Отраслевой стандарт защиты персональных данных (ПДн) для негосударственных пенсионных фондов (НПФ)

Как ожидается, применение данного стандарта ускорит выполнение и снизит стоимость проектов, уменьшит риск ошибок и длительных циклов их исправления, позволит НПФ эффективнее взаимодействовать с исполнителями и регуляторами, а также упростит работу надзорных органов. Более того, стандарт можно будет применять при реализации и контроле исполнения норм законодательства в масштабах всего рынка пенсионного страхования России, подчеркнули в Leta.^[1]

Необходимость отраслевого стандарта защиты ПДн обусловлена рядом особенностей рынка пенсионного страхования. Так, деятельность НПФ предусматривает получение, обработку и хранение в информационных системах больших объемов персональных данных вкладчиков, страхователей, участников и застрахованных лиц. При этом информационные системы НПФ, как правило, имеют территориально-распределенный характер, а обрабатываемые ПДн относятся к различным категориям, вплоть до высшей. Все это значительно повышает организационно-технические требования к системам защиты персональных данных, а также требует более тесного взаимодействия с регуляторами на всех этапах жизненного цикла СЗПДн, отметили в компании.

Инициатором создания стандарта выступила Национальная ассоциация негосударственных пенсионных фондов, фактически представляющая всю отрасль негосударственного пенсионного обслуживания страны. Разработку выполнила Leta IT-company в постоянном сотрудничестве с НАПФ. Выбор исполнителя обусловлен, в частности, с тем, что Leta выполнила целый ряд соответствующих проектов в негосударственных пенсионных фондах (в частности, в НПФ «Благосостояние»), имеет оригинальные методические разработки в области защиты ПДн, причем значительная их часть стала общедоступной. Кроме того, внедрение различных универсальных и отраслевых стандартов в сфере ИБ является одной из ключевых специализаций компании, сообщили в Leta IT-company.

Как отмечается, разработанный стандарт предлагает целостный подход к созданию и управлению жизненным циклом СЗПДн, полностью адаптированный к специфике негосударственных пенсионных фондов и отвечающий требованиям действующей нормативной базы в области защиты ПДн. В ходе работы над стандартом решена масштабная задача: создан пакет нормативно-правовой документации по защите ПДн для всей вертикали негосударственных пенсионных фондов – членов НАПФ. При этом детализация и методическая выверенность документов, наличие готовых шаблонов и всей необходимой справочной информации позволяют непосредственно использовать пакет в реальных проектах, утверждают в Leta.

Стандарт регламентирует порядок, правила и методику создания и аттестации систем защиты персональных данных в НПФ, причем документы охватывают все стадии обработки и защиты ПДн, включая этапы планирования, реализации, контроля и корректировки соответствующих мероприятий. Также даны детальные рекомендации по всему спектру вопросов создания СЗПДн – от разъяснения принципов защиты ПДн, выявления, описания и классификации информационных систем персональных данных до применения конкретных методов обеспечения безопасности в ИСПДн различных классов. При этом рассмотрены все составляющие СЗПДн: физическая защита и контроль физического доступа; назначение и распределение ролей, обязанностей и полномочий; управление доступом в ИСПДн; организация антивирусной защиты, межсетевого экранирования; применение криптографических средств; обнаружение атак и вторжений; мониторинг и регистрация действий пользователей, контроль работы в интернете; резервное копирование ПО и информации, содержащей персональные данные; учет, контроль обращения и уничтожение носителей информации и мобильных устройств и др. Также в стандарт включены полный пакет типовых организационно-распорядительных документов (ОРД) и свод детальных рекомендаций по формированию ОРД для обеспечения обработки и защиты ПДн.

Кроме того, в рамках проекта была разработана оригинальная методика составления модели угроз и определения актуальных угроз безопасности персональных данных при их обработке в информационных системах пенсионного фонда. Также создана базовая модель угроз безопасности персональных данных при их обработке в ИСПДн.

«Сложившаяся на рынке практика приведения информационных систем обработки персональных данных в соответствие требованиям закона № 152-ФЗ показала всю сложность выполнения положений нормативно-правовой базы. Различие методических подходов и существование множества альтернатив при реализации одних и тех же требований нередко приводит к тому, что в компаниях одной сферы деятельности сходные проекты дают совершенно разные результаты. Такая “разноголосица” при реализации российскими негосударственными пенсионными фондами общего для всех свода требований не только нарушила бы внутренние взаимосвязи организации, но и могла стать дестабилизирующим фактором для всего рынка негосударственного пенсионного обеспечения, затруднить выполнение требований по защите ПДн среди НПФ, осложнить общий ход выполнения законодательных требований по защите ПДн в масштабах страны, – считает Константин Угрюмов, президент Национальной ассоциации негосударственных пенсионных фондов. – Отраслевой стандарт по защите персональных данных сделан именно для того, чтобы снять все эти риски и получить методологически и содержательно качественный продукт. Участие в разработке экспертов НАПФ и Leta IT-company гарантирует соответствие этого документа реалиям российского рынка».

Примечания