Şəxsi məlumatların emalı 1s 8. Təhlükəsiz proqram paketinin yenilənməsi proseduru

29 may 2014-cü il tarixində Moskvada 1C:Lektoriya zalında (Moskva, Seleznevskaya küç., 34) mühazirə keçirildi. Mühazirədə iştirak edə bilməyən oxucularımız eyni adlı onlayn konfrans çərçivəsində suallarını ünvanlayıblar. Tədbir zamanı Roskomnadzor-un fərdi məlumat subyektlərinin hüquqlarının müdafiəsi şöbəsinin müdiri Yuri Kontemirov və 1C-nin eksperti İrina Baimakova şəxsi məlumatların mühafizəsi ilə bağlı sualları cavablandırıb, həmçinin Roskomnadzor tərəfindən müəyyən edilmiş əsas səhvləri təhlil ediblər. nəzarət fəaliyyətləri.

İstifadəçi kot : 1C:Kiçik və orta müəssisələr üçün Enterprise 8.2z. Tibb, Dövlət işçiləri, Hərbi...? Bu platforma kimə və nəyə lazımdır? İstifadəçi rejimində bu, giriş hüquqlarının altında basdırılmalıdır. DBMS istifadə edərək üçüncü tərəf əlaqəsindən?

Artıq 4 ildir ki, bunun “Y2K problemi”nə bənzər sadə bir pul nasosu olduğunu təxmin edirəm. Gələndə kompüterdə proqram işə saldın, nəsə elədi, dedin ki, hər şey qaydasındadır, maaş alırsan.

İrina Baimakova : "Fərdi məlumatlar haqqında" Federal Qanunun tələbləri fərdi məlumatların hər hansı operatorlarına aiddir, yəni. şəxsi məlumatların işləndiyi hər hansı təşkilatlar. Bəli, həqiqətən də, məlumatların kateqoriyasından və həcmindən asılı olaraq fərdi məlumatların mühafizəsi tələbləri əhəmiyyətli dərəcədə dəyişə bilər.

: 8.2z versiyasının özəlliyi nədir? Niyə orada şəxsi məlumatlar qorunur və səkkiz proqramın digər versiyalarında şəxsi məlumatların qorunması baxımından nə yanlışdır?

İrina Baimakova : ZPK "1C:Enterprise, version 8.2z" - 1C:Enterprise 8.2 texnologiya platformasının sertifikatlaşdırılmış versiyası. Sertifikatlaşdırılmış versiya ilə adi versiya arasında funksional fərqlər yoxdur. Rusiyanın FSTEC tələbləri nəzərə alınmaqla edilən təkmilləşdirmələr texnoloji platformanın həm adi, həm də sertifikatlaşdırılmış versiyalarında həyata keçirilib.

"1C: Müəssisə, versiya 8.2z" ZPC-dən istifadə, uyğunluqdan keçmiş informasiya təhlükəsizliyi vasitələrindən məcburi istifadə baxımından "Fərdi məlumatlar haqqında" Federal Qanunun 19-cu maddəsinin 2-ci maddəsində nəzərdə tutulmuş tələbi yerinə yetirməyə imkan verir. proqram təminatı 1C məhsullarından istifadə etməklə işlənmiş şəxsi məlumatlarla bağlı qiymətləndirmə.

Qeydiyyatdan keçməmiş istifadəçi : Proqramın şəxsi məlumatların qorunması sahəsində necə bir panacea ola biləcəyini həqiqətən təsəvvür edə bilmirəm. Bəs bədnam insan faktoru haqqında nə demək olar? Axı proqramda insanlar işləyir.

İrina Baimakova : Bu halda proqramın panacea olduğunu deyə bilmərik. Təhlükəsiz proqram paketi "1C:Enterprise, version 8.2z" informasiya təhlükəsizliyi sistemini qurmağa və fərdi məlumatlar sahəsində Rusiya Federasiyasının mövcud qanunvericiliyinin tələblərinə uyğunluğu təmin etməyə imkan verən "tikinti bloklarından" biridir. müdafiə.

Qeydiyyatdan keçməmiş istifadəçi : Qorunan 1-lərin məlumat sızması halları olubmu?

İrina Baimakova : Məndə belə məlumat yoxdur.

Qeydiyyatdan keçməmiş istifadəçi : 1C məlumatların itirilməsi və sızması üçün məsuliyyət daşıyırmı?

İrina Baimakova : Məlumatların itirilməsinə görə məsuliyyət şəxsi məlumat operatorunun üzərinə düşür.

Qeydiyyatdan keçməmiş istifadəçi : ZPK "1C: Enterprise, 8.2z" istifadə etmək kimə lazımdır? ZPK-nın çatdırılma paketinə nə daxildir?

İrina Baimakova

ZPK "1C:Enterprise, version 8.2z" dəstinə texnoloji platformanın paylama dəsti, forma və sənədlər daxildir.

Qeydiyyatdan keçməmiş istifadəçi : Şəxsi məlumatların qorunması üçün başqa hansı proqram məhsullarından istifadə edilə bilər?

İrina Baimakova : Bazarda çoxlu sayda informasiya təhlükəsizliyi alətləri mövcuddur. Müəyyən bir məhsuldan istifadə ehtiyacı müəyyən edilmiş cari təhdidlərdən və müəyyən bir operatorun şəxsi məlumatlarının qorunması tələblərindən asılıdır.

Qeydiyyatdan keçməmiş istifadəçi : Şəxsi məlumatlar üçün gördüyünüz əsas potensial təhlükələr hansılardır? Qoruma tam olaraq nəyi təmin edir və ya istisna edir?

Yuri Kontemirov : Əsas təhlükə şəxsi məlumatların sızması və qeyri-qanuni yayılmasıdır ki, bu da insan üçün mənfi nəticələrə və onun şəxsi həyatına müdaxiləyə səbəb ola bilər. Fərdi məlumatların həqiqi qorunmasına yalnız “insan” amilinə xüsusi diqqət yetirməklə, informasiya təhlükəsizliyinin təşkilinə inteqrasiya olunmuş yanaşma ilə təminat vermək olar.

Qeydiyyatdan keçməmiş istifadəçi : Sizcə, kiçik şirkətlər mühasibat məlumatlarının sızması ilə tez-tez qarşılaşırlar?

Yuri Kontemirov : Təəssüf ki, bu məsələ ilə bağlı məlumatım yoxdur.

Qeydiyyatdan keçməmiş istifadəçi : Niyə “1C: Enterprise 8.2z” təhlükəsiz adlanır? Onun digər məhsullardan əsas fərqi nədir?

İrina Baimakova : Bu halda, "qorunan" addır, yəni. elan edilməmiş imkanların olmaması və Rusiya FSTEC tərəfindən müəyyən edilmiş digər tələblərə uyğunluq üçün sınaq laboratoriyası tərəfindən sınaqdan keçirilmişdir.

ZPK "1C: Enterprise, version 8.2z" 1C proqram məhsullarından istifadə edən təşkilatlar və sahibkarlar tərəfindən fərdi məlumatlar üzrə mövcud qanunvericiliyin tələblərinə cavab verən xüsusi məhsuldur.

İstifadəçi Kaufen : Təşkilat ZPK "1C: Enterprise 8.2z" satın aldı. FSTEC sertifikatının olması ilə yanaşı, platforma ilə 1C: Enterprise 8.2 arasında əsas fərqlər nələrdir? Kimsə belə bir platforma ilə qarşılaşıb?

Əsas fərq ondan ibarətdir ki, sertifikatlaşdırılmış buraxılış sınaq laboratoriyası tərəfindən sınaqdan keçirilib və sertifikatda verilmiş tələblərə uyğunluğunu təsdiq edir, həmçinin ZPK formasında “1C:Enterprise, version 8.2z” verilmiş yoxlama məbləğlərini ehtiva edir.

Qeydiyyatdan keçməmiş istifadəçi : Biz büdcə təşkilatıyıq. Xüsusi olaraq dövlət işçiləri üçün ZPK "1C: Enterprise 8.2z" modifikasiyası varmı və dəstəklənən versiyanın qiyməti nə qədərdir?

İrina Baimakova : ZPK "1C:Enterprise, version 8.2z" 1C:Enterprise 8.2 texnoloji platformasının sertifikatlaşdırılmış versiyasıdır, istənilən standart konfiqurasiyalarla, o cümlədən büdcə təşkilatları üçün istifadə oluna bilər (məsələn, "1C: Hökumətin maaşları və işçiləri" təşkilat", "1C: Dövlət qurumunun mühasibat uçotu").

ZPK 1C-nin satışı və yenilənməsi proseduru: Müəssisə versiyası 8.2z" 1C şirkətinin 12891 nömrəli məlumat məktubunda müəyyən edilmişdir. Onu aşağıdakı linkdə tapa bilərsiniz - http://1c.ru/news/info.jsp ?id=12891

Qeydiyyatdan keçməmiş istifadəçi : Mühazirə və onlayn konfransın elanında Roskomnadzor tərəfindən nəzarət tədbirlərinin həyata keçirilməsi zamanı müəyyən edilmiş əsas səhvlərdən bəhs edilir. Bu barədə daha çox bilmək istərdim, şöbə ən çox hansı səhvləri müəyyən edir?

Yuri Kontemirov : Roskomnadzorun nəzarət tədbirləri zamanı aşkar edilən ən tipik qanun pozuntuları agentliyin saytında dərc olunan illik hesabatlarda öz əksini tapıb.

