Что нужно знать о EU GDPR за пределами Европы - Практические рекомендации - SearchInform

Страница создана Максим Елисеев

Разное

Русский

Лайк
Поделиться
Встроить
На весь экран
Слайды
Скачать HTML
Скачать PDF
Жалоба

←

ПРОДОЛЖИТЬ ЧТЕНИЕ

→

Транскрипция содержимого страницы

Если ваш браузер не отображает страницу правильно, пожалуйста, читайте содержимое страницы ниже

Что нужно знать о EU GDPR за пределами Европы - Практические рекомендации - SearchInform

Что нужно знать о EU GDPR
за пределами Европы.
Практические рекомендации

ОСНОВНЫЕ ВОПРОСЫ

  Общая информация
  GDPR: новые процессы
  Структура и процессы в типовых
   хранилищах ПДН
  Структура и проблемы типовой
   компании
  Роль пользователя
  Роль компании

О GDPR
General Data Protection Regulation

ЧТО?            Обновленные правила обработки персданных
ГДЕ?            Экстерриториально
КОГДА?          С 25 мая 2018 г.
ЕСЛИ НЕТ? Штраф до € 20 млн либо 4% годового дохода

НОВЫЕ ПРОЦЕССЫ

                       DATA PROCESSOR

          DATA
          CONTROLLER

  OWNER

ХРАНИЛИЩА ПДН

           передача          введение           сохранение                введение

 конечный         оператор          спец ПО                     HelpDesk, личный    конечный
пользователь                                                        кабинет        пользователь

                Аудит,            Строгое       Шифрование,         Авторизация,
               фиксация        разграничение     ограничение        разграничение
               действий           доступа      доступа, аудит     доступа, проверка

DATA CONTROLLER       ТИПОВАЯ КОМПАНИЯ   DATA OWNER
Внешний периметр
Внутренний периметр

DATA PROCESSORS                            ТРЕТЬЯ
           TT                   О         СТОРОНА
                                б
   1                            р
           1C                   а
                                б
   2                            о
                                т
           CRM                  к
                                а
   3
                                П
            etc.
                                Д
                                Н
    N

РОЛЬ ПОЛЬЗОВАТЕЛЯ

 ”privacy by default” и ”privacy by design”;
 right to be forgotten;
 right to restrict processing;
 right to data portability;
 data breach notification.

РОЛЬ КОМПАНИИ

             первичный аудит и непрерывная актуализация;
             принудительная криптозащита каналов и
              хранилищ;
             DPO;
             обучение техперсонала;
             обучение не техперсонала правилам ИБ;
             обновление политики конфиденциальности и
              других соглашения

ЧТО ДЕЛАТЬ

             пошаговое руководство

КАК ОБЕЗОПАСИТЬ СЕБЯ ОТ ШТРАФА

   Аудит            Настройка политик   Контроль
                    eDiscovery          операторов

   Разграничение                        Детальный анализ
                    DLP
   доступа                              информации

   Криптозащита

АУДИТ И КАТЕГОРИЗАЦИЯ

                                                аудит
                                                разграничение
                                                доступа
                                                криптозащита
ИНФРАСТРУКТУРЫ    ПЕРСОНАЛА         ДАННЫХ      eDiscovery
                                                DLP
                                                анализ
                                                информации
                                                контроль
                                                операторов

Современная IT-инфраструктура
           выходит за рамками локальной сети.

РАЗГРАНИЧЕНИЕ ДОСТУПА

                                                                    аудит

  Этапы разграничения доступа:                                      разграничение
                                                                    доступа
                                                                    криптозащита
                                                                    eDiscovery
ФИЗИЧЕСКОЕ           РОЛЕВОЕ         КОНТЕНТНОЕ                     DLP
                                                                    анализ
                                                                    информации
                                                                    контроль
                                                                    операторов

   Разграничение доступа решает административную проблему, но не защищает
   от «продвинутых» угроз (взломы, инсайд).

КРИПТОЗАЩИТА

Криптосредства должны:                                                   аудит
                                                                         разграничение
 соответствовать отраслевым нормам, международным                       доступа
  стандартам и локальным требованиям;                                    криптозащита
 иметь принудительный режим работы, когда ошибки и
                                                                         eDiscovery
  неправомерные действия пользователя исключены;
 Данные не должны покидать криптоконтейнер при                          DLP
  работе с мобильных устройств.                                          анализ
 применяться к каналам и хранилищам, переносным                         информации
  устройствам.                                                           контроль
                                                                         операторов

       Криптоинструменты обеспечивают безопасное хранение и передачу, но не
       защищают от небезопасного использования.

