Tüm kişisel veri operatörlerinin, kişisel verilerin korunması ve saklanmasına ilişkin bir takım gereklilikleri yerine getirmesini zorunlu kılan 152 Sayılı “Kişisel Verilere İlişkin” Federal Kanun yürürlüğe girdi.
152-FZ uyarınca kişisel verilerin işlenmesi için 1C'de bilgi sistemlerinin barındırılmasına yönelik hizmetler sağlıyoruz. Hangi çözümleriniz var? Kişisel verilerin korunmasına ilişkin 1C (ISPDn)?
1C şirketi, Rusya FSTEC tarafından verilen ve güvenli yazılım paketinin (ZPK) “1C:Enterprise, sürüm 8.2z” yerleşik yerleşik genel amaçlı bir yazılım olarak tanındığını doğrulayan 2137 numaralı uygunluk sertifikası aldı. bilgileri, devlet sırrını oluşturan bilgileri içermeyen bilgilere yetkisiz erişimden (NSD) koruma anlamına gelir.
Sertifikasyon sonuçlarına göre, sınıf 5'in etkisi olmayan faaliyetlere karşı koruma için geçerli belgelerin gerekliliklerine uygunluk, kontrol seviyesi 4'te beyan edilmemiş yeteneklerin (NDC) yokluğunun izlenmesi düzeyine göre, olasılığı doğrulandı. 1G güvenlik sınıfına (yani AC) kadar otomatik sistemler (AS) oluşturmak için kullanımı onaylandı, LAN'daki gizli bilgilerin korunmasının sağlanması ve ayrıca K1 sınıfına kadar kişisel veri bilgi sistemlerindeki (PDIS) bilgilerin korunması sağlandı. dahil.
1C platformunun onaylı kopyaları, G 420000'den G 429999'a kadar uygunluk işaretleriyle işaretlenmiştir.
1CAir bu programları kiralık olarak sunmaktadır. Kullanmaya nasıl başlanır?
152-FZ'ye uygun olarak 1C'de kişisel verilerin işlenmesi için bir sistem nasıl oluşturulur?
“1C:Enterprise 8.2” platformu üzerinde geliştirilen tüm konfigürasyonlar, herhangi bir sınıftan kişisel veri bilgi sistemi oluşturmak için kullanılabilir ve uygulama çözümleri için ek bir sertifikasyona gerek yoktur.
1C'den ek açıklamalar alındı:
1. 152-FZ Sayılı “Kişisel Verilere İlişkin” Federal Kanun, yazılım için herhangi bir gereklilik getirmemektedir (bugün yürürlükte olan şekliyle).
2. Bilgi güvenliği araçlarının uygunluğunu değerlendirme gerekliliği, 17 Kasım 2007 tarihli Rusya Federasyonu Hükümeti Kararnamesi ile getirilen Yönetmeliğin 5. paragrafında yer almaktadır. N 781 “Güvenliğin sağlanmasına ilişkin Yönetmeliğin onaylanması üzerine Kişisel verilerin kişisel veri bilgi sistemlerinde işlenmesi sırasında işlenmesi.”
3. Yazılım gereksinimleri doğrudan Rusya FSTEC'in 58 No'lu Siparişi ile sağlanmaktadır.Özellikle erişim kontrolü, kayıt ve muhasebe ve bütünlük kontrolü alt sistemleri için gereksinimler sağlanmaktadır. Bu alt sistemler konfigürasyonlarla değil, yalnızca teknoloji platformuyla ilgilidir.
4. Sertifikasyon yapılırken başlangıçta konfigürasyonlar için gerekliliklerin (teknik koşullar) sağlanması planlanmıştı. Ancak sertifikasyonun tamamlanmasının ardından test laboratuvarı, konfigürasyonlara ilişkin herhangi bir gereklilik sunmayı reddetti.
