Опять персональные данные

Читая ленту блогов на DLP-Expert наткнулся на интересную статью про то, как компания покупает персональные данные саратовцев. И внимание мое привлекло больше не то, что многие саратовцы получили SMS (откуда у компании-риелтора телефоны многих саратовцев), и не то, что они (компания-риэлтор) готовы выдать 500 рублей каждому, кто назовет “координаты” саратовца, желающего сдать квартиру (ну на каком основании тут идет торговля ПДн. Хотя, конечно, может "продавец" возьмет разрешение на передачу его ПДн третьим лицам).

Что заинтересовало? Вот цитата из обсуждаемого сообщения. Слова представителя Роскомнадзора по данному вопросу:

Само по себе проведение такой SMS-рассылки не запрещается, однако каждый, кто примет участие в акции, нарушит закон. Федеральный закон №152 “О персональных данных” не предусматривает передачу контактных данных человека третьим лицам. В данном случае нарушителями будут являться и тот, кто передал информацию риелторам, и тот, кто получит эти сведения”.

И вот комментарии:

На самом деле, нет. ФЗ «О персональных данных» регулирует лишь автоматизированную обработку персональных данных. Это указано прямо в первой части статьи 1 закона. 

Что получится, если внимательно прочитать 1-ю часть 1-й статьи ФЗ 152?

Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным. 

Ну, сама фраза от том, что ФЗ-152 регулирует лишь автоматизированную обработку ПДн, ошибочна.

Дальше тоже интересно:

Если дальше так пойдёт, чиновники и телефонные номера в блокнот записывать запретят. 

То, чего не касается 152-ФЗ, описано во 2-й части 1-й статьи ФЗ-152:

Действие настоящего Федерального закона не распространяется на отношения, возникающие при:

1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;

2) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;

3) утратил силу с 1 июля 2011 г.;

4) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну;

5) предоставлении уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 года N 262-ФЗ "Об обеспечении доступа к информации о деятельности судов в Российской Федерации".

Является ли то, что просит агенство, персональными данными? Недавно писал в Роскомнадзор по похожему вопросу. И вот, что мне ответили:

Телефон владельца недвижимости является персональными данными. И он попадает под действие ФЗ-152.

Как я заинтересовался информационной безопасностью

Перебирал документы и файлы, каталогизировал и нашел свой дипломный проект, который писал еще в колледже. В нем нет ничего выдающегося, да и уровень самой программы, как не печально говорить об этом через 5 лет, не самый высокий. Но самое интересное, что меня порадовало, это дата и время компиляции: 17.06.2008, 23:19. Так сказать, последний час 20-го дня рождения. А уже через 7 дней я был в Санкт-Петербурге с огромными амбициями поступления в СПб НИУ ИТМО (тогда еще СПб ГУ ИТМО). 

Немного предыстории:
Год: 2008
Учебное заведение: МГГТК АГУ
Специальность: Программное обеспечение вычислительной техники и автоматизированных систем.

Именно программистом я начал становиться, когда на 3-м курсе по Delphi у меня вышла удовлетворительная оценка. И тут меня зацепило: как так? Я же вроде уже больше половины отучился, а напрограммировать толком ничего не могу. И тут понеслось. Сначала медиаплеер, потом всякие разные программки - напоминалки, будильники, редакторы. Но все это для общего развития. Стоящих программ было две:

Первая -это комбайн для работы с аудио. Он позволял каталогизировать, переименовывать, менять теги и многое другое. Работал как с пачками файлов, так и с отдельными. Хотя почему работал? Работает... Только проверить надо его.

Вторая- это именно та самая Info Protector, о которой пойдет речь. Немного жаль, что она так и осталась v 1.0 beta. Но свою роль в моем дальнейшем развитии она сыграла!

Сейчас код не пишу. Точнее пишу иногда, для себя. Но это больше кустарничество, а не разработка... Но о периоде, когда редкий вечер обходился без кода, всегда вспоминаю с ностальгией...

