Вопрос:
 
Зачем проходить аудит системы внутренних контролей ИБ c выпуском отчета SOC 2 / SOC 3?
 
Ответ:
 
Для того чтобы клиенты могли ознакомиться с особенностями контрольной среды обслуживающей организации в области ИБ и убедиться в ее эффективности.
 
Аудиты System and Organization Controls позволяют обслуживающим организациям, предоставляющим услуги клиентам, получить независимое заключение об эффективности системы внутренних контролей ­в виде отчетов SOC 2 или SOC 3. Отчет SOC 2 может быть двух типов:  
· Type I – выпускается на определенную дату, покрывает эффективность дизайна и внедрения контрольных процедур.
· Type II – выпускается за период времени, покрывает эффективность дизайна и внедрения, а также операционную эффективность контрольных процедур.
 
Отчет SOC 3, о котором мы писали ранее, представляет собой сокращенную версию отчета SOC 2 type II.
 
Для подготовки указанных SOC-отчетов используются критерии надежности сервисов (TSC), разработанные Американским институтом дипломированных бухгалтеров (AICPA) на основе принципов COSO. Процедуры аудита выполняются в соответствии со стандартами аудита – МСЗОУ / ISAE 3000 либо SSAE-18.
 
В зависимости от области аудита отчет включает в себя независимую оценку по результатам аудита системы внутренних контролей ИБ в отношении одного или нескольких доменов:
· безопасность – обязательный домен;
· доступность;
· конфиденциальность;
· целостность обработки данных;
· защита персональных данных.
 
SOC-отчеты содержат заключение аудитора в отношении утверждений руководства компании об эффективности внутренних контролей ИБ с учетом критериев TSC, а также в отношении достижения определенных руководством компании целей обеспечения безопасности сервисов.
 
Помимо рассмотренных отчетов SOC 2 и SOC 3 существуют также отчеты SOC 1, однако они направлены на контроли в области финансовой отчетности, выполняются по другим критериям и на основе отдельного аудиторского стандарта – МСЗОУ / ISAE 3402 или того же SSAE-18.

#ИБ
#ОтвечаетKept

Вопрос:

Будет ли размещение персональных данных (ПДн) на рекламном щите (билборде) распространением ПДн?

Ответ:

Отвечая на данный вопрос, необходимо рассмотреть два похожих способа раскрытия информации о субъекте ПДн – распространение и предоставление ПДн. Основное различие между ними заключается в круге лиц, которым раскрывается информация.

Примером предоставления ПДн может послужить вывеска на двери кабинета с указанием Ф.И.О. и должности работника компании. В данном случае информирование происходит в отношении определенного круга лиц - посетителей территории офиса/бизнес-центра (подтверждается позицией Роскомнадзора, высказанной на дне открытых дверей 28.01.2022 г).
При размещении ПДн на уличном рекламном щите ознакомление с информацией будет осуществляться неопределенным кругом лиц, а значит, является их распространением.

Распространение может осуществляться на основании согласия, которое берется отдельно от других форм согласий (ч. 1 ст. 10.1 152-ФЗ). При этом молчание или бездействие субъекта не может считаться согласием на распространение ПДн (ч. 8 ст. 10.1 152-ФЗ).

Для законного распространения ПДн необходимо:
· разработать согласие на распространение в соответствии с приказом Роскомнадзора, предусмотрев в нем поля для внесения условий и запретов, которые субъект ПДн может установить;
· получить от субъекта согласие на распространение его ПДн (о содержании такого согласия мы говорили ранее) и обрабатывать ПДн только в рамках полученного согласия;
· так как распространение ПДн через билборд не подразумевает использование интернет-сайта, то в соответствующем поле согласия делается прочерк и заполняются другие.

#Privacy
#ОтвечаетKept

Вопрос:

Зачем нужен Business Continuity Plan?

Ответ:

Одним из важнейших аспектов управления непрерывностью бизнеса является план непрерывности бизнеса (Business Continuity Plan, BCP).

BCP направлен на обеспечение непрерывности бизнес-процессов и минимизацию последствий от непредвиденных событий, катастроф или кризисов, которые могут повлиять на работу компании.

