середу, 23 травня 2012 р.
DLP: Применять? Не применять? Как применять?
Если рассматривать построение технической системы защиты ПД, то одно из возможных решений, направленное на предотвращение несанкционированной передачи ПД третьим лицам, есть использование сиcтем DLP (Data Leak Prevention), т е сиcтем созданных для предотвращения утечек конфиденциальных данных.
Но использование таких систем порождает парадокс: с одной стороны, владелец/распорядитель заботится о защите вверенных ему ПД, причем не жадничает (так сказать с полной отдачей), с другой стороны, работа самой системы DLP и ее сопровождение всячески нарушает не только Конституцию, но и тот же Закон, например, в части обработки ПД своих сотрудников, на обработку которых разрешение никто не давал.
Я когда-то размышлял о возможных решениях подобного парадокса, но упомянутые размышления касались только Конституции и то я не уверен, что предложенный подход юридически чист, а подмешав сюда еще и Закон о защите ПД получается вообще как то грустно.
У кого-то есть идеи?
Підписатися на:
Дописати коментарі (Atom)
не пускать людей к данным. нормальные ДЛП позволяют назначать роли, в рамках которых защита есть, а нарушений нет.
ВідповістиВидалитино в любом случае нужно подключать юристов.
"не пускать людей к данным" - не получится, потому как люди часто заняты в процессе создания этих самых данных.
ВідповістиВидалитиРоли - это хорошо, но представим, что система перехватит вот такой текст:
Источник (роль): «Канцелярия»
«… представляешь, наш зам генерального Иванов, когда ездил на переговоры в Лондон по приобретению «Факела», а ты же знаешь это наш злейший конкурент, то поехал не сам, а с Люськой Петровой, из коммерческого отдела, а ей там так точно, по работе делать нечего. А она рада стараться и это не смотря на то, что ей месяц назад аппендицит вырезали. Так она себе там кольцо дорогое с бриллиантами купила, а на какие шиши, при ее то зарплате…»
И что с того, что мы «отправителя» попытались обезличить (предположим, что успешно)?
Хранить сообщение не полностью или не хранить вообще? Частично?
Но, для того что бы отрезать инфу о «кольце с бриллиантами», потому как эти сведения так точно Люся Петрова не передавала организации на обработку, нам необходимо их обработать: «хранение», «уничтожение»…
И еще один, с моей точки зрения, интересный аспект: должны ли суждения (умозаключения) третьих лиц рассматриваться как ПД? По всей видимости должны потому как:
«Какая Петрова? Люська Петрова, что с Ивановым в Лондон летала?»
Не подпускать к данным ДЛП операторов ДЛП. Пусть ковыряются в метаданных, остальное -- забота системы. Нет доступа к оригиналам перехваченных сообщений -- нет нарушения Конституции.
ВідповістиВидалитиТакую форму работы для попытки избежать нарушения Конституции я и предложил (см ссылку), но "Закон о защите ПД" расширяет нюансы.
ВідповістиВидалитиЕсли кратко: то мы можем утверждать (не знаю грамотно ли это юридически, но хотя бы логично), что исключив человека из процедуры «ознакомления», мы не нарушаем "права на таинство", "Закон о защите ПД" регламентирует "обработку" воообще и здесь "хранение" и "ознакомление" абсолютно разные процессы, которые могут друг друга дополнять, но и могут рассматриваться отдельно...