Bu nedenle mevcut mevzuat, bilgi güvenliği aracı olmayan, standart konfigürasyonları içeren yazılım ürünlerinin sertifikalandırılmasına (veya diğer uygunluk değerlendirmesine) olanak sağlamamaktadır ve konfigürasyonlar için herhangi bir teknik koşul bulunmamaktadır. Buna göre bu platform için herhangi bir konfigürasyon güvenli bir yazılım paketi ile kullanılabilir.
Ayrıca, sertifikasyon sırasında nesne sadece programlar değil, aynı zamanda tüm idari düzenleme ve önlemler kompleksi (güvenlik gereklilikleri, tehdit modeli, sınıflandırma kanunları, kişisel veri koruma planı vb.) ve kuruluşta kullanılan tüm bilgi sistemidir.
Kişisel veri işleme işletmecisinin, kişisel veri sistemine uygun sınıfı atamaya karar vermesi gerekir.
Verilerin Rusya Federasyonu dışında saklanmasına rağmen, 152-FZ sayılı Federal Kanun, doğrudan sınır ötesi veri aktarımı olanağını, yani 12. Maddeyi öngörmektedir. “Kişisel verilerin yabancı devletlerin topraklarında sınır ötesi aktarımı Kişisel verilerin Otomatik İşleme Altında Bireylerin Korunmasına İlişkin Avrupa Konseyi Sözleşmesine taraf olanların yanı sıra, kişisel veri konularının haklarının yeterli şekilde korunmasını sağlayan diğer yabancı ülkeler bu Federal Kanuna uygun olarak gerçekleştirilir. ..”. Mektuba göre, kişisel veriler yalnızca bu Sözleşmeyi imzalayan Avrupa ülkelerindeki veri merkezlerinde depolanır. Rusya Federasyonu İletişim ve Kitle İletişim Bakanlığı “Kişisel verilerin sınır ötesi aktarımının uygulanması hakkında.”
152-FZ sayılı Kanun'un 12. maddesinin 3. paragrafına göre, kişisel verilerin sınır ötesi aktarımı başlamadan önce kişisel veri sahiplerinin haklarının yeterli şekilde korunmasının sağlandığı kanaatindeyiz. Bu, veri merkezleriyle olan sözleşmemizde kayıtlıdır ve Müşteri Sözleşmesine yansıtılmıştır.
Şu anda, yukarıda belirtilen veri koruma gereksinimlerine sahip standart platform "1C:Enterprise, sürüm 8.2" kullanılmaktadır. Bu nedenle 1CAir yardımıyla kişisel veri bilgi sistemlerinde (PDIS) K2 sınıfına kadar bilgi güvenliği sistemleri kurmak mümkündür.
1CAir kullanımına rağmen, kişisel verilerinizin işlenmesinden sorumlu olan biz değil, kuruluşunuz olmaya devam edecektir. Kendi güvenlik modelinizi oluşturuyorsunuz ve bu modele göre koruma parametrelerini belirliyorsunuz. Bu teknik parametreleri kullanarak böyle bir hizmeti (örneğin şifreleme) sağlayıp sağlamadığımızı bizden öğrenebilir ve 1CAir'deki programları kullanarak istediğiniz sistemi oluşturabilirsiniz.
Bilgi Güvenliği Bilgi koruması gibi, güvenliği sağlamayı amaçlayan ve bir güvenlik sisteminin uygulanmasıyla uygulanan karmaşık bir görevdir. Bilgi güvenliği sorunu çok yönlü ve karmaşıktır ve bir dizi önemli görevi kapsamaktadır.
Bilgi güvenliği sorunları, teknik veri işleme ve iletim araçlarının toplumun tüm alanlarına nüfuz etmesiyle sürekli olarak ağırlaşmaktadır; bu sorun özellikle finansal muhasebe sistemleri alanında akuttur. Rusya'daki en popüler muhasebe, satış ve CRM süreçleri sistemi 1C Enterprise sistemidir.
