Архив
<< Июль, 2012 >>
Пн Вт Ср Чт Пт Сб Вс
1
2345678
9101112131415
16171819202122
23242526272829
3031

"ПД, ПОЗВОЛЯЮЩИЕ ИДЕНТИФИЦИРОВАТЬ субъекта..." - что это?

Berrimor 2011-04-13 11:40:00
При проведении классификации ИСПД, необходимо ответить на вопрос к какой категории принадлежат персональные данные субъекта ПДн. Если брать категории 2 и 3, то вся разница между ними заключается в том, что 3
категория
это ПД, "позволяющие идентифицировать субъекта персональных данных", а категория 2 - это "позволяющие идентифицировать И ПОЛУЧИТЬ О НЕМ ДОПОЛНИТЕЛЬНУЮ ИНФОРМАЦИЮ".
К сожалению,
в
152 Законе нет конкретных указаний когда кончается "идентификация" и наступают "дополнительные сведения".
Вдобавок ко всему, некоторые другие
законы
(например, о противодействии легализации) требуют от оператора собирать многочисленные информацию, как там написано "сведения, необходимые для идентификации физического лица" куда кроме ФИО могут
входить
гражданство, адрес и т.п.
Так как быть? Какие сведения с точки зрения 152 ФЗ и ГЛАВНОЕ, с точки зрения проверяющих, будут относиться к "позволяющим идентифицировать", а какие к "дополнительным сведениям" о субъекте персональных данных?

-
Илюха 2011-04-14 08:40:00
Я в очередной раз повторю своё частное мнение по этому вопросу.
Оператор собирает и хранит сведения о физлицах. Сейчас - какие из этих сведений - идентифицирующие, какие - дополнительные, определяет оператор же. Например, в банке есть "программа идентификации клиентов" (не в компьютерном смысле "программа"). В ней есть перечень сведений, собираемых банком о клиенте при его "идентификации". Эти сведения - идентифицирующие. А есть счёт клиента. Или операции по счёту. Эти сведения - дополнительные.
Иначе можно запутать всё на свете, ведь "клиент по дебету операции номер 928, введённой в операционный день в 15:45:02 13.04.2011" - это вполне определённый клиент.
Я не могу себе представить оператора, который бы не хранил дополнительных сведений
о
субъекте. Зачем он тогда его идентифицировал - из спортивного интереса, что ли А вот
отделить
систему, в которой хранятся идентифицирующие
сведения
(собственно ИСПДН), от системы в которой хранятся дополнительные (АБС) - теоретически можно было бы попробовать. Хотя и неудобно в работе. И пока никто из производителей АБС даже не почесался по этому поводу.
Думаю,
потому
что нет внятных указаний "да, так и надо делать", а наоборот,
есть
сонмы желающих продать либо комплект нормативки "почему нам это
не
нужно", либо техсредства защиты периметра, либо и то, и другое, и подороже.

-
Tiger 2011-04-20 15:51:00
На самом деле имхо вы спрашиваете про то, что ответа не имеет..
Те
кто сочинил Приказ думаю не понимают смысла того, что они понаписали. Спросите их - "а что такое - идентификация"? Я думаю, мы услышим в ответ массу интересного.
Вообще очень много тем на банкире про то, что на самом деле ответов не имеет.. ибо чушь.
Одни написали чушь, а другие.. спорят про то, как эту чушь трактовать.. приводя длинные
цепи
рассуждений.
Яркий пример - про диспуты про автоматическую обработку