Qeydiyyatdan keçməmiş istifadəçi : Zəhmət olmasa bizə ZPK sertifikatı haqqında məlumat verin “1C: Enterprise, 8.2z versiyası”.

İrina Baimakova : 1C şirkəti tərəfindən həyata keçirilən sertifikatlaşdırmanın məqsədləri, proseduru, nəticələri ilə bağlı suallar ətraflı müzakirə olunur və buh.ru saytında, o cümlədən “Şəxsi hüquqların mühafizəsi haqqında qanunvericiliyə uyğunluq məqsədi ilə proqramların sertifikatlaşdırılması” məqaləsində təqdim olunur. məlumatlar” 2010-cu ildə ilkin sertifikatlaşdırma və 2013-cü ildə keçirilmiş sertifikatlaşdırma və sertifikatın yenilənməsi haqqında “Fərdi məlumatların mühafizəsi - 2011-2013-cü illər və ya iki illik dəyişikliklər” məqaləsində.

Qeydiyyatdan keçməmiş istifadəçi : Sizcə, şəxsi məlumatların sızmasının qarşısını almaq və onların mühafizə səviyyəsini artırmaq üçün yeni tədbirlərə ehtiyac varmı? Lazım gələrsə, hansılar?

Yuri Kontemirov : Şəxsi məlumatların sızmasının qarşısını almaq üçün ağlabatan inteqrasiya olunmuş yanaşma vacibdir və “insan” amilinə xüsusi diqqət yetirilməlidir.

Qeydiyyatdan keçməmiş istifadəçi : Fərdi sahibkarlar və kiçik müəssisələrin oxşar proqram məhsullarından istifadə etməsi məntiqlidirmi?

İrina Baimakova : alt uyğun olaraq. 3 "Şəxsi məlumatlar haqqında" 27 iyul 2006-cı il tarixli 152-FZ nömrəli Federal Qanunun 19-cu maddəsinin 2-ci bəndi, müəyyən edilmiş qaydada uyğunluğun qiymətləndirilməsi prosedurundan keçmiş məlumat təhlükəsizliyi vasitələrindən istifadə tədbirlərdən biridir. fərdi məlumatların işlənməsi zamanı onların təhlükəsizliyini təmin etmək.

Hökumətin 1 noyabr 2012-ci il tarixli 1119 nömrəli qərarının tələblərinə uyğun olaraq, Rusiya Federasiyasının informasiya təhlükəsizliyi sahəsində qanunvericiliyinin tələblərinə uyğunluğunun qiymətləndirilməsi prosedurundan keçmiş informasiya təhlükəsizliyi vasitələrinin istifadəsi məcburidir. mövcud təhlükələri neytrallaşdırmaq üçün belə vasitələrdən istifadə etmək lazımdır. Beləliklə, uyğunluğun qiymətləndirilməsindən keçmiş informasiya təhlükəsizliyi vasitələrindən, o cümlədən təhlükə modeli əsasında ZPK “1C:Enterprise, version 8.2z” istifadəsinə ehtiyac və ya ehtiyacın olub olmadığını müəyyən etmək mümkündür.

ZPK "1C: Enterprise, 8.2z versiyası" nın istifadəsi yuxarıda təsvir olunan mövcud qanunvericiliyin tələblərini, habelə Texniki və İxrac Nəzarəti Federal Xidmətinin əmri ilə nəzərdə tutulmuş bir sıra tələbləri ən aşağı qiymətə yerinə yetirməyə imkan verir. Rusiyanın 18 fevral 2013-cü il tarixli 21 nömrəli.

Qeydiyyatdan keçməmiş istifadəçi : Məlumatların pozulması hansı mənfi təsirlərə səbəb ola bilər? Məsələn, işçiləri olmayan fərdi sahibkarlar üçün.

İrina Baimakova : Əsas təhlükə şəxsi məlumatların sızması və qeyri-qanuni yayılmasıdır ki, bu da insan üçün mənfi nəticələrə və onun şəxsi həyatına müdaxiləyə səbəb ola bilər.

Fərdi sahibkarın işçiləri yoxdursa və müvafiq olaraq nə işçilərin, nə də digər şəxslərin şəxsi məlumatlarını emal etmirsə, bu halda şəxsi məlumatların mümkün sızmasını ehtimal etmək çətin ki.

Bütün fərdi məlumat operatorlarından fərdi məlumatların qorunması və saxlanması üçün bir sıra tələbləri yerinə yetirməyi tələb edən 152 nömrəli "Fərdi məlumatlar haqqında" Federal Qanun qüvvəyə minmişdir.

152-FZ-ə uyğun olaraq, fərdi məlumatların emalı üçün 1C-də məlumat sistemlərinin yerləşdirilməsi üçün xidmətlər təqdim edirik. Hansı həll yollarınız var? Şəxsi məlumatların qorunması üzrə 1C (ISPDn)?

1C şirkəti Rusiyanın FSTEC tərəfindən verilmiş 2137 nömrəli uyğunluq sertifikatı almışdır ki, bu da təhlükəsiz proqram paketinin (ZPK) “1C:Enterprise, version 8.2z” daxili quraşdırılmış ümumi təyinatlı proqram təminatı kimi tanındığını təsdiq edir. informasiyanı dövlət sirri təşkil edən məlumatları ehtiva etməyən məlumatlara icazəsiz daxil olmaqdan (NSD) qorumaq vasitələri.

Sertifikatlaşdırma nəticələrinə əsasən, 4-cü nəzarət səviyyəsində elan edilməmiş imkanların (NDC) olmamasının monitorinqi səviyyəsinə uyğun olaraq, 5-ci sinif təsirsiz fəaliyyətdən qorunmaq üçün idarəetmə sənədlərinin tələblərinə uyğunluğu təsdiq edilmişdir. 1G (yəni AC) təhlükəsizlik sinfinə qədər avtomatlaşdırılmış sistemlərin (AS) yaradılması üçün istifadə təsdiqləndi , o cümlədən LAN-da məxfi məlumatın qorunmasını təmin edən, həmçinin K1 sinfinə qədər fərdi məlumatların məlumat sistemlərində (PDIS) məlumatların qorunması üçün daxil olmaqla.

1C platformasının sertifikatlaşdırılmış nüsxələri № G 420000-dən № G 429999-a qədər uyğunluq nişanları ilə qeyd olunur.

1CAir bu proqramları icarəyə verir. Onu istifadə etməyə necə başlamaq lazımdır?

152-FZ-ə uyğun olaraq 1C-də fərdi məlumatların emalı sistemini necə yaratmaq olar?

“1C:Enterprise 8.2” platformasında hazırlanmış bütün konfiqurasiyalar istənilən sinifdə fərdi məlumatların məlumat sistemini yaratmaq üçün istifadə edilə bilər və tətbiqi həllərin əlavə sertifikatlaşdırılması tələb olunmur.

1C-dən əlavə açıqlamalar alındı:

1. "Fərdi məlumatlar haqqında" 152-FZ saylı Federal Qanunun özü proqram təminatı üçün heç bir tələb qoymur (bu gün qüvvədə olan düzəlişlə).

2. İnformasiya təhlükəsizliyi vasitələrinin uyğunluğunu qiymətləndirmək zərurəti tələbi Rusiya Federasiyası Hökumətinin 17 noyabr 2007-ci il tarixli 781 nömrəli "Təhlükəsizliyin təmin edilməsi haqqında Əsasnamənin təsdiq edilməsi haqqında" Fərmanı ilə daxil edilmiş Əsasnamənin 5-ci bəndində verilmişdir. fərdi məlumatların fərdi məlumat sistemlərində emalı zamanı.”

3. Birbaşa, proqram təminatına olan tələblər Rusiya FSTEC-in 58 nömrəli əmri ilə nəzərdə tutulmuşdur.Xüsusən, girişə nəzarət, qeydiyyat və uçot və bütövlüyünə nəzarət alt sistemləri üçün tələblər nəzərdə tutulmuşdur. Bu alt sistemlər konfiqurasiyalara deyil, yalnız texnoloji platformaya aiddir.

4. Sertifikatlaşdırma aparılarkən ilkin olaraq konfiqurasiyalara (texniki şərtlərə) tələblərin təmin edilməsi nəzərdə tutulmuşdu. Bununla belə, sertifikatlaşdırma başa çatdıqdan sonra sınaq laboratoriyası konfiqurasiyalar üçün hər hansı tələbləri təqdim etməkdən imtina etdi.

Belə ki, mövcud qanunvericilik informasiya təhlükəsizliyi vasitəsi olmayan, standart konfiqurasiyaları ehtiva edən proqram məhsullarının sertifikatlaşdırılmasını (və ya digər uyğunluğunun qiymətləndirilməsini) nəzərdə tutmur və konfiqurasiya üçün texniki şərtlər yoxdur. Müvafiq olaraq, bu platforma üçün istənilən konfiqurasiya təhlükəsiz proqram paketi ilə istifadə edilə bilər.

Üstəlik, sertifikatlaşdırma zamanı obyekt təkcə proqramlar deyil, bütün inzibati qaydalar və tədbirlərin kompleksi (təhlükəsizlik tələbləri, təhlükə modeli, təsnifat aktları, fərdi məlumatların mühafizəsi planı və s.) və təşkilatda istifadə olunan bütün informasiya sistemidir.
Fərdi məlumatların emalı operatoru fərdi məlumat sisteminə müvafiq sinif təyin etmək qərarına gəlməlidir.

