Защита персональных данных

Супермаркет "Перекресток" и защита прав потребителей

2011-06-12T23:35:00.001+04:00

Бывает у вас такое, что возвращаясь с работы поздно вечером, часиков в 11, а то и в 12, мечтаешь о том, как бы по-быстрее съесть чего-нибудь и провалиться в сон? А дома как всегда в холодильнике мышь повесилась, поэтому по пути приходится заезжать в круглосуточный магазин и покупать что-нибудь для быстрого перекуса.
В один из таких вечеров я, жутко уставшая и еще более жутко голодная, заехала в супермаркет Перекресток и купила на ужин копченую курицу в вакуумной упаковке. Не очень-то я доверяю обычно магазинам и на даты на упоковках смотрю, хотя понимаю прекрасно, что любую дату можно перебить. А в этот раз не посмотрела, видимо так сильно хотелось по-скорее оказаться дома.

Прийдя домой и распоковав эту курицу, я почувствовала отвратительный запах испорченного мяса. Этикетка на продукте гласила, что срок годности истек 14 дней назад.... Конечно же я рассердилась. И дело не в тех 100 рублях, что я заплатила, а дело в том, что мы с мужем остались без ужина...
Я решила не оставлять это безнаказанным. В магазин курицу возвращать не стала. Хотя уверена, что они бы деньги вернули, да еще и извинились. Просто не было ни малейшего желания туда заезжать. Я зашла на сайт Роспотребнадзора по краю и написала жалобу. По закону это повод к внеплановой проверке. Что и произошло.
Примерно через 2 недели мне позвонили из управления Роспотребнадзора и сообщили, что в супермаркете "Перекресток" была проведена внеплановая проверка, в результате которой удалось выявить ряд нарушений. Что самое интересное, директор магазина просила мне передать, что она очень расчитывает, что я зайду в магазин и они с удовольствием вернут мне деньги и принесут свои извинения. Заходить я, конечно же, не стала. Так что принимаю извинения виртуально. Вообще пропало все желание покупать что-либо в этом магазине. Да и никому не советую.

Вот текст официального ответа Роспотребнадзора, который они мне выслали на e-mail.

Управлением Роспотребнадзора по Краснодарскому краю рассмотрено Ваше заявление на реализацию некачественных товаров с истекшим сроком годности (копченые окорочка) в организации торговли ЗАО ТД «Перекресток», г.Краснодар, ул.Индустриальная, 2. При проведении специалистами Управления административного расследования в реализации данная продукция не обнаружена. При проверке сроков годности реализуемого товара выявлены многочисленные факты введения в заблуждение потребителей в отношении конечного срока реализации товара, на потребительских упаковках реализуемого товара обнаружено наличие двух маркировочных ярлыков с отличными друг от друга сроками годности. За выявленные нарушения директор магазина привлечена к административной ответственности по ч.1 ст. 14.8 КоАП РФ. Руководителю предприятия дано предписание должностного лица об устранении выявленных нарушений.

Я понимаю, что одна такая проверка особого вреда магазину не принесет. Но! Если каждый обманутый покупатель не поленится зайти на сайт и написать жалобу, то
во-первых, у Роспотребнадзора всегда будет работа,
во-вторых, недобросовестные продавцы будут более тщательно маскировать нарушение прав потребителей.

С Днем Независимости России вас! Проявляйте свою гражданскую активность!

И великая кротость разлита в предвечерье

2011-05-21T10:37:00.002+04:00

Вчера в Краснодаре состоялся концерт замечательной группы "Сурганова и оркестр". Я эту группу очень люблю и всегда наслаждаюсь их творчеством. Мне нравится это изумительное сочетание лирической поэзии и рок-музыки.
Концерт был просто замечательный. Наряду с уже полюбившимися треками, звучали новые, еще не записанные композиции. Светлана несколько раз брала в руки скрипку и зал взрывался от аваций. Я стараюсь не пропускать выступления "Сургановой и оркестра" и хочу заметить, что этот концерт был самым лучшим из тех, на которых мне удалось побывать. И это не может не радовать, значит группа продолжает жить и 8 лет (а именно этому событию был посвящен концерт) - это только начало пути.
Надеюсь, что эта замечательная группа и дальше будет радовать своих слушателей прекрасными произведениями.

____________________

Есть в дожде откровенье - потаенная нежность.
И старинная сладость примиренной дремоты,
Просыпается с ним безыскусная песня,
И трепещет душа усыпленной природы.

Это землю лобзают поцелуем лазурным,
Первобытное снова оживает поверье.
Сочетаются Небо и Земля, как впервые,
И великая кротость разлита в предвечерье

Роковое томленье по загубленной жизни,
Неотступную думу: "Все напрасно, все поздно!"
Или призрак тревожный невозможности утра
И страдание плоти, где таится угроза.

В этом сером звучанье пробуждается нежность,
Небо нашего сердца просияет глубоко,
Но надежды невольно обращаются в скорби,
Созерцая погибель этих капель на стеклах.

Тишине ты лепечешь первобытную песню
И листве повторяешь золотое преданье,
А пустынное сердце постигает их горько
В безысходной и черной пентаграмме страданья.

В сердце те же печали, что в дожде просветленном,
Примиренная скорбь о несбыточном часе.
Для меня в небесах возникает созвездье,
Но мешает мне сердце созерцать это счастье.

Частной жизни больше нет - смиритесь!

2011-05-16T07:30:00.002+04:00

Посмотрела на днях выступление Стива Рамбама на конференции Hackers On Planet Earth, с интересным названием "Частной жизни больше нет - смиритесь!". Выступление длится почти 2 часа, но оно того стоит.
Стив Рамбам - частный детектив, в своем выступлении он рассказывает о том, что в сети можно найти практически любую информацию про практически любого человека. Конечно, социальные сети, блоги, форумы не настолько влились в жизнь россиян, по сравнению с европейцами и американцами, однако, мы уже очень близко :)
Специалисты в области ИТ чаще всего знакомы с основами информационной безопасности и понимают, что любая информация, опубликованная в сети, никогда и никуда не исчезнет. Однако, люди, которые просто являются пользователями интернета, не вникающие в принципы работы глобальной сети, зачастую не понимают, что любая оставленная в просторах интернета информация, может быть использована против них ;-)
Лично я даже немного задумалась, не слишком ли я откровенничаю на страницах блога... Итак, смотрим и задумываемся...
http://www.universalsubtitles.org/ru/videos/YSEgofMg2wgv/ru/80608/

Еще один закон "О персональных данных"?

2011-04-04T07:30:00.001+04:00

Недавно встретилась со своим очень хорошим знакомым, мы давно не виделись и нам было, что обсудить. На вопрос о том, чем он сейчас занимается, Евгений ответил: "Работаю в компании, которая проводит энергоаудит". Я о такой сфере деятельности еще не слышала и попросила Женю рассказать по-подробнее, что такое энергоаудит. Оказывается в ноябре 2009 года был принят Федеральный закон № 261-ФЗ, согласно которому все бюджетные организации и ряд коммерческих до 31.12.2012 обязаны провести в своей организации обязательное энергетическое обследование.
Ничего не напоминает? Дальше еще интересней...

Итак, как Вы уже догадались, законодательство в области персональных данных и в области энергоаудита имеют ряд сходств. Даже при беглом просмотре закона №261-ФЗ параллели с №152-ФЗ на лицо:
выполнить требования закона необходимо, но очень дорого;
сроки ограничены, методик нет, а штрафы далеко не маленькие;
своего рода сертификация, лицензирование и аттестация присутствуют, поэтому выход на этот рынок требует существенных затрат.

1. Круг организаций, нак которые закон распространяется.
В области персональных данных - это практически все организации, в области энергоаудита - круг несколько сужен.

1) органы государственной власти, органы местного самоуправления, наделенные правами юридических лиц;
2) организации с участием государства или муниципального образования;
3) организации, осуществляющие регулируемые виды деятельности;
4) организации, осуществляющие производство и (или) транспортировку воды, природного газа, тепловой энергии, электрической энергии, добычу природного газа, нефти, угля, производство нефтепродуктов, переработку природного газа, нефти, транспортировку нефти, нефтепродуктов;
5) организации, совокупные затраты которых на потребление природного газа, дизельного и иного топлива, мазута, тепловой энергии, угля, электрической энергии превышают десять миллионов рублей за календарный год;
6) организации, проводящие мероприятия в области энергосбережения и повышения энергетической эффективности, финансируемые полностью или частично за счет средств федерального бюджета, бюджетов субъектов Российской Федерации, местных бюджетов.

Но! Уже идут разговоры о том, что скоро проводить энергетическое обследование обяжут всех!

2. Ограничение сроков.
Для 152-ФЗ изначально 01.01.2010. Для 261-ФЗ - 31.12.12.

3. Абсолютно неясно, что делать. Требования есть, методик нет. Зато уже миллион курсов, пройдя которые можно знать все и сразу.

4. Исполнители. Помните, что изначально проводить работы по защите ПДн могли только лицензиаты? Так вот работы по энергоаудиту могут проводить только организации, являющиеся членами СРО. Вступить туда можно, но есть требования к наличию специалистов и специального дорогостоящего оборудования.

5. Шумиха. Как и в случае с законом о ПДн вокруг этой темы масса неясностей, а потому организации, состоящие в СРО (по-нашему лицензиаты ФСТЭК) запугивают организации, которые попадают под действие закона (операторов) огромными штрафами - до 500 т.р.
Кроме того развелось множество организаций-однодневок, которые уже заработали на этом деле не один миллион и выдали своим "Клиентам" паспорта соответствия (читай - аттестат соответствия), которые по сути ничего не значат.
Для того, чтобы вступить в СРО нужны обученные специалисты и потому уже проводится масса дорогостоящих курсов, пройдя которые можно стать гуру в области энергоаудита и приносить своему работодателю стабильный доход.

6. Соответствие товаров. Мы знаем, что все СЗИ, применяемые для защиты ПДн должны проходить оценку соответствия. Так вот, для ряда товаров (в том числе компьютеров), производимых или ввозимых в РФ, должен быть определен класс энергетической эффективности. Класс этот определяется на основании правил, утверждаемых федеральным органом исполнительной власти.

Производимые на территории Российской Федерации, импортируемые в Российскую Федерацию для оборота на территории Российской Федерации товары (в том числе из числа бытовых энергопотребляющих устройств, компьютеров, других компьютерных электронных устройств и организационной техники) должны содержать информацию о классе их энергетической эффективности в технической документации, прилагаемой к этим товарам, в их маркировке, на их этикетках.

Определение класса энергетической эффективности товара осуществляется производителем, импортером в соответствии с правилами, которые утверждаются уполномоченным федеральным органом исполнительной власти и принципы которых устанавливаются Правительством Российской Федерации.

Честно говоря меня этот пункт даже несколько пугает. Вроде бы все правильно, природу нужно беречь, только вот что из этого выйдет? Наверняка процедура определения этого класса будет стоить немало, следовательно возможен рост цен на бытовые приборы, компьютеры и т.д. Тем более наверняка есть международные нормы, зачем свои правила разрабатывать..

7. Предполагаемый исход.
Я думаю, что параллелей можно проводить еще очень много. И Вы наверняка укажите мне массу других законов, работающих по этой схеме. Но думаю, что результат вседа будет схож.
Закон "О персональных данных".
Цель: защита прав субъектов ПДн.
Результат: огромные затраты с целью защиты от регуляторов, миллион вопросов без ответа. А базы ПДн как продавались, так и продаются.

Закон "Об энергосбережении и о повышении энергетической эффективности и о внесении изменений в отдельные законодательные акты Российской Федерации"
Цель: повышение энергетической эффективности, рациональное использование энергетических ресурсов.
Резальтат: ...... ну что же, поживем - увидим.

Сколько стоит защитник информации?

2011-03-14T07:30:00.001+03:00

Мы все привыкли к тому, что есть фрилансеры-программисты, фрилансеры-дизайнеры, фрилансеры-SEOшники, фрилансеры-визуализаторы и т.д. и т.п.
А слышали ли вы когда-нибудь о фрилансерах-безопасниках?
В связи с появлением требований законодательства к защите персональных данных распространение получил и такой вид фриланса. Недавно мы с коллегами задумались о том, сколько могут стоить услуги специалиста по информационной безопасности.
Как считать? Наверное для начала стоит прикинуть сколько часов займет выполнение той или иной работы, а затем умножить количество часов на стоимость одного часа. Только вот сколько стоит час работы специалиста по информационной безопасности?
В Краснодаре 1 час работы приходящего системного администратора стоит в среднем 600 рублей, 1 час работы 1С прораммиста стоит 1200 рублей... Мы сошлись на том, что специалист по ИБ должен получать минимум 1500 рублей в час, хотя все зависит от опыта работы и квалификации.
А сколько по вашему стоит защитник информации?

Международному женскому дню 100 лет!

2011-03-08T01:32:00.000+03:00

8го марта 1857 года в городе Нью-Йорке прошел так называемый "марш пустых кастрюль": женщины выступи в знак протеста против низкой заработной платы и отвратительных условий труда.
В 1910 году Клара Цеткин предложила учредить день, когда женщины будут устраивать митинги и шествия, высказывая свое мнение и обозначая занимающие их проблемы. Помятуя о дате проведения "марша пустых кастрюль", датой проведения Международного женского дня стало 8е марта. Таким образом первый Международный женский день отмечался в 1911 году - ровно 100 лет назад!

Правда поначалу этот праздник отмечался разными странами в разные дни, и только в 1914 году наконец неразбериха с датами прекратилась и 8й весенний день стал Международным женским днем.
Уже на протяжении 100 лет мы отмечаем этот праздник. За это время изменилось первоначальное его значение. Теперь это не день борьбы женщин за свои права, а день, когда женщинам дарят цветы и подарки, поднимают в их честь бокалы и говорят комплименты.

Как празднуют Международный женский день в России
Россия - одна из немногих стран, в которых этот праздник по-прежнему любим и популярен. И несмотря на то, что завтра на работу, сегодня выходной, и праздник стоит отметить по полной программе.
Традиционно 8го марта первым в доме просыпается мужчина и бежит в ближайший магазин за букетом цветов. Вернувшись из магазина, мужчина готовит своей любимой женщине (или женщинам: маме, жене, бабушке, дочке) завтрак, накрывает на стол или подает завтрак в постель. Все это время женщина лежит в кровати, ~~мужественно претворяется, что~~ крепко спит и не слышит доносящийся с кухни звон посуды. Когда все приготовления завершены, женщина с удивлением просыпается от голоса любимого, аромата кофе и запаха цветов. Семья проводит вместе праздничный завтрак, после чего счастливая жена идет ~~на кухню убирать следы приготовления этого завтрака~~ приводить себя в порядок и готовиться к дальнейшему празднованию. Если у женщины есть достаточно взрослый сын, то ей повезло: уборкой сегодня занимается он. Традиционно мальчик моет посуду, вытирает пыль и пылесосит, дальше обычно дело не заходит, поэтому последствия такой уборки минимальны: пара разбитых чашек, повсюду вода и мыльные разводы. Дальнейший праздник обычно развивается в двух направлениях: семья принимает гостей у себя, идет в гости к друзьям или близким или отправляется праздновать в кафе, ресторан, развлекательный центр и т.д.
При всем при этом телефон не смолкает от звонков и смс-ок, поздравления и подарки сыпятся отовсюду. Кстати, не только мужчины поздравляют женщин в этот день. Женщины также очень любят поздравлять друг друга. В последнее время получили распространение так называемые смс-рассылки. И это действительно очень удобно, можно поздравить всех и сразу. Иначе больше 2х-3х подруг за день поздравить не получится - времени просто не хватит (столько всего нужно обсудить!).
Заканчивается этот день обычно далеко за полночь, поэтому 9го марта женщины обычно не высыпаются, а потому агрессивны и неприветливы. Другое дело, если 9е марта выпадает на выходной день, тогда женщина за ночь успевает не только перемыть гору посуды и убрать следы праздника, но и хороше выспаться! Однако, к сожалению никто в этом году не догадался перенести рабочий день не с 7го марта на ближайшую субботу, а с 9го. Или еще лучше: сделать выходными 7е, 8е и 9е ;) но боюсь, тогда бы пришлось работать и в субботу, и в воскресенье :)

Лично я очень люблю этот праздник и хочу поздравить всех девчонок, девушек и женщин с Международным женским днем! Желаю настоящей, искренней, безумной и взаимной любви! Побольше Вам чудес и сказочных впечатлений! Будьте счастливы!

