Отраслевым ассоциациям и союзам
Отраслевой подход
На основании опыта ведения проектов по обеспечению информационной безопасности, в том числе защиты персональных данных, специалисты компании «Рэйнвокс» предлагают отраслевой подход, как наиболее оптимальный в сложившихся условиях.
С учетом временных ограничений и масштабности задач по защите персональных данных наиболее оптимальным решением является создание отраслевой организационно – технической документации, которая разрабатывается с участием следующих сторон: представители отраслевых ассоциаций и союзов, эксперты в предметной области, специалисты по информационной безопасности, регуляторы.
Что такое отраслевой подход
В каждой отрасли имеют место бизнес-процессы, в рамках которых присутствуют типовые для всех предприятий отрасли персональные данные (ПДн), типовые информационные системы ПДн (ИСПДн), цели обработки ПДн, информационные потоки и т.п. Предлагаемый подход включает в себя разработку и согласование с регуляторами отраслевого стандарта обеспечения защиты ПДн, в который входят:
- методика защиты персональных данных отрасли;
- отраслевой классификатор информационных систем, обрабатывающих ПДн;
- перечень защищаемых информационных ресурсов ПД;
- модель нарушителя и модель угроз верхнего уровня для ИСПДн отрасли,
- профиль защиты ИСПДн отрасли и др.
Преимущества отраслевого подхода
На первый взгляд текущие требования по защите ПДн могут показаться слишком жесткими и сложно выполнимыми, однако совместно с регуляторами выработанный объективный подход к защите ПДн позволит, с одной стороны разработать реализуемые требования с минимизированными затратами, а с другой стороны выполнить требования регуляторов и обеспечить адекватную защиту ПДн с учетом экспертных оценок профессионалов и существующих реалий конкретной отрасли.
Согласованная с регуляторами отраслевая нормативная база позволит создать в отрасли условие, когда применение отраслевых нормативно-правовых документов в каждой компании отрасли будет организационно выгоднее и существенно сократит временные издержки на создание системы защиты ПДн и получения аттестата соответствия ИСПДн требованиям информационной безопасности.