Məlumatların Rusiya Federasiyasının hüdudlarından kənarda saxlanmasına baxmayaraq, 152-FZ saylı Federal Qanun birbaşa məlumatların transsərhəd ötürülməsi imkanını, yəni 12-ci maddəni nəzərdə tutur. Fərdi məlumatların avtomatlaşdırılmış emalı altında Avropa Şurasının Fiziki şəxslərin Müdafiəsi Konvensiyasının tərəfləri olan, habelə fərdi məlumat subyektlərinin hüquqlarının lazımi səviyyədə qorunmasını təmin edən digər xarici ölkələr bu Federal Qanuna uyğun olaraq həyata keçirilir. ..”. Məktubda deyilir ki, şəxsi məlumatlar yalnız bu Konvensiyanı imzalamış Avropa ölkələrinin məlumat mərkəzlərində saxlanılır Rusiya Federasiyasının Rabitə və Kütləvi Rabitə Nazirliyi "Şəxsi məlumatların transsərhəd ötürülməsinin həyata keçirilməsi haqqında".
152-FZ saylı Qanunun 12-ci maddəsinin 3-cü bəndinə əsasən, biz əminik ki, fərdi məlumatların transsərhəd ötürülməsinə başlamazdan əvvəl fərdi məlumat subyektlərinin hüquqlarının adekvat müdafiəsi təmin edilir. Bu, məlumat mərkəzləri ilə müqaviləmizdə qeyd olunur və Müştəri Müqaviləsində öz əksini tapır.

Hazırda “1C: Enterprise, versiya 8.2” standart platforması yuxarıda göstərildiyi kimi məlumatların qorunması tələbləri ilə istifadə olunur. Buna görə də, 1CAir-in köməyi ilə K2 daxil olmaqla, fərdi məlumatların informasiya sistemlərində (PDIS) informasiya təhlükəsizliyi sistemləri qurmaq mümkündür.

1CAir-in istifadəsinə baxmayaraq, təşkilatınız biz deyil, şəxsi məlumatlarınızın emalı operatoru olaraq qalır. Siz öz təhlükəsizlik modelinizi yaradırsınız və bu modelə uyğun olaraq mühafizə parametrlərini müəyyənləşdirirsiniz. Bu texniki parametrlərdən istifadə edərək, bizdən belə bir xidmət təqdim edib-etmədiyimizi öyrənə bilərsiniz (məsələn, şifrələmə) və 1CAir-də proqramlardan istifadə edərək istədiyiniz sistemi yarada bilərsiniz.

Jurnalın səhifələrində biz "Şəxsi məlumatlar haqqında" 27 iyul 2006-cı il tarixli 152-FZ nömrəli Federal Qanuna uyğun olaraq təşkilati tədbirlərin görülməsinin zəruriliyi barədə dəfələrlə yazmışıq. 2011-ci il yanvarın 1-dən bu qanun tam qüvvəyə minəcək və müvafiq olaraq fərdi məlumatların mühafizəsini təmin etmək üçün təşkilatlara əlavə vəzifələr veriləcək. Onların arasında informasiya təhlükəsizliyi proqram təminatının elan olunmamış imkanlarının olmamasına nəzarət etmək lazımdır. Təklif olunan məqalədə İ.A. Baymakova (1C-də metodist) 1C proqram məhsullarının istifadəçiləri arasında ən çox verilən suallara cavab verəcək.

1 yanvar 2011-ci il tarixinə qədər çox vaxt yoxdur, "Şəxsi məlumatlar haqqında" (bundan sonra 152-FZ saylı Federal Qanun) tam qüvvəyə minir. Demək olar ki, bütün təşkilatlar və sahibkarlar olan getdikcə daha çox fərdi məlumat operatorları bu qanunun və qaydaların tələblərinə riayət etmək üçün bir sıra fəaliyyətlər planlaşdırır və həyata keçirirlər.

1) Sertifikatlaşdırma hansı normativ hüquqi aktlarda nəzərdə tutulub?
2) Sertifikatlaşdırılmış proqram təminatından kim və nə vaxt istifadə etməlidir?
3) Proqram təminatını kim sertifikatlaşdıra bilər?
4) Sertifikatlaşdırılmış proqramdan istifadə şəxsi məlumatların mühafizəsini təmin etmək üçün kifayətdirmi?

Fərdi məlumatların mühafizəsi üzrə qanunvericiliyə uyğunluq məqsədi ilə proqramların sertifikatlaşdırılması

"Fərdi məlumatlar haqqında" 27 iyul 2006-cı il tarixli 152-FZ nömrəli Federal Qanunun (bundan sonra 152-FZ №-li Federal Qanunu) tam qüvvəyə mindiyi tarixə 2011-ci il yanvarın 1-nə qədər çox vaxt qalmayıb. ). Demək olar ki, bütün təşkilatlar və sahibkarlar olan getdikcə daha çox fərdi məlumat operatorları bu qanunun və qaydaların tələblərinə riayət etmək üçün bir sıra fəaliyyətlər planlaşdırır və həyata keçirirlər.

1C proqram məhsullarının istifadəçiləri istifadə etdikləri proqram məhsulunun sertifikatlı olub-olmaması ilə maraqlanırlar. Bu yazıda bu suala cavab verəcəyik, lakin əvvəlcə problemə bir az daha dərindən baxmağa və aşağıdakı sualları nəzərdən keçirməyə çalışacağıq:

FSTEC 8.2 texnoloji platforma versiyasının tam dəstini (bütün növ proqram serverləri daxil olmaqla) özündə birləşdirən “1C: Enterprise, 8.2z” təhlükəsiz proqram kompleksinin sertifikatlaşdırılmasını (152-FZ “Şəxsi məlumatlar haqqında”) başa çatdırmışdır. Platformanın 10 min nüsxəsi üçün 2137 nömrəli uyğunluq sertifikatı alınıb (20 iyul 2013-cü il tarixinədək etibarlıdır). Bu sertifikat təsdiq edir ki, 1C: Enterprise 8.2z proqram paketi dövlət sirri təşkil edən məlumatları ehtiva etməyən məlumatların icazəsiz girişindən informasiyanı qorumaq üçün daxili vasitələrə malik ümumi təyinatlı proqram təminatı kimi tanınır. Sertifikatlaşdırma nəticələrinə əsasən idarəetmə sənədlərinin tələblərinə uyğunluğu təsdiq edilmişdir:

NSD-dən qorunma baxımından, sinif 5
Uyğun olmayan materialların olmamasına nəzarət səviyyəsinə görə - 4-cü nəzarət səviyyəsinə görə
1G inklüziv sinfinə qədər AS-nin yaradılması, habelə K1 daxil olmaqla, fərdi məlumatların informasiya sistemlərində məlumatların mühafizəsi üçün istifadənin mümkünlüyü təsdiq edilib.B.

Aşağıdakı proqramlar sertifikatlaşdırılır:

İcazəsiz girişdən qorunmaq üçün təlimatların tələblərinə uyğunluq üçün "1C: Müəssisə, versiya 8.2z" qorunan aparat və proqram kompleksi - sinif 5. 4-cü nəzarət səviyyəsinə uyğunsuzluğun yoxluğuna nəzarət səviyyəsinə görə təsnifat, 1G sinfinə qədər avtomatlaşdırılmış sistemlərdə istifadə, habelə emalı üçün ISPD-yə daxil edilmiş informasiya təhlükəsizliyi tələblərinə uyğunluq. K2 sinfinə qədər olan şəxsi məlumatlar (sertifikatın alınması üçün gözlənilən vaxt 2010-cu ilin yanvar-fevral aylarıdır);
K3 daxil olmaqla şəxsi məlumatların emalı üçün “1C:Enterprise, versiya 7.7z” təhlükəsiz proqram və aparat kompleksi (sertifikatın alınması üçün gözlənilən vaxt 2010-cu ilin fevralıdır).

Qanunun yalnız 2011-ci il yanvarın 1-dən tam qüvvəyə minməsinə baxmayaraq, sadalanan məlumatların mühafizəsi siniflərinə uyğunluğun arxasında nəyin gizləndiyini nəzərdən keçirək.