P.S. А как Вы празднуете 8е Марта? Что Вы подарили своим любимым женщинам?

Пользователи gmail лишились доступа к почте

2011-03-03T13:54:00.002+03:00

Более 150 000 пользователей сервиса gmail лишились доступа к почте, многие потеряли свои контакты, письма и другую важную информацию. Источник: Лента.ру
На лицо нарушение 2х основных свойств информационной безопасности - доступности и целостности.
Узнав новость, я сразу же кинулась проверять свою почту, все ок, проблема обошла меня стороной :)
А какой почтой пользуетесь Вы?
Лично у меня два основных ящика: на Яндексе и на Гугле. Хотя Яндекс мне нравится гораздо больше, так как интерфейс удобный и интуитивный. А вот в gmail, например, через Safari одно время не получалось отправить письмо с вложением - ссылка на выбор файла некорректно отображалась. Приходилось для отправки писем запускать Firefox. Сейчас эта проблема решена.

Традиционный английский напиток. Чай или кофе?

2011-02-28T07:47:00.001+03:00

Всем известна любовь англичан к чаю, о традиции five o'clock знает каждый ребенок. Однако многие даже не догадываются, что до XVIII века англичане пили исключительно кофе. Поэтому кофе так же как и чай по праву заслужил звание традиционного английского напитка.

Чай
Бытует мнение, что настоящий англичанин пьет чай с молоком и только. На самом деле далеко не все виды чая добавляются в молоко. Да-да, я пишу именно то, что имею ввиду: принято не молоко добавлять в чай, а чай в молоко. В противном случае можно безнадежно испортить уникальный чайный аромат!
О вкусах не спорят, но лично я не могу пить чай с молоком ни в каком виде! Что я только не пробовала: и молоко в чай, и чай в молоко! Дегустировала разный сорта чая. Результат один: для меня чай с молоком - отменная гадость! :)
Существует чай, который предпочтительно пить с медом, есть виды чая, которые лучше сочетаются с лимоном и, конечно же, некоторый чай идеален с молоком.
Помните "Код Давинчи" Дэна Брауна?

"Лэнгдон тихонько застонал, потом шепнул Софи:
- Видите, я говорил. Тот еще типчик.
- Вопрос первый, - торжественно начал Тибинг. - Что вам подать: кофе или чай?
Лэнгдон знал, как относится Тибинг к чисто американской манере без конца пить кофе.
- Чай, - ответил он. - "Эрл Грей".
- Отлично! Второй вопрос. С молоком или сахаром?
Лэнгдон колебался.
- С молоком, - шепнула Софи ему на ухо. - Я знаю, англичане предпочитают с молоком.
- С молоком, - ответил Лэнгдон. Пауза.
- И сахаром? Тибинг не ответил.
-Так, погодите-ка! Теперь Лэнгдон вспомнил горьковатую на вкус бурду, которой его угощали здесь во время последнего визита. И понял, что вопрос с подвохом.
- Лимон! - воскликнул он. - Чай "Эрл Грей" с лимоном."

Старейшая английская компания, производящая чай была основана в 1706 году. Конечно же я говорю о Twinings - компании, являющейся официальным поставщиком чая королевскому двору. На улице Стренд в Лондоне уютно разместился магазинчик, принадлежащий Twinings.

С виду этот магазинчик кажется очень маленьким, однако он сильно вытянут в длину. Кроме того, в самом дальнем углу магазина имеется небольшая комнатка-музей, в котором можно ознакомиться с историей компании. Конечно же в магазине представлено большое разнообразие соров чая: черный, зеленый, белый, травяной, фруктовый. Листовой и пакетированный, с различными ароматами и вкусами. Пакетики чая можно покупать по штучно, и если взять по одному пакетику каждого вида - получится несколько коробок :) На каждом чайном пакетике имеется указание как лучше этот вид чая употреблять: с медом, лимоном или молоком. Я нашла даже чай с дымом :), который рекомендуется пить с молоком. Позже я рискнула этот чай попробовать: та еще гадость! Но, рекомендую всем испытать на себе его необычный вкус ;-)

Кофе
Помимо огромного выбора чая в магазине Twinings можно приобрести английский кофе. Говоря английский, я конечно же не имею ввиду, что он выращен в Англии. Кофе в зернах продается только на развес. Поэтому пришлось покупать молотый кофе.

Без специальной упаковки обжаренные зерна кофе хранятся около недели, а молотый кофе теряет аромат уже через час...

Знаете, в Англии очень часто в кафе подают отвратительный кофе. Кроме того, если Вы не обратите внимание бариста, то Вам подадут растворимый кофе. Нам пришлось обойти очень много кафешек, чтобы найти действительно вкусный кофе.

Кстати, кофе является одним из самых распространенных предметов потребления (после бензина).

Приехав домой и еще толком не распаковав чемоданы, я принялась готовить привезенный кофе. Странно, но кофе получился каким-то необычным. Не сказать, что не вкусный, нет, скорее наоборот очень даже вкусный. Просто он какой-то другой, не знаю как описать, но больше я такого кофе не встречала. И России не смогла найти кофе Twinings. Заказать из Англии не получается - нет у них доставки в Россию. Так что если вдруг кто случайно знает, где можно такой кофе достать, сообщите пожалуйста! Буду очень благодарна!

Напоследок чисто английская шутка.
Если я попрошу чашечку кофе, меня не правильно поймут.

Мей Уэст

Желаю всем плодотворной рабочей недели!

Скрытые каналы передачи данных

2011-02-21T07:30:00.002+03:00

Вас никогда не смущал раздел 5.6 документа "Базовая модель угроз безопасности персональных данных...", в котором дается общая характеристика нетрадиционных информационных каналов?
Вы знакомы с ГОСТом Р 53113.1 или ГОСТом Р 53113.2, в которых описываются скрытые каналы передачи данных и даются рекомендации по защите от них?
Знаете ли Вы, что потенциально каждый программный и аппаратно-программный модуль информационной системы содержит закладное устройство, способное передавать злоумышленнику информацию по скрытому каналу?
Возможно прямо сейчас кто-то крадет ваши данные по скрытому каналу... ;-)

Я пишу эту статью только в целях ознакомления. Я никоим образом не призываю Вас беспокоиться или не беспокоиться об угрозе скрытой передачи данных. Я просто предлагаю Вам обсудить эту тему и, возможно, высказать свое мнение.

Что же это за каналы такие скрытые? И стоит ли их опасаться?
Итак, скрытый или нетрадиционный информационный канал (covert channel) - это информационный канал, который не проектировался и не предполагался для передачи информации в электронной системе обработки данных. Существует несколько видов СК: каналы по памяти, каналы по времени, статистические. Для того, чтобы стало понятнее как этот канал может работать приведу пример.
Представьте себе следующую схему сети.

ЗУ1 - это закладное устройство 1, встроенное в маршрутизатор 1. ЗУ2 - это закладное устройство 2, встроенное в маршрутизатор 2. А, В и С - IP-адреса.
Итак, оба ЗУ "договорились", что если в потоке сетевых пакетов 3 подряд идущих пакета будут иметь возрастающую последовательность (АВС), то передается сигнал "0", а если убывающую (СВА) - передается "1". Таким образом управляя порядком пакетов в сетевом потоке ЗУ передает информацию. Такой информацией могут быть как конфиденциальные данные, так и команда к действию.
Вы должны понимать, что приведенный пример, конечно же упрощен. В реальности все гораздо сложнее. Способов модуляции скрытого канала бесконечно много, все ограничивается лишь фантазией злоумышленника. Кроме того, эти каналы могут быть не только сетевыми. Они могут действовать в пределах одного АРМ и служат для обхода мандатной политики безопасности и предоставления несанкционированного доступа к информации.

Теперь немного фактов.
В 2008м году в документе "Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных" дается краткое описание нетрадиционных информационных каналов, основанных на манипуляции различных характеристик ресурсов ИСПДн и стеганографии.
В 2008м году в Российской Федерации был принят ГОСТ Р 53113.1 "Информационная технология. Защита информационных технологий и автоматизированных систем от угроз информационной безопасности, реализуемых с использованием скрытых каналов. Часть 1. Общие положения."
В 2009 году принимается ГОСТ Р 53113.2 "Защита информационных технологий и автоматизированных систем от угроз информационной безопасности, реализуемых с использованием скрытых каналов. Часть 2. Рекомендации по организации защиты информации, информационных технологий и автоматизированных систем от атак с использованием скрытых каналов."

В интернете есть множество литературы как российской, так и зарубежной о методах и способах организации скрытых каналов, а так же о методах и способах их выявления и противодействия им. Этот вопрос давно изучается, есть масса защищенных диссертаций.
Однако реального способа противодействия СК пока нет, есть только теоретические размышления и предположения. Но все они направлены на противодействие ограниченному числу СК, а как было сказано выше количество способов модуляции не ограничено.

Лондонский глаз

2011-02-18T00:56:00.004+03:00

Давно я не писала про Англию. Как-то все дела-дела, работа, защита информации, персональные данные... Сегодня вечером разглядывала фотографии в рамках на стене и у меня мелькнула мысль: "А почему бы не поднять читателям блога настроение в пятницу с утра?" Ведь уже так не хочется работать, а время все тянется и тянется... Чего таить, я сама частенько начинаю утро пятницы с чашечки хорошего кофе и прочтения очередной интересной статьи об этой чудесной стране. К слову о кофе, в Англии он другой. Не скажу, что более или менее вкусный, он просто другой. Но о кофе я напишу как-нибудь в другой раз, сегодня я расскажу Вам про Лондонский глаз....
Итак, London Eye - это одно из самых больших колес обозрения Европы. Его диаметр составляет 135 м! И конечно же с такой высоты весь город как на ладони :)

Лондонский глаз имеет 32 полностью закрытые и кондиционируемые кабинки-капсулы для пассажиров, сделанные в форме яйца. Капсулы символизируют собой 32 пригорода Лондона. Каждая 10-ти тонная капсула может принять до 25 пассажиров. Колесо вращается с постоянной скоростью в 26 сантиметров в секунду (приблизительно 0,9 километров в час) для того чтобы один оборот занимал приблизительно 30 минут. Колесо не останавливается, чтобы взять на свой «борт» пассажиров, так как скорость позволяет пассажирам входить и выходить на уровне земли. Колесо останавливается только для того, чтобы инвалиды и пожилые люди могли совершить посадку/высадку безопасно.
Источник wikipedia.org.

Происходит все примерно следующим образом. Пассажиры выходят из капсулы. В нее заходят трое полицейских: один осматривает капсулу металодетектором, второй с помощью зеркала на телескопической штанге, третий просто визуально. Затем в капсулу заходят новые посетители. И так по кругу, причем колесо при этом не останавливается! Не нужно толпиться и толкаться, все рассчитано по времени и каждый успевает выполнить свою часть процедуры :)

Вот так эта капсула выглядит сверху

Внутри есть скамейки, но необходимости в них мы не почувствовали. Мы просто ходили по кабине и любовались прекрасным видом. С Лондонского глаза можно увидеть как современную часть города,

Самое начало подъема.

Мы все выше...

...и выше...

что-то мне кажется, что это тот самый мост, который в 6й части Гарри Поттера разгромили Пожиратели смерти...

... и выше...

так и его исторические строения

Вестминстерский дворец

Самое интересное, что за недолгое время нашего путешествия (30 минут) погода сменилась трижды :) Моросящий дождь, солнце, дождь, солнце...

Но в этом-то и заключается вся прелесть Англии :)

И напоследок английский анекдот.

- Сэр, сэр, спасайтесь! Темза вышла из берегов!
- Бэрримор, где Ваши манеры? Выйдите и доложите как положено английскому джентельмену!
Через некоторое время Бэрримор распахивает двери под напором воды:
- К Вам Темза, сэр!

Всем хорошего настроения и отличных выходных!

Письма читателей

2011-02-17T01:22:00.003+03:00

Мне очень приятно, что читатели блога присылают мне письма с вопросами. Я стараюсь отвечать на эти письма как можно оперативнее, но в последнее время я часто нахожусь в командировках и поэтому не всегда отвечаю так быстро, как хотелось бы. Поэтому для Вашего удобства я решила разместить страницу "Письма читателей". Здесь я буду публиковать наиболее часто встречающиеся вопросы и ответы на них.

И конечно же жду Ваших новых писем!

Даешь лицензию на ТЗКИ в каждые руки!

2011-02-14T07:30:00.010+03:00

Не так давно была опубликована статья М.Ю. Емельянникова, посвященная особенностям защиты персональных данных в медицинской отрасли. Текст статьи можно найти на сайте Кода безопасности.

Мне очень нравятся статьи Емельянникова, он обычно не стесняется описывать реальную картину. И статья о защите ПДн в медицине так же мне понравилась, все очень четко, емко и по существу. Конечно есть ряд моментов, о которых я бы поспорила с автором. Это касается пресловутой необходимости получать согласие пациента, но об этом я уже писала не один раз.

Вот только не могу я согласиться с позицией автора о том, что всем медицинским организациям необходимо получать лицензию на техническую защиту информации.

Приведу цитату из статьи:

Сразу необходимо отметить, что создание подсистемы безопасности ИСПДн подпадает под категорию мероприятий по технической защите конфиденциальной информации, а этот вид деятельности является лицензируемым, и проведение таких работ даже для собственных нужд без соответствующей лицензии является нарушением закона.

Если такое обоснование является справедливым для медицинских ИСПДн, то оно должно быть справедливо и для всех ИСПДн. Не могу я с этим согласиться. С прекращением действия половины "четверокнижия" миф о необходимости получения лицензии развеялся. Почему же тогда Код безопасности опять поднимает этот вопрос? Преследуется цель получения новых клиентов в лице медицинских учреждений или это заявление Емельянникова справедливо и имеет под собой почву?

Ваше мнение?

Положение об обработке персональных данных

2011-02-07T08:29:00.004+03:00

Этот документ является одним из самых важных среди организационно-распорядительных документов в области обработки персональных данных. "Положение об обработке персональных данных" не должно создаваться для галочки, документ должен быть продуман и осмыслен. Положение не может быть шаблонным, оно индивидуально для каждого оператора. Я очень часто встречала документы, которые разрабатывались для оператора сторонней организацией. Чаще всего это шаблон с общими фразами и выжимками из нормативных документов. В работе такой документ использовать невозможно. С другой стороны, представители Роскомнадзора могут и не распознать "пустышку". Поэтому, прежде чем разрабатывать "Положение об обработке персональных данных", следует определиться с целями. Если Ваша цель - прикрыться от регулятора, то эта статья вряд ли Вам поможет. В интернете полно примеров Положения, которые, возможно, будут более полезны. Если же Ваша цель - действительно разобраться в бизнес-процессах своей организации и сделать работающий документ, то эта статья поможет определиться со структурой разрабатываемого документа.

Для начала необходимо определиться, будет ли это один документ, касающийся обработки данных всех субъектов, или для каждой категории субъектов по-отдельности будет создаваться свой документ. Некоторые предпочитают не мешать все в кучу, однако, я обычно делаю один документ. Дело в том, что очень многие моменты (хранение, уничтожение, ответственность и т.п.) общие для всех категорий субъектов, поэтому я предпочитаю один может и объемный, но грамотно структурированный документ массе небольших документов со схожим содержимым. Вы можете выбрать тот вариант, который ближе Вам.

Давайте пройдемся по структуре документа.

1. Термины и определения.
Документ в первую очередь разрабатывается для сотрудников. Чаще всего они не знакомы со 152-ФЗ и поэтому в данный раздел стоит включить все новые для них слова в данной области.

2. Общие положения.
В этом разделе в первую очередь указывается для кого предназначается данный документ, его назначение и цель.
Далее перечисляются категории субъектов, персональные данные которых обрабатываются. Это могут быть сотрудники, пациенты, клиенты, кандидаты для приема на работу и т.п.
Далее указываются такие общие моменты, как дата вступления документа в действие и порядок внесения в него изменений.