-
Дёма 2011-04-29 09:45:00
С точки зрения 152-ФЗ нам должно
быть
до фонаря - идентификация, дополнительная информация: 152-Фз говорит только об установлении личности (далеко не идентификация). Надеюсь, Вы не правоохранительные органы и не суд, чтобы устанавливать личность. С этой точки зрения у Вас все должно быть благополучно в отношениях с Роскомнадзором.
А сточки зрения классификации по "приказу трех"- Бог в помощь Вам 152-ФЗ. Я могу разместить в Инете отпечаток пальца в
багете
и сказать, что это - произведение искусства (цель обработки явной
биометрии
не связана с установление личности).
Я
могу выставить заспиртованную селезенку секретарши, все подумают "ФУ, какая гадость", но при этом никто
не
подумает о ее состоянии здоровья.
В Вашей информационно системе должна храниться информация, необходимая Вам для достижения поставленной Вами цели (152-ФЗ). Если ФСБ, ФСТЭК и т.д. выразят сомнения, пусть обоснуют их с точки зрения 152-ФЗ или другого ФЗ. Пусть разъяснят, что такое значительные негативные последствия (К1), негативные последствия (К2), незначительные негативные последствия (К3).
Согласен с людьми - написана достаточная чушь, лишь бы отписаться.

Stnslav 2011-04-13 12:26:00
По моему, ИСПДн 3 категории, это фактически только справочники (адресные, телефонные и т.п.). На предприятиях (конечно есть и справочники) БД с ПДн обычно ведутся для того, чтобы иметь о субъекте ПДн что
то
еще, дополнительно. Поэтому основная масса ИСПДн должны проходить по 2-й категории. А учитывая
что
требования к защите ИСПДн по 3 и 2 категории одинаковы, то не надо "заморачиваться" и квалифицировать ИСПДн по 2-й.

George-on-Don 2011-04-13 12:36:00
вот мнение регулятора по этому
вопросу
http://www.pd.rsoc.ru/faq/faq22.htm

alexmib 2011-04-13 13:59:00
Зачем вам делить их на категории из Приказа Трёх? Всё равно это для несуществующих
типовых
систем. Вы должны всё делать по модели угроз.

-
Berrimor 2011-04-13 14:38:00
С точки зрения регуляторов, если у вас спецсистема, то ее класс никак не может быть НИЖЕ чем класс типовой системы.
С точки зрения теории, из того же приказа трех, действительно надо делать на
основе
модели угроз.
Но вот где в
Базовой
модели угроз (ФСТЭКа) или "Методике определения" вы найдете четкое определение где будет какой класс?

-
-
Toparenko 2011-04-13 15:01:00
Не факт.
По словам (увы... но "слова к делу не подошьешь (с)" ) представителей ФСТЭК терминалы могут
иметь
класс "спецК3"/"спецК4" на ИСПДн К1 - т.ч. здесь уже опровержение Вашего утверждения о точке зрения регуляторов.
Другой вопрос,
что
здесь можно спорить как о правомочности классов "спецК3"/"спецК4", так и о режиме обработки не терминалах

-
-
-
Berrimor 2011-04-13 15:37:00
Я никак не пойму, разве я спрашивал о терминалах? Зачем Вы
приводите
мне в пример то, о чем я не говорил?
Я говорю о классификации спец системы, вы - о терминалах, я - о классификации ПД, вы - о судах про автоматизированную обработку.

-
-
-
-
Toparenko 2011-04-13 16:06:00
А посмотреть на что идет ответ
1. Вы говорите о том, что
С точки зрения регуляторов, если у вас спецсистема, то ее класс никак не может быть НИЖЕ чем класс типовой системы.
Я
привожу Вам пример когда регулятор видит спецсистему классом ниже, чем типовая - конкретно при использовании терминалов. Соответственно Ваше утверждение не верно
2. Вы предлагаете:
действовать исходя из правоприменительной практики
Я Вам привел ту самую правоприменительную практику. Тем более, что уже
неоднократно
отмечалось
здесь,
что
у нас не прецедентное право и судья выносит решение из собственного понимания и аргументации сторон
Т.ч. если у
Вас
не будет аргументации, то Вам столько "собак невешают (с)"
Естественно никто Вам не запрещает абсолютно полностью "глядеть в рот" регуляторам и забывать, что там тоже люди, и, что эти люди,
тоже
могут ошибаться... Тем более если это
будут
терпеть Ваши работодатели и выделять на все деньги

