Что такое обеспечение безопасности данных и где живут личные данные

Зачем обеспечение безопасности данных

ПрактикаПрактикаНабор ресурсов организации для выполнения работы определённого типа.ITIL 4 отвечает за то, чтобы данные видели и меняли только те, кому положено, и только столько времени, сколько нужно. Это частный случай защиты сведений, приземлённый на сами данные: их категории, права доступа, сроки хранения и пути движения между системами.

ГОСТ Р ИСО/МЭК 20000-1 задаёт рамку тремя требованиями 1:

• политику информационной безопасности утверждает руководство с соответствующими полномочиями; политика записана и доведена до организации, потребителей, пользователей, внешних и внутренних поставщиков;
• риски безопасности оценивают в заранее назначенные сроки, и оценку записывают;
• средства управления определяются и внедряются с учётом найденных рисков, а решения по ним записываются.

Данные принадлежат тому, кто их дал. ITIL пишет о личных данных прямо: потребитель не отдаёт их насовсем — он одалживает их поставщику для определённой цели 2.

Отсюда правило, которое меняет привычный подход к хранению: любые данные хранятся и используются только ради определённой цели, и когда цель достигнута, основания хранить их дальше нет 2.

Когда практика работает

Три вопроса, ответы на которые видны по настройкам систем и договорам.

Данные разделены по чувствительности. Как проверить: категории данных определены, и меры защиты назначены по категориям.

Известно, где личные данные. Как проверить: составлена карта, где и на каком шаге процессов собираются и используются личные данные 2.

Есть ответственный за обработку. Как проверить: назначен человек, который отвечает за обработку личных данных. ITIL называет его контролёром данных; российский закон о персональных данных называет эту роль оператором 2.

Что входит и что рядом

Что на входе и что на выходе

Практика получает правила работы с данными, требования закона и картину систем. Отдаёт защищённые данные — и понимание, что произойдёт, если защита не сработает.

Две карты личных данных

ITIL описывает два способа увидеть, что происходит с личными данными в организации, и оба нужны 2.

Неподвижная карта. Перечень видов данных, собираемых или используемых на каждом шаге процесса и в каждой системе. Пример: кадровые системы содержат данные сотрудников — имена, адреса, доходы, номера страховых свидетельств, — используемые в найме и расчёте зарплаты. Такая карта отвечает на вопрос, что у нас есть, и без неё невозможно сократить объём хранимого до необходимого 2.

Движущаяся карта. Показывает потоки данных внутри систем и причины этих потоков: где системы соединяются, где данные копируются, передаются или используются не по назначению. Пример: сотрудник отмечается пропуском на входе, кадровая система передаёт его данные в систему учёта времени 2.

Зачем нужны обе. Если организация решила периодически удалять определённые данные, ей необходимо знать не только систему-источник, но и все места, куда данные успели попасть 2. Иначе удаление получается частичным, а значит бессмысленным.

До обеих карт стоит завести третье — политику хранения. Организация должна понимать собственные процессы достаточно хорошо, чтобы определить минимальный объём собираемых данных и минимальный срок их хранения. Пример: учебный центр собирает имя, адрес и платёжные сведения ради оформления записи на курс; когда курс закончен, оснований хранить эти данные нет, если только сам человек не попросил продолжать с ним связываться 2.

Как это работает

Цвет шага: приём, учёт, работа с обращением техническая работа решение и полномочия проверка, разбор, улучшение работа с людьми и сторонами

Две строки этой таблицы стоит развернуть.

Четвёртый шаг — самый недооценённый. Данные, которых нет, не утекают. Сокращение сбора и сроков хранения снижает риск дешевле любых технических мер 2.

Шестой шаг требует ясности в договоре. При работе с консультантами и подрядчиками в договоре должно быть ясно, какая сторона за какие данные отвечает и что считается успехом 2. Стандарт добавляет требование согласовать и внедрить средства управления в отношении рисков для внешних организаций 1.

Что с чем путают

Безопасность данных и безопасность сведений. Вторая шире и включает бумажные документы, разговоры и помещения. Разбор про неё — SECУправление информационной безопасностью.

Приватность и безопасность. Приватность определена как ветвь безопасности данных, занятую правильным обращением с личными данными: согласием, уведомлением и обязательствами перед регуляторами 2.

