить север по мху.

ПРО ПРАВА СУБЪЕКТОВ

Чтобы быть расслабленными, как Шоня, надо знать свои права! Каждый субъект персональных данных (гражданин РФ) МОЖЕТ:

1. Получать у оператора (юр. лицо, физ. лицо или ИП) информацию об обработке своих персональных данных.

2. Ознакомиться со своими персональными данными у оператора и потребовать уточнения, изменения и блокирования неверных данных.

3. Получать адресную рекламную рассылку только с согласия.

4. Возразить против принятия оператором решения в результате автоматизированной обработки.

5. Обжаловать действия и бездействие оператора в Роскомнадзоре.

6. Отозвать свое согласие на обработку персональных данных и потребовать прекращения оператором их обработки.

ПРО ПАРОЛИ