1 января 2011 года истекает срок, который Федеральный закон №152-ФЗ отвёл операторам на приведение информационных систем персональных данных в соответствие требованиям. Полгода – это мало. Те, кто рассчитывает закрыть вопрос покупкой сертифицированного межсетевого экрана в декабре, не закроют его. Соответствие – это не продукт, а связка из юридической, организационной и технической работы, и каждый слой требует времени и согласований. Ниже – что делать оператору прямо сейчас, без иллюзий и без паники.

С чего начинается соответствие: учёт и классификация

Первый шаг не технический, а инвентаризационный. Нужно найти все ИСПДн в организации – а их обычно больше, чем кажется. Кадровая система, бухгалтерия, CRM, биллинг, СКУД, корпоративный портал – всё это собирает персональные данные. По каждой системе оператор определяет состав данных, цели обработки, перечень лиц с доступом и трансграничные передачи.

Дальше – классификация по совместному приказу ФСТЭК, ФСБ и Мининформсвязи №55/86/20. Категория данных (от обезличенных до специальных – здоровье, политические взгляды, судимости) и объём субъектов дают класс системы от К4 до К1. Класс определяет всё последующее: чем выше, тем жёстче требования и дороже их выполнение. На этом этапе важно не завышать класс из перестраховки – это прямые деньги на сертифицированные средства защиты, которые потом придётся обслуживать.

Модель угроз, техника и подрядчики

После классификации оператор строит частную модель угроз по методике ФСТЭК. Документ описывает, от чего именно защищается система: утечки по техническим каналам, несанкционированный доступ, действия инсайдеров. Из модели угроз вырастает техническое задание на систему защиты – а не наоборот.

Техническая часть включает сертифицированные средства защиты от несанкционированного доступа, антивирус, межсетевое экранирование, при необходимости – криптографию по линии ФСБ и аттестацию объекта информатизации. Здесь два частых просчёта. Первый – забыть про каналы связи: распределённая система с филиалами требует защиты передачи данных, иначе модель угроз остаётся на бумаге. Второй – игнорировать архитектуру хранения. Если данные размазаны по десяткам слабо контролируемых хранилищ, защищать периметр бессмысленно. Мы об этом писали, разбирая новые подходы к хранению больших объёмов данных: свобода схемы хороша для разработки, но требует осознанного контроля доступа на уровне приложения.

Отдельный пункт – мобильные и удалённые точки доступа. Платформы вроде свежего Android 2.2 Froyo приносят корпоративную почту и доступ к системам на личные устройства сотрудников. Для оператора ПДн это незакрытый канал утечки, который модель угроз обязана учитывать уже сейчас, а не через год.

Организационный слой и реалистичный план

Технику переоценивают, организацию недооценивают. Закон требует приказов о допуске, перечня обрабатываемых данных, инструкций для пользователей и администраторов, журналов учёта носителей, согласий субъектов и уведомления Роскомнадзора. Без этих документов любая аттестация не пройдёт, а проверка зафиксирует нарушение.

Реалистичный план на оставшиеся месяцы: июнь-июль – инвентаризация и классификация, август-сентябрь – модель угроз и проектирование, осень – внедрение и аттестация. Тем, кто не держит штат специалистов по защите информации, проще привлечь подрядчика на проект – это согласуется с общим разворотом рынка к специализированным ИТ-партнёрам, о котором мы говорили в обзоре корпоративных ИТ.

Onepoint ведёт проекты приведения ИСПДн к 152-ФЗ под ключ – от обследования до аттестации. Если сроки горят, начать стоит с обследования и классификации информационных систем: эту часть реально успеть закрыть этим летом.

Вывод

152-ФЗ – это не разовая закупка, а перестройка процессов работы с данными. Времени до 1 января ровно столько, чтобы пройти путь спокойно, если стартовать в июне. Начавшие в ноябре будут платить за спешку – деньгами, рисками штрафов и качеством защиты.