Şəxsi məlumatların qorunması üçün K2 sinifinə uyğunluq

Nəzərə alın ki, müxtəlif hüquqlara malik çox istifadəçi giriş rejimində K2 sinif sistemlərinə aşağıdakı tələblər tətbiq edilir:

Ən azı altı hərf-rəqəmdən ibarət şərti daimi paroldan istifadə etməklə informasiya sisteminə daxil olarkən istifadəçinin identifikasiyası və autentifikasiyası.
İstifadəçinin sistemə girişinin (çıxışının) qeydiyyatı (sistemdən) və ya əməliyyat sisteminin yüklənməsinin və işə salınmasının və onun proqram təminatının dayandırılmasının qeydiyyatı. İnformasiya sisteminin texniki təchizatının dayandırılması anlarında sistemin çıxışının və ya bağlanmasının qeydiyyatı aparılmır. Qeydiyyat parametrləri istifadəçinin sistemə daxil olma (çıxış) və ya yükləmə (bağlama) tarixi və vaxtını, giriş cəhdinin nəticəsini (uğurlu və ya uğursuz), giriş cəhdi zamanı təqdim olunan istifadəçi identifikatorunu (kod və ya soyadını) göstərir.
Bütün qorunan saxlama vasitələrini qeyd etməklə və onların verilməsi (qəbul) haqqında qeydlə mühasibat jurnalına etimadnamələri daxil etməklə izlənilməsi
Fərdi məlumatların mühafizəsi sisteminin proqram təminatının, işlənmiş məlumatların bütövlüyünün, həmçinin proqram mühitinin dəyişməzliyinin təmin edilməsi. Bu halda, proqram təminatının bütövlüyü informasiya təhlükəsizliyi vasitələrinin komponentlərinin yoxlama məbləğlərindən istifadə etməklə sistem yüklənərkən yoxlanılır və proqram mühitinin bütövlüyü yüksək səviyyəli dillərdən tərcüməçilərin istifadəsi və olmaması ilə təmin edilir. qorunan məlumatların işlənməsi və (və ya) saxlanması zamanı proqramların obyekt kodunun dəyişdirilməsi vasitələri
İnformasiya sisteminin (qurğuların və saxlama vasitələrinin) fiziki təhlükəsizliyi, informasiya sisteminin binalarına icazəsiz şəxslərin girişinə nəzarəti, informasiya sisteminin binalarına icazəsiz daxil olmaq üçün etibarlı maneələrin olmasını və saxlama vasitələrinin saxlanmasını təmin edən
İcazəsiz giriş cəhdlərini simulyasiya edən test proqramlarından istifadə etməklə proqram mühiti və informasiya sisteminin istifadəçiləri dəyişdikdə fərdi məlumatların mühafizəsi sisteminin funksiyalarının dövri sınaqdan keçirilməsi.
İnformasiyanın mühafizəsi vasitələrinin proqram komponentlərinin iki nüsxəsinin saxlanmasını, onların vaxtaşırı yenilənməsini və işinə nəzarəti təmin edən fərdi məlumatların mühafizəsi sisteminin bərpası üçün vasitələrin mövcudluğu

K2 sinifinə uyğun olmaq üçün 1C şirkətləri 1C: Enterprise 8.2 platformasında işləyən konfiqurasiyalarda "Şəxsi Məlumatların Mühafizəsi" sekmesinde konfiqurasiya edilə bilən bir sıra hadisələri qeyd etmək imkanı tətbiq etdilər.

Məlumata icazəsiz daxil olmaqdan qorunmaq üçün təlimatların tələblərinə uyğunluq (sinif 1G)

Şəxsi məlumatların qorunması üçün K2 sinfinə əlavə olaraq, 1G NSD sinfinə olan tələblər girişə nəzarət, mühasibat uçotu və bütövlük alt sistemləri üçün tələbləri müəyyən edir. Misal üçün:

Proqram vasitələri (proqramlar, proseslər, tapşırıqlar, tapşırıqlar) tərəfindən qorunan fayllara daxil olmaq cəhdlərinin qeydiyyatı
Əlavə qeydiyyat parametrləri göstərilməklə çap (qrafik) sənədlərin “kağız” nüsxədə verilməsinin qeydiyyatı

Nəzarətin 4-cü səviyyəsində elan edilməmiş imkanların olmamasına nəzarət səviyyəsinə uyğunluq

4-cü səviyyə nəzarəti üçün tələblərə aşağıdakılar daxildir:

Sənədlərin tərkibinə və məzmununa nəzarət (proqram təminatına daxil edilmiş faylların yoxlama məbləğlərini göstərən proqramın təsviri, proqram təminatına daxil olan proqramların mənbə kodları)
Proqram təminatının ilkin vəziyyətinin monitorinqi (cari proqram təminatı yoxlama məbləğlərinin hesablanması və ilkin vəziyyətlə müqayisəsi)
Proqram mənbə kodlarının statik təhlili (fayl səviyyəsində proqram mənbə kodlarının tamlığına və artıqlığının olmamasına nəzarət, proqram təminatının mənbə mətnlərinin onun yükləmə koduna uyğunluğunun monitorinqi)
1-3 üçün hesabatların yaradılması

ZPK çatdırılma dəstinə aşağıdakılar daxildir:

"1C: Enterprise 8.2z" sertifikatlı platformasının paylama dəsti
yoxlama məbləği ilə forma
qorunan məhsulun qeydiyyat kartı
spesifikasiya
tətbiq təsviri
sınaq sənədləri
proqramın təsviri
FSTEC sertifikatının surəti

Böyütmək üçün klikləyin

Siz indi 8.2z ala bilərsiniz!

Məhsulu ünvanından sifariş edə bilərsiniz [email protected]

Rusiyanın istənilən şəhərində ofisinizə çatdırılma bizim hesabına sizin üçün pulsuzdur.

1 iyul 2017-ci il tarixində Rusiya Federasiyasının İnzibati Xətalar Məcəlləsinin 13.11-ci maddəsinə edilən dəyişikliklər qüvvəyə minib, buna görə fərdi məlumatlar (PD) sahəsində qanunvericiliyin pozulmasına görə cərimələr əhəmiyyətli dərəcədə artırılıb.

Onlayn mağazalarda alış-veriş edərkən, alıcılar özləri haqqında bəzi məlumatları - tam ad, çatdırılma ünvanı və digər əlaqə məlumatları buraxırlar. Buna görə də, onlayn mağazaların sahibləri bu məsələni diqqətlə öyrənməli və İnternetdə ticarət edərkən 27 iyul 2006-cı il tarixli 152-FZ nömrəli "Şəxsi məlumatlar haqqında" Federal Qanunun tələblərinə uyğunluğunu təmin etməlidirlər.

Biz sizə kataloqumuzdan hansı kassa aparatının biznesiniz üçün uyğun olduğunu söyləyəcəyik.

Onlayn mağazanın ziyarətçisi olan fərdin şəxsi məlumatlarına nə aiddir

Şəxsi məlumatlar birbaşa və ya dolayısı ilə müəyyən bir şəxsə aid olan və ya onu müəyyən etməyə imkan verən hər hansı bir məlumatdır (152-FZ nömrəli “Fərdi məlumatlar haqqında” Qanunun 3-cü maddəsinin 1-ci bəndi).

Onlayn mağazanın işinin təşkili kontekstində, fərdi məlumatlar, prinsipcə, hətta kukiləri də əhatə edə bilər - xüsusən də xüsusi istifadəçilər üçün məhsul təkliflərini fərdiləşdirmək üçün istifadə olunur. Bu cür faylların şəxsi məlumatlar kimi təsnifatını təsdiqləyən məhkəmə presedentləri var - məsələn, Moskva Arbitraj Məhkəməsinin 11 mart 2016-cı il tarixli A40-14902/2016-84-126 saylı işi üzrə Qərarı 11.

Şəxsi məlumatlar ola bilər:

işlənmiş;
ümumi;
dəyişdirildi;
müəyyən şəxslərə verilmiş (açıqlanmış);
silindi.

Bu hərəkətlər şəxsi məlumat operatoru tərəfindən həyata keçirilir. Bu, istənilən fiziki şəxs, təşkilat, dövlət və ya bələdiyyə orqanı ola bilər. Əlbəttə ki, bir onlayn mağaza da daxil olmaqla - fiziki şəxs (İP) tərəfindən yaradılmış və ya hüquqi şəxsə məxsusdur.

Buna görə də, şəxsi məlumatların operatoru olmaq, onlayn mağaza 152-FZ saylı Qanunun normalarına riayət etməyə borcludur. Bəs hansı hallarda belə status qazanır?

Fərdi məlumatların operatoru statusunu əldə etmək üçün sahibkarlıq subyekti yalnız onların işlənməsini xarakterizə edən hər hansı proseduru tamamlamalıdır, xüsusən:

kolleksiya;
qeyd;
sistemləşdirmə;
akkumulyasiya;
aydınlaşdırılması;
ərizə;
yayılması.

Yəni, ən azı birinci proseduru - məlumatların toplanması (praktikada - onlayn forma vasitəsilə müştəridən qəbul) həyata keçirərək, onlayn mağaza operator olur və 152 saylı Qanunun müddəalarına riayət etmək öhdəliyinə malikdir. FZ.

Fərdi məlumatlar haqqında qanunvericiliyə əməl olunmasının tələb olunduğu hüquqi münasibətlərin ayrıca bir seqmenti onlayn mağazanın işəgötürən və onun işçiləri kimi qarşılıqlı əlaqəsidir (onlayn mağazanın həm uzaqdan, həm də oflayn şöbələrində işləyir). Bununla belə, belə hüquq münasibətləri, ümumiyyətlə, həyata keçirdikləri fəaliyyət növündən asılı olmayaraq, işəgötürənlərin və işçilərin qarşılıqlı əlaqəsi üçün (uzaqdan və ya oflayn) müvafiq olan hüquq normalarının yurisdiksiyasında həyata keçirilir.

Öz növbəsində, xüsusi olaraq onlayn mağaza və onun müştəriləri arasında məlumat mübadiləsi ayrı və əslində unikaldır - 152-FZ saylı Qanunun normalarının tətbiqi baxımından bir işin olduğu hüquqi münasibətlərin bir seqmenti. qurum qanunvericiliyə uyğun olaraq geniş hüquq və öhdəliklərə malikdir.

152-FZ saylı Qanunun müddəalarına riayət etmək zərurəti ilə əlaqədar onlayn mağazanın tam olaraq hansı öhdəlikləri yerinə yetirməli olduğunu daha ətraflı nəzərdən keçirək.

