Защита персональных данных и не только

Вчера меня пригласили выступить перед стоматологами с рассказом о требованиях к защите персональных данных. Я уже очень давно не выбиралась никуда очно, но не смогла отказать прекрасной Екатерине Салыгиной (умница, красавица, кандидат юридических наук). Было очень душевно, аудитория за два дня обучения была подготовлена к задаванию действительно интересных и сложных вопросов. Разобрали и судебную практику и реальные кейсы из области медицины и не только. Поразмышляли над классификацией систем, над моделированием угроз.

Вот несколько блиц-советов от меня вам по мотивам вчерашнего мероприятия:
✅ Всегда будь на чеку!
✅ По возможности стремись к третьему уровню актуальных угроз по ПП 1119.
✅ Дроби системы и локализуй специальные категории персональных данных.
✅ Приведи в порядок сайт: политика, согласие, пустые чек-боксы согласий.
✅ Держи соответствие между уведомлением/политикой/формами согласий.
✅ Бери чужие шаблоны и документы в открытом доступе и адаптируй под себя.
✅ Делай всё разом и понемногу. Не запускай отдельные направления работ. Хотя бы начни.

В общем, мне очень понравилось мероприятие. Живые встречи наполняют энергией надолго👍

ЗЫ. Посмотрите, какая красота, Екатерина привезла мне подносик с Тагильской росписью. К стыду своему, раньше о таком виде народного творчества я не слышала. Буду изучать вопрос:)

Посмотрите, какой интересный кейс прислали мне: https://www.rapsinews.ru/judicial_news/20261013/312281602.html
Что полезного мы можем извлечь для себя?
✅ Режим КТ реально работает, в том числе в судебных разбирательствах. Не забываем правильно оформлять его.
✅ Если вы действительно видите нарушение в процессе обработки данных, нужно обязательно письменно или по электронной почте уведомить руководство о выявленных нарушениях и ни в коем случае не принимать участие в незаконных процессах. Также можно обозначить руководству риски такой неправильной обработки, в том числе в виде штрафов.
✅ У вас есть право уведомить прокуратуру о нарушениях. ❗При этом самостоятельно собирать и копировать доказательства на носители не нужно.
✅ Карьера Робин Гуда в мире конфиденциальной информации не может быть успешной и продолжительной.

Осталось непонятным для меня, так были ли нарушения со стороны компании? И последует ли за них наказание?

"Рекомендую ли я школьникам поступать на ИБ?" - снова спросили меня. Задумалась. ИБ - оно же огромное, как мировой океан, и изучено всегда только на 5% от текущей ситуации. Хочешь, плыви в сторону ИТ: прибейся к программистам и займись безопасной разработкой или уделяй большую часть времени администрированию и проектированию защищенных ИС, хочешь, плыви в другую сторону, пристань к юридическим бумажным островам. Направлений много, новые узкие ниши появляются постоянно. Я сама глубоко знаю не так уж много вопросов, в основном занимаюсь "бумажной безопасностью", технические вопросы - постольку поскольку. Но даже узкая специализация на 152м ФЗ никогда не мешала мне реализовываться в специальности и иметь стабильный заработок.

Выбор направлений действительно широк, и ИБ подходит многим выпускникам. Но не всем. Далеко не всем. Я не буду говорить, что обучение в основном идет на технических специальностях, хотя часто так и есть. Мне приходилось видеть не менее удачные заходы в отрасль через двери юридического, педагогического, экономического и много какого еще образования, например, через второе высшее, магистратуру или курсы. Не так важно, хороши ли вы в физике и математике или в информатике, а может, в истории и обществознании, и сколько баллов ЕГЭ имеете в сумме по трём предметам. Всё это второстепенно.

А первостепенно одно лишь личное качество, без которого я бы не рекомендовала поступать на ИБ. Это въедливость. Повышенное внимание к деталям, буквоедство, синдром отличника, скрупулёзность, дотошность - называйте как хотите. В человеке либо есть эта особенность, либо нет. И развить в себе такую черту характера невозможно. Но именно способностью видеть мелочи отличаются все, кто преуспел в ИБ. Неважно, в какой из сфер отрасли они задействованы.