Справедливости ради хочется сказать, что большой вклад в мою нынешнюю любовь к безопасности дал предмет "Информационная безопасность", на котором я и пристрастился к данной теме. Сначала просто изучение вопроса с литературной стороны, а потом и практика... Которая вылилась в достаточно интересную, как мне тогда казалось, тему...

Текст описания беру из самого дипломного проекта. Единственное, убираю различного рода ссылки на литературу, картинки. И излишнюю воду. Думаю, что почти всем понятно, что такое контрольная сумма и для чего она нужна=). Остальное оставляю. Не потому, что не хочется описывать заново, а потому, что "Зачем?"... Это же уже история, моя история. И зачем ее менять...

Ну, приступим...
После запуска программы откроется окно для ввода пароля:

При первом запуске программы необходимо нажать кнопку «ОК», не вводя ничего в поле для ввода пароля. Если при запуске программы файл с опциями программы не будет найден, то будет выведено соответствующее сообщение. В этом случае поле для ввода пароля также следует оставить пустым. При неверном вводе пароля программа сообщит о некорректно введенном пароле и предоставит возможность повторного ввода. Если же пароль был введен верно, то окно ввода пароля автоматически закрывается и открывается главное окно программы 

При открытии главного окна по умолчанию активен раздел «Файлы». В левой части главного окна расположена панель с кнопками, обеспечивающими навигацию по разделам программы. Она включает в себя следующие кнопки: «Файлы», «Тексты», «База ключей», «Защита файлов», «Проверка подлинности», «Настройки», «О программе», которые при нажатии делают активным соответствующий раздел.

В разделе «Файлы» пользователь имеет возможность шифрования и дешифрования файлов. Для этого необходимо выбрать исходный и конечный файлы посредствам нажатия кнопок «Обзор», находящихся рядом с соответствующими полями. Также исходный файл может быть выбран путем перетаскивания его из проводника Windows  на панель с изображением ключа, после чего его полное имя будет занесено в поле «Исходный файл». После этого необходимо выбрать один из четырех возможных криптографических алгоритмов и ввести ключ шифрования. Ключ также может быть сгенерирован случайным образом. Для этого следует отметить нужные наборы символов, выбрать длину ключа и нажать на кнопку генерации, находящуюся рядом с полем ввода ключа. После указанных действий необходимо нажать кнопку «Шифровать» или «Дешифровать», если файл до этого был зашифрован. Пока будет происходить шифрование, на панели, находящейся в нижней часть главного окна, будет отображаться индикатор процесса шифрования. После окончания процесса сведения о произведенных программой действиях будут выведены в поле информации о шифровании. При установке флажка «Удалить исходный файл» файл, являющийся источником шифрования будет удален с жесткого диска после окончания процесса шифрования.

В разделе «Тексты»  пользователь имеет возможность шифрования и дешифрования текстов:

Для этого ему необходимо ввести в поле «Исходный текст» текст для шифрования или дешифрования. Также текст может быть вставлен из буфера обмена Windows или открыт из файла при нажатии кнопки «Открыть текст». Далее, аналогично процессу шифрования файлов, необходимо выбрать один из четырех криптографических алгоритмов, а также ключ шифрования. Ключ также может быть сгенерирован случайным образом. После этого, в соответствии с необходимой операцией над введенным текстом, следует нажать кнопку «Шифровать» или «Дешифровать». В процессе шифрования в нижней части окна будет отображаться индикатор процесса, в процентном отношении показывающий состояние шифрования. По завершении шифрования конечный текст будет выведен в поле «Результирующий текст». Далее его можно скопировать в буфер обмена Windows или сохранить в формате *.txt посредствам кнопки «Сохранить текст».