Yandex Zen-də kanalımıza abunə olun - Onlayn kassa aparatı !
Ən isti xəbərləri və həyat hiylələrini ilk alan siz olun!

152-FZ saylı Federal Qanunun tələblərini yerinə yetirmək üçün onlayn mağaza nə etməlidir

Hər hansı bir şəxsi məlumat operatorunun (və onlayn mağaza da istisna deyil) əsas məsuliyyəti onların emalı proseduruna riayət etməkdir. Bu prosedurun əsas şərti fərdi məlumatların subyektindən (yəni alıcıdan) belə emal üçün razılığın alınmasıdır.

Belə razılıq istənilən etibarlı formada əldə edilə bilər (152-FZ saylı Qanunun 9-cu maddəsinin 1-ci bəndi). Lakin qanunla nəzərdə tutulmuş hallarda belə razılıq yazılı şəkildə - yəni kağız üzərində və ya elektron imza ilə təsdiq edilmiş elektron sənəddən istifadə etməklə tələb olunur (152-FZ saylı Qanunun 9-cu maddəsinin 4-cü bəndi).

Onlayn mağazada malların alınması qanunla birbaşa şəxsi məlumat subyektinin yazılı razılığını tələb edən əməliyyatlar kimi təsnif edilmir. Buna görə də, bu cür razılığın alınması, prinsipcə, istənilən formada mümkündür - bununla belə, fərdi məlumatların operatora ötürülməsini təsdiqləmə faktını aydın şəkildə təsdiqləməyə imkan verməlidir.

Fərdi məlumat operatorunun növbəti vəzifəsi fərdi məlumat subyektlərinin qanuni hüquqlarının həyata keçirilməsinə yönəlmiş tədbirlər həyata keçirməkdir. Xüsusilə, hüquqdan danışırıq:

onlayn mağazanın PD qəbul etdiyini və onu emal etməyə başladığını təsdiqləmək;
şəxsi məlumatların emalının məqsədləri və üsulları haqqında məlumat almaq;
şəxsi məlumatların emalı ilə məşğul olan şəxslərlə (operatorun heyətində işləyən şəxslər istisna olmaqla) tanış olmaq.

Fərdi məlumat operatorlarının digər mühüm öhdəliklərinə məlumatların məxfiliyini qorumaq daxildir. Onlayn mağazanın müştərisi öz məlumatlarının digər şəxslərə yayılmasına razılıq verməmişdirsə, o zaman sahibkarlıq subyektinin bunu etmək hüququ yoxdur - və ya şəxsi məlumatları başqa şəkildə açıqlamaq (152-FZ saylı Qanunun 7-ci maddəsi) . Eyni zamanda, razılıq alınsa belə, onlayn mağazanın özü onlayn mağazanın müştərisinin şəxsi məlumatlarını almış üçüncü şəxslərin hərəkətlərinə görə məsuliyyət daşıyır (152-FZ saylı Qanunun 6-cı maddəsinin 5-ci bəndi).

Şəxsi məlumatların işlənməsini xarakterizə edən vacib bir nüansdır operatorun məlumatları Rusiyada yerləşən serverlərə yerləşdirmək öhdəliyi- qanunla başqa hal nəzərdə tutulmayıbsa (152-FZ saylı Qanunun 18-ci maddəsinin 5-ci bəndi). Rus onlayn mağazalar istisnalara düşmür və buna görə də bu qanunun aliliyinə riayət etməlidirlər.

Ayrı bir məsələ, fərdi məlumatların operatorunun, Sənətin 1-ci bəndinin göstərişlərinə uyğun olaraq, Roskomnadzor-a emal edildiyi barədə bildiriş təqdim etməsi ehtiyacıdır. 152-FZ saylı Qanunun 22. Ümumiyyətlə, belə bir bildiriş tələb olunur. Lakin Sənətin 2-ci bəndinin müddəaları. 152-FZ saylı Qanunun 22-si bu qaydaya geniş istisnalar nəzərdə tutur.

Xüsusilə, sub. 2 səh 2 bənd. 152-FZ saylı Qanunun 22-si, operatorların fərdi məlumatların subyekti ilə bağlanmış müqavilənin icrası zamanı bildiriş təqdim etməmək hüququna malik olduğunu və fərdi məlumatların subyektin razılığı olmadan üçüncü şəxslərə verilməməsi şərti ilə təmin edilir. Mağaza ilə alıcı arasında bağlanan alqı-satqı müqaviləsi tam olaraq belə meyarlara aiddir. Buna görə də, ümumi halda, bir onlayn mağazanın müştərilərlə qarşılıqlı əlaqə qurarkən sözügedən bildirişləri təqdim etməsinə ehtiyac yoxdur (lakin bu qaydadan istisnalar mümkündür - bunları məqalədə daha sonra nəzərdən keçirəcəyik).

Beləliklə, fərdi məlumat operatorunun əsas vəzifələri bunlardır:

onların işlənməsi üçün razılıq almaq;
şəxsi məlumatların məxfiliyini təmin etmək;
digər qanuni tələbləri yerinə yetirmək (Rusiya ərazisində PD yerləşdirilməsi, PD subyektlərinin onlardan necə istifadə edilməsi ilə bağlı sorğularının yerinə yetirilməsi haqqında).

Bu vəzifələrin bir onlayn mağaza tərəfindən texniki olaraq necə yerinə yetirilə biləcəyini daha ətraflı öyrənək.

Bütün növ bizneslər üçün onlayn kassa aparatları! Rusiya daxilində çatdırılma.

Sorğu buraxın və 5 dəqiqə ərzində məsləhət alın.

İnternet vasitəsilə şəxsi məlumatların emalına razılığı necə əldə etmək olar

Beləliklə, onlayn mağazaların fəaliyyəti ilə bağlı qanun fərdi məlumatların emalı üçün yazılı razılığın alınması üçün tələblər müəyyən etmədiyi üçün belə razılıq istənilən etibarlı yolla əldə edilə bilər. Bəs tam olaraq hansı?

Burada mümkün variantlar bunlardır:

Bir onlayn mağaza sifariş forması vasitəsilə şəxsi məlumatları tələb etdikdə.

Bu halda, məlumatların emalına razılıq, sifariş məlumatlarının forma vasitəsilə göndərilməsinin yalnız " kimi" kimi ifadənin olduğu sətirin qarşısında bir işarə (və ya oxşar funksiyanı yerinə yetirən başqa bir forma elementi) qoyulduqda mümkün olacağı şərt qoymaqla əldə edilə bilər. Mən bu forma vasitəsilə operatora ötürülən şəxsi məlumatların emalına razıyam”.

Razılıq adətən aşağıdakıları əks etdirir:

sənədin operatora təqdim edilməsi məqsədi (onlayn mağazada - malların çatdırılması və alqı-satqı proseduru ilə müəyyən edilmiş digər məqsədlər üçün);
operatora ötürülən PD-nin siyahısı;
PD-nin saxlanması şərtləri və qaydası;
PD-nin müəyyən üçüncü tərəflərə ötürülməsi proseduru (məsələn, malların çatdırılması xidməti).

Eyni zamanda, onay qutusunun və Razılığa keçidin yanında, 152-FZ saylı Qanuna uyğun olaraq onlayn mağaza tərəfindən şəxsi məlumatların işlənməsi prosedurunu ətraflı izah edən xüsusi sənədə keçid əlavə etməlisiniz - Məxfilik Siyasəti . Sifariş formasına əlavə olaraq təqdim edilə bilər. Linkin təsvirində “Mən bu formaya əlavə ilə tanış oldum və bu, qanunvericiliyə uyğun olaraq fərdi məlumatların emalı prosedurunu əks etdirən” kimi səslənə biləcək ifadələrdən ibarət olmalıdır.

Məxfilik Siyasəti ictimai sahədə dərc edilməli olan bir sənəddir. Bundan əlavə, onlayn mağazanı yaradan təşkilatın yerli tənzimləmə çərçivəsinin bir hissəsi hesab edilə bilər. Buna görə də, sahibkarlıq subyektinin işçilərindən təsdiq edilmiş Siyasətə əməl etmələri tələb edilməlidir.

Siyasət adətən daxildir:

ümumi müddəalar;
təsərrüfat subyekti tərəfindən PD-nin toplanması məqsədlərini əks etdirən ifadə;
fərdi məlumatların toplanmasının hüquqi əsasları haqqında müddəalar;
istifadə olunan PD-nin təsnifatı, onlarla işləmə qaydası və şərtləri;
fərdi məlumatların subyektləri tərəfindən qanunla müəyyən edilmiş hüquqların həyata keçirilməsinin təmin edilməsi qaydası.

Siyasət aşağıdakıları əks etdirə bilər:

onlayn mağaza istifadəçilərin şəxsi məlumatların emalı haqqında məlumat tələb etmək hüquqlarını necə təmin edir;
məlumatların saxlanması necə təşkil olunur (bu halda müştəri PD ilə serverlərin Rusiyada yerləşdiyini müəyyən etməyə imkan verən məlumat verilə bilər).

Bir onlayn mağaza bir reklam poçt forması vasitəsilə şəxsi məlumatları tələb etdikdə (saytdan tematik materiallara abunə - məsələn, endirimli bukletlər, promosyon kodları).

