Рекомендации по ПДн для операторов связи (НИР «Тритон»)

Все это конечно здраво и правильно. Нам бы ратифицировать ОК для реального изменения ситуации. Конечно, часть производителей СЗИ, в том числе очень крупные, не будут называть — все и так знают, окажутся в проигрышном положении, т.к. в отличие от продуктов другой небезызвестной лаборатории они не смогут нормально конкурировать с зарубежными производителями.
А я считаю правильно, что слабые должны уйти. Посмотрите хотя бы на страховой рынок.

А в итоге пострадавшими — клиенты операторов. Про 2 и 3 классы упоминание есть, а первый даже не рассматривается. С огромным вниманием почитал бы их обоснования …с оценкой потенциального ущерба для субъектов персональных данных и операторов связи, модели угроз и нарушителя.
Самое плохое в этом подходе — создают систему опять только одна сторона из 3-х, привлекая 2-ю для согласований, но специально забывая про третью — субъекта. Его мнения никто спрашивать как я понимаю не собирается.
В тему:
на дальнем востоке приставы с сотового сами штрафы снимают и алименты (телепередачу давича видел по 5 каналу). Сказали, что только большая тройка их пока посылает.
ZZubra

Компетенция достаточная. Включение такого пункта в договор может быть продиктовано множеством ситуаций — передачей ПДн третьим лицам и т.п. На это конклюдентное согласие при заключении договора не распространяется.

По доступности — она и сейчас доступна всем членам ИКС. А при ее утверждении будет выложена в открытый доступ.

Сроки окончания — самые ближайшие. Документы уже готовы. В конце прошлого года были отправлены регуляторам. Те высказали замечания. Сейчас они устраняются.

АЛ
(Компетенция достаточная. Включение такого пункта в договор может быть продиктовано множеством ситуаций — передачей ПДн третьим лицам)

Спасибо за ответ.
Я понимаю прекрасно про третьих лиц, однако зачастую оператор связи передает ПДн клиентов 3м лицам только в рамках законодательства РФ.
У нас по крайней мере выяснилось, что это так, после анализа бизнес-процессов. Об этом (о том, что согласие может быть и не нужно получать..т.е, что по крайней мере возможны варианты)в докладе не упомянуто. Я хотел только об этом сказать.

Не прикроются, а уменьшат свои издержки по методике, учитывющей специфику операторов и согласованной с регуляторами. Почувствуйте разницу.

Цена в $0,5 за одно только уменьшение издержек — непомерно высока. Но молодцы, те, которые убедили заплатить такую сумму за свой труд.
Уменьшение издержек — понятие применительно к выполнению ФЗ-152 весьма относительное. На мой взгляд выбран неправильный путь решения проблемы соответствия требованиям данного ФЗ. Т.к. уменьшение издержек, это самое простое, о чем можно в данном случае вообще говорить. Глобально же нужно идти путем выполнения требований ФЗ пополняя доказательную базу своих действий и решений при работе с ПДн. Каждый шаг, каждое решение оператора ПДн должны быть документально обоснованы с его стороны. Это и издержки уменьшит и с регуляторами позволит спокойно разговаривать.

Правильно ли я понимаю, что большая тройка смогла доказать, что их межрегиональные цоды с миллионами абонентов относятся не более, чем ко 2-му классу?
Мы так же являемся оператором связи, однако нанятые нами консультанты, с пеной у рта доказывают, что при межрегиональной структуре ЦОД, количеством более 100 тыс абонентов и 2-й категории данных нам от 1 класса не уйти никак.

Олег К, спасибо за отклик.
Давайте здесь?
Итак, по таблице ФСТЭК:
категория перс. данных.
Типичные данные для всех операторов связи:
ФИО, адрес, паспортные данные, + данные по платежам.
Консультанты говорят, что эти данные однозначно относятся ко 2 категории.
Теперь количество. Количество больше 100 тыс. + данные живут из разных регионов.
Доступ на сервера осуществляются из филиалов, в т.ч. находящихся в других регионах. Технология клиент-сервер.
Юристы с консультантами согласны, 1 класс.
Я как гражданин согласен тоже, но как наемный работник в области ИБ не могу согласиться с такой постановкой вопросов.