1C programını kullanırken olası güvenlik tehditlerini göz önünde bulunduralım.
|
1C'yi dosya formatındaki veritabanlarıyla kullanma. 1C dosya veritabanları fiziksel etkilere karşı en savunmasız olanlardır. Bunun nedeni, bu tür veritabanının mimari özelliklerinden kaynaklanmaktadır - işletim sisteminin tüm kullanıcıları için tüm yapılandırma dosyalarını ve dosya veritabanlarını açık (tam erişimle) tutma ihtiyacı. Sonuç olarak, 1C dosya veritabanında çalışma hakkına sahip herhangi bir kullanıcı, teorik olarak 1C bilgi veritabanını iki fare tıklamasıyla kopyalayabilir ve hatta silebilir. |
|
 |
1C'yi DBMS formatındaki veritabanlarıyla kullanma. Bu tür bir sorun, bir DBMS'nin (PosgreSQL, MS SQL) 1C veritabanları için depolama olarak kullanılması ve kurumsal 1C sunucusunun 1C ile DBMS arasında ara iletişim hizmeti olarak kullanılması durumunda ortaya çıkar. Bu bir örnektir; birçok şirket 1C yapılandırmalarını ihtiyaçlarına uyacak şekilde değiştirmeye çalışır. İyileştirme sürecinde, proje "kargaşası" koşullarında, yeni, geliştirilmiş işlevlerin sürekli test edilmesi sırasında, sorumlu uzmanlar genellikle ağ güvenliği kurallarını ihmal eder. |
 |
Sunucu ekipmanının açıklığı ve erişilebilirliği. Sunucu ekipmanlarına yetkisiz erişim olması durumunda şirket çalışanları veya üçüncü kişiler bu erişimi bilgileri çalmak veya zarar vermek için kullanabilirler. Basitçe söylemek gerekirse, bir saldırgan 1c sunucusunun gövdesine ve konsoluna doğrudan erişim kazanırsa yeteneklerinin kapsamı on kat artar. |
 |
Hırsızlık ve kişisel verilerin sızması riskleri. Burada, kişisel verilerin güvenliğine yönelik mevcut tehditler, kişisel verilere örneğin sorumlu çalışanlar, PC tarafından bir bilgi sisteminde işlenirken kazara da dahil olmak üzere mevcut yetkisiz erişim tehlikesini yaratan bir dizi koşul ve faktör olarak anlaşılmaktadır. operatörler, muhasebe departmanları vb. |
 |
Ağ güvenliği. GOST'u, güvenlik gerekliliklerini, tavsiyeleri ihlal ederek veya uygun BT desteğinden yoksun olarak oluşturulmuş bir kurumsal bilgi sistemi delikler, virüsler ve casus yazılımlarla ve birçok arka kapıyla (dahili ağa yetkisiz erişim) doludur ve bu durum kurumsal verilerin güvenliğini doğrudan etkiler. 1C. Bu, bir saldırganın ticari açıdan hassas bilgilere kolayca erişmesine yol açar. Örneğin, bir saldırgan, yedek kopyalara ücretsiz erişimi ve yedek kopyaların bulunduğu arşivler için şifre bulunmamasını kişisel kazanç amacıyla kullanabilir. Viral aktivite nedeniyle 1C veri tabanına verilen temel hasardan bahsetmiyorum bile. |
 |
1C ile dış nesneler arasındaki ilişki. Diğer bir potansiyel tehdit, 1C muhasebe veritabanının "dış dünya" ile iletişim kurma ihtiyacıdır (ve bazen özel bir pazarlama özelliğidir). Müşteri bankalarının yüklenmesi/indirilmesi, şubelerle bilgi alışverişi, kurumsal web siteleri, portallar, diğer raporlama programları ile düzenli senkronizasyon, müşteri ve satış yönetimi ve çok daha fazlası. Bu 1C alanında güvenlik standartlarına uyum ve ağ bilgi alışverişinin tekdüzeliği teşvik edilmediğinden, güzergah boyunca herhangi bir noktada bir sızıntı oldukça gerçektir. |
Bu tür sorunların çözümü için neler önerilebilir?