Burada şəxsi məlumatların toplanması oxşar sxemə uyğun olaraq həyata keçirilə bilər - "Razıyam" maddəsinin yanındakı bir onay qutusu, Razılıq faylı və onlayn mağazanın alıcısının onlayn mağazanın alıcısı olduğunu əks etdirən Məxfilik Siyasətinə keçiddən istifadə etməklə Siyasəti oxudu.

İT mütəxəssisləri və fərdi məlumatlar üzrə qanunvericilik sahəsində ekspertlər arasında geniş yayılmış fikir var ki, ona görə, şəxsin fərdi məlumatların emalına razılığının alınması onun “artıq etibarlılığının” müəyyən edilməsini nəzərdə tutan rejimdə aparılmalıdır. iradənin ifadəsi. Razılıq və Məxfilik Siyasətinə keçid olan bir onay qutusundan istifadə edən ümumi sxem bu cür ekspertlər tərəfindən tənqidi mövqedən nəzərdən keçirilir - və bunu əsassız olaraq söyləmək lazımdır, çünki ekspertlərin fikrincə:

onay qutusu təsadüfən yoxlana bilər;
onlayn forma xəta ilə yüklənə bilər - alternativ olaraq, Məxfilik Siyasətinə keçid olmadan, onay işareti və ya müşayiət olunan ifadələr olmadan;
İstifadəçi təsadüfən və ya qəsdən başqasının şəxsi məlumatlarını forma daxil edə bilər.

Bu nüansları nəzərə alaraq, nəzərdən keçirilən sistemin əsas elementlərini təsdiq işarəsi, Razılıq və Məxfilik Siyasətinə keçid şəklində saxlamaqla, ikinci dərəcəli razılığın alınması mexanizmi ilə əlavə etmək təklif olunur. Bir onlayn mağaza vəziyyətində belə bir mexanizmin təşkili üçün seçimlər ola bilər:

Satın almadan əvvəl məcburi istifadəçi qeydiyyatı.

Bu cür qeydiyyat faktiki olaraq eyni formanın onay işarəsi, Razılıq və Məxfilik Siyasətinə keçid ilə doldurulmasını, sonradan onlayn mağaza tərəfindən istifadəçi tərəfindən qeydiyyatı təsdiq edən məktubun (və) göstərdiyi e-poçta göndərilməsini əhatə edir. eyni zamanda şəxsi məlumatların emalına razılığın verilməsi və Məxfilik Siyasəti ilə tanışlıq faktını təsdiq etmək).

Bu halda, forma istifadəçinin sonradan onlayn mağazanın veb saytında öz hesabına daxil olmaq üçün istifadə edəcəyi giriş və şifrənin göstərilməsini tələb edir.

İstifadəçi qeydiyyatı məktubla təsdiqləməzsə, şəxsi məlumatların emalına razılıq alınmış sayılmayacaq (lakin eyni zamanda istifadəçidən Məxfilik Siyasətini oxuması tələb olunduğu hesab ediləcək).

"Artan etibarlılıq" ilə məlumatların işlənməsi üçün razılığın alınması üçün nəzərdən keçirilən üsul mağaza tərəfindən marketinq məqsədləri üçün istifadə edilə bilər. Alıcının şəxsi hesabı vasitəsilə siz onu müxtəlif endirimlər və promosyonlar barədə məlumatlandıra, onunla mesaj mübadiləsi edə və satıcı ilə alıcı arasında qarşılıqlı əlaqə üçün xarakterik olan digər problemləri həll edə bilərsiniz.

Elektron poçtla ayrı bir sifarişin tamamlanmasının təsdiqi (onlayn mağazanın saytında hesabın məcburi qeydiyyatı olmadan).

Bu cür təsdiqləmə alqoritmi, prinsipcə, istifadəçi loqinin və şifrəsinin istifadəsi istisna olmaqla, alıcının hesabının qeydiyyatı prosedurunu xarakterizə edən alqoritmlə oxşar olacaqdır. Bu halda, təsdiq, əslində, şəxsi məlumatların emalına razılıq almaq və şəxsin Məxfilik Siyasətini oxumaq təklifi ilə tanış olduğunu yoxlamaq məqsədi ilə həyata keçiriləcək.

Onlayn mağazanın növbəti irimiqyaslı vəzifəsi praktikada şəxsi məlumatların məxfiliyini təmin etməkdir.

1. Məqalənin sonunda mütəxəssisimizə sual verin.
2. Ətraflı məsləhət və nüansların tam təsviri alın!
3. Və ya hazır cavabı oxucularımızın şərhlərində tapın.

Onlayn mağaza şəxsi məlumatların məxfiliyini necə təmin edə bilər?

Sənətin 1-ci bəndinə uyğun olaraq. 152-FZ saylı Qanunun 18.1-də fərdi məlumatların operatoru qanunla nəzərdə tutulmuş öhdəlikləri yerinə yetirmək üçün kifayət qədər tədbirlər görməlidir. Eyni zamanda, operator müvafiq tədbirlərin siyahısını müstəqil olaraq müəyyən edir - qanunla başqa hal nəzərdə tutulmayıbsa.

Aydındır ki, söhbət, ilk növbədə, şəxsi məlumatların məxfiliyini təmin etmək üçün nəzərdə tutulmuş tədbirlərdən gedir, yəni:

müvafiq PD-ni oxumağa icazəsi olmayan şəxslərin onlara daxil olmasının qarşısının alınması;
PD-nin icazəsiz istifadəsinin, dəyişdirilməsinin, yayılmasının qarşısının alınması;
texniki nasazlıqlar səbəbindən fərdi məlumatların müxtəlif kibertəhlükələrdən, modifikasiyadan, yayılmasından və fərdi məlumatlarla digər icazəsiz əməliyyatlardan zəruri mühafizəsinin təmin edilməsi.

Qanun bu problemlərin həlli üçün aşağıdakı tədbirləri təklif edir:

Hüquqi şəxs statusuna malik olan operator tərəfindən müəssisədə fərdi məlumatların işlənməsini təşkil edən məsul işçinin təyin edilməsi.

Operator tərəfindən qanuni tələblərə uyğun olaraq fərdi məlumatların emalı prosedurunu tənzimləyən yerli qaydaların hazırlanması.

Fərdi məlumatların mühafizəsini təmin etmək üçün texniki vasitələrin tətbiqi.

PD emalı çərçivəsində prosedurlara daxili nəzarətin aparılması.

Fərdi məlumatların emalı haqqında qanunvericiliyin pozulması nəticəsində fərdi məlumatların subyektlərinə dəyə biləcək zərərin qiymətləndirilməsinin aparılması və bu pozuntuların nəticələrinin aradan qaldırılması.

Fərdi məlumatların mühafizəsi sahəsində onların bilik səviyyəsinin artırılması üçün işçilərlə zəruri işlərin aparılması.

Hüquqi analogiya prinsipinə əsaslansaq, bütün bu qaydalar onlayn satış həyata keçirən fərdi sahibkarlara da şamil edilir. O cümlədən - fərdi sahibkar işçiləri cəlb etmədən müstəqil işləyirsə. Potensial olaraq, bu və ya digər şəkildə onun işçi heyəti ola bilər və o vaxta qədər şəxsi məlumatların emalının təşkilini tənzimləyən etibarlı yerli qaydalara sahib olmalıdır.

Sənətin 4-cü bəndinə uyğun olaraq bilməlisiniz. 152-FZ saylı Qanunun 18.1-ci bəndinə əsasən, onlayn mağazanın yuxarıda göstərilən təlimat və tövsiyələrin icrası çərçivəsində verməli olduğu sənədlər, sahibkarlıq subyektində yoxlama apararkən Roskomnadzor tərəfindən tələb oluna bilər.

Bu və ya digər şəkildə, fərdi məlumat operatorunun qanunun tələblərini yerinə yetirməsini təmin etməyə yönəlmiş tədbirləri (ilk növbədə şəxsi məlumatların məxfiliyinin təmin edilməsi baxımından) 2 qrupa bölmək olar:

təşkilati (əsas və əsas etibarilə hüquqi);
texniki.

Təşkilati (hüquqi) tədbirlər, əsasən, onlayn mağaza (sahibi və ya onun işçiləri tərəfindən təmsil olunur) alıcı ilə bu qarşılıqlı əlaqə mexanizmlərinin tətbiqinin sənədli tənzimlənməsinə aiddir.

Qeyd edək ki, təşkilati-hüquqi tədbirlər həyata keçirilərkən onun inkişafı gözlənilir

mağaza ilə alıcı arasında alqı-satqı müqaviləsi (təklifi), onun əsasında şəxsi məlumatların emalına razılıq yazılı deyil, başqa bir formada verilir - sifariş formasında bir işarə və Məxfilik Siyasətinə keçid istifadə edərək. .

Texniki tədbirlər geniş çeşiddə təqdim edilə bilər - onlara daha ətraflı baxaq.

Avadanlıqlara texniki dəstək. İstənilən problemi həll edəcəyik!

Sorğu buraxın və 5 dəqiqə ərzində məsləhət alın.

PD məxfiliyini təmin etməyin texniki tərəfi nədir?

Şəxsi məlumatların məxfiliyini təmin etmək üçün texniki problemlərin həlli zamanı əməl edilməli olan hüquqi normaların əsas mənbəyi Sənətin müddəalarıdır. 152-FZ saylı Qanunun 19.