Да я согласен!
Но как быть с сертифицированными МЭ и т.п. Циско АСА 5520 нельзя, а континет можно?
Ведь требования упирают на классы МЭ и использование сертифицированного ПО и оборудования? Например сикрет.нет и более простые аналоги? Там везед сертифицирован, может использоваться до 1 класса ИСПДн и т.п…
Как орган регулятор будет оперировать этими понятиями?
Потому я и уповаю на стандарт большой тройки.
Понимаете, какая засада, я уверен, что у меня все норм. Но как быть с аттестацией?
Тупо сказать регулятору, да у нас есть данные, вот модель угроз, но мы ее не классифицируем по классам, раз они типовые и аттестат соответствия не получаем?

Аттестация, во-первых, по документах ФСТЭК применяется только к гостайне. А, во-вторых, это требование только к типовым системам.

ЦБ вообще согласует с регуляторами право не аттестовать системы для всех банков.

Анонимному: ок,давайте здесь. Можно на основе того, что вы сообщили рассуждать сейчас так:
1. Закон разрешает вам часть персональных данных с согласия ваших абонентов сделать общедоступными, например Ф.И.О. и номер телефона (для справочника). Соответственно, вы можете уменьшить объем защищаемых ПДн и, далее уйти от 2 категории ПДн на 3-ю. Все зависит от того насколько правильно вы составите форму самого согласия подписываемого вашими клиентами (что будет учено в нем, т.к. правильно составленная форма согласия поможет вам в дальнейшем минимизировать определенные риски).

2. Следующий критерий оценки группа, нужно посмотреть — эти больше 100 тыс. — все фактически ваши клиенты на данный момент, с которыми есть договора? Далее, цели обработки их ПД везде одинаковые или различаются, соответственно можно ли представить их не одной, а разными ИСПДн (например, в зависимости от получаемых ими услуг)?
В результате всесторонней оценки, и принятия решений в плане уменьшения со 100 тыс. или показа двух разных ИСПДн — вы можете выйти по ним на 2 класс. Нужно также понять и учитывать, что при всем этом крутится у вас в системе биллинга и, как в ней можно использовать к примеру обезличивание ПДн, применяя идентификаторы.

3. Отчасти можно согласится с Алексеем в его трактовке понятий классности в отношении специальных ИСПДн. Отчасти соглашусь и с вами, т.к. психологически все равно будет на вас давить понимание факта отнесения ИСПДн к 1-му классу.

4. Важный момент, ваши филиалы — это одно с вами юридическое лицо или они самостоятельные резиденты?
Если они отдельные ЮЛ, то для вас по закону они являются третьими лицами, и соответственно они самостоятельные операторы ПДн с которыми у вас идет совместная обработка ПДн.

Ну вот для начала посмотрите эти вопросы.

Вы читали эти документы, что делаете такие заявления? Может сначала стоит ознакомиться?

В дополнение к предыдущему: Воксы сумели убедить Тритон, что хватит одних умных бумажек, поэтому они и исполнители… Интеграторы, которые производят СЗИ в один голос говорили, что у сотовых операторов — К1, а оказалось-то К2 и К3 и "АРМ пользователя".

А каким образом вы видели еще не согласованные документы? ФСТЭК с вами консультируется? Или вы — сотрудник этих Воксов?

Я не тот Анонимный, который тут всех с детьми сравнил 🙂
За комменты спасибо.

Напиши мне на почту

Алексей, правильно ли я понимаю, что любой оператор связи, предоставляющий доступ к сети "Интернет" может принять распоряжением генерального директора концепцию и модель угроз НИРа "ТРИТОН" (http://minkomsvjaz.ru/3495/8317/8319/8322/) и на основании этих документов решит классифицировать свою ИСПДн уже не как К1, а как специальную (специальную, К2)
Группа Г2 (в ИСПДн находятся данные субъектов, в пределах отрасли Российской Федерации)?

Необходимо ли использовать исключительно сертифицированные СЗИ?

другими словами, мы можем их принять, но согласовывать их с ФСТЭК и ФСБ все-рано придется заново?