3. Обработка персональных данных субъектов
Раздел должен содержать правила и порядок обработки персональных данных. Причем лучше сразу разделить обработку без использования средств автоматизации и обработку с их применением.
Определяется порядок хранения данных. Например, можно указать, что места хранения материальных носителей персональных данных определяются в соответствии с "Приказом об утверждении мест хранения".
Указываются требования к передаче данных по каналам связи. Здесь необходимо указать какая передача допускается, а какая нет. Этим Вы предупреждаете сотрудников об ответственности за несанкционированную передачу данных.
Так же стоит указать каким образом ведется учет лиц, допущенных к обработке ПДн.
Для каждой категории субъектов ПДн указываются сотрудники (по должностям), имеющие доступ к ПДн или дается ссылка на нормативный документ, определяющий перечень таких сотрудников ("Перечень сотрудников, имеющих доступ к персональным данным").
Указываются лица, ответственные за соблюдение порядка работы с ПДн, а так же ответственные за функционирование технических средств и СЗИ. Или же делается ссылка на соответствующие документы.

4. Уничтожение персональных данных субъектов.
Как всем известно при определенных обстоятельствах необходимо производить уничтожение ПДн (достижение целей, избыточность данных, отзыв согласия и т.д.). К процедуре уничтожения ПДн предъявляются определенные требования законодательства и поэтому расписать ее необходимо подробно.
Укажите события при наступлении которых персональные данные необходимо уничтожить.
Укажите порядок уничтожения ПДн. Например так: составление акта, комиссионное уничтожение (можно указать способы: затирание, механическое уничтожение и т.п.), заверение акта комиссией.
Думаете на этом бумажная волокита закончилась? Ну уж нет! После уничтожения ПДн необходимо уведомить субъекта, порядок уведомления так же следует описать в Положении.
В некоторых случаях об уничтожении ПДн следует уведомить и Роскомнадзор - не забудьте включить этот пункт в Положение.

5. Порядок обработки ПДн субъектов по категориям.
Для каждой категории субъектов необходимо описать порядок обработки их персональных данных.
Основание для обработки данных: ФЗ, Устав и т.п.
Состав обрабатываемых ПДн.
Способ получения ПДн (например, лично от субъекта).
Форма обработки данных: на бумажных носителях, в электроном виде.
Получение согласия субъекта. В каких случаях это необходимо, в каких нет. В приложение можно вынести форму согласия.
Сроки обработки персональных данных.
Условия передачи ПДн, если это допустимо.
Условия прекращения обработки.

6. Доступ к ПДн.
Данный раздел может и не включаться в Положение, если в организации существует отдельный документ, определяющий порядок доступа к данным.
В этом разделе определяется порядок доступа к данным: ответственность сотрудника, подписание соглашения о неразглашении. Так же определяется порядок доступа к данным контролирующих организаций, предоставление доступа к данным субъектам ПДн.

7. Обязанности лиц, допущенных к обработке ПДн.
Необходимо указать правила работы с данными, сослаться на внутренние документы, определяющие эти правила. Например, инструкция пользователя ИСПДн.
Так же следует предупредить сотрудника об обязанности соблюдать конфиденциальность и сохранность данных. Описать события, о которых пользователи должны сообщать своему непосредственному начальнику.

8. Права субъектов ПДн.
Субъект ПДн имеет право:
отозвать свое согласие - необходимо определить порядок отзыва.
ознакомиться с обрабатываемыми данными - указать состав этих данных.
получить информацию об операторе - указать какую именно.
требовать прекращения обработки его данных...
В разделе не просто должны быть перечислены права субъекта. Прочитав этот раздел сотрудник должен знать, как эти права будут реализованы. Кто будет работать с обращениями субъекта? Как эти обращения будут фиксироваться? Кто будет исполнять требования субъектов? И т.д.

9. Ответственность.
После прочтения всех предыдущих разделов сотрудник должен иметь представление о том, что как и когда он должен или не должен делать. А в последнем разделе Вы предупреждаете сотрудника о том, что ему будет, если он не выполнит требования документа.

В Ваших интересах предусмотреть в документе все, чтобы Ваши сотрудники не имели возможности сослаться на незнание тех или иных фактов. И, конечно же, важно не только требовать соблюдение правил, описанных в документе, но и создать сотрудникам все условия для их соблюдения.

Лень и как от нее избавиться

2011-01-26T01:28:00.008+03:00

Прочитала на днях замечательную статью Даниила Шардакова о том как бороться с ленью. Даниил - мастер копирайтинга, поэтому в статье делается акцент на то, как лень вредит этому искусству. Однако, уверена, что читать будет интересно многим. По крайней мере я читала с удовольствием :)
Текст статьи привожу ниже, источник http://shard-copywriting.ru/copywriting-troubles/len-14-sposobov-kak-ot-nee-izbavitsya

Лень: 14 способов, как от нее избавиться

Лень – это негативный фактор для копирайтинга. Она присуща всем людям и чаще всего становится причиной сорванных сроков, ухудшения качества текстов и катастрофической нехватки времени. Лень – это проблема, и эту проблему нужно решать. О том, как ее решить, как избавиться от лени – тема сегодняшней статьи.

Прежде чем начать, давайте рассмотрим природу этого явления. В основе всех наших действий, так или иначе, лежат инстинкты. Мы можем их контролировать, однако полностью избавиться от них мы не в состоянии, поскольку они – часть нашей природы. Лень – это также проявление одного из инстинктов – самосохранения (экономия сил).

Выражается лень в тоске, скуке, апатии, полном нежелании что-либо делать или делать что угодно, только не работу, злостном биении баклуш, и напрочь подрывает весь рабочий процесс на корню. Каким бы ни был образ лени в Вашем случае, ее нужно гнать в шею поганой метлой. Сделать это можно следующими способами.

1. Волевое усилие

Волевое усилие – это, пожалуй, один из самых радикальных методов борьбы с ленью. Увы, подходит не для всех, поскольку чаще всего сделать его над собой бывает тоже лень. И, тем не менее, радикальное изгнание лени и ручная настройка на рабочий лад могут довольно быстро привести Вас в форму и восстановить рабочий процесс.

Идеальный вариант для тех, кто считает себя действительно сильным, волевым человеком, неподвластным своим слабостям.

2. Четкое планирование

Этот способ отчасти вытекает из предыдущего. Основывается на четком расписании, которое нарушить нельзя. Вы сами создаете для себя правила и следуете им. Это не только усиливает Ваше чувство ответственности перед самим собой, но и позволяет сэкономить массу времени. Кроме того, планирование позволяет Вам оценить продуктивность своего труда.

Рекомендуется для каждой работы указывать время суток для исполнения и промежуток времени на исполнение. Например:

Эту статью я буду писать сегодня 15.00 до 17.00. С 17.10 до 18.30 я буду заниматься редактированием текстов, которые должны быть готовы к пятнице.

Остерегайтесь «размытого» планирования, типа: «На эту статью у меня уйдет примерно час времени…». Таким образом, Вы расслабляетесь, и переносите все на самый последний момент. Это недопустимо.

3. Отсутствие «завтра»

Переносить «на завтра» любую работу, которую лень выполнять сегодня свойственно практически каждому человеку. Однако, как правило, на следующий день становится снова лень выполнять работу, и так она кочует день ото дня до самого последнего момента. Как результат:

Работа выполняется в спешке в последний момент
Работа не продумывается
Качество работы ухудшается
Для решения этой проблемы представьте, что завтра не наступит. В таком случае Вам просто жизненно необходимо выполнить максимум за сегодняшний день. Сперва это выглядит непривычно и нелепо, однако затем сознание привыкает, и мотивация начинает бить ключом: Вы начинаете стремиться выполнить максимальное количество работы «за сегодня». Главное, чтобы от этого не страдало качество.

4. Дедлайн

Дедлайн (от англ. deadline – крайний срок) – это тот самый последний момент, когда поджимают сроки, и нужно кровь из носа все сделать. Когда дедлайн естественный, то до лени дело вообще не доходит, потому что сроки «горят» (особенно когда по работе еще конь не валялся), и нужно срочно мобилизоваться, чтобы выполнить заказ.

Когда у Вас еще есть время, и наступает лень, создание искусственного дедлайна может стать альтернативным решением проблемы, переноса работы «на завтра». Если в предыдущем способе мотивация исходила изнутри, то сейчас она будет исходить снаружи.

Суть этого способа заключается в том, что Вы искусственно переносите сроки сдачи работы, приближая их для себя (не для заказчика). Вы формируете иллюзорную фобию, что Вы можете не успеть, мобилизуетесь, и лень отступает.

Эффект этого способа можно объяснить тем, что и лень, и страх – это проявления одного инстинкта – самосохранения. Однако в иерархии проявлений страх стоит выше экономии сил, поэтому его влияние на человека сильнее, и он нейтрализует лень.

5. Вдохновение

Когда Вы одержимы новыми идеями, и Вас переполняет энтузиазм, то лень не просто отступает, она бежит, сверкая пятками. Один из самых эффективных способов борьбы с ленью – это вдохновение. О том, где его взять, читайте в статье «5 верных советов, где взять вдохновение копирайтеру».

Этот способ особенно эффективен, если у Вас есть конкуренты или Вы хотите доказать свое превосходство над кем-либо. В таком случае энтузиазм будет зашкаливать, а работоспособность будет просто невероятной.

6. Избыток лени

Все верно. Никакого противоречия здесь нет. Существует поговорка, что клин вышибают клином. Этот способ как раз из той оперы. Суть его заключается в том, что Вы доводитесь до такого состояния, когда от лени начинаете изнемогать. Вам становится лень лениться, и лень начинает пожирать сама себя.

В таком случае у Вас возникает потребность чем-нибудь заняться, поскольку бить баклуши становится невмоготу. Это именно тот случай, когда лучший способ победить соблазн – это поддаться ему в увеличенном масштабе.

7. Совесть

Совесть – это страшно занудное существо, которое не переносят не только люди, но и лень в том числе. Когда совесть просыпается, Вы начинаете испытывать жутко неприятные ощущения до тех пор, пока не согласитесь на ее условия или не усыпите ее каким-нибудь способом.

Если Вы хотите быстро избавиться от лени – разбудите совесть. И, несмотря на то, что «под раздачу» попадет не только лень, но и Вы, этот способ зарекомендовал себя как весьма эффективное средство.

8. Концентрация

Еще одним неплохим средством борьбы с ленью может стать концентрация на работе.

Постарайтесь исключить все отвлекающие факторы, такие как «аську» (ведь ICQ – самый главный могильный цветок на надгробии рабочего настроения), скайп и прочие мессенджеры, лишние страницы в браузере, громкую музыку, словом, все, что мешает Вам сосредоточиться.

9. Маленькие поощрения

Конечно, в сознании постоянно висит мысль, что, вот, Вы напишете статью, Вам за нее заплатит заказчик, но это, кажется, будет еще так нескоро. В таком случае очень хорошо работает способ «маленьких поощрений». Поощрения – это то, что любит человек, но не любит лень. Поощрения всегда выдаются за что-либо сделанное.

Поощрите себя за часть сделанной работы, и у Вас появится дополнительный стимул. Поощрять можно необязательно чем-то вещественным. Можно наградить себя 10-15-минутным перерывом.

10. Разделение и властвование

Обилие работы привлекает лень. Работы много, времени тоже много, вроде, тем более что бралось время с запасом. Казалось бы, почему нельзя «запас» потратить сейчас? Но время никогда не бывает лишним до тех пор, пока работа не сделана до конца.

Для того чтобы работа не тяготила своим объемом и не нагнетала уныние и апатию, разбейте ее на части и выполняйте по частям. Этот способ хорошо работает в связке со способом «маленьких поощрений»: вы Выполняете часть большого объема работы и поощряете себя за это.

11. Переключение между задачами

Порой бывает так, что написание статьи настолько приедается, что сидеть за ним становится просто невмоготу и лень. В таком случае будет нелишним переключиться на выполнение какой-либо другой задачи.

Например, если Вам невмоготу писать, проведите анализ, изучите особенности тематики или товаров, о которых Вы пишете. Способ выполняет сразу две функции:

Избавляет Вас от монотонности и лени
Наталкивает Вас на ряд новых мыслей
Вторая функция примечательна тем, что при появлении новых идей на Вас может найти вдохновение, а от этого работоспособность значительно увеличится.

12. Принципиальность

Принципиальность – это также одно из тех серьезных явлений, от которых лень предпочитает держаться подальше. Принципиальность взывает к гордости человека, а это, в свою очередь, становится очень сильным источником мотивации. Как результат, когда Вы пишете, несмотря ни на что из принципа, Вас мало что может отвлечь, поскольку гордость и повышенное чувство ответственности питают Вас изнутри и требуют довести начатую работу до конца.

Этот способ отлично себя оправдывает, когда у Вас есть цель: заработать на машину или на квартиру, победить в конкурсе и т.д.

13. Отдых

Зачастую бывает так, что Вы задумываетесь над тем, как написать тот или иной абзац, и создается ощущение, что время вокруг замирает. Вы сидите и смотрите в одну точку без тени мыслей. Это одно из проявлений усталости: Вы начинаете отвлекаться, уходить в себя, и при этом теряете массу времени. После такого сложно настроиться на рабочий лад. То же самое относится к так называемому «зацикливанию». Вы чувствуете, что мозг работает сверхактивно, но при этом Вы стоите на месте, постоянно возвращаясь к тому, с чего Вы начали.

Поэтому, когда Вы чувствуете, что тратите более пяти минут на раздумье, но видите, что мозг просто простаивает, то в этом случае есть три решения:

Переключиться на другую задачу
Сконцентрироваться
Отдохнуть (рекомендуется)
Отдых (именно отдых, а не бездумное валяние на диване весь день напролет с «бычьими глазами» перед телевизором) способен придать Вам сил и восстановить работоспособность. Однако будьте осторожны, чтобы он не перешел от избытка затрачиваемого на него времени в лень. Все хорошо в меру.

14. Приближение конца работы

Тяжелее всего в работе даются последние стадии. Именно на них лень проявляет особую активность. В мозг закрадываются мысли, дескать, все почти сделано, времени еще вагон, чего спешить? И в итоге вся финишная работа переносится на последний момент.

С другой стороны, если посмотреть на конец работы под другим углом: стоит приложить последнее усилие, и можно будет вздохнуть полной грудью с переполняющим чувством выполненного долга. Такой подход может придать заряд энтузиазма и энергии для последнего рывка, разбивая лень в пух и прах.

Персональные данные работника

2011-01-20T01:17:00.028+03:00

С тем в каких случаях необходимо получать согласие пациента, мы уже более-менее определились. И даже в некотором роде разобрались с тем, как эти согласия хранить, вести их учет и удалять. А как же быть с персональными данными работника? Нужно ли получать согласие на обработку персональных данных работника? Давайте разбираться :)

Итак, если обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора, то получать согласие субъекта не требуется (п. 1 части 2 статьи 6 Федерального закона «О персональных данных). Для обработки персональных данных работника такой федеральный закон предусмотрен - Трудовой кодекс, 14я глава которого посвящена защите персональных данных работника.

Однако, глава 14я так же накладывает ряд ограничений на оператора. В случае получения ПДн работников у третьей стороны необходимо наличие письменного согласия субъекта (п. 3 статьи 86 ТК РФ). Поэтому прежде чем наводить справки о своем сотруднике, подумайте, а не будет ли это нарушением ТК РФ.

Что касается передачи персональных данных работника третьим лицам, тут тоже есть ограничения. Правда все вполне логично.Прежде чем передавать персональные данные работника третьим лицам необходимо у этого работника получить письменное согласие (статья 88 ТК РФ). Однако, если передача осуществляется на основании ТК РФ или иного Федерального Закона, согласие не требуется. Куда обычно работодатель передает персональные данные работника?

Во-первых, в налоговую службу, основанием для этого является Налоговый кодекс РФ. Согласие получать не нужно.

Во-вторых, в Пенсионный фонд передаются данные для персонифицированного учета. Основание: 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования». Согласие получать не нужно.

В-третьих, в Пенсионный фонд, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования. Основание: 212-ФЗ «О страховых взносах в Пенсионный фонд Российской Федерации, Фонд социального страхования Российской Федерации, Федеральный фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования». Согласие получать не нужно.

В-четвертых, сведения для начисления заработной платы передаются в банк. Основание: статья 136 ТК РФ. Согласие получать не нужно.

В-пятых, часто работодатель передает персональные данные работника в банк для оформления зарплатных карт. В данном случае необходимо получить письменное согласие сотрудника. Я не нашла закона, регламентирующего такую передачу.

В-шестых, для оформления полисов обязательного медицинского страхования работодатель передает персональные данные работника в страховые компании. В данном случае я также не нашла закона, регламентирующего такую передачу. Следовательно, необходимо письменное согласие сотрудника.