O, xüsusilə qeyd edir ki, şəxsi məlumatların təhlükəsizliyinin təmin edilməsinə aşağıdakılar vasitəsilə nail olmaq olar:

İnformasiya sistemlərindən istifadə etməklə onların işlənməsinin bir hissəsi kimi məlumatların təhlükəsizliyinə təhdidlərin yaradılması.

Təcrübədə belə bir tədbirin həyata keçirilməsi müxtəlif antivirus və tamamlayıcı həllərin istifadəsini nəzərdə tutur - bu, saytın idarəetmə sistemində həyata keçirilməlidir. Bu cür həllər, hakerlərin vebsaytdakı sifariş formalarından istifadə etməklə toplanmış və ya onlayn mağaza tərəfindən idarə olunan serverlərdə saxlanılan şəxsi məlumatlara avtomatik və ya əl ilə icazəsiz daxil olmaq cəhdlərini dərhal aşkar etmək üçün nəzərdə tutulmuşdur.

Şəxsi məlumatların təhlükəsizlik səviyyəsini artırmaq üçün texniki vasitələrdən istifadə.

Söhbət, ilk növbədə, müxtəlif məlumat şifrələmə vasitələrindən gedir - belə ki, onlara daxil olduqda, şifrənin açılmasının özü onlayn mağaza tərəfindən icazə verildiyi təqdirdə, sonrakı şifrələmə olmadan oxunması mümkün olmayan bir formada təqdim olunur.

Silinmiş, zədələnmiş və ya icazəsiz dəyişdirilmiş şəxsi məlumatların bərpası üçün texniki vasitələrdən istifadə.

Burada aşağıdakı məqsədlər üçün istifadə olunan həllər haqqında danışa bilərik:

şəxsi məlumatların orijinal daşıyıcıdan silinməsi (zərərlənməsi və ya dəyişdirilməsi) zamanı təkrarlanması;
əslində, mövcud mediadan silinmiş (zədələnmiş və ya dəyişdirilmiş) məlumatların bərpası.

Fərdi məlumatları emal etmək səlahiyyətinə malik olan şəxsin statusundan asılı olaraq fərdi məlumatlara girişi fərqləndirmək (giriş səviyyələrini müəyyən etmək) üçün texniki vasitələrdən istifadə.

Beləliklə, məsələn, onlayn mağazanın meneceri yalnız alıcının əlaqə məlumatlarına daxil ola bilər (sualınız olduqda onunla əlaqə saxlamaq üçün), çatdırılma meneceri də ünvana daxil ola bilər. Və ya - birincisi yalnız kontaktları oxumaq, ikincisi isə onları dəyişdirmək səlahiyyətinə malik ola bilər.

Fərdi məlumatları emal edən şəxslər üzərində nəzarət sistemlərinin tətbiqi.

Həqiqətən də, fərdi məlumatların məxfiliyini təmin etmək üçün təkcə yerli qaydalar kifayət deyil - onların icrasına nəzarət mexanizmi lazımdır. Burada həll yolları çox fərqli ola bilər - onlayn mağazanın xüsusi işçilərinin hərəkətlərinin seçmə monitorinqindən tutmuş şəxsi məlumatların icazəsiz ötürülməsi üçün davamlı trafik təhlili alətlərinin tətbiqinə qədər.

İnformasiya sisteminin fərdi məlumatların emalı üçün nə dərəcədə təhlükəsiz olması tipik təhlükələrin təsiri nəticəsində sistemə dəyə biləcək potensial zərər əsasında müəyyən edilir. Belə təhdidlərin siyahıları və təhdidlərin dərəcəsinə uyğun olaraq sistemin təhlükəsizliyinə dair tələblər Rusiya Hökumətinin 1 noyabr 2012-ci il tarixli 1119 nömrəli Qərarı ilə müəyyən edilmişdir.

Gəlin onlara daha yaxından nəzər salaq.

Şəxsi məlumatların təhlükəsiz emalı üçün onlayn mağaza nə dərəcədə təhlükəsiz olmalıdır?

Fərdi məlumatların mühafizəsinin tələb olunan səviyyəsini təmin etmək üçün hansı xüsusi tədbirlərin görülməsinin lazım olduğunu müəyyən etmək üçün onlayn mağazanın sahibi 2008-ci il № 133-cü Sərəncamı ilə təsdiq edilmiş Təşkilati və Texniki Tədbirlərin Tərkibi və Məzmununa Əlavədəki cədvəldən istifadə etməlidir. 21.

Qeyd edək ki, bu siyahı, ilk növbədə, bir onlayn mağazanın işini təşkil etmək üçün eyni kadr nüanslarına aiddir. Lakin onun sahibi işçi heyəti olmadan işləyən fərdi sahibkar olsa belə, xüsusən də müştərilərin şəxsi məlumatlarının ən azı 1-ci səviyyədə qorunmasını təmin etmək üçün o:

istifadəçilərin identifikasiyası və autentifikasiyası vasitələrini tətbiq etmək;
istifadəçi hesablarını idarə etmək;
PD-nin yerləşdiyi serverə girişi idarə etmək;
antivirusdan istifadə edin;
şəxsi məlumatlara icazəsiz girişlə bağlı insidentləri müəyyən etmək.

Əlbəttə ki, bu cür işin əhəmiyyətli bir hissəsini fərdi sahibkara (və əlbəttə ki, hüquqi şəxsə) üçüncü tərəf tərəfdaşına - məsələn, onlayn mağazanın veb saytının yerləşdiyi hostinqin sahibinə həvalə etmək məntiqlidir. yerləşir. Lakin bu cür səlahiyyətlərin ötürülməsi qanunla düzgün şəkildə təmin edilməlidir - onlayn mağazanın və onun tərəfdaşının məsuliyyətlərini düzgün müəyyən edən ətraflı müqavilələrdən istifadə etməklə, qanunvericiliyə uyğun olaraq müştərilərin şəxsi məlumatlarının qorunmasını təmin etmək.

Təcrübədə bir çox müasir CMS sayt idarəetmə sistemləri onlayn mağazanın fəaliyyətinin fərdi məlumatların emalı üçün təhlükəsizlik səviyyələrinin yaradılması ilə bağlı yuxarıda göstərilən tələblərə uyğun olmasını təmin etmək üçün lazımi funksionallığa malikdir.

Amma təbii ki, bir çox hallarda onların dəyişdirilməsi və əlavə edilməsi tələb olunur. Bir qayda olaraq, vebsaytların idarə edilməsi həllərinin və hostinq xidmətlərinin ən böyük provayderləri öz müştərilərinə 152 saylı Qanunla və departament standartları ilə müəyyən edilmiş tələblərə ən yaxşı cavab verən məhsullar təklif etməyə çalışırlar. Bununla belə, xüsusi CMS sistemini seçərkən, onun şəxsi məlumatların mühafizəsi qanunlarına uyğunluğu ilə bağlı əlavə ekspert məsləhəti axtarmaq həmişə yaxşı fikirdir.

Bunlar, onlayn mağazanın 152-FZ saylı Qanunun tələblərinə və malların alıcıları ilə qarşılıqlı əlaqəyə dair müşayiət olunan hüquqi aktlara uyğunluğunu xarakterizə edən əsas nüanslardır. Bununla belə, bu cür qarşılıqlı əlaqə digər hüquqi kontekstlərdə də baş verə bilər. Xüsusilə, innovativ tipli kassa aparatından istifadə etməklə mağaza ilə alıcı arasında hesablaşmaları əks etdirən

Məqalənin əvvəlində artıq qeyd etdiyimiz kimi, 152-FZ saylı Qanuna əsasən, fərdi məlumatlar birbaşa və ya dolayısı ilə müəyyən bir şəxsə (yaxud bir şəxsin şəxsiyyətinə) aid ola biləcək hər hansı məlumatı əhatə edir. Aydındır ki, e-poçt və ya telefon, ən azı, dolayı identifikator ola bilər.

E-poçta gəlincə, o, kimi formada ola bilər [email protected], və əgər belə bir e-poçt ünvanı onlayn mağazanın məlumat bazalarından sızarsa, üçüncü şəxslər mağazadakı alış-verişin 1976-cı ildə Moskvada anadan olmuş və Massaçusets Universitetində təhsil alan Stepan Petrov tərəfindən edildiyini asanlıqla başa düşə bilərlər.

Telefonla bu daha mürəkkəbdir - amma istəsəniz, onu dolayı identifikator kimi hesablaya bilərsiniz. Məsələn, bir onlayn mağazadan icazəsiz bir nömrə almış bir şəxs ona zəng edə və özünü kuryer xidmətinin nümayəndəsi kimi təqdim edərək abunəçidən tam adını və çatdırılma ünvanını göstərməsini xahiş edə bilər - amma əslində müdaxilə edən reklam vermək. poçt göndərişi.

Beləliklə, onlayn kassa aparatlarının istifadəsini tənzimləyən 54-FZ saylı Qanuna əsasən, onlayn mağazaların alıcıları çekləri könüllü olaraq almaq üçün öz əlaqələrini tərk etmələrinə baxmayaraq, şəxsi məlumatların satıcıya ötürülməsindən danışırıq.

Bu o deməkdirmi ki, bu cür məlumatlarla əməliyyatlar digər şəxsi məlumatların işlənməsini xarakterizə edən eyni tələblərə tabe olacaqmı?