НАСТРОЙКА ПОЛИТИК EDISCOVERY
Политика поиска/категоризации должна уметь детектировать:
                                                                              аудит
   Стационарные и сотовые телефонные номера стран СНГ.                       разграничение
   E-mail, URL, IP-адрес, Date, ФИО, ИНН, адрес, номер счёта,                доступа
    ОКПО, фамилия и имя латиницей, ИИН.
                                                                              криптозащита
   Загранпаспорта, национальные паспорта, военный билет, код
    подразделения выдачи паспорта.                                            eDiscovery
   Почтовые индексы стран СНГ.                                               DLP
   Номера банковских карт, номер карточки пенсионного                        анализ
    страхования, свидетельство о рождении.                                    информации
   Водительские удостоверения.
                                                                              контроль
   Информация о благосостоянии, вероисповедании,                             операторов
    физическом и психическом состоянии.
   И прочее.

        eDiscovery решают задачу аудита данных внутри инфраструктуры, но не
        контролируют каналы коммуникации.

DLP: ПЕРЕХВАТ

                                        аудит
                                        разграничение
DLP должна:                             доступа
                                        криптозащита
 контролировать все каналы передачи;   eDiscovery
                                        DLP
 иметь тотальную базу данных.          анализ
                                        информации
                                        контроль
                                        операторов

Все каналы коммуникаций под надзором,
доступен архив теневых копий.

DLP: АНАЛИЗ

                                                                   аудит
 Проработанные алгоритмы анализа.                                 разграничение
                                                                   доступа
 Развитая система отчетности.                                     криптозащита
                                                                   eDiscovery
 Гибкая система оповещений.                                       DLP
                                                                   анализ
                                                                   информации
                                                                   контроль
                                                                   операторов

   Правила ИБ работают в автоматизированном режиме для каналов передачи
   данных, но без надзора остается «внесетевая» активность сотрудников.

КОНТРОЛЬ ОПЕРАТОРА

                            аудит
                            разграничение
  Видеозапись              доступа
                            криптозащита
  Аудиозапись
                            eDiscovery
                            DLP
  Категорирование работы
                            анализ
                            информации
  Файловый надзор          контроль
                            операторов
  Запись веб-камер

  Онлайн-контроль

РЕЗУЛЬТАТ МЕРОПРИЯТИЙ

аудит,           разграничение     крипто                                        аудит действий
                                                   eDiscovery         DLP        операторов
инвентаризация   доступа           средства

 новый             без           кража        сохранение        пересылка
 объект    авторизации            базы        за пределы

                                                                                  расследование
                                                                                   инцидентов: DLP
  ограничение      запрет,       зашифровано       детектирование и оповещение    расследование
  доступа          отказ                                                           инцидентов: eDiscovery
                                                                                  реконструкция
                                                                                   нарушений
                                                                                  мониторинг
                                                                                   операторов
                                                                                  контроль качества

ТОНКОСТИ И ПОДВОДНЫЕ КАМНИ

КРИТИЧНЫЕ ДАННЫЕ
Как могут храниться и передаваться

 Структурированные БД
 Графические файлы
 Типовые документы
 Анкеты, бланки, формы
 Неструктурированные данные

                                      Документы или архивы
                                      Кусочки текста
                                      Сканы, фото, скриншоты
                                      Односторонние записи разговоров
                                      Нерегламентированное
                                       предоставление доступа к ПК или ПО

ПРИНЦИПЫ И ИНСТРУМЕНТЫ АНАЛИЗА, АЛГОРИТМЫ

КАК ДЕТЕКТИРОВАТЬ КРИТИЧНУЮ СУММУ ПЕРСДАННЫХ

ПРОБЛЕМА «ТРЕХ ФОРМ»
Методики автоматизированного анализа

      ТЕКСТОВЫЕ               ГРАФИЧЕСКИЕ          АКУСТИЧЕСКИЕ

   Лингвистический          OCR                 Speech to text
    анализ                   Категоризация по    Идентификация диктора
   Смысловой анализ          визуальному         Переход от оповещения
   Цифровые отпечатки        признаку             к аудиоархиву
   Регулярные выражения                          «Событийная»
   Статистика и атрибуты                          активация записи

MLP: ПОИСК И ЗАЩИТА

В фокусе:
  «Группы риска»
  Настроения в коллективе
  Промышленный шпионаж
  Занятость, проблемы бизнес-процессов
  Финансовые махинации
  Мошеннические схемы, взятки, воровство
  Сговор с конкурентами, контрагентами,
  поставщиками
 Нарушения закона (девиантные интересы,
  сочувствие радикальным организациям,
  распространение наркотиков).