यदि हम विदेशी देशों और व्यक्तिगत डेटा की सुरक्षा के लिए उनके दृष्टिकोण को देखते हैं, तो हम रूस के साथ कुछ अंतर देख सकते हैं, अर्थात्:

जब वे किसी कंपनी में अपना डेटा स्थानांतरित करते हैं तो आबादी चिंतित होती है;
व्यक्तिगत डेटा की सुरक्षा सिद्धांत पर आधारित नहीं है "बस नीचे तक नहीं पहुंचें";
सभी जिम्मेदारी और समझ वाली कंपनियां सूचना सुरक्षा के खतरों और जोखिमों को अद्यतन करने और समीक्षा करने पर, कर्मचारी प्रशिक्षण पर, विभिन्न सूचना सुरक्षा उपायों पर पैसा खर्च करती हैं।

रूसी राज्य को लें, फिर भी इसके विपरीत किया। इस विषय पर, मैं इस लेख को "जो मैंने देखा, उसके बारे में लिखना चाहूंगा।"

परिचय

यह किसी भी सामग्री को पाठक को प्रस्तुत करने की प्रथा है, कम से कम किसी भी तरह से जानकारी को वर्गीकृत करना, अर्थात, इसे खंडों, अध्यायों आदि में तोड़ना। मैं व्यक्तिगत आंकड़ों पर परियोजनाओं के कार्यान्वयन के परिणामस्वरूप विकसित पाठक को राय देना चाहता हूं। समस्या का सार इस तथ्य में निहित है कि रूस में व्यक्तिगत डेटा (इसके बाद पीडी के रूप में संदर्भित) पर कानून सभी के लिए एक बोझ है, और कंपनी के लिए, कि अपने कर्मचारी या ग्राहक के लिए। कंपनी को स्वतंत्र रूप से या एक सक्षम संगठन की सहायता से पीडी की रक्षा करने की आवश्यकता है, कर्मचारियों को उनके साथ काम करने के लिए सिखाया जाता है, और ग्राहकों को यह कहते हुए कागज के एक और टुकड़े पर हस्ताक्षर करने के लिए मजबूर किया जाता है कि वे उन्हें भंडारण और प्रसंस्करण के लिए स्थानांतरित करने के लिए सहमत हैं। परिणामस्वरूप, कुछ समस्याओं और नियमों का पालन किया जाना चाहिए।

संगठनात्मक हिस्सा

एक विशिष्ट पीडी परियोजना 4 वैश्विक चरणों में की जाती है:

परीक्षा।
एआरडी का विकास।
एक सुरक्षा प्रणाली का विकास।
परिचय।

चित्र को बेहतर ढंग से समझने के लिए इन चरणों को अक्सर उप-चरणों में विभाजित किया जाता है। यह मुख्य रूप से ग्राहक के लिए किया जाता है। इस खंड में मैं चरण संख्या 2 पर स्पर्श करना चाहूंगा।
आंतरिक कार्यकर्ता की तरफ से। पीडी पर किसी भी परियोजना, अगर यह खरोंच से किया जाता है, तो कागज के टुकड़ों का एक बड़ा ढेर लिखना शामिल है जो इन पीडी के साथ काम को नियंत्रित करता है। इसके अलावा, प्रसंस्करण के लिए सहमति के विशिष्ट रूप, ठेकेदारों के साथ समझौते, आदि। और यहां रूसी दृष्टिकोण अपना निशान छोड़ता है: कागज के टुकड़े मुद्रित होते हैं और शेल्फ पर झूठ बोलते हैं जब तक कि नियामक निकाय नहीं आता है और उनकी जांच करता है। ऐसा क्यों किया जाता है:

कर्मचारी को समझ में नहीं आता है कि उसे कागज के इन टुकड़ों की आवश्यकता क्यों है।
सीखते समय, यह एक महीने के बाद भूल जाता है, क्योंकि कोई भी आवश्यकताओं के कार्यान्वयन की निगरानी नहीं करता है।
खुलासे की जिम्मेदारी ... हास्यास्पद
प्रबंधन ने खुद जांच की कि "पीडी संरक्षित है", इसलिए कोई समस्या नहीं है और इसे याद रखने की कोई आवश्यकता नहीं है।

