Практический опыт реализации положений Федерального закона от ФЗ «О персональных данных» в повседневной банковской деятельности Казакевич Олег Юлианович Советник Президента АРБ по вопросам безопасности Москва г.

ПУТЬ РЕАЛИЗАЦИИ - закрепить в качестве универсальной модели регулирования отраслевые стандарты по обеспечению защиты ПДн, утверждаемые отраслевыми регуляторами или по согласованию с ними; - закрепить положение, в соответствии с которым ПДн, на которые распространяются режим налоговой, банковской, коммерческой или иной тайны, защищается в рамках этого режима и не требуют дополнительных мер защиты

ПРИЧИНЫ СОЗДАНИЯ - обращение в АРБ ряда коммерческих банков с просьбой об оказании содействия в решении отдельных проблем - итоги работы трех конференций ( ) по проблемам практической реализации требований ФЗ-152 «О персональных данных», проведенных АРБ при участии ЦБ РФ и сообщества «ABISS», где выявились наиболее уязвимые моменты; - наличие большого числа банков, где до настоящего времени нет ИТ-специалистов и проблемы обеспечения информационной безопасности решают привлекаемые по договорам специалисты

ИНИЦИАТОРЫ СОЗДАНИЯ ЦЕНТРА - Ассоциация российских банков в лице Комитета АРБ по информационной безопасности - Банк России в лице Главного управления безопасности и защиты информации; - сообщество «ABISS» Первоначальные действия: 1. Формирование рабочей группы из числа членов организаций - инициаторов 2. Письма регуляторам.

ОСНОВНЫЕ НАПРАВЛЕНИЯ РАБОТЫ ЦЕНТРА - рекомендации по применению отдельных норм Федерального закона от ФЗ «О персональных данных; - помощь в организации взаимодействия коммерческих банков с регуляторами на местах (ФСБ России, ФСТЭК России, Роскомнадзор); - рекомендации по применению отдельных положений Комплекса документов в области стандартизации Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации» - практическая помощь конкретным банкам в реализации требования Закона и Комплекса документов ЦБ РФ, включая проведения аудита состояния ИБ

СОСТАВ ЦЕНТРА - сотрудники АРБ (советники, Правовой департамент, члены Комитета АРБ по информационной безопасности); - представители регуляторов (ЦБ РФ, Роскомнадзор, ФСТЭК России, ФСБ России) - группа независимых экспертов; - Организации – консультанты (компании – интеграторы, входящие в число членов сообщества»ABISS»)

ОРГАНИЗАЦИЯ РАБОТЫ ЦЕНТРА И РЕГЛАМЕНТ ЕГО РАБОТЫ - координаторы центра: –Советник Президента АРБ по безопасности –Председатель Комитета АРБ по ИБ - интерфейсы: –АРБ; – компания «Андек Консульт» - разработана форма запроса - регламент: ответ в течение 5 дней - письмо на места с информацией от 14 января 2011 года

ПРЕДВАПРИТЕЛЬНЫЕ ИТОГИ РАБОТЫ ЦЕНТРА 1. На года в центр обратилось свыше 40 банков с просьбой о получении разъяснении по более чем 80 вопросам. 2. Четко определились наиболее сложные проблемы по применению: –А). ФЗ-153 «О персональных данных» – ч.2 ст.5 о сроках хранения и порядке уничтожения ПДн; –ст. 6 об условиях обработки ПДн; –ст. 9 о согласии субъекта ПДн на обработку своих ПДн; –Б). Отдельных положений Комплекса документов ЦБ РФ –о классификации автоматизированных банковских систем (АБС) и отнесении их к информационным системам персональных данных (ИСПДн)

АНАЛИТИЧЕСКАЯ РАБОТА ЦЕНТРА Регламент + анализ = информационные письма: 1. «О направлении документов о подтверждении соответствия (14 января 2011 г.) 2. «О классификации автоматизированных банковских систем (АБС) и отнесении их к информационным системам персональных данных (ИСПДн) (2 февраля 2011г.) 3. «О порядке хранения, архивирования и уничтожения информации о персональных данных (1 марта 2011 г.) 4. «О частных случаях порядка применения ст. 9 Федерального закона от ФЗ «О персональных данных»

ПРЕДВАРИТЕЛЬНЫЕ ВЫВОДЫ –1. Закон сложен для применения в силу того, что отдельные его положения выходят за рамки самого Закона и требуют знаний норма гражданского права и иных федеральных законов. –2. Для практическая реализация Закона требуются большие материальные и финансовые ресурсы. –3. Силами ИТ-специалистов реализация данного Закона невозможна из-за отсутствия у них должной правовой подготовки. –4. Успех приходит там, где налажено взаимодействие всех подразделений. –5. При нынешнем высоком спросе на специалистов по защите ПДн, рынок не в состоянии его удовлетворить.