Я постаралась перечислить наиболее часто встречаемые случаи передачи персональных данных сотрудников. Необходимо так же учитывать, что статья 88 ТК РФ разрешает передавать ПДн без согласия работника в целях предупреждения угрозы его жизни и здоровью, а так же накладывает ограничения на передачу данных внутри организации. Действительно, работодатель обладает достаточно важной информацией о своих сотрудниках и должен со всей серьезностью относиться к вопросам передачи этих данных не только за пределы организации, но и между работниками.

Вывод. Обработка персональных данных работников осуществляется на основании ТК РФ и не требует получения согласия работника на такую обработку. Однако, при получении ПДн у третьей стороны или передаче персональных данных третьему лицу, необходимо получать письменное согласие сотрудника, за исключением случаев, когда эти действия направлены на выполнение других Федеральных законов или предупреждают угрозу жизни и здоровья субъекта.

Что делать с согласиями субъекта персональных данных?

2011-01-09T23:56:00.000+03:00

Закон о персональных данных в ряде случаев обязывает оператора получать согласие субъекта на обработку персональных данных в письменном виде. Существуют так же случаи когда согласие не требуется вовсе, и случаи, когда оно необходимо, но требований к его форме не предъявляется.

Однако, например, часть 1 статьи 15 152-ФЗ накладывает на оператора обязанность доказать, что согласие с субъекта было получено, в случае обработки персональных данных "в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации...". Как доказать, что согласие было получено? Я вижу только один способ - это самое согласие предъявить, а для этого его сначала нужно у субъекта получить, естественно в письменном виде. Как говорится, без бумажки...

Вопрос получения согласия уже неоднократно обсуждался и я не буду в этом посте на нем останавливаться. Сегодня мне бы хотелось поговорить о том, что потом делать с этими согласиями.

Ну для начала их необходимо хранить в надежном месте, как это регламентирует 687е ПП (ведь согласие субъекта - это тоже носитель, содержащий персональные данные). Т.е. следует выделить закрываемый шкаф или даже сейф для хранения согласий, накапливаемых в течении дня (недели, месяца - в зависимости от особенностей работы), а так же место в архиве - для длительного хранения. Конечно можно хранить все согласия в одном шкафу, но при больших объемах, это вряд ли будет возможно. Самый сложный вопрос - это сколько такие согласия хранить? Ну вот представьте себе компанию, которая на протяжении всей своей жизни осуществляет контакты с клиентами. При первом обращении клиента честный оператор получил согласие и теперь обязан его хранить, дабы в случае чего доказать, что обработка ведется законно. Пусть в день даже будет 50 таких клиентов, это 1 500 согласий в месяц, 18 000 согласий в год. А за 10 лет? 180 000. Н-даа.. А уничтожишь какую-нибудь бумажку, как потом доказывать, что 10 лет назад согласие получено было?

Ладно, поехали дальше. Учет согласий. В случае проверки или жалобы со стороны субъекта ПДн согласие необходимо найти. Как уже говорилось за несколько месяцев работы их может скопиться достаточно много. Поэтому необходимо каким-то образом предусмотреть систему учета согласий субъектов персональных данных. Для этого нужно заводить журнал учета, присваивать номера и т.д. и т.п. Хорошо, если в вашей компании функционирует система электронного документооборота, будет несколько проще. А вот те организации, которые все еще ведут дела только на бумаге, погрязнут в своих бумажках еще больше.

Ну с хранением и учетом более-менее понятно, а вот что делать, если цели обработки достигнуты? Закон предписывает обработку персональных данных прекратить, данные уничтожить, субъекта уведомить (что, кстати, тоже проблематично, но об этом как-нибудь в другой раз). А что делать с согласием? Тоже уничтожить, комиссионно составить акт уничтожения и хранить уже этот акт? А если вдруг потом возникнут вопросы, что мол, в прошлом году оператор такой-то обрабатывал ПДн субъекта такого-то, а вот докажите, что согласие получали. Что делать, если согласие было уничтожено со всеми остальными персональными данными? Должен же быть какой-то срок давности что ли...

В общем, подводя итог, хочу сказать, что согласие субъекта на обработку персональных данных - это петля на шее оператора. Согласия эти требуют надежного хранения и грамотного учета. При всем при этом сроки хранения согласий нигде не оговариваются (кроме самого согласия), порядок их уничтожения также не ясен, да и обязанность доказать факт получения согласия лежит на операторе.

С Новым Годом!

2010-12-31T11:25:00.000+03:00

Уважаемые читатели, коллеги, друзья! Я от всей души поздравляю вас с самым светлым, радостным и сказочным праздником!

Мне очень приятно, что у блога есть постоянные читатели. Спасибо вам за участие в жизни блога, за ваши вопросы, советы, комментарии! Я очень надеюсь, что все наши замечания к наболевшей теме защиты персональных данных будут учтены в последующих нормативных документах в этой области.

Для меня 2010 год был достаточно насыщенным. Я хочу сообщить вам всем, что я больше не работаю в сфере медицины. Но я по прежнему интересуюсь темой защиты персональных данных пациентов и конечно же врачебной тайны. Поэтому и в следующем году буду стараться радовать вас, дорогие читатели, новыми статьями и рассуждениями в этой области и в области информационной безопасности в целом.

Я верю, что будущий год преподнесет нам всем множество приятных сюрпризов. Счастья вам! И как говорят англичане: Be healthy, wealthy and wise!

Еще раз о наболевшем: согласие пациента

2010-12-09T23:42:00.002+03:00

Может показаться, что я уж слишком часто возвращаюсь к этой теме, однако вопрос на самом деле очень серьезный и требует детальной проработки. Всем спасибо за обсуждение предыдущего поста, ситуация проясняется. Подведу итоги.

Итак, принят Федеральный закон от 29 ноября 2010 г. N 313-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона "Об обязательном медицинском страховании в Российской Федерации". Статья 11 этого закона вносит изменения в статью 10 Федерального закона №152-ФЗ "О персональных данных". Теперь обработка специальных категорий персональных данных (в том числе сведений о состоянии здоровья) может осуществляться, если:

"8) обработка персональных данных осуществляется в целях обязательного социального страхования в соответствии с федеральными законами о конкретных видах обязательного социального страхования."

29.11.2010 г. принят Федеральный закон №326-ФЗ "Об обязательном медицинском страховании в Российской Федерации".Обмен персональными данными в системе ОМС осуществляется в соответствии с данным Федеральным законом.

Следовательно, то о чем я писала в статье Недоработки закона или двусмысленное толкование? , оказалось недоработкой закона, благополучно исправленной.

Вывод: для обмена данными в системе ОМС медицинским учреждениям не нужно получать согласие пациента.

Напоминаю, что если "обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну", согласие пациента так же не требуется.

На данный момент необходимо получать согласие субъекта:

1. для включения его данных в Федеральные различные регистры, хотя их уже давным давно пора обезличить.
2. для проведения научных исследований, публикаций, учебного процесса.
3. как отметила СЕлена, в случае ДМС. Данный случай требует более детального изучения.

Кстати, возможный перенос сроков приведения ИСПДн в соответствие еще на полгода, дает отличную возможность подчистить возможные недоработки ;-)

Недоработки закона или двусмысленное толкование?

2010-11-26T09:08:00.002+03:00

Закон об ОМС уже практически принят, осталась только подпись Президента.
Все мы прекрасно знаем, что по 152-ФЗ согласие субъекта не требуется если обработка ПДн ведется в рамках ФЗ, устанавливающего цели, порядок и т.д.
Так вот, принятие закона об ОМС должно облегчить жизнь медиков, т.к. 47я статья регулирует передачу данных в фонды страхования и страховые компании.
Так ли это на самом деле? Лично я до вчерашнего дня и не сомневалась. Но вдруг я вспомнила,что в 6й статье 152-ФЗ вроде что-то говорилось об обработке специальных категорий ПДн.

Сегодня с утра принялась перечитывать затертый до дыр (насколько эта фраза применима к электронной версии) 152-ФЗ. Давайте разбираться вместе.

п. 1 части 2 статьи 6 гласит:

"Согласие субъекта персональных данных, предусмотренное частью 1 настоящей статьи, не требуется в следующих случаях:

1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные
данные которых подлежат обработке, а также определяющего полномочия оператора;"

Именно на это положение я ссылалась, утверждая, что закон об ОМС позволяет не получать согласие пациента при передаче данных в Фонд и страховые компании.

Но!
Часть 3я той же статьи гласит:

3. Особенности обработки специальных категорий персональных данных, а также биометрических персональных данных устанавливаются соответственно статьями 10 и 11 настоящего Федерального закона.

Что же получается? Статья 6 152-ФЗ не регулирует обработку специальных категорий ПДн. И даже если эта обработка ведется в рамках ФЗ, все равно нужно руководствоваться статьей 10 152-ФЗ?

Так вот в этой самой статье 10 определяются условия обработки ПДн. Обработка специальных категорий ПДн возможна при выполнении одного из условий:

1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

2) персональные данные являются общедоступными;

3) персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо
жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно;

4) обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной
организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

6) обработка персональных данных необходима в связи с осуществлением правосудия.

Передача данных в фонды и страховые компании не попадает под условия п.2-п.6, следовательно остается только п. 1 - т.е. получать согласие.

Что же получается? Обработка данных регламентирована законодательством, а согласие все равно получать необходимо?
У кого какие мысли на этот счет?

Закон об ОМС

2010-11-21T11:47:00.002+03:00

19 ноября был принят в третьем чтении законопроект "Об обязательном медицинском страховании в Российской Федерации". Текст закона направлен в Совет Федерации.

Что нового несет закон об ОМС в части защиты персональных данных субъектов.

Статья 47. Взаимодействие медицинской организации с территориальным фондом и страховой медицинской организацией при ведении персонифицированного учета сведений о медицинской помощи, оказанной застрахованным лицам.

В данной статье определяется порядок, цель и ответственность при обработке ПДн. Следовательно, лечебным учреждениям нет необходимотси получать согласие субъекта на обработку перснальных данных с целью их передачи в фонды ОМС и страховую медицинскую организацию.

Закон вступает в силу с 01.01.2011 г.

Согласие пациента на обработку персональных данных

2010-10-03T14:29:00.003+04:00

Уже не один раз я сталкивалась с вопросом нужно ли брать согласие с пациента на обработку персональных данных. Я сама раньше считала, что да, нужно в любом случае. Однако, век живи, век учись.
Давайте досканально разберем статью 10 152-ФЗ, которая посвящена обработке специальных категорий персональных данных. Сведения о состоянии здоровья как раз к таковым и относятся. В части 2 статьи 10 определны случаи, когда допускается обработка специальных категорий ПДн.

1. Первый случай - это когда субъект дал свое согласие на обработку ПДн. То есть если Ваша ситуация не подходит не под один из следующих 6 пунктов, то необходимо брать согласие субъекта.

2. Случай 2 - ПДн являются общедоступными. Понятно, что если по какой-то причине ПДн признаны общедоступными (либо с согласия субъекта, либо получены они из общедоступного источника), то можно смело их обрабатывать и никакого согласия на обработку с субъекта получать не нужно.

3. Случай 3 - персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно.
Приведу пример. Реальная ситуация: пациент поступает в психиатрическую больницу, взять согласие с него невозможно ввиду его психического состояния, однако недееспособным он пока тоже не признан. Но обрабатывать его ПДн нужно уже сейчас для защиты его же интересов и здоровья (да хоть признания пациента недееспособным). Вот тут оператору и поможет п. 3 части 2 статьи 10. Однако, я бы порекомендовала, фиксировать как-то тот факт, что получить согласие субъекта невозможно.

4. Случай 4 - обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну.

Вот он тот самый пункт, о котором всегда все забывают. Не нужно врачу согласие пациента на обработку его ПДн, потому как на основании статьи 61 Основ законодательства об охране здоровья граждан врач уже обязан сохранять врачебную тайну.
Однако, если эти данные необходимо сообщить другим должностным лицам в интересах обследования и лечения - то необходимо согласие пациента. (статья 61 основ законодательства об охране здоровья граждан). Очень часто выпиской льготных рецептов, например, занимаются операторы, которые не занимаются проффесионально медицинской деятельностью. Получается в таком случае нужно брать согласие.
Большая часть учреждений передает данные в фонд обязательного медицинского страхования. Но здесь вступает в роль закон об обязательном медицинском страховании. То есть обработка ПДн происходит в рамках ФЗ, согласно п. 1 части 2 статьи 6 152-ФЗ согласие субъекта на обработку ПДн в таком случае не требуется.

Остальные 3 случая, когда допускается обработка специальных категорий ПДн, не относятся к сфере здравоохранения.

Стоит так же описать процедуру обработки ПДн, целью которой является ведение различных федеральных регистров: регистр больных сахарным диабетом, регистр детей-инвалидов и многие другие. Основанием для ведения этих регистров служат приказы и информационные письма Минздрава, то есть обработка происходит не в рамках ФЗ. Тут необходимо получать согласие субъекта ПДн, причем в согласии необходимо указывать всех получателей ПДн. Нельзя допускать включение данных о пациенте в регистр без его согласия. Мое лично мнение на этот счет таково, что давно пора даные в этих регистрах обезличить.

Очень часто в научных и образовательных целях к историям болезней допускаются студенты образовательных учреждений. С пациента в таком случае не то, что согласие не берут, он чаще всего об этом и не догадывается. Для проведения научных исследований, публикации в научной литературе, использования этих сведений в учебном процессе и в иных целях необходимо согласие пациента!

Вообще передовать кому-то ПДн пациента можно только с его согласия, если иное не предусмотрено другими ФЗ. Например, в основах законодательства об охране здоровья предусмотрено 6 случаев, когда согласие пациента не требуется:

1) в целях обследования и лечения гражданина, не способного из-за своего состояния выразить свою волю;
2) при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;
3) по запросу органов дознания и следствия, прокурора и суда в связи с проведением расследования или судебным разбирательством;
4) в случае оказания помощи несовершеннолетнему в возрасте, установленном частью второй статьи 24 настоящих Основ, для информирования его родителей или законных представителей;
(в ред. Федерального закона от 01.12.2004 N 151-ФЗ)
5) при наличии оснований, позволяющих полагать, что вред здоровью гражданина причинен в результате противоправных действий.
6) в целях проведения военно-врачебной экспертизы в порядке, установленном положением о военно-врачебной экспертизе, утверждаемым Правительством Российской Федерации.

Итак, подведу итог. Согласие пациентов на обработку ПДн требуется в следующих случаях:
1. обработкой ПДн занимается должностное лицо, не имеющее права заниматься медицинской деятельностью;
2. обработка ПДн не предусмотрена ФЗ (например, ведение регистров);
3. обработка ПДн происходит с целью проведения научных исследований, публикаций, учебного процесса.

Типовое ЛПУ №1. Разработка инструкций.

2010-09-30T09:05:00.004+04:00

К вопросу об инструкциях по ведению журналов учета обращения граждан и журналу учета допуска сотрудников к оброаботке ПДн в ИСПДн.Текст может быть примерно таким:

Инструкция
по учету лиц, допущенных к работе с персональными данными в информационных системах персональных данных

1.Настоящая инструкция разработана в соответствии с требованиями подпункта «ж» пункта 12 «Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденного постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781, и определяет порядок учета лиц, допущенных к работе с персональными данными в информационных системах.

2.Настоящая инструкция устанавливает порядок ведения учета лиц, допущенных к обработке персональных данных в форме «Журнала учета лиц, допущенных к работе с персональными данными в информационных системах» согласно приложению.

3.Основанием для допуска сотрудника к персональным данным является _______________________.

4.Все случаи разового допуска сотрудника к персональным данным также фиксируются в «Журнале учета лиц, допущенных к обработке персональных данных в информационных системах». Разовый допуск осуществляется на основании _________________.

5.Основанием для прекращения допуска сотрудника к персональным данным служит ______________________.

Инструкция
по учету обращений граждан для получения доступа к своим персональным данным

1.Настоящая инструкция разработана в соответствии с требованиями статьи 14 Федерального закона Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок учета обращений граждан для получения доступа к своим персональным данным в «Журнале учета обращений граждан для получения доступа к своим персональным данным» .

2.Основанием для предоставления субъекту доступа к своим персональным данным является его обращение либо запрос субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.

3.Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:
подтверждение факта обработки персональных данных оператором, а также цель такой обработки;
способы обработки персональных данных, применяемые оператором;
сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
перечень обрабатываемых персональных данных и источник их получения;
сроки обработки персональных данных, в том числе сроки их хранения;
сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

4.Решение о предоставлении субъекту доступа (либо отказе в доступе) к персональным данным принимает _______________.