क्लाइंट की तरफ। अधिकांश लोग पीडी के संरक्षण को नियंत्रित करने वाले कानून के बारे में जानते नहीं हैं, और यह नहीं सोचते हैं कि जब वे किसी भी व्यक्ति को किसी भी सेवा को प्राप्त करने के लिए उन्हें पास करते हैं। यहां आप कई उदाहरण दे सकते हैं: ऑनलाइन शॉपिंग, घर पर खाना ऑर्डर करना आदि। इस BOOM के पारित होने के बाद ही, आबादी का कुछ हिस्सा इसके बारे में सोचने लगा। लेकिन जब पल आता है "मेरा पासपोर्ट Google में मुख्य पृष्ठ पर था", या "मेरी पत्नी को पता चला कि मैं किसी अन्य होटल में व्यापार यात्रा पर था," व्यक्ति सोचने लगता है। अन्य मामलों में, हम निम्नलिखित के साथ सामना कर रहे हैं:

पीडी के साथ क्या किया जा रहा है, जहां उन्हें स्थानांतरित किया गया है, यह समझने में रुचि की कमी।
वे रक्षा नहीं करते हैं, ठीक है, और नहीं करते हैं।
“पीडी ट्रांसफर एग्रीमेंट” पर हस्ताक्षर करें। क्यों? किस लिए?
शांत, जबकि सब कुछ शांत और आतंक है, जब पीडी दूर बह गया।

नतीजतन, दस्तावेजों का विकसित सेट जिसमें पीडी के साथ काम करने के नियम लिखे गए हैं जो उनके रिसाव को रोकेंगे काम नहीं करते हैं। केवल एक जिम्मेदार व्यक्ति, उदाहरण के लिए, एक ही कंपनी में एक सूचना सुरक्षा विशेषज्ञ, उन्हें काम दे सकता है, लेकिन चूंकि मूल रूप से कंपनियों (छोटे और मध्यम आकार के संगठनों) में ऐसे लोग नहीं हैं, और सभी जिम्मेदारी उस व्यक्ति के साथ है जो कंप्यूटर के साथ "संचार" करता है , अच्छे परिणामों की उम्मीद नहीं की जाती है।

तकनीकी हिस्सा है

यहां सब कुछ बहुत अधिक जटिल है। हम एक बड़ी कंपनी, मध्यम और छोटे संगठन के लिए परियोजना को विभाजित करेंगे।

छोटा संगठन

तकनीकी दृष्टिकोण से, सब कुछ सरल है। मूल रूप से, पूरे बुनियादी ढांचे को विंडोज पर बनाया गया है, जिसमें 1 सी के लिए अधिकतम 1 सर्वर और कई वर्कस्टेशन हैं। सूचना सुरक्षा उपकरण (इसके बाद SZI के रूप में संदर्भित) को लुढ़का और जल्दी से कॉन्फ़िगर किया गया है, आमतौर पर कोई समस्या नहीं है। यही है, इस स्तर पर, तकनीकी दृष्टिकोण से, सब कुछ ठीक है। आगे SIS डेटा के साथ काम करने का तरीका सीखने की प्रक्रिया है। यदि आप पहचान / प्रमाणीकरण तंत्र नहीं लेते हैं, तो काम नरक में बदल जाता है। ज्यादातर मामलों में, एक कर्मचारी अपने काम में बदलाव को बहुत नकारात्मक तरीके से मानता है, खासकर अगर यह प्रौद्योगिकी से संबंधित है। नतीजतन, हम प्राप्त करते हैं:

SZI स्थापित, कॉन्फ़िगर किया गया है, लेकिन कोई भी उनका उपयोग नहीं करता है।
एक कर्मचारी का मुख्य काम SZI के साथ काम से जटिल है।
किसी को SZI के डेटा की सेवा करनी होती है, और आमतौर पर ऐसा कोई व्यक्ति नहीं होता है।

निष्कर्ष में: संगठनात्मक और तकनीकी उपायों को लागू किया जाता है, कर्मचारियों को प्रशिक्षित किया जाता है, पीडी को संरक्षित नहीं किया जाता है ।

