Что такое обеспечение безопасности данных и где живут личные данные

Зачем обеспечение безопасности данных

ПрактикаПрактикаНабор ресурсов организации для выполнения работы определённого типа.ITIL 4 отвечает за то, чтобы данные видели и меняли только те, кому положено, и только столько времени, сколько нужно. Это частный случай защиты сведений, приземлённый на сами данные: их категории, права доступа, сроки хранения и пути движения между системами.

Действующий стандарт задаёт рамку требованиями: руководство с соответствующими полномочиями утверждает политику информационной безопасности, она документируется и доводится до организации, потребителей и пользователей, внешних и внутренних поставщиков; через запланированные интервалы оцениваются и документируются риски безопасности; средства управления определяются, внедряются и реализуются с учётом выявленных рисков, а решения по ним документируются 1.

Данные принадлежат тому, кто их дал. Свод практик пишет о личных данных прямо: потребитель не отдаёт их насовсем — он одалживает их поставщику для определённой цели 2.

Отсюда правило, которое меняет привычный подход к хранению: любые данные хранятся и используются только ради определённой цели, и когда цель достигнута, основания хранить их дальше нет 2.

Когда практика работает

Три вопроса, ответы на которые видны по настройкам систем и договорам.

Данные разделены по чувствительности. Проверяемый признак: категории данных определены, и меры защиты назначены по категориям.

Известно, где личные данные. Проверяемый признак: составлена карта, где и на каком шаге процессов собираются и используются личные данные 2.

Есть ответственный за обработку. Проверяемый признак: назначен человек, отвечающий за обработку личных данных, — свод называет его контролёром данных 2.

Что входит и что рядом

Что на входе и что на выходе

Практика получает правила работы с данными, требования закона и картину систем. Отдаёт защищённые данные — и понимание, что произойдёт, если защита не сработает.

Две карты личных данных

Свод практик описывает два способа увидеть, что происходит с личными данными в организации, и оба нужны 2.

Неподвижная карта. Перечень видов данных, собираемых или используемых на каждом шаге процесса и в каждой системе. Пример свода: кадровые системы содержат данные сотрудников — имена, адреса, доходы, номера страховых свидетельств, — используемые в найме и расчёте зарплаты. Такая карта отвечает на вопрос, что у нас есть, и без неё невозможно сократить объём хранимого до необходимого 2.

Движущаяся карта. Показывает потоки данных внутри систем и причины этих потоков: где системы соединяются, где данные копируются, передаются или используются не по назначению. Пример свода: сотрудник отмечается пропуском на входе, кадровая система передаёт его данные в систему учёта времени 2.

Зачем нужны обе. Если организация решила периодически удалять определённые данные, ей необходимо знать не только систему-источник, но и все места, куда данные успели попасть 2. Иначе удаление получается частичным, а значит бессмысленным.

Третья вещь, которую свод советует сделать до всего этого, — политика хранения. Организация должна понимать собственные процессы достаточно хорошо, чтобы определить минимальный объём собираемых данных и минимальный срок их хранения. Пример свода: учебный центр собирает имя, адрес и платёжные сведения ради оформления записи на курс; когда курс закончен, оснований хранить эти данные нет, если только сам человек не попросил продолжать с ним связываться 2.

Как это работает

Два места стоит объяснить отдельно.

Четвёртый шаг — самый недооценённый. Данные, которых нет, не утекают. Сокращение сбора и сроков хранения снижает риск дешевле любых технических мер 2.

Шестой шаг требует ясности в договоре. Свод предупреждает: при работе с консультантами и подрядчиками в договоре должно быть ясно, какая сторона за какие данные отвечает и что считается успехом 2. Стандарт добавляет требование согласовать и внедрить средства управления в отношении рисков для внешних организаций 1.

Что с чем путают

Безопасность данных и безопасность сведений. Вторая шире и включает бумажные документы, разговоры и помещения. Разбор про неё — SECУправление информационной безопасностью.

Приватность и безопасность. Свод определяет приватность как ветвь безопасности данных, занятую правильным обращением с личными данными: согласием, уведомлением и обязательствами перед регуляторами 2.

Права доступа и категории данных. Категория говорит, насколько данные чувствительны; права — кто именно к ним допущен. Разбор про доступ — IAMУправление ИТ-активами.

Удаление и обезличивание. Первое убирает данные, второе оставляет их без привязки к человеку; юридические последствия у них разные.

Согласие и основание. Согласие — одно из оснований обработки, а не единственное; поэтому его наличие не заменяет разбора цели хранения 2.

Кто участвует

Как измерять

Зрелость обеспечения безопасности данных

✕

Где ломается чаще всего

Шесть мест, в порядке частоты.

Никто не знает, где личные данные. Карты нет, и объём хранимого неизвестен 2.

Хранят на всякий случай. Цель хранения не определена, сроки не заданы 2.

Права раздают людям, а не ролям. При смене должности доступ остаётся.

Копии живут дольше оригинала. Удаление в источнике не доходит до систем, куда данные утекли по потокам 2.

Подрядчики без обязательств. Требования к обработке данных в договоре не закреплены 1 2.

Меры не проверяются. Стандарт требует наблюдать и разбирать результативность средств управления 1.

Что говорят своды

67Своды знаний и стандарты — разобраны отдельноЧем ITIL отличается от COBIT и ISO, что из этого обязательно, а что на выбор, и где брать первоисточник. У каждого свода отмечено, развивается он или давно заморожен, и есть ли действующий ГОСТ. По 49 практикам из 60 проставлено соответствие COBIT.Открыть →

Действующий стандарт менеджмента сервисов требует политики безопасности, оценки рисков через интервалы, определения и внедрения средств управления, работы с рисками внешних сторон и наблюдения за результативностью мер 1.

Свод практик отводит приватности отдельную работу: карты личных данных, политика хранения, контролёр данных, ясность в договорах с подрядчиками 2.

Свод руководства ИТ относит защиту данных к целям управленияЦель управленияЕдиница описания COBIT: цель с проверяемым содержанием, связанная с одноимённым процессом.COBIT 2019, книга Governance and Management Objectives безопасностью и требует связывать её с классификацией сведений 3.

Расхождение между ними полезное: стандарт даёт проверяемый минимум, свод практик — способ увидеть личные данные в процессах, а свод руководства ИТ — связь с общей системой контроля.

Где описано

Что почитать дальше

Три соседние практики: SECУправление информационной безопасностью — защита сведений в целом, IAMУправление ИТ-активами — кто к чему допущен, DtOХранение и операции с данными — где данные лежат и сколько живут.