Будет ли ваш ребёнок способен вычитывать несколько часов соглашения о конфиденциальности в поисках лишнего слова или некорректной формулировки? Сможет ли вручную перебрать тысячи писем, чтобы идеально настроить правила DLP? Заскучает ли при проверке сотен почти одинаковых уязвимостей? Дотошный человек может получать удовольствие от такой работы. Для остальных ИБ никогда не становится образом жизни и добровольным выбором, рутина превращается в пытку еще одним бесконечно скучным рабочим днём. Вряд ли это то, чего мы хотим своим детям.

Бывает на совещании или в профильном чате встретится такой человек, который вдруг спросит: не всё ли равно? И все сразу замирают, обращая внимание на чудака, которому не интересно спорить о каком-нибудь плюсике в столбце таблицы мер из 21 приказа. Ты как здесь оказался, товарищ? Нет, конечно, нам не всё равно.

На этой неделе отмечаю 17летие! Не своё, конечно, а трудового стажа в ИБ. Эх, пролетели годы!.. Да... В такие минуты ностальгии хочется делиться накопленным опытом.

Поэтому я вас сейчас научу, как проводить любой аудит ИБ. Правило тут только одно: не бойтесь задавать "глупые вопросы". Нет очевидного в аудите! Вот и всё! Мастер-класс закончен😎

Объясню на простой аналогии. Допустим, вы тренер, и вам пишет Андрей: "Можете ли вы за 1 год подготовить к сдаче ГТО?". Казалось бы, ответ очевиден: я опытный тренер, человек замотивирован, значит, успех обеспечен. Но вы забыли про уточняющие вопросы:
1. Кого надо готовить? Сдавать нормы будет Андрей или, например, его прабабушка? (Хитросплетения аффилированных юрлиц, помещений и техники)
2. Не при смерти ли Андрей? (ИС почти списали как неактуальную, а вам не сказали)
3. Человек ли Андрей? (А персональных данных-то и нет в системе!)
4. Что Андрей понимает под ГТО? (Многим категорически не нравится аттестация, когда узнают детали процедуры и жизни после)
5. Есть ли у Андрея ноги? (Деньги)
6. А руки? (Люди и время)
7. Где Андрей находится? (Здесь про локализацию)
8. Собирается ли Андрей выполнять упражнения, которые показывает тренер? (Верим на слово)
9. Сколько раз Андрей уже пытался сдать ГТО? (Наводит на размышления количество голов предыдущих аудиторов на кольях забора КЗ)

И только после получения удовлетворительных ответов можно приступать к тренировкам. Или не приступать.

#пятничный_оффтоп
Моделирование угроз на примере борьбы с медведями

Вчера по местному телевидению призвали жителей нашего городка не подкармливать медведей. Однако! Также сообщили, что в соседнем нашему садовом товариществе было нейтрализовано сразу 3 особи. Но расслабляться не стоит, так как медведей еще очень и очень много. Зачем вам эта информация, если вы не живете, как и я, в Красноярском крае? Затем, что жизнь объясняет понятия информационной безопасности гораздо доходчивее, чем учебник.

Смотрите. Угроза медвежьего нашествия была мало прогнозируемой. Точнее, конечно, риск был всегда. И каждый год единичные случаи регистрировались. Но режим ЧС по медведям вводят далеко не каждый год. Раньше считалось, что угроза маловероятна, а ущерб незначителен.
Пока не сошлись разные, несвязанные друг с другом, факторы:
⛔ ранее родилось много медвежат - высокая конкуренция за корм в популяции;
⛔ неурожай диких ягод - в лесу мало еды;
⛔ теплая и солнечная осень привела к продлению дачного сезона - на дачах есть чем поживиться;
⛔ разрастание стихийных свалок и проблемы с вывозом мусора - простая добыча еды рядом с человеком;
⛔ новые дороги и разрастание населенных пунктов за счет леса - разрушение привычных миграционных путей животных и увеличение потенциальных контактов с человеком.
⛔ высокая стоимость строительных материалов и человекочасов рабочих - ветхие заборы и их отсутствие.

В результате мы имеем реальную угрозу нашествия медведей, которая резко стала актуальной. Причем старые методы защиты уже не помогают. Раньше считалось, что в лесу достаточно шуметь, чтобы спугнуть зверя, а уж на даче вообще бояться нечего: медведи боятся человека. Теперь это не так.

Борьба с угрозой происходит в разных направлениях. С одной стороны с помощью информирования населения формируется новое поведение (исключаем походы за грибами и ягодами и вечерние променады в лесополосе), с другой стороны ведется активная борьба с инцидентами и сигналами тревоги (выезд охотников). Ну и профилактические меры защиты, естественно: решение вопросов с утилизацией и переработкой мусора, создание и поддержание заповедников и национальных парков.