5.Все случаи предоставления субъекту доступа к персональным данным либо отказа от такого доступа регистрируются в «Журнале учета обращений граждан для получения доступа к своим персональным данным».

3. Разработка инструкций администратору и пользователям ИСПДн.

Пользователи ИСПДн должны быть предупреждены о факте обработки ими конфедициальной информации (ПДн) и должны быть ознакомлены с правилами работы в ИСПДн. В инструкции пользователя необходимо прописать такие моменты, как:

требования к паролям,
необходимость блокировки компьютера при оставлении рабочего места,
необходимые действия в случае компроментации пароля или подозрений о возможности утечки данных, заражении вирусом, потери средств аутентификации, сбоев в работе техники,
порядок пользования ресурсами учреждения (интернет, корпоративная почта),
порядок работы со съемными устройствами,
порядок внесения изменений в конфигурацию,
запрет обработки конфиденциальной информации в присутствии посторонних,
запрет использования сторонних прокси, умышленное использование недокументированных свойств ПО,
работа в сети,
антивирусная защита,
и т.п.

Так же пользователи должны быть предупреждены об ответственности за нарушение правил инструкции и за разглашение информации.

Администратор ИСПДн и администратор безопасности ИСПДн выполняют функции по обеспечению работоспособности технических и программных средств и СЗИ соответственно. Думаю трудностей с разработкой таких инструкций не должно возникнуть. Например, можно использовать следующие формулировки:

1 Общие положения
1.1 Администратор безопасности ИСПДн (далее – Администратор) назначается на должность ___________________.
1.2 Администратор в своей работе руководствуется настоящей инструкцией, а так же следующими нормативными документами:
1.3 Администратор отвечает за поддержание необходимого уровня безопасности объектов защиты.
1.4 Администратор безопасности является ответственным должностным лицом Учреждения, уполномоченным на проведение работ по технической защите информации и поддержанию достигнутого уровня защиты ИСПДн и ее ресурсов на этапах промышленной эксплуатации и модернизации.
1.5 Администратор безопасности должен иметь специальное рабочее место, размещенное в здании Учреждения так, что бы исключить несанкционированный доступ к нему посторонних лиц и других пользователей.
1.6 Рабочее место Администратора безопасности должно быть оборудовано средствами физической защиты (личный сейф, железный шкаф или другое), подключением к ИСПДн, а так же средствами контроля за техническими средствами защиты.
1.7 Администратор безопасности осуществляет методическое руководство Операторов и Администраторов ИСПДн, в вопросах обеспечения безопасности персональных данных.
1.8 Требования администратора информационной безопасности, связанные с выполнением им своих должностных обязанностей, обязательны для исполнения всеми пользователями ИСПДн.
1.9 Администратор безопасности несет персональную ответственность за качество проводимых им работ по контролю действий пользователей при работе в ИСПДн, состояние и поддержание установленного уровня защиты ИСПДн.

2 Администратор безопасности обязан:
2.1 Знать и выполнять требования действующих нормативных и руководящих документов, а также внутренних инструкций, руководства по защите информации и распоряжений, регламентирующих порядок действий по защите информации.
2.2 Осуществлять установку, настройку и сопровождение технических средств защиты.
2.3 Участвовать в контрольных и тестовых испытаниях и проверках элементов ИСПДн.
2.4 Участвовать в приемке новых программных средств.
2.5 Обеспечить доступ к защищаемой информации пользователям ИСПДн согласно их правам доступа при получении оформленного соответствующим образом разрешения.
2.6 Уточнять в установленном порядке обязанности пользователей ИСПДн по обработке объектов защиты.
2.7 Вести контроль над процессом осуществления резервного копирования объектов защиты.
2.8 Осуществлять контроль над выполнением Плана мероприятий по защите персональных данных.
2.9 Анализировать состояние защиты ИСПДн и ее отдельных подсистем.
2.10 Контролировать неизменность состояния средств защиты их параметров и режимов защиты.
2.11 Контролировать физическую сохранность средств и оборудования ИСПДн.
2.12 Контролировать исполнение пользователями ИСПДн введенного режима безопасности, а так же правильность работы с элементами ИСПДн и средствами защиты.
2.13 Контролировать исполнение пользователями парольной политики.
2.14 Контролировать работу пользователей в сетях общего пользования и (или) международного обмена.
2.15 Своевременно анализировать журнал учета событий, регистрируемых средствами защиты, с целью выявления возможных нарушений.
2.16 Не допускать установку, использование и хранение в ИСПДн программных средств, не связанных с выполнением функциональных задач.
2.17 Не допускать к работе на элементах ИСПДн посторонних лиц.
2.18 Осуществлять периодические контрольные проверки рабочих станций и тестирование правильности функционирования средств защиты ИСПДн.
2.19 Оказывать помощь пользователям ИСПДн в части применения средств защиты и консультировать по вопросам введенного режима защиты.
2.20 Периодически представлять руководству отчет о состоянии защиты ИСПДн и о нештатных ситуациях на объектах ИСПДн и допущенных пользователями нарушениях установленных требований по защите информации.
2.21 В случае отказа работоспособности технических средств и программного обеспечения ИСПДн, в том числе средств защиты принимать меры по их своевременному восстановлению и выявлению причин, приведших к отказу работоспособности.
2.22 Принимать меры по реагированию, в случае возникновения внештатных ситуаций и аварийных ситуаций, с целью ликвидации их последствий.

Вот вроде и все по инструкциям. конечно, в дальнейшем при установке СЗИ необходимо будет составлять инструкции для пользователей по работе с этими средствами.
В следующей статье планирую описать разработку положения об обработке ПДн.

Часть 1 статьи расположена по ссылке Типовое ЛПУ №1
Часть 2 статьи расположена по ссылке Типовое ЛПУ №1. Продолжение.

Типовое ЛПУ №1. Продолжение.

2010-08-18T09:31:00.012+04:00

Ну что же, наконец-то жара немного спала, за окошком 33 градуса. Стало легче жить и дышать, появилось настроение и возможность продолжить описание процесса приведения ИСПДн в сответствие требованиям законодательства.
Итак, в прошлый раз я остановилась на предварительной классификации ИСПДн. Продолжу.

2. Определение круга лиц, допущенных к обработке данных в ИСПДн

Необходимо определиться кому разрешено обрабатывать ПДн в ИСПДн. Рекомендую утвердить приказ "О допуске сотрудников к персональным данным" следующего содержания:

ПРИКАЗЫВАЮ:

1.Организовать работу сотрудников Учреждения с персональными данными субъектов Учреждения в соответствии со списком, указанным в приложении 1 к данному приказу.
2.Ответственным за защиту информации, содержащей персональные данные субъектов, назначить ____________________________.
3.Ответственным за ведение «Журнала учета обращений граждан для получения доступа к своим персональным данным» назначить _________________________________________________
4.Ответственным за ведение «Журнал учета лиц, допущенных к обработке персональных данных в информационных системах» назначить ______________________________________________
5.Ответственному за защиту информации довести под роспись до сотрудников Учреждения права, обязанности и ответственность за обработку персональных данных, разъяснить технологию обработки персональных данных в информационных системах Учреждения.
6.Приказ довести до всех ответственных лиц.
7. Контроль за исполнением приказа оставляю за собой.

Ну и в качестве приложения к приказу привести таблицу с полями: Обрабатываемые данные, ФИО сотрудника, должность. Обрабатываемые данные - это данные, обрабатываемые в ИСПДн "Сотрудники"; данные, обрабатываемые в ИСПДн "Пациенты".

Далее создаем 2 журнала: электронный журнал учета лиц, допущенных к обработке персональных данных в информационных системах и журнал учета обращений граждан для получения доступа к своим персональным данным. Вот как они могут выглядеть.

Ну и соответственнно инструкции по ведению этих журналов. Инструкция по учету лц, допущенных к обработке ПДн в ИСПДн, должна определять порядок предоставления доступа к ПДн (в том числе и разового допуска), например следующим образом:

Основанием для допуска сотрудника к персональным данным является согласованное с главным врачом заявление начальника отдела (либо сотрудника) согласно форме, приведенной в приложении.
Все случаи разового допуска сотрудника к персональным данным также фиксируются в «Журнале учета лиц, допущенных к обработке персональных данных в информационных системах». Разовый допуск осуществляется на основании согласованного с главным врачом заявления начальника отдела (либо сотрудника), в котором указываются цель обработки ПДн и срок предоставления допуска к персональным данным.

Так же в инструкции должен быть порядок отзыва доступа отрудника к ПДн:

Основанием для прекращения допуска сотрудника к персональным данным служит приказ об увольнении или переводе сотрудника, или согласованное с главным врачом заявление начальника отдела (либо сотрудника) о прекращении допуска сотрудника к обработке персональных данных согласно форме, приведенной в приложении.

Что же касается журнала по учету обращений граждан для получения доступа к своим ПДн, в нем должно быть определено основание для предоставления доступа к ПДн; перечень информации, на получение которой субъект имеет право.

Основанием для предоставления субъекту доступа к своим персональным данным является его обращение либо запрос субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.

Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных оператором, а также цель такой обработки;
способы обработки персональных данных, применяемые оператором;
сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
перечень обрабатываемых персональных данных и источник их получения;
сроки обработки персональных данных, в том числе сроки их хранения;
сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

Решение о предоставлении субъекту доступа (либо отказе в доступе) к персональным данным принимает Главный врач Учреждения.

Все случаи предоставления субъекту доступа к персональным данным либо отказа от такого доступа регистрируются в «Журнале учета обращений граждан для получения доступа к своим персональным данным».

Ну вот в принципе и все по предоставлению доступа к ПДн в ИСПДн. Следующим шагом будет разработка инструкций пользователя, администратора и администратора безопасности ИПДн.

Часть 1 статьи расположена по ссылке http://dementeeva.blogspot.com/2010/07/1.html

Продолжение статьи Разработка инструкций

Ответ Роскомнадзора

2010-08-16T15:27:00.008+04:00

Как-то я упоминала, что задавала вопрос с Роскомнадзор по неавтоматизированной обработке ПДн. Вопрос был следующий: Сегодня получила такой ответ:

Выношу на суд. Я, конечно же, уже готовлю ответ с уточняющими вопросами.

Типовое ЛПУ №1

2010-08-02T12:23:00.002+04:00

Все лечебные учреждения по характеристикам ИСПДн можно условно разделить на несколько групп. И естественно подход к защите персональных данных в этих учреждениях будет схожим. На данный момент специфика моей работы заключается как раз в проведении обследования ИСПДн и выработки оптимальных (с финансовой и рациональной точки зрения) решений по организации защиты ПДн.
Мне не раз уже приходилось слышать от "авторитетных" в сфере здравоохранения людей советы вроде: "Уберите локальную сеть, отключите компьютеры от интернета. Файлы можно и на носителях передавать, в крайнем случае в бумажном виде. Это значительно снизит затраты на организацию защиты!". Конечно снизит! А еще дешевле будет вообще перестать закупать компьютеры в ЛПУ (что и так производится в малых количествах), давайте полностью перейдем к бумажной обработке! Я вообще всегда поражалась, что в нашей стране трудозатраты почти никогда не учитываются при расчете стоимости проекта. А куда деваться сотрудникам? Скажут работать ночью, будут работать. К сожалению, иногда выбора у людей нет. Нередко сталкивалась с ситуацией, когда один сотрудник - и медсестра, и санитарка, и секретарь, и специалист по кадрам. А что? Работают! Ух... как же все это бесит. Ну да ладно. Я отвлеклась, вернемся к типовому ЛПУ №1.

Я решила поделиться своим опытом и описать процесс приведения ИСПДн типовых ЛПУ в соответствие требованиям законодательства. Заодно хочется выслушать мнение читателей блога. Ведь со стороны ошибки всегда легче видеть. Так что буду благодарна за объективную критику.

Кстати, хочу сразу заметить, что в других регионах, наверняка, специфика ЛПУ будет отличаться. Однако, я уверена, что общего тоже будет предостаточно.

Описание информационной системы.

Типовое ЛПУ №1 (далее в этом посте ЛПУ1) представляет собой небольшое специфическое учреждение. Общее число компьютеров в таком учреждении не превышает 10 шт. Примерами ЛПУ1 могут быть кожно-венерологические, противотуберкулезные, наркологические диспансеры и т.п. Итак.

Дано:
1. 7ПК, объединенных в локальную сеть на основе коммутатора.Выход в интернет осуществляется с помощью ADSL-модема. Доступ в интернет пользователей не разграничен.
2. На 4х АРМ работают сотрудники отдела кадров и бухгалтерии. Для работы используется программное обеспечение Парус-Бюджет. Цель обработки персональных данных - ведение кадрового учета, начисление заработной платы. База располагается на АРМ главного бухгалтера. Доступ к персональным данным сотрудников учреждения имеют:

Главный бухгалтер - для начисления заработной платы. Данные в банк передаются с помощью программы банк-клиент. В пенсионный фонд данные передаются на бумажных носителях. Все бумажные носители с ПДн хранятся в сейфе.
Специалист по кадрам - для ведения кадрового учета. Так же ведется регистр медицинских и фармацевтических работников. Эти данные по электронной почте передаются в Роздравнадзор. Личные карты сотрудников и трудовые книжки хранятся в сейфе.

Остальные сотрудники отдела не работают с ПДн.
3. На 1ПК работает секретарь. Занимается ведением делопроизводства, отправкой электронной почты. В обрабатываемых документах ПДн содержаться только во внутренних приказах упреждения.
4. На 1 ПК работает главный врач учреждения. Он в электронном виде ведет дневник врача (документ формата .odt), содержащий сведения о процессе лечения пациентов. Так же в электронном виде хранятся эпикризы и выписки (тоже документы формата .odt).
5. На 1 ПК медсестра производит выписку льготных рецептов. Для этого используется специализированное ПО. В БД на данном АРМ хранятся записи о выданных рецептах, включая сведения о состоянии здоровья пациента (код МКБ10). На бумажном носителе рецепт не хранится.

Найти:
1. Провести классификацию ИСПДн.
2. Разработать внутренние документы по обработке ПДн.
3. Выработать требования по оптимизации работы с ПДн.
4. Разработать модель угроз.
5. Разработать ТЗ.
6. Оценить стоимость проекта.
7. Провести оценку соответствия ИСПДн.

Решение.

1. Предварительная классификация ИСПДн.

Сразу хочу оговорится, что эта классификация будет предварительной. Так как класс ИСПДн может быть пересмотрен на основании анализа угроз. Последовательность действий.
1) Приказ о комиссии.
Для проведения классификации ИСПДн необходимо разработать приказ о создании комиссии для проведения классификации ИСПДн. Я рекомендую называть этот приказ: "О создании комиссии для определения перечня информационных систем персональных данных и проведения классификации информационных систем персональных данных". Т.е. комиссии необходимо провести анализ информационной системы, определить перечень ИСПДн в учреждении, разработать акт классификации для каждой ИСПДн.
В состав комиссии обычно входят: главный врач (председатель), главный бухгалтер, врач. Конечно, в идеале, должен еще быть и специалист по ИБ. Но я еще не встречала таковых в подобных учреждениях. Об этом скажу отдельно.
2) Определение перечня ИСПДн.
Комиссия производит обследование и предоставляет на утверждение руководителю "Отчет об анализе информационных потоков, циркулирующих в ЛПУ1". Приложением к отчету будет перечень этих ИСПДн. Перечень создается в виде таблицы с полями: наименование ИСПДН; категории субъектов ПДн; АРМ, входящие в состав ИСПДн.
Определим категории ПДн, обработка которых ведется на каждом АРМ:

АРМ главного бухгалтера и специалиста по кадрам - 2я категория ПДн;
АРМ других сотрудников отдела бухгалтерии - обработка ПДн не ведется;
АРМ секретаря, АРМ главного врача - неавтоматизированная обработка ПДн;
АРМ медсестры - 1я категория (сведения о состоянии здоровья).

