Семинар RISSPA по проблемным вопросам защиты персональных данных. Первый опыт проведения вебинаров

Вчера ассоциация RISSPA провела свой первый (на сколько я знаю они раньше в таком формате мероприятия не проводили) семинар в виде вебинара. Всех зарегистрировавшихся пригласили в "виртуальную комнату", в которой собственно и проводилась презентация. На мой взгляд, все прошло достаточно не плохо, но не обошлось и без некоторых технических заминок. Т.к. трансляция шла в реальном режиме времени, то критичным было наличие у докладчиков хорошего Интернет-канала. К сожалению, судя по качеству трансляции, не все докладчики имели таковой, что негативно сказалось на качестве звука. Иногда звук замирал, а иногда наоборот, некоторые фрагменты речи накладывались друг на друга. В любом случае если это действительно первый опыт ребят из RISSPA, то он был удачным.
К огромному сожалению, мне НЕ удалось послушать все выступления, т.к. в четверг никто не отменял рабочий день. Организаторы обещали выложить все презентации на своем сайте, что не может не радовать.
Первую презентацию провел Алексей Лукацкий по теме "Что скрывает законодательство о ПДн". Было приведено много интересных фактов, в частности, по стоимости приведения в соответствие ИСПДн требованиям ФЗ № 152-ФЗ. Это удовольствие может стоить от 100000 зеленью без учета стоимости средств защиты (сертифицированных разумеется) и их внедрения. Если мы сюда включим стоимость сертификации СЗИ, аттестацию, то общая стоимость приведения ИСПДн в соответствие может в разы превысить материальный эквивалент возможного ущерба, который может быть нанесен субъекты ПДн.
Также интересно было услышать, что на приведение в соответствие ИСПДн всех операторов (по оценкам ФСБ и ФСТЭК их около 7 млн.) потребуются десятилетия, т.к. число сертификационных/аттестационных лабораторий в нашей стране составляет около 100.
Что касается наказания, то я в своем блоге об этом уже писал. Самое опасное, это повторное нарушение, вернее не выполнение первого предписания Роскомнадзора. Это может повлечь за собой штраф в размере 500000 руб и дисквалификацию. Пока дел связанных с дисквалификацией должностных лиц не было. Однако, как говорится, все еще впереди. Роскомнадзор сейчас отрабатывает навыки проведения проверок. Особенно это ярко выражено в регионах... Сейчас уже достаточно много банков (более 10) преследуется в соответствии с УК РФ.
Достаточно забавным является тот факт, что адрес электронной почты является персональными данными субъекта. Интересно получается, что если у меня несколько электронных адресов, то каждый из них является персональными данными? И если его знает каждый, кто когда-либо получал от меня письма, то...?
Также запомнились слайды, касающиеся автоматизированного принятия решений. Как быть с системами дистанционного обучения, учета и видеоконференциями? Системами видеонаблюдения? Поддерживаю мнение Алексея, что необходимо избегать такие действия, как запись переговоров, видеонаблюдение, контроль электронной почты и т.п., что позволит значительно облегчить жизнь при общении с регуляторами.
Алексеем так же были затронуты вопросы классификации ИСПДн, легитимности четверокнижья, сертификации ОС и ППО, а также обязательности получения лицензий на ТЗКИ и СКЗИ, а также приведены сравнительные таблицы некоторых положений ФЗ №152-ФЗ и Евроконвенции (Евроконвенция гораздо гибче).
Все задаются вопросом, а успеем ли мы привести в соответствие свои ИСПДн к 01.01.2010 года? Дело в том, что если система создавалась после января 2007 года, то она уже должна соответствовать требованиям, а ИСПДн, спроектированные до этого времени должны быть приведены к 01.01.2010 года в соответствие. Трех лет на это хватило бы.
Также запомнился доклад Дмитрия Левиева об опыте проведения проверок ФСТЭК. Был затронут вопрос аутсорсинга лицензионной деятельности. Известная позиция регуляторов, что каждый оператор (имеющие системы К1, К2, К3-распределенная) обязан иметь собственную лицензию ФСТЭК (на аутсорсинг отдана быть не может), а лицензионную деятельность по линии ФСБ можно отдать на аутсорсинг лицензиату ФСБ.
К сожалению, остальные доклады мне послушать не удалось...