Раздел «База ключей» состоит из четырех вкладок: «Файлы», «Тексты», «Пользовательские», «Контрольные суммы»

На вкладке «Файлы» находится список, содержащий имя файла, алгоритм шифрования и ключ. Данные в этот список добавляются автоматически при шифровании файлов. Контекстное меню списка дает возможность копирования ключа в буфер обмена или в поле для ввода ключа в разделе «Файлы». Также в контекстном меню имеется пункт «Отправить на дешифрование», при выборе которого данные выделенной строки копируются в соответствующие поля раздела «Файлы». При нажатии ни кнопку «Удалить» происходит удаление выделенных в списке строк.

Вкладка «Тексты» подобна предыдущей вкладке. Отличие состоит в том, что в списке ключей содержатся первые 10 символов зашифрованного текста, дата и время шифрования, а также сам алгоритм шифрования и ключ. Данные в этот список также добавляются автоматически, при шифровании текстов. Контекстное меню списка дает возможность копирования ключа в буфер обмена или в поле для ввода ключа в разделе «Тексты». В нижней части вкладки также расположена кнопка «Удалить», позволяющая удалять выделенные строки из списка. 

На вкладке «Пользовательские» в списке отображается база ключей пользователя. На этой вкладке расположен список паролей, содержащий сам пароль и описание к нему, поля для добавления пароля и описания, кнопки «Добавить», «Изменить» и «Удалить». Отличие от предыдущих двух вкладок состоит в том, что в эту базу пользователь сам добавляет записи. Для того, чтобы добавить пароль в базу, пользователю необходимо заполнить текстовые поля «Пароль»  и  «Описание» и нажать кнопку «Добавить». Если пользователю необходимо изменить данные в базе, то для этого надо выделить строку, которую  нужно изменить, затем в полях «Пароль»  и  «Описание» внести необходимые, после чего нажать кнопку «Изменить».  Для удаления – выделить нужную строку и нажать «Удалить».  Контекстное меню списка дает возможность скопировать пароль или его описание в буфер обмена Windows.

Вкладка «Контрольные суммы» предназначена для отображения базы хранения контрольных сумм файлов.  Здесь расположен список хранимых контрольных сумм, содержащий поля имени файла с путем к нему, его контрольной суммы, и даты и времени ее вычисления. Записи в этот список добавляются автоматически при вычислении контрольных сумм в разделе «Проверка подлинности». Выделенная контрольная сумма отображается в нижней части вкладки, под списком. Здесь же находится кнопка копирования контрольной суммы в буфер обмена и кнопка удаления записей из списка. 

Раздел «Защита файлов» содержит список, в котором отображаются имена файлов и пути доступа к ним, кнопки «Добавить» и «Удалить», а также кнопки запуска и остановки защиты.  Защита файлов подразумевает ограничение доступа к нему. Это такие действия как открытие, копирование, переименование, перемещение и удаление. Для того чтобы добавить файл к списку защищенных, пользователю необходимо нажать на кнопку «Добавить», после чего откроется окно выбора файла. При выборе файла и нажатии кнопки «Открыть» файл будет добавлен в список защищенных файлов.

Удаление файла из списка и, как следствие, снятие с него защиты происходит путем выделения файла и нажатия кнопки «Удалить». В правой нижней части этого раздела расположены кнопки запуска и остановки защиты. При включенной защите кнопка запуска защиты неактивна, активной является только лишь кнопка остановки защиты. Если же защита остановлена, то кнопка остановки защиты неактивна и возможность нажатия имеется только у кнопки включения защиты. Защита файлов обеспечивается посредством отдельного невизуального модуля, что позволяет  осуществлять защиту файлов тогда, когда основная программа не запущена.

Раздел «Проверка подлинности» предназначен для контроля изменения файла. Работа этого раздела основана на вычислении контрольной суммы конкретного файла. 