1. 1C dosya veritabanlarıyla çalışırkenÜslerin güvenliğini sağlamak için bir takım önlemlerin uygulanması zorunludur:
- NTFS erişim kısıtlamalarını kullanarak, yalnızca bu veritabanıyla çalışan kullanıcılara gerekli hakları verin, böylece veritabanını vicdansız çalışanların veya bir saldırganın hırsızlığından veya zarar görmesinden koruyun;
- Kullanıcı iş istasyonlarında oturum açmak ve ağ kaynaklarına erişmek için her zaman Windows yetkilendirmesini kullanın;
- 1C veritabanını kaldırsanız bile gizli bilgileri kaydetmenize olanak sağlayacak şifrelenmiş diskler veya şifrelenmiş klasörler kullanın;
- Otomatik bir ekran kilitleme politikası oluşturmanın yanı sıra, profil kilitleme ihtiyacını açıklamak için kullanıcı eğitimi sağlamak;
- Erişim haklarının 1C düzeyinde farklılaştırılması, kullanıcıların yalnızca uygun haklara sahip oldukları bilgilere erişmelerine olanak tanıyacaktır;
- 1C yapılandırıcısının yalnızca ihtiyaç duyan çalışanlara başlatılmasına izin vermek gerekir.
2. DBMS 1C veritabanlarıyla çalışırken Lütfen aşağıdaki önerilere dikkat edin:
- DBMS'ye bağlanmaya yönelik kimlik bilgilerinin yönetici hakları olmamalıdır;
- DBMS veritabanlarına erişim haklarını farklılaştırmak gerekir; örneğin, her bilgi tabanı için kendi hesabınızı oluşturun; bu, hesaplardan birinin saldırıya uğraması durumunda veri kaybını en aza indirecektir;
- Kurumsal veritabanına ve 1C sunucularına fiziksel ve uzaktan erişimin sınırlandırılması önerilir;
- Veritabanları için şifreleme kullanılması tavsiye edilir; bu, bir saldırganın DBMS dosyalarına fiziksel erişim sağlaması durumunda bile gizli verilerin kaydedilmesini sağlayacaktır;
- Ayrıca önemli kararlardan biri de veri yedeklemelerini şifrelemek veya parola belirlemektir;
- 1C kümesinin yanı sıra 1C sunucusu için de yöneticilerin oluşturulması zorunludur, çünkü varsayılan olarak hiçbir kullanıcı oluşturulmadıysa, sistemin tüm kullanıcıları kesinlikle bilgi tabanlarına tam erişime sahiptir.
3. Sunucu ekipmanının fiziksel güvenliğinin sağlanmasına yönelik gereksinimler:
(GOST R ISO/IEC TO – 13335'e göre)
- Hassas bilgilerin işlendiği veya saklandığı alanlara erişim kontrol edilmeli ve yalnızca yetkili kişilerle sınırlandırılmalıdır;
- Erişim kontrol kartı ve kişisel kimlik numarası gibi kimlik doğrulama kontrolleri , herhangi bir erişimi yetkilendirmek ve onaylamak için kullanılmalıdır;
- Tüm erişimlerin denetim takibi güvenli bir yerde tutulmalıdır;
- Üçüncü taraf destek personeline yalnızca gerektiğinde güvenlik alanlarına veya hassas bilgi işleme tesislerine sınırlı erişim verilmelidir;
- bu erişime her zaman izin verilmeli ve izlenmelidir;
- Güvenlik alanlarına erişim hakları düzenli olarak gözden geçirilmeli, güncellenmeli ve gerekirse iptal edilmelidir;
- İlgili güvenlik ve sağlık düzenlemeleri ve standartları dikkate alınmalıdır;
- Temel tesisler halkın bunlara erişimini engelleyecek şekilde yerleştirilmelidir;
- Uygun olduğu durumlarda, binalar ve odalar sade olmalı ve binanın dışında veya içinde bilgi işlem faaliyetlerinin varlığını gösteren belirgin bir tabela olmadan, amaçlarına dair asgari düzeyde bilgi vermelidir;
- Hassas bilgi işleme tesislerinin yerlerini gösteren işaretler ve dahili telefon rehberleri halkın kullanımına hazır şekilde sunulmamalıdır.