Права доступа и категории данных. Категория говорит, насколько данные чувствительны; права — кто именно к ним допущен. Разбор про защиту в целом — SECУправление информационной безопасностью.

Удаление и обезличивание. Первое убирает данные, второе оставляет их без привязки к человеку; юридические последствия у них разные.

Согласие и основание. Согласие — одно из оснований обработки, а не единственное; поэтому его наличие не заменяет разбора цели хранения 2.

Кто участвует

Как измерять

Доли, которые считаются в процентах. DMBOK даёт готовый перечень показателей безопасности данных и прямо оговаривает, что они «исчисляются в процентах» 4:

• доля компьютеров со всеми последними обновлениями безопасности;
• доля компьютеров, где работает свежая антивирусная защита;
• доля новых сотрудников, прошедших проверку на благонадёжность;
• доля сотрудников, сдавших ежегодный тест по практикам ИБ с результатом выше 80% правильных ответов;
• доля подразделений, где провели формальную оценку рисков;
• доля бизнес-процессов, проверенных на аварийное восстановление данных;
• доля недостатков, которые нашёл аудит и которые успели закрыть.

Число здесь ровно одно — 80% как планка сдачи теста. Относится оно к самому тесту, а не к доле сдавших: сколько человек должно его сдать, свод не говорит.

Сначала базовый уровень, потом прогресс. «Определившись с метриками, зафиксируйте для каждой из них исходное значение (базовый уровень — baseline), чтобы затем отслеживать прогресс с течением времени» 4. Без этого шага первый же отчёт нечем читать: 71% обновлённых машин — это хорошо или плохо, зависит от того, сколько было в начале.

Немногочисленные и сгруппированные. DMBOK советует не собирать всё подряд: «немногочисленные ключевые метрики, сгруппированные по отдельным направлениям, значительно проще поддаются пониманию и управлению, чем не связанные друг с другом показатели» 4. В крупных организациях со своей службой ИБ проблема обычно обратная — показателей уже много, и полезнее не добавить новый, а пересобрать имеющиеся в один комплекс, чтобы не измерять одно и то же дважды 4.

Зрелость обеспечения безопасности данных

✕

Где ломается чаще всего

Шесть мест, в порядке частоты.

Никто не знает, где личные данные. Карты нет, и объём хранимого неизвестен 2.

Хранят на всякий случай. Цель хранения не определена, сроки не заданы 2.

Права раздают людям, а не ролям. При смене должности доступ остаётся.

Копии живут дольше оригинала. Удаление в источнике не доходит до систем, куда данные утекли по потокам 2.

Подрядчики без обязательств. Требования к обработке данных в договоре не закреплены 1 2.

Меры не проверяются. Стандарт требует наблюдать и разбирать результативность средств управления 1.

Что говорят своды

69Своды знаний и стандарты — разобраны отдельноЧем ITIL отличается от COBIT и ISO, что из этого обязательно, а что на выбор, и где брать первоисточник. У каждого свода отмечено, развивается он или давно заморожен, и есть ли действующий ГОСТ. По 51 практикам из 62 проставлено соответствие COBIT.Открыть →

DAMA-DMBOK определяет безопасность данных через политики и процедуры, обеспечивающие подтверждение личности, выдачу прав, доступ пользователей и аудит данных и информационных ресурсов организации 4.

ГОСТ Р ИСО/МЭК 20000-1 требует политику безопасности, регулярную оценку рисков, средства управления — определить и внедрить, работу с рисками внешних сторон и наблюдение за тем, помогают ли меры 1.

ITIL отводит приватности отдельную работу: карты личных данных, политика хранения, контролёр данных — по российскому закону оператор, — ясность в договорах с подрядчиками 2.

COBIT относит защиту данных к целям управленияЦель управленияЕдиница описания COBIT: цель с проверяемым содержанием, у которой есть процесс того же имени.COBIT 2019, книга Governance and Management Objectives безопасностью и требует связывать её с классификацией сведений 3.

Расхождение между ними полезное: стандарт даёт проверяемый минимум, ITIL — способ увидеть личные данные в процессах, а COBIT — связь с общей системой контроля.

Где описано

Что почитать дальше

Три соседние практики: SECУправление информационной безопасностью — защита сведений в целом, IAMУправление ИТ-активами — учёт того, на чём данные лежат, DtOХранение и операции с данными — где данные лежат и сколько живут.