मध्यम आकार के संगठन

यहां सब कुछ अधिक जटिल है। आईटी विभाग या पूर्णकालिक सिस्टम प्रशासक का गठन। असाधारण मामलों में, एक सुरक्षा गार्ड है। बुनियादी ढांचे को कॉन्फ़िगर किया गया है। यहीं से समस्या शुरू होती है। नियामक अधिकारियों के दृष्टिकोण से मान्य SIS की शुरूआत, मौजूदा बुनियादी ढांचे का पुनर्गठन है। आमतौर पर, ऐसे मामलों में, आईएसपीडी को एक अलग खंड में विभाजित किया जाता है और अलग से संरक्षित किया जाता है ताकि कंपनी के समग्र वास्तुकला और सामंजस्यपूर्ण कार्य को प्रभावित न किया जा सके। इस मामले में, SPI के पास कोई है, और यह एक निर्विवाद बोनस है। फिर से, कर्मचारी उत्साहित नहीं हैं कि उनके काम में कुछ बदल रहा है, और रक्षा के लिए संगठनात्मक उपायों का कार्यान्वयन पृष्ठभूमि में लुप्त हो रहा है। उनके कार्यान्वयन की निगरानी आईटी-विशेषज्ञों के साथ टिकी हुई है, जो बदले में, अधिक महत्वपूर्ण चीजों के साथ व्यस्त हैं। नतीजतन, हम प्राप्त करते हैं:

SZI स्थापित, कॉन्फ़िगर, ज्यादातर मामलों में प्रशासित।
एक कर्मचारी का मुख्य काम SZI के साथ काम से जटिल है।
आईएसपीडी मौजूदा बुनियादी ढांचे को बर्बाद नहीं करता है।

बड़े संगठन

यह और भी दिलचस्प है। आईटी विभाग, सुरक्षा विभाग, वितरित सूचना प्रणाली, वर्चुअलाइजेशन, बड़ी संख्या में कॉर्पोरेट सेवाएं आदि। आमतौर पर सब कुछ मन, एन्क्रिप्शन, सभी नियमों और सर्वोत्तम प्रथाओं द्वारा सुरक्षा द्वारा संरक्षित है। यहां, और इसलिए सब कुछ अच्छे के लिए संरक्षित है, लेकिन "प्रमाणन" शब्द है। इससे सब खराब हो जाता है। यहां आप प्रत्येक प्रोजेक्ट के बारे में एक लेख लिख सकते हैं, और इसे एक टेम्पलेट के तहत नहीं ला सकते हैं। लेकिन अंत में, संगठनात्मक भाग के साथ और तकनीकी के साथ, सब कुछ ठीक है। जिम्मेदार कर्मचारी अपना काम करते हैं। उपयोगकर्ताओं को प्रशिक्षित किया जाता है, इस प्रक्रिया को नियंत्रित किया जाता है।
नतीजतन, हम प्राप्त करते हैं:

SZI स्थापित, कॉन्फ़िगर, प्रशासित।
एक कर्मचारी का मुख्य काम SZI के साथ काम से जटिल है।
आईएसपीडी मौजूदा बुनियादी ढांचे को बर्बाद नहीं करता है।
संगठनात्मक उपाय निर्देशों और विनियमों के अनुसार किए जाते हैं।

निष्कर्ष में: संगठनात्मक और तकनीकी उपाय लागू किए गए, प्रशिक्षित कर्मचारी, पीडी संरक्षित ।

निष्कर्ष

अंत में, मैं कहना चाहता हूं। अगर सही तरीके से काम किया जाए तो निजी डेटा की सुरक्षा करना एक अच्छा और आवश्यक काम है। लेकिन छोटे और मध्यम आकार के व्यवसायों के लिए हमारी वास्तविकताओं को ध्यान में रखते हुए, यह कोई परिणाम नहीं लाता है, केवल पैसे की बर्बादी। फिर से, मैं अधिकांश संगठनों के बारे में बात कर रहा हूं, लेकिन मैंने एक छोटा व्यवसाय नहीं देखा है, जो पीडी के साथ ठीक है। मैं यह नहीं कह रहा हूं कि पीडी की रक्षा करने की कोई आवश्यकता नहीं है, लेकिन दृष्टिकोण अलग होना चाहिए।

छोटे, मध्यम और बड़े संगठनों में पीडी संरक्षण। क्या सब कुछ आसानी से हो रहा है?