4. Kişisel verilerin gizliliği. Kişisel verilerin korunmasının düzenlenmesinde temel amaç, bilgi sistemindeki mevcut tehditlerin, tanımlanan şekilde etkisiz hale getirilmesidir. 27 Temmuz 2006 tarihli 152-FZ sayılı Federal Kanun “Kişisel Verilere İlişkin”
, uluslararası BT güvenlik sertifikalarının devlet standartlarının ve gereksinimlerinin bir listesi (GOST R ISO/IEC 13335 2-5, ISO 27001)
. Bu, bilgiye erişimin türlerine göre sınırlandırılması, bilgiye erişimin kullanıcı rollerine göre sınırlandırılması, bilginin işlenmesi ve saklanması sürecinin yapılandırılmasıyla gerçekleştirilir.
İşte bazı önemli noktalar:
- Kişisel verilerin işlenmesi belirli, önceden tanımlanmış ve meşru amaçların gerçekleştirilmesiyle sınırlı olmalıdır;
- Kişisel verilerin işlenmesine ilişkin onay spesifik, bilinçli ve bilinçli olmalıdır;
- Kişisel verilerin toplanma amaçlarıyla bağdaşmayan şekilde işlenmesine izin verilmez;
- Yalnızca işlenme amaçlarına uygun olan kişisel veriler işleme tabi tutulur;
- Operatörler ve kişisel verilere erişimi olan diğer kişiler, federal yasa tarafından aksi belirtilmedikçe, kişisel verilerin konusunun izni olmadan üçüncü taraflara ifşa etmemeli veya kişisel verileri dağıtmamalıdır;
- İzin verilmedikçe, mobil cihazlardaki kameralar gibi fotoğraf, video, ses veya diğer kayıt ekipmanlarına izin verilmemelidir;
- Çıkarılabilir medyaya sahip sürücülere yalnızca iş için bir ihtiyaç olması durumunda izin verilmelidir;
- Gizli bilgilerin tahrif edilmemesini sağlamak için kağıt ve elektronik ortamlar, kullanılmadıklarında, özellikle çalışma saatleri dışında, uygun şekilde kilitlenmiş dolaplarda ve/veya diğer güvenli mobilyalarda saklanmalıdır;
- Önemli veya hassas özel bilgiler içeren medya, özellikle alan boş olduğunda, gerekmediğinde (örneğin, yanmaz bir kasa veya dolapta) bir yere konulmalı ve kilitlenmelidir.
5. Ağ güvenliği- bu, bir işletmenin bilgisayar ağının altyapısı için bir dizi gereksinimdir ve uygulanması, ağ kaynaklarının yetkisiz erişime karşı korunmasını sağlayan, içinde çalışmaya yönelik politikalardır. Ağ güvenliğini düzenlemek ve sağlamak için önerilen eylemlerin bir parçası olarak, temel eylemlere ek olarak aşağıdaki özellikleri de göz önünde bulundurabilirsiniz:
- Her şeyden önce şirketin uygun talimatlarla birleşik bir bilgi güvenliği düzenlemesi uygulaması gerekir;
- Kullanıcıların, dosya barındırma hizmetleri de dahil olmak üzere istenmeyen sitelere erişimi mümkün olduğu kadar engellenmelidir;
- Yalnızca kullanıcıların doğru çalışması için gerekli olan bağlantı noktaları harici ağdan açık olmalıdır;
- Kullanıcı eylemlerinin kapsamlı bir şekilde izlenmesi ve çalışması Şirket için önemli olan, kamuya açık tüm kaynakların normal durumundaki ihlallerin derhal bildirilmesi için bir sistem bulunmalıdır;
- Merkezi bir anti-virüs sisteminin mevcudiyeti ve kötü amaçlı yazılımların temizlenmesi ve kaldırılmasına yönelik politikalar;
- Anti-virüs yazılımını yönetmek ve güncellemek için merkezi bir sistemin yanı sıra düzenli işletim sistemi güncellemeleri için politikaların mevcudiyeti;
- Çıkarılabilir flash ortamı çalıştırma yeteneği mümkün olduğunca sınırlandırılmalıdır;
- Şifre en az 8 karakter uzunluğunda olmalı, rakamlardan, büyük ve küçük harflerden oluşmalıdır;
- Anahtar bilgi alışverişi klasörlerinin, özellikle 1c değişim dosyalarının ve müşteri-banka sisteminin korunması ve şifrelenmesi gerekir;
- Bilgi işlem tesislerindeki güç ve uzun mesafe iletişim hatları, mümkün olduğu yerde yeraltında olmalı veya yeterli alternatif korumaya tabi tutulmalıdır;
- Ağ kabloları, örneğin bir kablo kanalı kullanılarak veya halka açık alanlardan geçen yollardan kaçınılarak, izinsiz müdahaleye veya hasara karşı korunmalıdır.