При разработке BCP необходимо:
• Определить критически важные бизнес-процессы и системы.
• Оценить возможные угрозы и связанные с ними риски.
• Разработать стратегии и планы на случай различных сценариев развития событий.
• Определить требуемые для реализации планов ресурсы и инфраструктуру.
• Разработать процедуры и инструкции для сотрудников.
• Проводить тестирование и оценку планов.
• Регулярно обновлять и адаптировать планы.

BCP и ИБ тесно связаны в контексте обеспечения безопасности и устойчивости бизнес-процессов. ИБ обеспечивает защиту информации и систем, а BCP является планом действий, направленным на обеспечение непрерывности и минимизации последствий.
 
#ИБ
#ОтвечаетKept

Вопрос:

Какие есть наиболее распространенные заблуждения об анонимизации?

Ответ:

О термине и о методах анонимизации мы рассказывали ранее. Сегодня мы рассмотрим ключевые заблуждения об анонимизированных данных, которые представлены в отчете Европейского органа по защите данных (EDPS) и Испанского агентства по защите данных (AEPD).

Миф 1. Псевдонимизация = анонимизации
Псевдонимизация позволяет идентифицировать субъекта ПДн через дополнительную информацию, при анонимизации это невозможно.

Миф 2. Шифрование — это анонимизация
Шифрованные ПДн могут быть расшифрованы что создает риски идентификации субъекта ПДн.

Миф 3. Все наборы ПДн подлежат анонимизации
Анонимизация применима не для всех задач и зависит от контекста обработки ПДн. При малой выборке ПДн анонимизация может не защитить от обратной идентификации ПДн.

Миф 4. Анонимизация – это необратимый процесс
В зависимости от метода анонимизации, с развитием технологий или получением новой информации ПДн могут быть деанонимизированы.

Миф 5. Анонимизация – это неизмеримое понятие
Степень анонимизации можно проанализировать и измерить. Вероятность деанонимизации ПДн зависит от возможности выделения ПДн, что следует учитывать при оценке рисков деанонимизации.

Миф 6. Возможна полная автоматизация анонимизации
Для проведения анонимизации допускается использование средств автоматизации, но данный процесс анонимизации должен находится под контролем эксперта.

Миф 7. Анонимизированные ПДн бесполезны
Анонимизированные ПДн могут быть полезны, например, для цели ведения статистики. Если анонимизация не подходит, то, например, можно вести обработку псевдонимизированных ПДн.

Миф 8. Применение процессов анонимизации иных компаний приведет к успеху
Процесс анонимизации не совпадать в разных компаниях, так как будет отличаться контекст обработки - характер, объем и цели обработки ПДн.

Миф 9. Деанонимизация не несет рисков
Деанонимизация ПДн может привести к раскрытию ПДн, в которых могут быть заинтересованы злоумышленники. В таком случае существуют риски нарушения прав субъектов ПДн.

#Privacy
#ОтвечаетKept

Вопрос:
 
Должны ли субъекты малого и среднего предпринимательства, а также индивидуальные предприниматели реализовывать требования 152-ФЗ?
 
Ответ:

Да, должны.
 
В соответствии с п. 2 ст. 3 152-ФЗ, оператором является любое физическое или юридическое лицо, осуществляющее обработку ПДн. В законодательстве не содержится исключений для субъектов малого и среднего предпринимательства (МСП).
 
Законодательство не предусматривает исключений для субъектов МСП и такие компании не освобождены от обязанностей, предусмотренных 152-ФЗ, в том числе, по регистрации в реестре операторов ПДн и опубликованию политики обработки ПДн.
 
Минцифры и Роскомнадзор придерживаются аналогичной позиции. В ответ на соответствующий запрос представители ведомств ответили, что если индивидуальный предприниматель осуществляет обработку ПДн, то на него будут распространяться требования 152-ФЗ и он обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн.
 
Для облегчения документарного сопровождения МСП в РФ функционирует сервис «конструктор документов Цифровой платформы МСП.РФ», который упрощает составление политики обработки ПДн, а также подачу уведомления в Роскомнадзор.

#Privacy
#ОтвечаетKept