Существует несколько вариантов классификации ИСПДн ЛПУ1.
Первый - это выделить одну ИСПДн, включающую все 7 ПК. Назовем ее "ИСПДн ЛПУ1". Тогда невооруженным взглядом видно, что ИСПДн будет иметь класс К1, так как ведется обработка ПДн 1й категории (на АРМ медсестры).
Второй - выделить 2 ИСПДн. ИСПДн "Сотрудники" и ИСПДн "Пациенты". Тогда в ИСПД "Сотрудники" входят 4 АРМ бухгалтерии и кадров, в ИСПДн "Пациенты" - АРМ медсестры.
Я предпочитаю разделять ИСПДн на части, это в дальнейшем поможет избежать лишней путаницы.
3) Акты классификации
Для каждой ИСПДн составляем свой акт классификации. Выглядят они следующим образом:

Стоить немного пояснить. Объем обрабатываемых ПДн я предпочитаю все-таки определять по принадлежности к территории. Количество записей - значение переменчивое.
Тип ИСПДн. Как бы не говорили, что все ИСПДн - специальные, все-таки ИСПДн "Сотрудники" отношу к типовым. Пока регуляторы с этим не спорили.
Структура ИСПДн. Так как автономная ИСПДн - это ИС, не подключенная к другим ИС, то обе наши ИСПДн- локальные.
Режим обработки ПДн в ИСПДн "Пациенты" - тоже многопользовательский, т.к. для выписки льготных рецептов врачи заходят под своими пользователями. Доступ разграничивается средствами этой программы.

Ну вот, с предварительной классификацией покончено

Продолжение следует.

Продолжение статьи http://dementeeva.blogspot.com/2010/08/1.html

Мнение регуляторов ЮФО

2010-06-21T10:18:00.006+04:00

В пятницу была на очередном семинаре, посвященном защите персональных данных. Я давно перестала ходить на подобные мероприятия, потому как ничего нового они обычнно не приносят. Но тут меня подкупили выступлением представителей Роскомнадзора, ФСТЭК и ФСБ. К сожалению представителей ФСБ все-таки не было, однако я не пожалела, что пошла.

1. Роскомнадзор

Елена Валерьевна, представитель Роскомнадзора, очень толково и грамотно разъяснила основные моменты. За первый квартал 2010 года Роскомнадзор уже провел 10 плановых проверок. Учитывая, что за весь 2009 было проведено 11 проверок, можно сделать заключение, что регуляторы не спят. При этом на 16 июня 2010 года уже составлено 68 протоколов. Вот перечень наиболее часто встречаемых нарушений:
1) ч.3 ст. 10 152-ФЗ. Операторы без видимых на то оснований обрабатывают сведения о судимости субъектов.
2) ч.1 ст 11 152-ФЗ. Обработка биометрических ПДн не соответствует требованиям.
3) п. 6 687-го ПП. Сотрудники не проинформированы о том, что ведут обработку ПДн.
4) п. 7 687-го ПП. Нарушение требовыаний к типовым формам.
5) ч. 4 ст. 9 152-ФЗ. Не соблюдена форма письменного согласия.
6) ч. 3 ст. 22 152-ФЗ. Уведомление не соответствует действительности.
7) ч. 1 ст 6 152-ФЗ. Обработка ПДн без согласия.
8) ч. 4 ст. 6 152-ФЗ. Отсутствие в договорах существенного условия конфиденциальности при передаче ПДн третьим лицам.

На 16.06. 2010 года подано 1620 уведомлений, 1576 операторов уже в реестре. Надо заметить, что по моим сведениям учреждений здравоохранения из них порядка 100. По заявлению Роскомнадзора общее число уведомлений чуть больше 1го процента от числа операторов ПДн по ЮФО.

2. ФСТЭК

Выступление представителя ФСТЭК было гораздо короче. Александр Юрьевич представил "новые" методические рекомендации ФСТЭК по ЮФО. Да-да, это те самые, о которых я когда-то уже писала. Та статья чуть было не вышла мне боком :) Документ был размещен на сайте моего работодателя. Спустя месяц после его публикования представитель ФСТЭК позвонил моему начальнику и заявил, что информация является конфиденциальной и не подлежит публикованию. Хотя когда пересылали мне по почте этот документ, попросили раздать всем нашим учреждениям. Видимо не настолько уж все секретно, раз все желающие документ унесли с собой.
В 2009 году ФСТЭК провела 11 проверок, выявлено 93 нарушения. Вот перечень наиболее часто встречаемых:
1) отсутствие сертификатов на СЗИ;
2) отсутствие частной модели угроз;
3) отсутствие акта классификации;
4) лица, ответственные за защиту ПДн, не прошли подготовку;
5) отсутствует технический проект на систему ЗИ;
6) не проведен анализ угроз.
Так же представитель ФСТЭК заявил, что раз в 58м приказе ничего не говорится об атестации и декларировании соответствия, то данные процедуры проводятся на усмотрение оператора.

3. Круглый стол.

Конечно, самое интересное началось на круглом столе. Закон можно трактовать по разному, интересно было узнать, как его трактуют регуляторы.
1) Неавтоматизированная обработка. Регуляторы подтвердили, что работу с документами (например, формата .doc), не содержащимися в БД, можно считать неавтоматизированной. Т.е. выписки пациентов, дневники врачей и т.п - неавтоматизированная обработка.

2) Согласие пациентов на обработку ПДн не требуется. Требуется только на передачу третьим лицам, стоит изучить закон об ОМС. Возможно, что и на передачу не нужно будет получать согласие.

3) Провокационный вопрос о том, как классифицировать специальные ИСПДн поставил представителя ФСТЭК в тупик. Ему долго пытались объяснить, что та самая табличка предназначена для типовых ИСПДн. В результате, он так запутался, что на вопрос "Так что же писать в акте классификации специальной ИСПДн?" ответил: "Что хотите, то и пишите!". Что ж, слово не воробей :)

Вот в принципе краткий обзор. Два важных для себя вопросов по согласию и неавтоматизированной обработке я выяснили.

Все столичные жители. Примерное место жительства до дома и их Дни рождения!

2010-05-18T15:57:00.007+04:00

Случайно наткнулась на интересный ресурс в интернете http://www.kowro.ru/moskvichi/e/88.php
На сайте можно найти персональные данные жителей Москвы, включая место жительства и дату рождения. Интересно, согласие субъетов на такую публикацию получено? ;-)

Что нового предлагает Резник?

2010-05-07T15:33:00.002+04:00

Итак, как я писала в предыдущем посте законопроект Резника был принят в первом чтении. Я наконец нашла в себе силы его изучить. Вот небольшой :) анализ.

1. Пункт 3 части 2 статьи 1 исключить. Часть 2 статьи 1 определяет отношения, на которые не расправтраняется действие 152-ФЗ. В частности пункт 3 гласит:

обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя

Не понимаю, зачем данный пункт из закона убирать? Чем он помешал?

2. В пункте 2 статьи 3 предлагается внести изменения в определение оператора и изложить его следующим образом:

оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, осуществляющие обработку персональных данных, а также определяющие цели, содержание и порядок обработки персональных данных

В настоящей редакции закона определение звучит следующим образом:

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных

Т.е. предлагается исключить из определения причастие "организующие". Счтитаю это предложение обоснованным, вносится некоторая ясность.

3. Пункт 4 той же статьи тоже предлагается несколько изменить. Из определния такого действия с персональными данными как распространение исключается фраза, определяющая, что
"расспространение ПДн - это действие, направленное на передачу персональных данных определенному кругу лиц (передача персональных данных)".
И пункт 4 принимает следующий вид:

распространение персональных данных - действия, направленные на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях, информационных системах, или предоставление доступа к персональным данным каким-либо иным способом

Получается, что рассправтранение ПДн не подразумевает их передачу определенному кругу лиц. Я с этим не согласна. Ведь в определении обработки ПДн (пункт 3) четко указано, что обработка - это в том числе и расправтранение (передача) данных.
Считаю лтшним это изменение.

4. Исключить пункт 5, в котором определяется понятие "использование персональных данных". Чем этот пункт то помешал?

5. Пункт 10, дающий определение понятия "конфиденциальность персональных данных" предлагается изложить следующим образом:
Конфиденциальность персональных данных – условие обработки персональных данных, не допускающее их распространения
Теперь я понимаю, для чего было разделять понятия "передача" и "расспрастранение".
Мне кажется и раньше эти формулировки были вполне сносны.

6. Пуынкт 11 и 12 тоже предлагается несколько поменять. Таким образом, определения трансграничной передачи денных и общедоступных персональных данных будут представлены в следующем виде:

Трансграничная передача персональных данных – передача персональных данных через Государственную границу Российской Федерации;

Общедоступные персональные данные – персональные данные, распространение которых осуществляется субъектом персональных данных или с его согласия, либо персональные данные на которые в соответствии с федеральными законами не распространяется требование о соблюдения конфиденциальности, или подлежащие обязательному опубликованию.

7. Статью 4 предлагается практически полностью изменить.
Очень понравилось, подробное описание того, в каких случаях считается, что обработка персональных данных осуществляется в рамках Федерального закона.

4. Федеральный закон, определяющий случаи обязательной обработки персональных данных должен устанавливать:
1) цель обработки персональных данных;
2) условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке;
3) объем и перечень обрабатываемых персональных данных;
4) соблюдение условия конфиденциальности обрабатываемых персональных данных или определение порядка их распространения;
5) порядок обработки персональных данных, в том числе ее способы и содержание, форма персональных данных, срок обработки и хранения, круг лиц осуществляющих обработку, возможность принятия решения на основании исключительно автоматизированной обработки персональных данных, порядок его принятия, и возможные юридические последствия такого решения, а также возможность привлечения для обработки других лиц или передачи персональных данных другим операторам;
6) перечень и характер мер, принимаемых оператором для обеспечения безопасности обрабатываемых персональных данных;
7) права и обязанности оператора и субъекта персональных данных, в том числе возможность и последствия отказа субъекта персональных данных предоставить свои персональные данные.

8. Статья 6 также изложена в другой редакции. Приведены 3 случая, когда может осуществляться обработка персональных данных:

1) установления или реализации договорных отношений, предполагающих обработку персональных данных;
2) выполнения требований федеральных законов, определяющих случаи обязательной обработки персональных данных и (или) особенности обработки персональных данных;
3) удовлетворения собственных потребностей, предполагающее обработку персональных данных при условии, что при этом не нарушаются права субъекта персональных данных.

Обработка персональных данных в рамках договорных отношений будет осуществляться с согласия субъекта ПДн и в рамках достигнутого соглашения.

Соглашение предполагает урегулирование следующих аспектов обработки персональных данных:
1) цель обработки персональных данных;
2) объем и перечень обрабатываемых персональных данных;
3) соблюдение условия конфиденциальности обрабатываемых персональных данных или определение порядка их распространения;
4) порядок обработки персональных данных, в том числе ее способы и содержание, форма персональных данных, срок обработки и хранения, круг лиц осуществляющих обработку, возможность принятия решения на основании исключительно автоматизированной обработки персональных данных, порядок его принятия, и возможные юридические последствия такого решения, а также возможность привлечения для обработки других лиц или передачи персональных данных другим операторам, для установления или реализации иных договорных отношений;
5) перечень и характер мер, принимаемых оператором для обеспечения безопасности обрабатываемых персональных данных;
6) права и обязанности оператора и субъекта персональных данных, в том числе связанные с отзывом субъектом персональных данных согласия на обработку его персональных данных или прекращением оператором обработки персональных данных;
7) последствия отзыва субъектом персональных данных согласия на обработку его персональных данных.

При всем при этом, форма соглашения выбирается сторонами самостоятельно. Это может быть устное или письменное соглашение, либо соглашение поссредством конклюдентных действий ("молчаливое согласие").

Форма заключения соглашения выбирается по обоюдному согласию субъекта персональных данных и оператора, если иное не установлено федеральным законом. Соглашение может быть заключено в устной форме или посредством совершения конклюдентных действий, либо путем акцепта субъектом персональных данных условий договора, оферта которого предложена оператором.

9. Часть 2 статьи 7 предлагается дополнить пунктом, дополняющим условия, когда не требуется обеспечение конфиденциальности персональных данных:

3) в случаях, определенных соглашением субъекта персональных данных и оператора

Это действительно толковое предложение. Ведь теперь с работниками можно заключать соглашение, в котором указать, что соблюдение конфиденциальности не требуется.

10. Статья 8 также принимает несколько другой вид. Обработка общедоступных персональных данных (включенных в общедоступные источники) будет осуществляться согласно статье 6.

11. Изменения в сатье 9.
Вносятся изменения в порядок отзыва субъектом своих ПДн. Субъект не может отозвать свои ПДн в случаях, предусмотренных федеральными законами.
Не раз сталкивалась со случаями отзыва субъектом своих ПДн в мед учреждениях. Тупиковая ситуация, ведь истории болезней необходимо хранить 25 лет. Теперь ситуация несколько проясняется. Хотя вопросы еще остались.

12. Статья 10.
К случиям когда допускается обработка специальных категорий персональных данных добавляется наличие соглашения.

12. Статья 15.

Часть 2 изложить в следующей редакции:
«2. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях определенных соглашением, а также в случаях предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.»

13. Статья 19.
Интересны дополнения части 5:

При обработке персональных данных на основе согласия перечень мер по обеспечению безопасности персональных данных при их обработке определяется соглашением оператора и субъекта персональных данных

Написали в соглашении, что не нужна антивирусная защита, значит не обеспечиваем :) так?

14. Статья 21.
В части 3 исключается последнее предложение, и она принимает следующий вид:

В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения.
В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан
уничтожить персональные данные.

Мне вообще нравится данный пункт! Медицинские учреждения тоннами обрабатывают и хранят истории болезней в ненадлежащих условиях. Ни сейфов, ни запираемых шкафов, ни решеток, ни охраны. Да что там говорить, работают с этими историями болезней санитарки, которые по должностным инструкциям даже подходить близко к таким документам не должны. Как это прекратить? Только при наличии финансирования. Иначе, давайте уничтожим данные в трехдневный срок. Устроим большой костер из историй болезней :(

В части 4 и 5 с оператора снимается обязанность уведомить субъекта об уничтожении его персональных данных (по достижении цели обработки или в случае отзыва). Это в принципе избавит оператора от лишней бумажной волокиты.

15. Статья 25.
Предлагается признать закон вступившим в силу с 01.06.2010. Непонятно только, как быть с обязанностью оператора подать уведомление до 01.01.2008 г. Это требование вступает в действие тоже с 01.01.2008?

Чтож посмотрим, что будет дальше...

Законопроект Резника принят в первом чтении

2010-05-06T08:28:00.003+04:00

Законопроет "О внесении изменений в Федеральный закон "О персональных данных" был принят в первом чтении, тридцатидневный срок со дня принятия постановления необходимо представить поправки к законопроекту.

Электронная регистрационная карта законопроекта

Нелицензионное программное обеспечение

2010-05-03T22:59:00.002+04:00

В пятницу (30.04) я была в одном из учреждений здравоохранения края с очередным информационным обследованием. Учреждение это не маленькое, количество компьютеров в нем примерно 70 шт. В своей работе сотрудники используют такое программное обеспечение как MS Office, антивирус Касперского, Winrar, The bat и др. На сервере установлен MS SQL и Kerio Winroute.
Представьте себе, все ПО (включая операционные системы) является нелицензионным!
О какой безопасности может идти речь, когда главврачей не волнует даже использование нелицензионного программного обеспечения...

Термальные источники. Перезагрузка.

2010-05-03T20:31:00.007+04:00

В прошлом посте я писала о прекрасном местечке вблизи города Апшеронска, где можно отлично отдохнуть. Так вот, к сожалению, должна признаться, что выводы я сделала лишком поспешные. На майские праздники мы с мужем решили пригласить на эту самую базу отдыха родителей, чтобы провести выходные вместе.
За 4 дня до поездки мы позвонили владельцам базы и забронировали отдельную беседку с мангалом и дровами. Перед отъездом сделали контрольный звонок, и нас уверили, что беседка уже ждет.

Первого мая, предвкушая отличный отдых, мы на двух машинах двинулись в путь. Перед въездом на базу нас остановил охранник, уточнил фамилию, сверился со списком, подтвердил заказ и запросил "деньги вперед". Мы, конечно заплатили (почти 4 тысячи, с учетом стоимости беседки и платы за купание) и въехали на территорию. Припарковали машины (места были только возле туалета, но мы делали скидку на майские праздники и не расстроились) и последовали за администратором к нашей беседке. Представьте наше удивление, когда нам показали навес, под которым ютилось 10 столов, один из которых мы якобы бронировали. Мало того, что народу под этим навесом было столько, что не протолкнешься, так еще и на всю толпу всего 3 мангала. О дровах и говорить нечего, их просто не было в наличии.
Все еще не расстраиваясь и думая, что произошла ошибка, мы отправились к администратору прояснить ситуацию. Разговор получился примерно следующий:
- Девушка, извините, пожалуйста, но похоже произошла ошибка. Мы заказывали отдельную беседку, а нас посадили под общий навес!
- Фамилия?
- Дементеев.
- Ну все правильно, отдельная беседка. А навес это что по вашему, не беседка?
- Нет, конечно, навес - это навес.
- Просили беседку - получили, если что-то не устраивает - покиньте территорию.