Здесь имеются поля для ввода имени файла, контрольную сумму которого необходимо вычислить, поле для отображения или ввода контрольной суммы, кнопки «Вычислить» и «Сравнить», а также поле, в котором отображается информация о вычислении . При нажатии на кнопку «Вычислить» происходит вычисление контрольной суммы файла, имя которого введено в поле для ввода имени файла, и отображение ее в соответствующем поле.  При нажатии на кнопку «Сравнить» контрольная сумма файла будет сравниваться с тем значением, которое находится в поле контрольной суммы. Если они идентичны, то будет выведено сообщение о том, что файл не был изменен. В противном случае программа сообщит о факте изменения файла. При вычислении контрольной суммы  она автоматически заносится в базу хранения  контрольных сумм.

В разделе «Настройки» пользователь имеет возможность изменить основные настройки программы, такие как:

• главный пароль программы – это ключ, которым шифруются все файлы программы и внутренняя информация. Для изменения этого значения имеется два поля: «Главный пароль программы» и «Повторите главный пароль». Это сделано для того, чтобы пользователь не мог допустить опечатку. При вводе разных значений в эти поля программа сообщит о том, что содержимое этих полей различно;
• пароль для входа в программу – пользователь использует для того, чтобы войти в программы. Это поле может быть пустым. Для изменения этого значения также предназначены два поля, содержимое которых должно быть идентично;
• каталог хранения временных файлов;
• автоматическое добавление зашифрованных файлов к списку защищенных файлов;
• защита программных файлов – исключает несанкционированный доступ ко всем рабочим файлам программы.

Все изменения, производимые в разделе «Настройки» вступают в силу только при нажатии на кнопку «ОК».

Вот, собственно, и конец истории. Объем: порядка 5-7 тысяч строк кода. Может больше.

Автоматизированно или нет?

Пока все ждут новых документов от ФСТЭК и ФСБ, в обсуждении существующего законодательства на просторах рунета наступило некоторое затишье. Но отсутствие нового - это не повод не пересматривать старое. Очередной раз пробежав глазами по 152-ФЗ, я увидел, что он не дает определения неавтоматизированной обработки ПДн. Ну и ничего, есть же ПП-687, которое как раз нам его и дает. Но понятие это достаточно размыто. И мне захотелось разобраться. Особенно в свете темы на портале ПДн:http://www.pd.rsoc.ru/inter-services/forum/dep46/topic2911/

Ну что, ж приступим. Хочу сразу сказать, что я позволил себе некоторую вольность и взгляд на ситуацию с другой стороны. Иногда это бывает полезным.

Для начала я выделил определения из 152-ФЗ, ПП-687. Плюс к этому взял определение вычислительной техники. В ГОСТах определения ВТ я не нашел, поэтому, посоветовавшись с юристами, взял определение из общедоступных словарей. В моем случае это Большой Энциклопедический Словарь.

Источник	Термин	Определение
152 ФЗ	обработка персональных данных	любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
152 ФЗ	автоматизированная обработка персональных данных	обработка персональных данных с помощью средств вычислительной техники;
ПП-687	неавтоматизированная обработка персональных данных	Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее - персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
ПП-687		Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.
Большой Энциклопедический Словарь	вычислительная техника	совокупность технических и математических средств (вычислительные машины, устройства, приборы, программы и пр.), используемых для механизации и автоматизации процессов вычислений и обработки информации. Применяется при решении научных и инженерных задач, связанных с большим объемом вычислений, в системах автоматического и автоматизированного управления, при учете, планировании, прогнозировании и экономической оценке, для принятия научно обоснованных решений, обработки экспериментальных данных, в информационно-поисковых системах и т. д.

Исходя из вышесказанного можно, для начала, заключить:

1. Принтеры, сканеры тоже являются вычислительной техникой. Это, на мой взгляд, вытекает из определения "вычислительная техника" в Большом Энциклопедическом Словаре:совокупность технических и математических средств (вычислительные машины, устройства, приборы, программы и пр.), используемых для механизации и автоматизации процессов вычислений и обработки информации.

