О персональных данных |
|
Вступление В уже далеком 2006 году в России был принят закон № 152 ФЗ «О персональных данных». Не будет преувеличением сказать, что данный закон является сильнейшим фактором воздействия на рынок информационной безопасности в России за всю историю его (рынка) существования. Дело в том, что этим законом государство фактически впервые потребовало от бизнеса выполнять какие-либо нормы по защите информации. Конечно, государство и раньше требовало соблюдения определённых стандартов в этой области. Существует система контролирующих и лицензирующих органов (например, ФСТЭК и ФСБ), работают масса производителей и интеграторов в области «государственной» защиты информации. Что нового Самой главной особенностью принятого закона является то, что ранее эти требования не относились абсолютно ко всем бизнес-структурам России. Требования по защите государственной тайны естественно относятся только к тем, кто обрабатывает такую информацию. Даже для банковских организаций стандарт Банка России фактически не является обязательным к исполнению. Новый закон прямо перечисляет тех, кому придется выполнять все установленные требования - это и юридические, и физические лица. При этом закон уже вступил в силу в 2006 (см. статью 25 Закона). Многие представители бизнеса ждут 1-го января 2010 года как дату официального вступления в силу требований закона, что является большой ошибкой. Точная цитата из текста Закона звучит так: «Информационные системы персональных данных, созданные до дня вступления в силу настоящего Федерального закона, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2010 года». Не больше и не меньше! Требования закона отнюдь не исчерпываются требования к собственно информационным системам. Есть большое количество организационных мер обязательных к исполнению. Кроме того, если информационная система была создана «давно», то никаких отсрочек не действует. Каким образом юридическое лицо будет обосновывать дату создания информационной системы, закон, к сожалению, не уточняет. Общая структура требований не очень сложна: технические требования формулируют ФСТЭК и ФСБ, а организационные прописаны в законе и постановлениях правительства России №№ 781 и 687. Проверки Практика проверок соблюдения закона показывает, что регулирующие органы отнюдь не собираются ждать 2010 года. Роскомнадзор, а именно он является уполномоченным органом по проверкам соблюдения этого закона регулярно отчитывается о своей деятельности и передаче результатов в прокуратуру. Если раньше (в 2007 и 2008 годах) речь шла об административных правонарушениях, то теперь появляются примеры и уголовного преследования нарушителей. Исходя из анализа новостных сообщений мы делаем вывод, что в первую очередь проверкам подвергаются организации, обрабатывающие «чужие» персональные данные (то есть данные клиентов и сторонних лиц, а не собственных сотрудников, например). В первую очередь это банки, страховые компании, операторы связи (особенно сотовые и телефонные компании), туроператоры, медицинские учреждения (особенно негосударственные), учебные заведения. В качестве положительного момента можно отметить, что в настоящее время проверяющие органы готовы удовлетворить самим фактом начала работ по защите. То есть достаточно продемонстрировать хоть какие-то усилия в этой области, чтобы не понести материальных потерь. Что делать? Перспективы рынка Чтобы оценить объем рынка защиты персональных данных, надо вспомнить, что защищать эти данные обязаны все, кто их имеет. Очевидно, что любое юридическое лицо в России имеет и обрабатывает персональные данные. В простейшем случае это кадровая и бухгалтерская информация собственных сотрудников. По информации ФНС России на 01.08.2009 зарегистрировано более 4.1 миллиона юридических лиц. Все они являются потенциальными клиентами на рынке защиты персональных данных. Никогда ранее рынок защиты информации не получал такой клиентской базы. Очевидно, что большая часть этих клиентов не может себе позволить дорогостоящих услуг и решений (вспомним хотя бы большую долю нелицензионного программно обеспечения в России, чтобы оценить их покупательскую способность). Вместе с тем минимальную стоимость работ и оборудования по приведению одного рабочего места в соответствие с требованиями закона можно оценить в пределах 20000 рублей (в самом простом случае). Кроме того, обязательно придется лицензировать всё имеющееся программно обеспечение. Таким образом, даже если считать, что каждое юридическое лицо имеет всего одно рабочее место для обработки персональных данных (что очевидно не так) – общая цифра составит 61,5 миллиарда рублей или более 1,7 миллиарда долларов США. И это только рынок защиты персональных данных, не считая остальных сегментов рынка информационной безопасности. Напомню, что по некоторым данным общая выручка компаний в области ИБ составляет миллиарды рублей. Очевидно, что такой рост рынка не обойдется без появления новых участников хотя бы потому, что совместных усилий всех существующих сегодня игроков не хватит для выполнения всех требуемых проектов. Также большой рынок получают производители средств защиты информации и сертификационные лаборатории ФСТЭК (дело в том, что для защиты персональных данных должны применяться сертифицированные средства защиты). К сожалению, существует опасность, что рынок превратиться в «рынок продавца». Сроки, установленные законодательством, уже фактически истекли, а многие потенциальные клиенты всё ещё ждут 1-го января 2010 года. Управляющий партнер компании Pointlane Королёв Алексей
|