Произнеся последнее, эта "милейшая" дама повернулась к нам своим немаленьким задом и ушла. А мы ошарашено смотрели ей в след. Н-дааа... сервис потрясает своим размахом.
Я предложила сразу уехать, да еще и забрать назад свои деньги. Но родители захотели все-таки хотя бы искупаться. Настроение было испорчено. Разговорившись с соседями по общей "беседке", я выяснила, что с ними поступили примерно так же :) Они забронировали беседку за 2 недели. Через несколько дней им позвонили и сказали, что беседки не будет - будет стол под навесом (что доказывает, что разница между этими понятиями понятна и владельцам базы). Еще через несколько дней нашим новым знакомым позвонили еще раз и обрадовали, сказав, что беседка все-таки будет. Ну а когда горе-отдыхающие прибыли на базу отдыха "Водолей" - оказалось, что все-таки придется праздновать 1 мая за столом под общим навесом.
Надо сказать, что в прошлый наш визит никакого навеса не было, а велись работы по его установке. Искупавшись, мы расселись по машинам и поехали в Апшеронск, чтобы в спокойной обстановке пожарить шашлык и отпраздновать первый майский праздник.

Все можно понять. И нехватку мест в связи с праздничным ажиотажем, и путаницу в заказах. Но вот слова администратора "если что-то не устраивает - покиньте территорию" - это непростительно. Можно было просто извиниться за неразбериху и как-то возместить свою оплошность. Например, предложить порыбачить бесплатно или не брать плату за купание в бассейне с одного из нас.
Так что беру назад свои слова о том, что стоит ехать отдыхать на базу отдыха "Водолей"! И прошу прощения, если кто-то уже прислушался к моему совету и собрался там отдохнуть! Такое отношение к клиентам просто не допустимо. Вряд ли найдутся люди, которые после такого приедут сюда еще раз. Во всяком случае, мы не вернемся точно!

Медвежий угол

2010-04-26T19:20:00.011+04:00

Мои школьные годы прошли в маленьком городке под названием Апшеронск. "Медвежий угол" - как часто его называют местные жители. Небольшой, тихий, мало кому известный, но необыкновенно прекрасный уголок Планеты. Одной из достопримечательностей Апшеронского района является Гуамское ущелье - отличное место для отдыха на природе. Но сегодня я хочу рассказать не о Гуамском ущелье, а о другом потрясающем месте.
Термальные источники.
Я провела в Апшеронске 10 лет, и была очень удивлена, когда один знакомый спросил меня: "Говорят недалеко от Гуамки есть база отдыха, где находятся термальные источники. Стоит там побывать?" Я никогда ранее об этом месте не слышала и, неудивительно, база отдыха существует всего 2 года. Чтобы лично убедиться в существовании этих самых термальных источников, мы с мужем на выходных решили туда отправиться. Сразу отвечу на озвученный ранее вопрос: "Да. Там стоит побывать."
Если двигаться из Апшеронска в сторону Гуамского ущелья, то не доезжая (примерно) 10 км до последнего, можно увидеть указатель "Термальные источники".
Въезд на территорию отгорожен шлагбаумом и охраняется милиционером. Заплатив необходимую сумму, мы попали на территорию базы отдыха "Водолей".
Вот какая картина открылась нашим глазам
Симпатичные домики из сруба, зеленые лужайки и центре бассейн। На территории базы находятся раздевалка (так же в домике из сруба), надо заметить очень теплые и удобные. Быстренько переодевшись, мы помчались купаться. Вода в бассейне не теплая, она горячая! Порядка 40 градусов! Такая огромная ванны на свежем воздухе :) Очень необычно купаться в горячей воде, когда на улице +18... К тому же вода обладает лечебными свойствами и на выходе имеет температуру 85 градусов!
Здорово! Вдоволь наплескавшись, мы надели теплые халаты и пошли осматривать территорию.
Размещение в домиках оплачивается отдельно и стоимость зависит от желаний клиента. Можно, например, расположиться в доме с личным теплым бассейном. В отдалении от домиков находится рай для любителей рыбалки - 3 больших озера, в которых выращивается рыба.
Место действительно прекрасное। И красота эта заключается также в том, что люди еще не успели нанести здешним местам непоправимый урон.
Так что всем любителям природы рекомендую съездить в Апшеронский район и посетить это замечательное место.

Только, пожалуйста, берегите природу! Чистый воздух, лес, вода, небо, горы - вот источник здоровья, вдохновения и хорошего настроения।

Продолжение этой истории читайте в следующем посте.

Методические рекомендации

2010-04-26T14:54:00.004+04:00

Как и обещала, выкладываю ссылку на мои методические рекомендации по защите персональных данных в медицинских учреждениях http://http://www.miackuban.ru/files/metod_personal_data.pdf

Регламентирована ли должность специалиста по защите информации в медицинских учреждениях

2010-04-21T19:23:00.002+04:00

Представители ЛПУ частенько задают мне вопросы, есть ли какой-то документ, регламентирующий наличие в штате специалиста по защите информации. Я все обещала такой документ найти, но пока руки не доходили. Наконец могу дать ответ на этот вопрос. Да, такой документ есть.
Приказ Минздравсоцразвития России №205 от 22 апреля 2009 г. "Об утверждении Единого квалификационного справочника должностей руководителей, специалистов и служащих, раздел "Квалификационные характеристики должностей руководителей и специалистов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, противодействию техническим разведкам и технической защите информации".
Так что смело можно изучать требования к кандидатам, их обязанности и ответственность.
Только вот какую зарплату может предложить небольшое мед учреждение? Ведь вопрос не в том, чтобы взять на должность абы кого. Всем нужен сотрудник, способный реализовать требования законодательства в области персональных данных.
В принципе хорошо подготовленный специалист может устроиться в несколько учреждений не на полную ставку, тогда еще можно говорить о более-менее достойной зарплате.
Чем больше работаю в бюджетной сфере, тем грустнее становится. Понапридумывают законов и распоряжений, а возможности их выполнить не дают (вечная отмазка - денег нет).
Мечтаю о том дне, когда информационные системы в мед учреждениях будут достойными и исчезнет вечная возьня с бумажками. Уверена, что очереди в поликлиниках и больницах тогда станут гораздо короче...

Мои методические рекомендации отмечены на medsoft-2010

2010-04-21T18:05:00.007+04:00

Как я писала в прошлом посте с 14 по 16 апреля в Москве состоялся форум medsoft-2010. Так вот в рамках этого форума проходил конкурс на лучшие методические рекомендации по защите персональных данных в медицинских учреждениях.
С превеликим удовольствием сообщаю, что мои рекомендации были признаны лучшими!!!
100 экземпляров было роздано на круглом столе, в ближайшие дни выложу методичку в открытом доступе (как только руководство утрясет все бюрократические вопросы).
Организаторы форума наградили меня медалью и аудиосистемой hyundai.

MedSoft – 2010

2010-04-19T09:34:00.004+04:00

На прошлой неделе была в командировке в Москве. Посетила 6-й международный форум MedSoft – 2010. Конечно, самым интересным на этом форуме для меня было посещение круглого стола по защите ПДн. Я очень надеялась, что представители Минздрава и МИАЦ РАМН прольют свет на некоторые непонятные моменты в области защиты ПДн.
Но, к сожалению, надежды не оправдались. Расскажу по порядку, как все прошло.
Первым выступал Столбов Андрей Павлович, Зам. директора МИАЦ РАМН, д.т.н., профессор ММА им. И.М.Сеченова (Москва). Доклад был у него очень долгий, длился он около часа.
Андрей Павлович рассуждал о том, что в РФ нет законодательства об обработке медицинских документов в электронном виде, что необходимо вносить изменения в законодательство в области персональных данных. Так же Столбов упомянул, что необходимость брать согласие пациентов на передачу кому-либо его персональных данных была определена в статье 61 "Основ законодательства Российской Федерации об охране здоровья граждан". Далее Столбов упомянул о псевдонимизации данных и ее отличии от обезличивания. Во время всего форума Андрей Павлович очень ревностно относился к упоминанию термина "обезличивание ПДн", заявляя, что это совсем не то, что Псевдонимизация. Странно, что при таком ревностном отношении к терминологии Столбов частенько называл персональные данные не ПДн, а ПД. Смысл то кординально меняется: "ПД - противодействие техническим разведкам". Ну да ладно, это все слова. Лично меня поразило заявление зам директора МИАЦ РАМН о том, что не нужно лишних разграничений доступа. Ведь в законодательстве нигде не указывается, что необходимо разграничивать доступ... Хм... 58й приказ видимо еще не до всех дошел..
"Если к истории болезни пациента имеет доступ и медсестра, и регистратор, и врач, то зачем ограничивать доступ этих сотрудников к этой же истории болезни в электронном виде?" Андрей Павлович, сколько ДНЕЙ понадобится, чтобы скопировать истории болезней всех пациентов в бумажном виде? А теперь посчитайте, сколько МИНУТ понадобится, чтобы слить базу историй болезней в электронном виде. Чувствуете разницу? Идем дальше. Медсестра может дописывать в карту диагнозы? Нет, конечно. Последний раз, когда я была в больнице, мой врач после своей записи ставил подпись и печать. Конечно, всякое бывает, и при желании медсестра тоже может дописать все что угодно в карту пациента, однако не так это просто. Так что к электронной истории болезни той же медсестре максимум можно дать доступ на чтение. Без разграничения доступа ну никак нельзя.
Следующим докладывал Рылов Сергей Павлович, Зам. начальника Отдела развития информационно-коммуникационной технологической инфраструктуры системы здравоохранения, социального развития и трудовых отношений Департамента информатизации Минздравсоцразвития России (Москва). Сергей Павлович сказал, что методические рекомендации Минздрава сейчас проходят согласование в ФСБ. На вопрос о том, что делать, если пациент не дает согласие, Рылов заявил, что ответа на этот вопрос пока нет. Планируется внести в думу предложения по внесению изменений в законодательство.
Далее доклады были покороче, выступали интеграторы в области защиты персональных данных, предлагались различные варианты по созданию системы защиты ПДн.
Хочу заметить, что в целом обстановка в зале была негативная. Вместо того, чтобы пытаться найти пути решения возникающих проблем, участники круглого стола спорили, оскорбляли друг друга и вели себя не совсем достойно.

Рокомнадзор приветствует медицинские уччреждения

2010-04-08T00:09:00.003+04:00

Давно не писала, т.к. была очень занята - провела ряд семинаров по защите ПДн для представителей мед учреждений. Рассказывала о требованиях законодательства в области ПДн, что нужно делать, что давно уже нужно было сделать.
Основной упор делался на подачу уведомлений, проведение классификации и получение согласия от субъектов.
Вот что интересно, положительные сдвиги есть! Если месяц назад уведомление подали всего 26 учреждений в крае, то сегодня это число приближается к 150 :)
Приятно осознавать свой небольшой вклад в общее дело :) если так дальше пойдет, то проверок роскомнадзора в мед учреждениях скоро перестанем боятся!
После организационных мер перейдем к техническим - вот тут точно проблемы будут। Финансирования ведь как не было, так и нет :(

Marks in time

2010-03-15T15:23:00.007+03:00

1884 году молодой человек по имени Микаэль Маркс (Michael Marks) прибыл на юг Великобритании, в городок под названием Лидс (Leeds). Не имея ни денег, ни друзей, ни связей, абсолютно не говоря по-английски, этот амбициозный выходец из Польши приступил к поискам работы. Судьба улыбнулась Микаэлю, он встретил доброго торговца по имени Исаак Дьюхирст (Isaac Dewhirst), который одолжил бедному эмигранту 5 фунтов. Эти деньги Микаэль Маркс вложил в торговлю. Сегодня имя Микаэля Маркса известно нам по названию сети магазинов, основателем которой он является: Marks & Spencer!

Маркс продавал всякую мелочевку: пуговицы, булавки, иголки, ленты, тесьму, - товары, необходимые беднякам, чтобы шить одежду самостоятельно, так как покупать готовые вещи они себе позволить не могли. Серьезной проблемой, с которой столкнулся Микаэль, продавая свой товар, был языковой барьер. Маркс не знал как объяснить покупателям стоимость той или иной вещи. Сообразительный юноша нашел выход: он прикрепил к подносу с товаром табличку: «Не спрашивайте цену, один пенни.» («Don't Ask The Price, It's A Penny»). Молодой человек старательно трудился и в скором времени смог вернуть Исааку долг.

Дела пошли в гору, и вот спустя несколько месяцев появился первый Marks' Penny Bazaar — небольшой прилавок, со знакомой табличкой: «Один пенни!». Вскоре подобные торговые точки появились еще в пяти городах на юге Англии: Биркенхед (Birkenhead), Каслфорд (Castleford), Честерфилд (Chesterfield), Вэйфилд (Wakefield) и Варингтон (Warrington). Однако, в 1892 году произошла трагедия, прервавшая цепь открытия новых Марковских базаров. В Биркенхеде Микаэль нанял местную девушку в качестве ассистента продавца. Работая в холодную погоду на улице, девушка простудилась, заболела пневманией и умерла. Маркс чувствовал себя виновным в ее смерти. Поэтому он решил отказаться от торговли на незащищенных от непогоды прилавках. Так появились первые магазины Микаэля Маркса.

От покупателей не было отбоя. Пик продаж приходился на вечер субботы, когда люди спешили потратить зааботанные за неделю деньги. Бедным продавцам приходилось работать по 90 часов в неделю. Но Микаэль заботился о своих работниках. Чтобы никто из сотрудников не простудился, Маркс распорядился создать специальные платформы, обтянутые шерстяной тканью, на которых стояли продавцы во время работы. Поэтому их ноги всегда были в тепле. Вскоре Микаэль оснастил магазины газовыми плитами, чтобы сотрудники могли подогревать обед и кипятить чай.

19 ноября 1886 года Маркс женился на девушке по имени Ханна (Hannah), дочери эмигранта из России. В 1894 году семья Марксов (надо заметить, что Ханна родила Микаэлю пятерых детей) перебралась жить в Манчестер (Manchester). К тому времени число магазинов Маркса достигло дюжины. Микаэль хотел расширить бизнес, но для этого требовались инвестиции. Нужно было искать партнера. Первым человеком, о котором подумал Микаэль, был Исаак Дьюхирст — давний друг Маркса. Однако, Исаак отказался от предложения Микаэля, порекомендовав вместо себя своего старшего касира — Тома Спенсера (Tom Spencer). Так в Манчестере появился первый Marks & Spencer Penny Bazaar shop.

К концу 1903 года количество торговых точек с названием Marks & Spencer Penny Bazaar достигло 36. В этом же году появилась компания Marks & Spencer с уставным капиталом в 30 000 фунтов!

К сожаленю, в 1905 году Том Спенсер скончался. Таким образом, сотрудничество Маркса и Спенсера продлилось всего 11 лет. Однако название Marks & Spencer до сих пор известно во всем мире.

В 2009 году в честь 125-ти летия со дня основания M&S (появление первого Marks Penny Bazaar ) была издана книга «Marks in time». Мне посчастливилось стать обладательницой одного экземляра этой книги. Во время празднования 125-ти летия Marks & Spencer мы с мужем находились в прекрасном городе — Лондоне и купили «Marks in time» в самом большом магазине M&S на Oxford St за 9,99 фунтов. Содержание первой главы этой замечательной книги я постаралась передать в этой статье. Очень рекомендую всем прочитать книгу полностью!

2 методически документа ФСТЭК теперь не актуальны

2010-03-11T09:05:00.005+03:00

5 марта 2010 года было утверждено Решение ФСТЭК России об отмене действия следующих методических документов:
Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, утвержденные заместителем директора ФСТЭК России 15 февраля 2008 г.;
Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденные заместителем директора ФСТЭК России 15 февраля 2008 г.

