Как информационная безопасность помогает бизнесу сохранять конфиденциальность данных

У каждой компании есть данные о сотрудниках, клиентские базы, а также отчёты организации и, возможно, база знаний с подробной информацией о рабочих процессах. Чтобы всё это не утекло во внешний интернет и не попало в руки мошенникам, существует информационная безопасность. В статье разберёмся, что это такое и какие виды данных попадают под защиту.

Виды данных, которые нужно защищать

Некоторые данные могут быть конфиденциальными. К ним относят информацию, которой нельзя делиться публично и которую нельзя выносить за рамки компании или любой другой организации. Например, личные данные человека, а также государственные и коммерческие тайны — всё это охраняется законом.

В 149-м федеральном законе можно ознакомиться со списком конфиденциальной информации и порядком обращения с ней.

Если данные не конфиденциальны, это не значит, что их не нужно защищать. Чтобы было легче разобраться в видах данных, их делят на три типа.

Персональные. Сюда относят информацию о конкретном человеке, и она является конфиденциальной. Например, Ф. И.

О., номер телефона, адрес проживания, электронная почта. Сотрудники предоставляют эти данные, когда устраиваются на работу. А клиенты — если оформляют заказ на сайте или регистрируются на каком-нибудь сервисе.

Если данные утекут в Сеть или сервер взломают мошенники, людям могут звонить по телефону «представители полиции» или других организаций. А когда клиент покупает товар и ставит галочку напротив строки «Сохранить данные карты», увеличивается шанс, что при взломе злоумышленник получит доступ и к ней.

Тайные. Это могут быть государственные, служебные и профессиональные тайны — все они конфиденциальны. А ещё есть коммерческая, к которой относится информация о компании. Например, туда входят технологии разработки продукта или клиентская база.

Если эти данные попадут в общий доступ, компания столкнётся с критическими последствиями.

В городе появилась новая кофейня, которая стала известна своими булочками с корицей и секретным ингредиентом — в меню так и написано. Десерт и правда получается вкусным, привлекает клиентов и пробуждает интерес. Конкуренты хотят узнать, в чём секрет.

Не разглашать рецепт и способ приготовления — право компании. В таком случае это относится к коммерческой тайне.

Главное, нельзя скрывать имена учредителей компании или условия труда. По закону эту информацию можно проверять, и она должна быть в открытом доступе.

У небольшого шоурума появился свой сайт. Там можно посмотреть ассортимент, узнать стоимость и «отложить» вещи, чтобы потом примерить на месте. В контактной информации указан номер телефона, почта и адрес магазина.

Но у бизнеса есть конкуренты — бутик на соседней улице. Если данные не защищены, недоброжелатели легко смогут зайти на сайт, в разы повысить цены, изменить адрес. Тогда клиенты не смогут найти шоурум и даже не станут пытаться, потому что заоблачные суммы отпугнут ещё на первом этапе.

Чтобы сайт не падал, а информация оставалась актуальной, общедоступные данные должны быть под защитой. Контакты для связи, цена товара, информация о компании, которая бывает на сайте, — любой посетитель сайта может просматривать данные, но не менять их. Об этом тоже заботится информационная безопасность.

Отдельно можно выделить IT-инфраструктуру. Бывают предприятия, на которых оборудованием и механизмами управляет автоматика. Если злоумышленники получат пароль к цифровой системе или как-то повредят серверы, работа встанет, и компания понесёт большие убытки.

Хранение персональных данных

Грамотное организованное хранение документов, содержащих персональные данные, — залог того, что конфиденциальная информация о сотрудниках, клиентах и в целом деятельности организации не попадет в руки посторонних лиц. Ответственность за определение правил, места размещения и защиты информации ложится, согласно закону, на работодателя, однако не все четко понимают, о каких нюансах нужно позаботиться. Добавляют сложностей постоянные дополнения и корректировки нормативно-правовых актов, которые приходится отслеживать, чтобы не получить штраф и не попасть в эпицентр скандала, связанного с распространением личных сведений граждан.