Стоит отметить, что, вероятно, они попадают сюда только в комплекте с системным блоком и монитором. Но обратное-то, в принципе, нас и не интересует.

2. Исходя из определения автоматизированной обработки ПДн можно заключить, что автоматизированная  = с помощью средств вычислительной техники. Конечно, в рамках данных понятий:

Автоматизированная обработка ПДн=Обработка ПДн с помощью средств вычислительной техники.

Автоматизированная = с помощью средств вычислительной техники.

И также, логически, получается что в нашем случае средства автоматизации - это средства вычислительной техники.

Теперь рассмотрим определения обработки ПДн, автоматизированной обработки ПДн и неавтоматизированной обработки ПДн в виде таблицы:

1	2	3	4	5
Действие	Обработка ПДн	Автом-я	Неавтом-я (СВТ)	Неавтом-я (Без СВТ)
Сбор	+	+	+
Запись	+	+	+
Систематизация	+	+	+
Накопление	+	+	+
Хранение	+	+	+
Уточнение	+	+		+
Извлечение	+	+	+
Использование	+	+		+
Передача (152-ФЗ)	+	+
Распространение (ПП-687)	+	+		+
Обезличивание	+	+	+
Блокирование	+	+	+
Удаление (152-ФЗ)	+	+
Уничтожение (152-ФЗ, ПП-687)	+	+		+

Обратимся к неавтоматизированной обработке. Из определения вытекает, что для того, чтобы считать обработку ПДн неавтоматизированной, достаточно использовать, уточнять, распространять и уничтожать ПДн в отношении каждого субъекта при непосредственном участии человека. Следовательно остальные действия (Таблица, столбец 4) можно проводить и средствами СВТ.

А вот теперь можно ставить вопросы:

1. Допустим, ситуация когда мы храним скан-копии на ПК, вносим их туда через сканер, извлекаем через принтер. Все остальные действия с бумажными носителями и при непосредственном участии человека. На первый взгляд - неавтоматизированно. Ведь такие действия как
     -Уточнение (дописали на листе бумаги и пересканировали заново);
     -Использование (здесь все понятно, пользуемся распечатанными бумажными экземплярами);
     -Распространение (опять таки, бумажные копии);
     -Уничтожение (тоже все понятно, уничтожаем бумажные копии)
производятся при непосредственном участии человека и в отношении каждого субъекта ПДн отдельно.

Но:

В процесс уточнения входит также и сканирование. А это уже делает обработку ПДн автоматизированной.

И здесь никаким образом, на мой взгляд, нет противоречий ПП-687:

Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.

2. Автоматизированная = с помощью средств вычислительной техники.

И также, логически, получается что в нашем случае средства автоматизации - это средства вычислительной техники.

Так ли это?   

3. Что же все-таки считать непосредственным участием человека?

Резюмируя вышесказанное, скажу, что на мой взгляд нужно исключать подобное свободомыслие, включая в законы и подзаконные акты понятия, используемые в этих документах. По крайней мере, если они не заложены в ГОСТах. А определений "Средство(а) автоматизации" и "Вычислительная техника" я не нашел...

ФСТЭК на портале госуслуг

9 января ФСТЭК обновила свой сайт. На это сразу с критикой отреагировал Алексей Лукацкий в своем блоге (ФСТЭК сменила сайт. Лучше бы не меняла...). И я не могу с ним не согласиться. Сайт действительно, "не очень". А в сравнении со старой версией тем более.

Но сказать хочется не об этом. Слева у них появились "выползающие" кнопки, одна из готорых перенаправляет нас на портал госуслуг. Да, да, именно на страницу ФСТЭК на портале госуслуг. И именно здесь в контактной информации справа у ФСТЭК отсутствует руководитель  и режим работы. Да, понятно, что у ФСТЭК разные территориальные органы, в которых и руководители, и режимы работы могут быть разными. Но так и адреса у них тоже разные. А адрес московский они указали. Странно...