Что мы можем почерпнуть из этого для своего профессионализма?
✅Неактуальные угрозы могут стать актуальными (нашествие медведей).
✅Старые методы защиты могут перестать работать (громкие звуки и шум больше не отпугивают зверей).
✅Информирование пользователей очень важно и предотвращает множество инцидентов, меняя типичное поведение на более безопасное (все, кого я знаю, отказались от сбора грибов в лесу в ближайшее время).
✅ Нужно не только отрабатывать инциденты, но и профилактировать их (изменения в системе утилизации мусора).

Ну и главное: думали ли вы, что некоторые люди будут специально подкармливать медведей? Из добрых побуждений, конечно же. А ваши работники? Кого могут пожалеть и прикормить они?

#ура_среда
По статистике среда — самый тяжёлый рабочий день, к которому накапливается усталость. Значит, будем искать в этот день повод улыбнуться.

Меня часто спрашивают: как можно оставаться в профессии столько лет (как поступила в 2005м на ТБ, так и живу информационной безопасностью, осенью будет 17 лет оф стажа) и сохранять профессиональный оптимизм? Отвечаю всегда фотографией рабочего стола. Есть у меня один оберег от выгорания😉

Коллеги, сталкивались ли вы со спорными ситуациями по доступу к информации на рабочих компьютерах работников? Я видала всякое, например, как в последний рабочий день перед увольнением сотрудник затирал все свои наработки, а потом оказывалось, что копий на серверах никогда не было, всё хранилось локально. Я была свидетелем невозможности оперативно найти важную информацию, так как пользователь на больничном не берет трубку, пароль знает только он, а возможность сбросить пароль отсутствует. Также видела обратные ситуации, когда весь отдел работает под одним логином, а пароль от него хранится на видном месте. Иногда кажется, видел всё. Но это только кажется.
Вот вам оригинальный пример. Работника на больничном попросили предоставить пароль от рабочего компьютера, что привело к подаче иска к работодателю.
Судебное решение здесь. Наиболее интересные моменты на скринах.

Спойлер: запрашивать пароль от рабочего компьютера у работника можно, а вот отказаться от его предоставления работодателю нельзя.

Всех причастных к образованию: преподавателей, учащихся и родителей учеников с праздником! С днём знаний! Пусть этот учебный год будет легким и приятным! Успехов! 🏆

Вообще по поводу информирования. Я занималась этой задачей на разных местах работы. Где-то давали готовые дайджесты, и нужно было поменять буквально шапку для рассылки, а вся творческая часть касалась личных ликбезов с отдельными сотрудниками. Где-то можно было информировать так, как я это вижу, используя всю мощь воображения и силу опыта.

Что я могу посоветовать вам?
✅ Соблюдайте регулярность информирования о цифровой гигиене и правилах безопасности. Вы формируете привычку у пользователей быть бдительными.
✅ Пишите информационные сообщения понятным языком. Вставлять кусочки из законов и нормативки можно, но любому из адресатов должно быть понятно, о чем речь.
✅ Используйте инциденты как повод для внеплановой рассылки. Причем не обязательно ждать своих утечек, чужие (но возможные у вас) тоже подойдут.
✅ Иногда добавляйте личную пользу. Расскажите о методах мошенничества в отношении физических лиц перед длинными выходными, например.
✅ Используйте выделение слов, главных мыслей: рамки, шрифт, подчеркивание, картинки, скрины, даже видео.
✅ Ищите интересные и поучительные примеры, которые будут понятны вашим сотрудникам. Если организация работает в сфере ЖКХ, то не пропустите свежую судебную практику на эту тему. Про случай в стоматологии информировать необязательно.
✅ Говорите не только о том, что плохо, но и о том, как делать надо. "Организация потеряла 500 тысяч рублей из-за взлома аккаунта главного бухгалтера. Коллеги, не оставляйте ключи ЭП в компьютере!"
✅ Делайте не только общее информирование, но и частные подборки для ИТ отдела, бухгалтерии, кадров.
✅ Ищите новые форматы привлечения внимания, подсматривайте идеи у коллег, повышайте эффективность рассылок любыми законными способами.

И помните, информирование - не просто скучная обязанность из ФЗ-152 (п. 6, ч. 1, ст. 18.1), это реальный инструмент повышения уровня ИБ в компании.