25 июля 2011 года вступил в силу закон № 261-ФЗ – крупнейшая правка 152-ФЗ «О персональных данных» с момента его принятия в 2006-м. Поправки переписали ключевые статьи и переложили часть ответственности с государства на самих операторов. Если ваша компания собирает ФИО, паспортные данные, телефоны клиентов или сотрудников – вы оператор, и новые требования касаются вас напрямую. Срок приведения систем в соответствие – 1 июля 2012 года. Времени меньше, чем кажется.

Что изменилось по сути

Старая редакция жёстко делила информационные системы на четыре класса (К1–К4) и предписывала фиксированный набор средств защиты под каждый. Новая статья 19 отказывается от этой схемы. Теперь оператор сам определяет уровень угроз для своей системы и сам выбирает меры – организационные и технические, – которые этим угрозам соответствуют. Свобода обманчива: вместе с ней приходит обязанность доказывать обоснованность выбора при проверке.

Появилось понятие «актуальных угроз». Оператор обязан построить модель угроз, оценить, какие из них реальны для конкретной системы, и закрыть их. Формальная отписка «у нас стоит антивирус» больше не работает. Регулятор – ФСТЭК и ФСБ – выпустит подзаконные акты с перечнями мер и требованиями к шифрованию; до их выхода компании ориентируются на действующие приказы и здравый смысл.

Усилились и требования к согласию субъекта. Согласие на обработку теперь должно быть конкретным, информированным и сознательным, а в ряде случаев – письменным с перечнем обязательных реквизитов. Молчаливое «галочка по умолчанию» при регистрации на сайте перестаёт быть законным основанием.

Что это значит для разработки систем

Защиту персональных данных нельзя прикрутить к готовому продукту последним слоем. Её закладывают в архитектуру: разграничение доступа, журналирование действий, шифрование каналов и хранилищ, обезличивание там, где полные данные не нужны. Веб-приложения здесь – отдельная зона риска: формы сбора данных, личные кабинеты, API. Уход индустрии от плагинов в сторону открытых стандартов, который мы разбирали в материале про HTML5 против Flash, упрощает аудит клиентской части – поведение приложения становится прозрачнее и проверяемее, чем закрытый бинарный плагин.

Отдельный фронт – мобильные клиенты. Когда сотрудник носит базу клиентов в кармане, телефон превращается в канал утечки. Свежие платформы вроде Android 4.0 Ice Cream Sandwich приносят шифрование устройства и более гранулированное управление, но сами по себе соответствия закону не дают – нужны политики, контроль доступа и продуманная серверная архитектура. Та же логика работает и для веб-ориентированных рабочих мест, о которых мы писали в обзоре Chromebook: чем меньше данных оседает на конечном устройстве, тем уже периметр защиты.

Что делать прямо сейчас

Порядок действий до 1 июля 2012 года простой по форме и трудоёмкий по содержанию:

  • проведите инвентаризацию – какие персональные данные, где и зачем вы храните;
  • постройте модель угроз и определите актуальные для ваших систем;
  • пересмотрите формы согласия и договоры с подрядчиками-обработчиками;
  • закройте технические разрывы: доступ, журналы, шифрование, резервирование.

Каждый пункт требует и юридической, и инженерной экспертизы одновременно: путь от аудита персональных данных до внедрения средств защиты в системах бизнеса и госсектора проходят на стыке права и архитектуры.

Вывод

261-ФЗ снял жёсткие шаблоны, но повысил планку ответственности: теперь оператор сам отвечает за адекватность защиты и обязан её обосновать. Выигрывают те, кто начинает приводить системы в порядок сейчас, а не в июне 2012-го. Соответствие 152-ФЗ – не разовая бумага для проверки, а постоянное свойство хорошо спроектированной системы.