Yukarıdakilerin hepsini özetleyerek, bilgiyi korumaya yönelik ana kuralların, kullanıcıların haklarını ve yeteneklerini sınırlamanın yanı sıra bilgi sistemlerini kullanırken bunlar üzerinde kontrol sağlamak olduğunu belirtmek isterim. Bir kullanıcının bir bilgi sistemiyle çalışırken sahip olduğu haklar ne kadar azsa, kötü niyetli niyet veya ihmal nedeniyle bilgi sızıntısı veya zarar görme olasılığı da o kadar az olur.
1C veritabanları da dahil olmak üzere kurumsal verileri korumaya yönelik kapsamlı bir çözüm, yüksek düzeyde bilgi gizliliği sağlamak için güncel araçlar içeren "İsrail'deki Sunucu" çözümüdür.
Sistem entegrasyonu. Danışmanlık
1 Temmuz 2017'den itibaren bireylerin kişisel verileriyle etkileşimde bulunulması sırasındaki ihlallere ilişkin sorumluluk önemli ölçüde sıkılaştırıldı. Bu, 02/07/2017 No. 13-FZ tarihli Federal Kanun hükümlerinden kaynaklanmaktadır). Değişiklikler, çalışanların ve bireysel yüklenicilerin kişisel verilerinin işlenmesinde yer alan istisnasız tüm işverenleri etkileyecektir. Üstelik değişikliklerin bireylerin kişisel verileriyle etkileşimde bulunan iş dünyasının (örneğin ziyaretçilerin kişisel verilerini toplayan web sitelerinin sahipleri) neredeyse tamamı için geçerli olduğunu söyleyebiliriz. Değişikliklere nasıl hazırlanılır? Cezalar artacak mı? Kişisel verilerin işlenmesindeki ihlalleri kim tespit edecek? Hadi çözelim.
Kişisel veriler: özel bilgiler
Çalışanların kişisel verileri, işveren için iş ilişkileriyle bağlantılı olarak ve belirli bir çalışanla ilgili olarak gerekli olan her türlü bilgidir (27 Temmuz 2006 tarihli 152-FZ sayılı Federal Kanunun 3. Maddesi "Kişisel Veriler Hakkında").
Bir işveren (kurum veya bireysel girişimci) için, çalışanların kişisel verileri çoğunlukla kişisel kartlarında ve kişisel dosyalarında özetlenir. Aynı zamanda hemen hemen her insan kaynakları yöneticisi veya İK uzmanı, kişisel verilerin yalnızca kişisel olarak çalışanlardan elde edilebileceğini bilir. Kişisel bilgilerin yalnızca üçüncü taraflardan alınabilmesi durumunda, Rusya mevzuatı, çalışanı bu konuda bilgilendirmek ve ondan yazılı onay almakla yükümlüdür (Rusya Federasyonu İş Kanunu'nun 86. maddesinin 1. bölümünün 3. fıkrası).