Хочется заметить, что именно в Основных мероприятиях говорилось о необходимости получения лизензии ФСТЭК на деятельность по ТКЗИ. Получается, что теперь обеспечивать безопасность своей ИСПДн можно самостоятельно :)

Притча о муравье

2010-03-09T11:56:00.002+03:00

Нашла в интернете забавную притчу http://www.work.ua/fun/ant/
Притча про муравья, который работал-работал на благо компании, а компания отплатила ему тем, что уволила. Жалко таких вот руководителей, которые не ценят сотрудников.

Бывает и так, что руководитель (начальник отдела, например) намеренно избавляется от умных людей, боясь конкуренции. И в итоге, работать в отделе некому. Изначально тупой, грубый и утопичный принцип управления.

Руководителю не обязательно знать больше чем подчиненные, начальник должен уметь работу подчиненных правильно организовать, чтобы извлечь из нее максимум пользы. Только вот главное не забыть достойно за эту работу человека отблагодарить. Ведь всем изветсно: обиженный сотрудник - самый опасный злоумышленник. Ну вот, опять я перешла на информационную безопасность...

Защита персональных данных в медицинских учреждениях

2010-03-09T08:58:00.003+03:00

В новом номере журнала "Информационная безопасность" опубликована моя статья "Защита персональных данных при их обработке в информационных системах медицинских учреждений".
Полный текст статьи можно прочитать по ссылке http://www.itsec.ru/imag/insec-1-2010/24
Конечно, рассказать в статье обо всех трудностях, с которыми приходится сталкиваться при обеспечении безопасности персональных данных в медицинских учреждениях не возможно. Для этого придется писать книгу.
К слову, такая книга уже существует - методические рекомендации, разработанные мною специально для медицинских учреждений.
Две самые большие проблемы, с которыми приходится постоянно бороться - это отсутствие финансирования и указаний сверху. Дело в том, что вроде бы все понимают, что вопросы защиты информации должны лечь на плечи МИАЦов (Медицинских информационно-аналитических центров), однако действовать без указаний департаментов МИАЦ не имеет права :(
Я конечно как руководитель группы по ИБ в ГУЗ МИАЦ стараюсь помогать другим мед учреждениям разобраться с данным вопросом. Провожу семинары, разрабатываю рекомендации, помогаю советом. Однако, этого мало. Во многих учреждениях даже согласие с субъектов не берут, что уж там говорить о покупке СЗИ...

Приказ ФСТЭК №58 опубликован

2010-03-05T09:38:00.005+03:00

Как сегодня заметил toparenko в комментариях к посту о Рекомендациях ФСТЭК по ЮФО:

Приказ ФСТЭК России от 5 февраля 2010 г. N 58 "Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных" опубликован 5 марта на сайте Российской газеты http://www.rg.ru/2010/03/05/dannye-dok.html

Ну что же, посмотрим, что будет дальше..

Англия и англичане. We will rock you.

2010-02-24T16:41:00.010+03:00

В Лондоне порядка 40 театров. И вот что интересно. В каждом театре, каждый день, в одно и тоже время показывают один и тот же спектакль. Для нас это странно, правда? Вы удивитесь еще больше, узнав, что достать билеты очень сложно. Каждый день во всех театрах аншлаг.

Нам захотелось посмотреть мюзикл. Мы долго разглядывали театральные афиши и не могли определиться, какой мюзикл выбрать. В результате остановили свой выбор на We will rock you. Понравилось название, да и это оказался один из немногих мюзиклов, на который были билеты.
Я как подобает даме в приличном обществе к походу в театр готовилась основательно. Вечернее платье, туфли на шпильках, макияж, прическа - все как положено. Когда же мы зашли в Dominion Theatre, изумлению моему не было предела. Толпа людей в джинсах и кроссовках, жующих попкорн и пьющих пиво, предстала моему взору. Настроение сразу же испортилось. Как же так? В театр и с пивом...
Ладно, раз пришли - надо смотреть. Погас свет, раздались аплодисметы и началось...
Я такого никогда не видела! Потрясающе, словами описать это зрелище просто невозможно! Невероятные световые эффекты, потрясающий звук! Время пролетело незаметно. Несмотря на то, что я не идеально владею английским, все реплики актеров были понятны. Кроме того шоу просто пестрит чисто английскими шутками. Музыка Queen исполнялась просто великолепно, слова песен кое-где изменены, но очень незначительно. Зато голоса, которые эти песни исполняли поразительны!
Сюжет мюзикла достаточно прост. Далекое будущее, люди потеряли свою индивидуальность, живут одним мнением и одной мечтой (One Vision), но где-то живет простой юноша Галилео, который способен возродить рок-н-ролл.
Мы купили диск с треками, звучащими в мюзикле. Теперь слушая эту музыку дома я с удовольствием вспоминаю тот прекрасный вечер в Лондоне.

Я не люблю фильмы про войну

2010-02-19T10:59:00.015+03:00

Я не люблю фильмы про войну. Я практически их не смотрю. Я редко читаю статьи и заметки о героях. А когда по телевизору случайно включаю передачу о беженцах или военных действиях - спешу переключить канал.
Происходит это не потому, что мне не интересно или скучно. Нет. Мне страшно и тяжело.

Я получила письмо, содержание которого тронуло меня до глубины души. В этом письме рассказывается про Ирену Сендлер, женщину, спасшую 2500 жизней. К своему стыду признаюсь, что имя это я услышала впервые. Вот текст письма:

Недавно, в возрасте 98-и лет умерла женщина по имени Ирена Сендлер. Во время Второй мировой войны Иренаполучила разрешение на работу в Варшавском гетто в качестве сантехника/сварщика.

У неё были на то "скрытые мотивы". Будучи немкой, она знала о планах нацистов по поводу евреев. На дне сумки для инструментов она стала выносить детей из гетто, а в задней части грузовичка у неё был мешок для детей постарше.

Там же она возила собаку, которую натаскала лаять, когда немецкая охрана впускала и выпускала машину через ворота гетто. Солдаты, естественно, не хотели связываться с собакой, а её лай прикрывал звуки, которые могли издавать дети. За время этой деятельности Ирене удалось вынести из гетто и, тем самым, спасти 2500 детей. Её поймали; нацисты сломали ей ноги и руки,
жестоко избили.

Ирена вела запись имён всех вынесенных ею детей,списки она хранила в стеклянной банке,зарытой под деревом в её заднем дворе.
После войны она попыталась отыскать всех возможно выживших родителей и воссоединить семьи. Но большинство из них окончило жизнь в газовых камерах.

Дети, которым она помогла, были устроены в детские дома или усыновлены.
В прошлом году Ирена Сендлер была номинирована на Нобелевскую премию Мира. Она не была избрана.

Её премию получил Эл Гор - за слайд-шоу по всемирному потеплению... А в этом году премию получил Барак Обама за свои предвыборные обещания.

Я нашла очень много статей, посвященных этой женщине. Некоторые факты в них разнятся, но один остается неизменным: Ирена Сендлер - великий человек, героиня, пример для подражания. Таких людей нужно помнить.
Не так давно Джон Кент Харрисон снял фильм «Храброе сердце Ирены Сендлер». Я не люблю фильмы про войну. Но я обязательно его посмотрю. Потому что это наша история, мы должны помнить тех людей, которым обязаны всем, что имеем.

Ирена Сендлер. Повесть о настоящем человеке

Ирина Сандлер, Праведница мира

Secret Net и Ms Office

2010-02-15T15:32:00.015+03:00

При настройке Secret Net 5 на компьютере пользователя я столкнулась со следующей проблемой: не получается работать с MS Office от пользователя в секретном режиме. Статей на эту тему в интернете я не нашла, потому пришлось решать проблему самостоятельно. Надеюсь эта статья поможет начинающим пользователям Secret Net сэкономить время и нервы. Итак начнем попорядку.

1. Создадим две учетные записи: Администратор и Пользователь, с правами по умолчанию. Проверим на всякий случай, запускается ли MS Office, распечатаем пару документов.

2. Запустим установку Secret Net с диска. Установка программы проходит без проблем, никаких дополнительных настроек не требуется. Единственный параметр, который установщик предлагает выбрать пользователю - это «Выполнить расстановку прав доступа». Установим эту галочку и тогда Secret Net автоматически определит права доступа для пользователя и администратора. После установки системы необходимо перезагрузить компьютер.

3. Заходим под учеткой Администратора. Пуск -> Выполнить -> secpol.msc. Таким образом попадаем в оснастку "Локальные параметры безопасности". Выбираем SecretNet -> Настройка подсистем. Здесь я выполню следующие настройки:

Максимальный период неактивности до блокировки экрана. Если пользователя напрягает, что постоянно приходится вводить пароль или предъявлять идентификатор после блокировки экрана, то можно отключить блокировку экрана вовсе, поставив значение 0. Но из соображений безопасности я бы не рекомендовала это делать. Лучше задать значение побольше, скажем, 30 минут.
Режим аутентификации пользователя выбираю стандартный, так как криптографические ключи не используются.
Режим входа пользователя в систему выбираю стандартный, так как идентификаторы у меня не используются.
Размер журнала задам побольше, скажем 4096 Кб.
Запрет использования сетевых интерфейсов. Поставим галочки напротив всех интерфейсов, кроме ethernet. Таким образом запретим пользователям использовать все сетевые интерфейсы кроме ethernet.
Значение следующих трех параметров — затирание данных - устанавливаем 2. Таким образом затирание будет достаточно надежно и будет происходить не сильно долго.
Контроль устройств — жесткий. При изменении аппаратной конфигурации доступ пользователя в систему будет блокирован.
Грифы конфиденциальности пока не трогаем, названия уровней конфиденциальности тоже не меняем.
Полномочное управление доступом включаем. Это позволит выполнять проверку соответствия уровня допуска пользователя и категории конфиденциальности документов.

4. Если необходимо присвоить идентификаторы пользователя — заходим в управление компьютером, щелкаем правой кнопкой по имени нужного нам пользователя, выбираем меню Свойства. Заходим во вкладку SecretNet, выбираем слева меню Идентификатор и нажимаем «Присвоить». Если идентификатор уже закреплен за каким-либо пользователем — нажимаем «Инициализировать», это своего рода форматирование идентификатора.

5. Настраиваем уровень допуска пользователей. Для этого так же заходим в Свойства пользователя, слева выбираем Доступ. И для пользователя и для администратора устанавливаем уровень допуска Строго конфиденциально. При этом, пользователю даем право только на печать конфиденциальных документов, администратору даем права на все.

6. Перезагружаем компьютер и заходим под администратором в режиме Совершенно секретно. Создаем папку, в которой будем хранить конфиденциальную информацию. Назовем ее ДСП. Убедитесь, что файловая система на диске, где создается папка — NTFS. Теперь назначим категорию для данной папки. Для этого заходим в свойства папки, открываем вкладку Secret Net. Назначаем папке категорию Строго конфиденциально и ставим галочку «Автоматически присваивать новым файлам». ОК.
7. Теперь переходим в директорию C:/Windows/System32/Spool и назначаем директории Printers категорию Строго конфиденциально. Галочку «Автоматически присваивать новым файлам» не ставим. Это делается для того, чтобы можно было печатать документы.
8. Переходим в директорию C:/Documents and Settings/Имя пользователя/Local Settings/Temp. Очищаем папку Temp сначала в профиле администратора, потом пользователя. И присваиваем этим папкам категорию Строго конфиденциально без галочки "Автоматически присваивать новым файлам".

9. Завершаем сеанс. Теперь необходимо зайти под администратором в Неконфиденциальном режиме.

10. Набрав в меню выполнить regedit переходим в реестр. Далее переходим в ветку реестра HKEY_LOCAL_MACHINE\SYSTEM\CurentControlSet\Services\SnMC5xx\Params открываем параметр SourceRedirect и дописываем следующие строки:
\Local Settings\Temporary Internet Files\Content.MSO
\Local Settings\Temporary Internet Files\Content.WORD
После этого необходимо перезагрузить компьютер.

11. Заходим под пользователем сначала в несекретном режиме, проверяем, чтобы работал MS office. Попробуем создать документ, сохранить его и распечатать. Отлично, все работает.

12. Теперь попробуем тоже самое в режиме Совершенно секретно. Только на этот раз при попытке сохранить документ в любую директорию кроме ДСП должна появляться ошибка. Все работает.

13. Под администратором тоже работает как в секретном, так и в несекретном режиме.

Ура! Задача выполнена :)

Англия и англичане. Начало.

2010-02-10T14:38:00.019+03:00

Этой весной я побывала в Англии. Прекрасная страна. Все в ней необычно, чудесно. Хочу в этом блоге иногда выкладывать заметки об Англии. Сегодня мне хочется рассказать о своем первом впечатлении об этой стране.

Прилетели мы в Лондон рано утром. Регистрация в аэропорту прошла достаточно легко, мы объяснили полицейскому, что в Англии мы в первый раз и что цель нашего визита - туризм. Когда официальная часть была пройдена, мы направились к информационной стойке, чтобы узнать как добраться до Royal National Hotel, где у нас забронирован номер. Нам очень вежливо объяснили как спуститься в метро (underground), показали на карте синюю ветку (Piccadilly) и сказали ехать до станции Russell Square.
Лондонское метро требует детального описания. Возможно, оно произвело на меня такое впечатление потому что в Краснодаре метро нет, и я не привыкла к этому виду транспорта. С другой стороны, мне есть с чем сравнивать. Я видела метро Москвы, Санкт-Петербурга и Праги, однако Underground Лондона меня поразил.
За пределами аэропорта (Heathrow) ветка поднимается на поверхность и Оп! Вы уже не в метро, а в электричке :) Действительно, достаточно забавный факт, но в Лондоне Underground не всегда under, а частенько очень даже over ground. Уже вернувшись в Россию, я спустя несколько месяцев узнала почему ветки метро в Лондоне очень часто выходят на поверхность. Ответ на этот вопрос прозвучал в передаче "Что? Где? Когда?", и, если я не ошибаюсь, знатоки этот раунд проиграли. Дело в том, что для того, чтобы проложить рельсы под землей необходимо было платить аренду. Да-да, ведь все пространство под землей принадлежало лорду - владельцу земельного участка. Именно поэтому ветки метро старались прокладывать по поверхности земли. Англичанами руководили не благие намерения - подарить пассажирам наслаждение видами города, - а желание сэкономить. Деньги, господа! Деньги.Royal National Hotel мы нашли достаточно быстро. Нас еще в России предупредили, что отели в Англии ужасные. Поэтому мы не удивлялись. Често говоря, я считаю, что если едешь в экскурсионный тур, то задумываться об удобствах стоит в последнюю очередь. Главное в гостинице - это ее место расположения. Желательно в центре, чтобы можно было легко добраться до места встречи с гидом. Если цель Вашего путешествия - увидеть как можно больше, - то в гостинице Вы будите проводить 5-6 часов в сутки, которые потратите на сон без задних ног :) и чашку крепкого кофе с утра. Однако, не могу не выложить фотографию с типично английским умывальником.

Пару слов об англичанах. Говоря англичанин, мы представляем себе светлокожего джентльмена в пиджаке, с тростью и трубкой. Однако, встретить такого человека в Лондоне практически невозможно. Национальный колорит пестрит разнообразием. И не смейте даже думать, что попавшийся Вам на встречу индус или китаец - не чистокровный англичанин. Да-да, я говорю именно то, что имею ввиду.
Наш гид поведал нам, что после того, как Великобритания дала свободу всем своим колониям, жителям этих земель был дан выбор: оставаться жить на родине или получить британское гражданство. Очень многие воспользовались этим предложением и переехали жить в Лондон, где теперь считаются гражданами Англии. Так что не удивляйтесь, когда приедете в Лондон и не встретите ни одного типичного англичанина.
Говорить об Англии можно бесконечно долго и все равно будет казаться, что рассказала мало. Обязательно буду продолжать делиться своими впечатлениями об этой прекрасной стране...

Блог

2010-02-10T10:28:00.000+03:00

Для чего был создан этот блог? Для того же, для чего и все остальные блоги. Автору просто захотелось попробовать выражать свои мысли на бумаге. Обсуждать последние события, высказывать свое мнение, делиться впечатлениями.
Вчера была у окулиста. Проверила зрение - (-1,5). Очень грустно, но пришлось покупать очки.
Теперь сижу и думаю, ну что стоит делать разминку для глаз хотя бы раз 5 в день? Ведь врачи предупреждали... еще в школе. Весь день сидишь за монитором, под вечер в глазах как-будто песок. Ну что же, купила витамины и очки. А так же нашла здесь неплохой комплекс упражнений для глаз. Буду за собой следить.