Разберемся, как и где хранить персональные данные, чтобы спокойно проходить проверки и поддерживать имидж серьезной компании, которая заботится об информационной безопасности. Более конкретные рекомендации работодатели или их представители могут получить, воспользовавшись услугами наших экспертов, которые проанализируют текущее положение дел и составят список необходимых изменений.

Существуют ли четкие правила хранения персональных данных?

Многие начинающие бизнесмены полагают, что для урегулирования вопросов, касающихся операций с ПДн, есть четкие инструкции, используя которые получится сформировать четкие правила и привести деятельность в соответствии с законодательными требованиями. На практике единого подхода к решению вопроса нет. Это значит, что каждый руководитель или ИП самостоятельно (или делегируя обязательства на заместителя либо руководителя отдела кадров):

• разрабатывает регламент хранения персональных данных;
• определяет, где они будут находиться;
• подбирает и одобряет предпринимаемые меры защиты и ограничения доступа;
• назначает сотрудников, которые будут нести ответственность за контроль операций с личными сведениями;
• выбирает те или иные виды наказаний за нарушения правил;
• подписывает внутренние распоряжения.

Ответственный подход на начальном этапе дает возможность в будущем не вносить радикальных изменений даже при изменении нормативно-правовой базы. Для того, чтобы все сделать правильно, необходимо принимать в расчет актуальные предписания относительно работы архивов, ограничения доступа к информации разных категорий сотрудников, а также ранее установленный порядок сбора и обработки ПДн (он должен быть закреплен в локальном акте или распоряжении). Еще один существенный момент заключается в том, чтобы политика по данному вопросу учитывала способ выполнения операций (в рамках ИСПДн либо на бумажных носителях).

Важные нюансы, связанные с порядком хранения персональных данных

Для того чтобы гарантировать сохранность и секретность ПДн, необходимо:

1. Четко определить условия хранения персональных данных на бумажных носителях и в электронном виде. Речь идет не только о месте, но и установлении режима доступа туда для разных категорий сотрудников.
2. Выбрать людей, которые будут отвечать за конкретные аспекты, связанные с сохранением информации.
3. Провести разъяснительную работу с персоналом, объяснив степень важности ограничений и правил использования ПДн в рамках профессиональной деятельности, а также дав четкие инструкции, как действовать в той или иной ситуации.
4. Продумать средства защиты для сейфов, шкафов с замками, а также заняться внедрением специализированного программного обеспечения.
5. Если ведется работа с биометрическими данными, то дополнительно продумать механизмы контроля и ограничения доступа в соответствии с Правительственным постановлением № 512, вступившем в силу в 2008 году.

При урегулировании вопроса хранения личной информации необходимо понимать, что это не однократная работа, а постоянные усилия, направленные на поддержание информационной безопасности. Каждый год появляются новые угрозы и требования, которым приходится соответствовать, чтобы, во-первых, не платить огромные штрафы, а во-вторых, чтобы не быть хуже конкурентов и рассчитывать на доверие со стороны клиентов и партнеров.

Обработка и хранение персональных данных: составление внутренних правил

• общие положения;
• способы выявления и профилактики несанкционированного доступа и распространения ПДн;
• цели обработки и содержание хранимой личной информации;
• категории субъектов;
• сроки обработки и сохранения сведений;
• механизм уничтожения информации;
• ответственность за нарушение правил.

После внедрения правил хранения персональных данных в информационных системах и на бумажных носителях необходимо убедиться в том, что:

• уровень защиты достаточно высокий и соответствует актуальным угрозам;
• все сотрудники дали согласие на совершение операций с личными сведениями;
• принятые локальные акты соответствуют федеральному законодательству;
• содержание внутреннего документа, регулирующего хранение и обработку ПДн, донесено до персонала (каждый должен поставить подпись).