-
-
alexmib 2011-04-14 08:21:00
Сообщение от Berrimor
С точки зрения регуляторов,
если
у вас спецсистема, то ее класс никак не может быть НИЖЕ чем класс
типовой
системы.
Во-первых, у нас
сколько
сколько регуляторов, то столько может быть и мнений, к сожалению. К сожалению же, единственно верного принципа в защите ПДн ныне нет.
Во-вторых, в документах ФСТЭК, если мне не изменяет память, указано что класс системы может быть скорректирован по результатам моделирования угроз.
мало того, там ещё
и
чётких критериев "негативных" и "значительных негативных" последствий нет, но на мой взгляд лучше придумать/подобрать свою методику, чем определять уровень защиты ИСПДн исходя из числа записей в БД (999 или 1001).

Алексей Лукацкий 2011-04-13 22:07:00
Если посмотреть на рекомендации Минздрава, согласованные с регуляторами, то: "К персональным данным позволяющим идентифицировать человека от-носятся такие данные, которые позволяют установить личность человека. Например, на основании только фамилии, имени и отчества нельзя точно установить личность, т.к. существуют полные однофамильцы. Но если в ИСПДн помимо ФИО
обрабатываются
также данные
об
адресе проживания, паспортные данные, биометрические данные (фотографическое изображение), данные о месте работы и т.д.,
то
уже на основании их
можно
выделить конкретного человека
", а "В категорию дополнительной информации входит любая другая информация, которую можно получить, обратившись к записи персональных данных: информация о доходах, должность, материальном положении и др.".

George-on-Don 2011-04-14 12:33:00
ИМХО "идентифицирующая" информация субъекта ПДн- это совокупность качеств и/или свойств субъекта каждое из
которых
относится непосредственно
к
нему, которые не могут существовать самостоятельно без субъекта ПДн и которые он (субъект) не может самопроизвольно и/или
самостоятельно
изменить - ФИО, место рождения, дата рождения, биометрия . А все остальное - место регистрации, гражданство, семейное положение, место работы, номер счета , номер телефона, имя любовницы))))))) и т.д - дополнительная информация .

surfer 2011-04-19 08:48:00
George-on-Don,
Про имя любовницы ты пошутил?
Это как раз напрямую "идентифицирующая" информация субъекта!
Шутка.
На самом деле, если говорить о Фамилии и Имени - это как
раз
субъект может поменять.
И достаточно быстро. А вот
дата
и место рождения - более постоянная величина.

-
George-on-Don 2011-04-19 09:01:00
Ну имеется ввиду - есть установленная
процедура
изменения ФИО, так что в данном случае смена происходит не самопроизвольно, а санкционировано уполномоченным органом)), так же можно и к пластическому хирургу пойти)) - изменить форму носа, разрез глаз и т.д.))
даже
пол можно изменить))

Tiger 2011-04-20 15:40:00
http://a-datum.ru/index.php?option=c...:faq&Itemid=41
Общий смысл -
идентификация
(достаточный набор) зависит от
контекста
конкретной ситуации
И вот
тут
еще
http://a-datum.ru/index.php?option=c...6-37&Itemid=78

surfer 2011-04-29 10:05:00
Дёма,
В Вашей информационно системе должна храниться информация, необходимая Вам для достижения поставленной Вами цели (152-ФЗ). Если ФСБ, ФСТЭК и т.д. выразят сомнения,
пусть
обоснуют
их
с точки
зрения
152-ФЗ или другого ФЗ. Пусть разъяснят, что такое значительные негативные последствия (К1), негативные последствия (К2), незначительные негативные последствия (К3).
Согласен с людьми - написана достаточная чушь, лишь бы отписаться.
+100
Красиво написал.

Информация