Nəzərə alın ki, bu tələblərdən bəziləri aktual olaraq qalır. Məsələn, onlayn kassa vasitəsi ilə ödənişlər edən onlayn mağaza:

alıcılara şəxsi məlumatların emalı haqqında məlumat almaq hüququnu təmin etmək;
məlumatların məxfiliyini təmin etmək;
152-FZ nömrəli Qanunun digər tələblərinə (xüsusən, şəxsi məlumatların rus serverlərində yerləşdirilməsi haqqında) riayət etmək.

Ən diqqətəlayiq hal odur ki, bu cür tələblərə şəxsi məlumatların emalına razılığın alınması daxil olmayacaq.

Fakt budur ki, Sənətin 1-ci bəndində. 152-FZ saylı Qanunun 6-sı razılığın alınması zərurəti ilə bağlı qaydaya bir sıra istisnalar sadalayır. Bu cür istisnalara operatorun qanunla ona həvalə edilmiş funksiya və vəzifələri yerinə yetirməsi çərçivəsində məlumatların işlənməsi daxildir. Onlayn mağazanın bu cür funksiyaları və vəzifələri 54-FZ saylı Qanunun tələblərini əhatə edir - müştərilərlə hesablaşmalar üçün nağd pul qəbzlərinin yaradılması haqqında.

Beləliklə, onlayn mağazanın alıcıdan e-poçt və telefon nömrəsini almaq üçün razılıq istəməsi tələb olunmur - şəxsi məlumat növləri kimi.

Əlbəttə ki, digər şəxsi məlumatların emalına razılıq tələbi ilə eyni vaxtda alıcılardan elektron poçt və telefon vasitəsilə təqdim olunan fərdi məlumatların emalına razılıq istəmək üçün heç bir hüquqi maneə yoxdur. Yəni, sifariş forması təsdiq edilərkən yüklənən Razılıqda və onu müşayiət edən Şəxsi Məlumat Siyasətində məlumatların bir hissəsinin - alıcının e-poçtu və telefon nömrəsinin onlayn mağaza tərəfindən istifadə ediləcəyi əks oluna bilər. 54-FZ saylı Qanunun müddəalarına riayət etmək üçün. Yəni alıcıya elektron pul qəbzləri göndərmək.

Ancaq bu prosedur, ciddi şəkildə desək, qanunvericilik baxımından isteğe bağlıdır - baxmayaraq ki, heç də mürəkkəb deyil.

Eyni zamanda, satıcı 54-FZ saylı Qanunun normalarına riayət etmək üçün şəxsi məlumatların əldə edilməsinin Sənətin 2-ci bəndində nəzərdə tutulmuş istisnalara aid olmadığını nəzərə almalıdır. 152-FZ saylı Qanunun 22 - şəxsi məlumatların alınması barədə Roskomnadzor-a məlumat vermək öhdəliyinə aid olanlar. yəni - Ödənişi onlayn qəbul edərkən belə bildiriş təqdim edilməlidir. Şöbə onlayn mağazadan bildiriş aldıqdan sonra onu fərdi məlumat operatorlarının reyestrinə daxil edir.

Bildirişdə aşağıdakılar göstərilməlidir:

Sənədin adı “Şəxsi məlumatların emalı haqqında bildiriş”dir.

Operatorun adı, hüquqi ünvanı.

Hüquqi əsaslar, verilənlərin emalının məqsədləri.

Emal edilən məlumatların növləri.

Şəxsi məlumatların subyektinə çevrilən şəxslərin kateqoriyaları.

Məlumatların emalı üsulları.

Məlumatların emalının təhlükəsizliyini təmin etmək üçün tədbirlər.

Şəxsi məlumatların saxlandığı serverlərin yeri haqqında məlumat.

Məlumatların işlənməsinin başlanması üçün tarixlər.

Məlumatların emalının dayandırılması şərtləri.

Bildirişin müəllifinin tam adı və vəzifəsi göstərilir. Sənədin tərtib olunduğu tarixi qoyur və imzalayır.

Beləliklə, qanun onlayn mağaza sahiblərinə təsirli miqdarda öhdəliklər qoyur. Və buna əməl etməməyə görə sanksiyalar kifayət qədər ciddidir. Gəlin onları öyrənək.

Məsuliyyət və yeni cərimələr

Bu məsələ ilə bağlı qanuni tələblərin pozulmasına görə aşağıdakı sanksiyalar nəzərdə tutulur:

İnzibati cərimələr.

Onların əsas siyahısı Sənətdə müəyyən edilmişdir. 13.11 Rusiya Federasiyasının İnzibati Xətalar Məcəlləsi. Lakin bəziləri Məcəllənin müvafiq maddələrində açıqlanıb.

Tipik cərimələrə aşağıdakılar daxildir:

şəxsi məlumatların sahibinin razılığı olmadan emalı üçün - vəzifəli şəxslər və fərdi sahibkarlar üçün 20 min rubla qədər, hüquqi şəxslər üçün 75 min rubla qədər (Rusiya Federasiyası İnzibati Xətalar Məcəlləsinin 13.11-ci maddəsi);
fiziki şəxsə qanunla tanış olmaq hüququ olan məlumatları verməkdən imtinaya görə - vəzifəli şəxslər və fərdi sahibkarlar üçün 10 min rubla qədər (Rusiya Federasiyasının İnzibati Xətalar Məcəlləsinin 5.39-cu maddəsi);
şəxsi məlumatların qeyri-qanuni (təyin edilmiş məqsədlər üçün nəzərdə tutulmayan) emalına görə - vəzifəli şəxslər və fərdi sahibkarlar üçün 10 min rubla qədər, hüquqi şəxslər üçün 50 min rubla qədər (Rusiya Federasiyası İnzibati Xətalar Məcəlləsinin 13.11-ci maddəsi);
dərc edilmiş Məxfilik Siyasətinin olmaması üçün - vəzifəli şəxslər üçün 6 min rubla qədər, fərdi sahibkarlar üçün - 10 min rubla qədər, hüquqi şəxslər üçün - 30 min rubla qədər (Rusiya Federasiyasının İnzibati Xətalar Məcəlləsinin 13.11-ci maddəsi) ;
Fərdi şəxsi onun şəxsi məlumatlarının emalı ilə bağlı məlumatlarla tanış etməkdən imtinaya görə - vəzifəli şəxslər üçün 6 min rubla qədər, fərdi sahibkarlar üçün 15 min rubla qədər, hüquqi şəxslər üçün 40 min rubla qədər (İnzibati Xətalar Məcəlləsinin 13.11-ci maddəsi). Rusiya Federasiyası).

Cinayət məsuliyyəti.

Sənətə uyğun olaraq. Rusiya Federasiyası Cinayət Məcəlləsinin 137-ci maddəsinə əsasən, vətəndaşın şəxsi sirrini təşkil edən şəxsi məlumatların qanunsuz toplanması 200 min rubla qədər cərimə və ya islah işləri, diskvalifikasiya və ya 2 ilədək müddətə azadlıqdan məhrum etmə ilə nəticələnə bilər.

Mülki prosesdə müəyyən edilir.

Burada müxtəlif sanksiyalardan danışmaq olar, lakin tipik olanlar bunlardır:

operatorun 152-FZ saylı Qanunun müddəalarını pozması nəticəsində PD subyektinə dəyən itkiləri kompensasiya etmək öhdəliyi;
fərdi məlumatların subyektinə dəyən mənəvi zərərin ödənilməsi öhdəliyi.

Bu və ya digər şəkildə, çox güman ki, bir onlayn mağaza 152-FZ saylı Qanunun normalarını pozarsa, ona inzibati sanksiyalar tətbiq olunacaq. Eyni zamanda, nəzərə almaq lazımdır ki, onlardan ən sərti - xüsusən də yazılı razılıq tələblərinin pozulması halında məlumatların işlənməsinə razılığın alınmamasına görə cərimə (75 min rubla qədər) tətbiq olunur. şəxsi məlumatların emalına. Hər hansı bir etibarlı formada razılıq əldə etməyə icazə verilirsə, belə bir razılıq alınmazsa, məlumatların qanunsuz işlənməsinə görə cərimə şəklində sanksiya tətbiq olunur (50 min rubla qədər).

Operatora qarşı bir sıra əlavə inzibati tənbehlərin tətbiq olunacağı ehtimalı var. Misal üçün:

məlumatların qorunması tələblərinə əməl edilməməsinə görə cərimə şəklində - vəzifəli şəxslər və fərdi sahibkarlar üçün 2 min rubla qədər, hüquqi şəxslər üçün 15 min rubla qədər (Rusiya Federasiyasının İnzibati Xətalar Məcəlləsinin 13.12-ci maddəsi);
Roskomnadzor-a bildiriş təqdim edilməməsinə görə cərimə şəklində - vəzifəli şəxslər və fərdi sahibkarlar üçün 500 rubla qədər, hüquqi şəxslər üçün 5000 rubla qədər (Rusiya Federasiyasının İnzibati Xətalar Məcəlləsinin 19.7-ci maddəsi).

Məhkəmə qərarı ilə onlayn mağazanın internet saytının bloklanması nəzəri cəhətdən mümkündür. Məsələn, satınalmaların nəzərdən keçirilməsində müştərilərin şəxsi məlumatlarının onların razılığı olmadan qanunsuz dərc edilməsinə icazə verərsə.

Konkret pozuntudan və pozuntunun törədildiyi hüquqi münasibətlərin əhatə dairəsindən asılı olaraq, bununla da fərdi məlumatlar operatoruna qarşı müxtəlif sanksiyalar tətbiq oluna bilər.