152-ФЗ – не подведи! Полезные факты об аттестации государственной информационной системы

Аттестация рабочих мест в контексте защиты персональных данных в России — это не просто формальность, а один из самых важных элементов информационной безопасности. Не все знают, что исключение этого этапа из жизни компании ставит под угрозу данных, которые нужно беречь как зеницу ока.

Давайте разберемся, почему аттестация информационных систем рабочих мест должна быть в топ-10 пунктов в процессе становления компании.

152-ФЗ: друг или враг?

Федеральный закон №152-ФЗ «О персональных данных» регулирует обработку и хранение персональных данных в Российской Федерации.

Вот основные требования для операторов, которые нужно записать на бумаге и повесить на самом видном месте.

1. Согласие. Обработка персональных данных возможна только с согласия субъекта данных, за исключением случаев, прямо предусмотренных законом.
2. Целевое использование. Данные должны использоваться строго в соответствии с заявленными целями их сбора.
3. Конфиденциальность. Организации обязаны обеспечивать конфиденциальность персональных данных.
4. Безопасность. Необходимо применять меры защиты для предотвращения несанкционированного доступа к данным.
5. Уведомление Роскомнадзора. Организации, обрабатывающие персональные данные, должны уведомлять Роскомнадзор о своей деятельности.
6. Локализация данных. Данные российских граждан должны храниться на территории Российской Федерации.
7. Права субъекта данных. У людей есть право на доступ к своим персональным данным, их исправление, удаление и так далее.
8. Ответственность. За нарушение закона предусмотрены административные и уголовные наказания.

Это краткое изложение основных требований, и оно не является исчерпывающим. Закон содержит куда больше дополнительных положений и требований, чем вы могли себе представить.

Что дает компании аттестация рабочего места сотрудника

70% из вас, вероятно, сейчас задаются вопросом «а зачем это делать, если хорошо и так?». Если кратко – ваша работа под угрозой, а развернуто о пользе аттестации мы ответили ниже.

Аттестация закрывает большинство потребностей операторов персональных данных, как минимум тех, что требует 152-ФЗ.

1. Соблюдение законодательства. В России есть строгие законы и нормативы, регулирующие обработку и хранение персональных данных – Федеральный закон №152-ФЗ «О персональных данных», например. Несоблюдение этих требований гарантированно приведет к штрафам и другим юридическим последствиям.
2. Защита от потерь. Аттестация выявит уязвимости в системе безопасности и предотвратить возможную утечку персональных данных.
3. Доверие клиентов и партнеров. Компании, которые серьезно относятся к защите персональных данных, будут восприниматься как более надежные и профессиональные.
4. Оптимизация процессов. В ходе аттестации часто выявляются неэффективные или устаревшие методы работы с данными, что дает возможность их убрать или улучшить.
5. Риск-менеджмент. Понимание уровня защищенности рабочих мест позволяет лучше управлять рисками и, в случае инцидента, быстрее и эффективнее реагировать.
6. Комплексный подход. Аттестация рабочих мест часто является частью комплексной системы управления информационной безопасностью (ISMS), которая включает в себя не только технические, но и организационные меры.
7. Международные стандарты. Для компаний, работающих не только на российском, но и на международном рынке, аттестация государственной информационной системы может быть требованием для соответствия международным стандартам безопасности (например, ISO/IEC 27001).
8. Конкурентное преимущество. В условиях жесткой конкуренции наличие аттестованных и защищенных рабочих мест может стать важным конкурентным преимуществом.

И это лишь половина из того, что должны знать те, кто обрабатывает персональные данные. Расслабляться не советуем: каждое из правил требует особого внимания и беспрекословного исполнения.

«Я не хочу проводить аттестацию, это бесполезно»

Если вы считаете, что жизнь без аттестации рабочих мест не станет сложнее, то, конечно же, правы.

Вот какой будет жизнь вашей организации без проведения этой процедуры.

1. Юридические риски больше никогда не будут вас волновать. Достаточно прочитать 152-ФЗ несколько раз и требования будут выполнены. Отсутствие аттестации рабочих мест ни в коем случае не опорочит деловую репутацию, а лишь может привести к тому, что ваша компания окажется на радаре регуляторных органов, таких как Роскомнадзор. Дальше штрафы, иски в суд и прочие вещи, которые вас не напугают.
2. Уязвимость к утечкам данных? Это что такое? В 2023 году еще не так развит рынок кибермошенников, а значит и угроз никаких нет и быть не может. Неаттестованные рабочие места лишь являются слабым звеном в системе безопасности компании, но это лишь повод тратить деньги, ведь хорошо работать можно и на устаревшем и ненадежном оборудовании.
3. Нам всегда доверяют клиенты и партнеры, чего переживать? Данные же на месте, поговорим, когда будет проблема с утечкой их данных, верно? Отсутствие аттестации лишь немного подставить под риск их личную информацию, но им же можно просто не говорить, а новые клиенты и партнеры будут всегда.
4. Производительность и эффективность не страдает от старого оборудования. Сотрудники лишь тратят немного больше времени на выполнение базовых задач, иногда сталкиваются с техническими проблемами и испытывают фрустрацию, но это все просто их отговорки.
5. Затраты на реагирование на инциденты – мелочь. Вы же не боитесь финансовых потерь из-за необходимости экстренного реагирования, включая остановку рабочих процессов, штрафы и даже потерю важных клиентов? Правильно!
6. Проблемы с мотивацией сотрудников – лишь повод не работать. Плохо работающие компьютеры не мешают работе, а лишь придают сил и уверенности, что даже на них можно распланировать и переделать сотни задач. Сотрудники не уверены в безопасности и качестве своего рабочего места, и, по их словам, часто испытывают снижение уровня мотивации и удовлетворенности от работы. Но это все опять попытка заставить компанию тратить деньги.
7. В нашей компании все хорошо, ничего улучшать не нужно. Проверяли работу всего оборудования и бизнес-процессов в начале работы, все происходит в штатном режиме. Это, правда, было 12 лет назад, но разве одной аттестации недостаточно?
8. Вы нас рисками не пугайте. Наши коллеги никогда аттестацию не проводили, но при этом все хорошо работает. Правда почему-то постоянно новых сотрудников берут и ремонтируют старые компьютеры за свой счет. Зато не тратят бюджет на чужие проверки.

Как вы поняли, все это антипримеры. Каждая из указанных проблем может появиться в вашей компании в любой момент и заставить потратить много средств на восстановление систем безопасности и рабочей инфраструктуры.

Аттестация рабочих мест — это не просто галочка в списке штатных задач, это инвестиция в долгосрочную стабильность и успешность вашего бизнеса. Пренебрегая этим процессом, вы подвергаете рискам не только финансовое состояние компании, но и ее репутацию.