İşverenlerin, bir kişinin iş faaliyetiyle doğrudan ilgili olmayan kişisel verileri alma ve işleme hakkı yoktur. Yani örneğin çalışanların dini hakkında bilgi toplamak imkansızdır. Sonuçta, bu tür bilgiler kişisel veya aile sırrı oluşturur ve hiçbir şekilde iş görevlerinin yerine getirilmesiyle ilişkilendirilemez (Rusya Federasyonu İş Kanunu'nun 86. maddesinin 1. bölümünün 4. fıkrası).
Kişisel verileri alan işveren, yasal gereklilikler gereği, çalışanın izni olmadan bunları dağıtmamalı veya üçüncü şahıslara ifşa etmemelidir (27 Temmuz 2006 tarihli ve 152-FZ sayılı Federal Kanunun 7. Maddesi).
Kişisel veriler, belirli bir kişiyle (kişisel verilerin konusu) doğrudan veya dolaylı olarak ilgili herhangi bir bilgi olarak anlaşılabilir - 27 Temmuz 2006 tarihli ve 152-FZ sayılı Federal Kanunun 3. maddesinin 1. paragrafı. Bu tür bilgilere örnek olarak soyadı, adı, soyadı, doğum tarihi ve yeri, ikamet yeri vb. verilebilir.
İşverenin kişisel verileri koruma yükümlülüğü nasıldır?
Kişisel verilere erişimin korunması ve sınırlandırılması için işverenin, bunların korunmasına yönelik kaliteli ve modern bir sistem sağlaması gerekmektedir. Bu tam olarak nasıl yapılır? Her işveren bu konuya bağımsız olarak karar verir. Aynı zamanda, kişisel verilerin alınması, işlenmesi, aktarılması ve saklanmasına ilişkin prosedür, örneğin çalışanların kişisel verilerinin işlenmesine ilişkin Yönetmelik'te (İş Kanunu'nun 8, 87. Maddeleri) kuruluşun yerel bir kanununda yer almalıdır. Rusya Federasyonu, madde 2, bölüm 1, 27 Temmuz 2006 tarih ve 152-FZ sayılı Federal Kanunun 18.1 maddesi).
Ayrıca, işverenin resmi olarak kişisel verilerle çalışmaktan sorumlu bir çalışanı ataması gerekir (Rusya Federasyonu İş Kanunu'nun 88. Maddesinin 5. Bölümü). Bu, örneğin kişisel dosyalarla etkileşime giren, işleme için çalışanın onayını alan, çalışan kartlarını saklayan vb. bir İK departmanı çalışanı olabilir.
İşverenin kişisel verilerin işlenmesine ilişkin denetimleri Roskomnadzor departmanları tarafından gerçekleştirilmektedir. Rusya Telekom ve Kitle İletişim Bakanlığı'nın 14 Kasım 2011 tarih ve 312 sayılı Emri, Roskomnadzor tarafından devlet kontrolünün (denetim) uygulanmasına yönelik işlevlerin yerine getirilmesine ilişkin İdari Düzenlemeleri onayladı.
İşverenlere hangi sorumluluklar uygulanır?
Çalışanların kişisel verilerinin alınması, işlenmesi, saklanması ve korunması prosedürünün ihlali durumunda disiplin, maddi, idari ve cezai sorumluluk sağlanır (Rusya Federasyonu İş Kanunu'nun 90. Maddesi, Bölüm 1, Federal Kanunun 24. Maddesi). 27 Temmuz 2006 Sayı 152-FZ). Bu sorumluluk türlerinin her birine bakalım.
Disiplin sorumluluğu
İş ilişkileri nedeniyle kişisel verilerle çalışma kurallarına uymak zorunda olan ancak bunları ihlal eden çalışanlar (Rusya Federasyonu İş Kanunu'nun 192. Maddesi), kişisel verilerle çalışırken ihlallerden sorumlu tutulabilir. Yani, örneğin ilgili işin görevlendirildiği İK yöneticisini sorumlu tutabilirsiniz. Kişisel verilerin toplanması, işlenmesi ve saklanmasına ilişkin disiplin suçu için işveren, çalışanını kendisine aşağıdaki cezalardan birini uygulayarak cezalandırabilir (Rusya Federasyonu İş Kanunu'nun 192. Maddesinin 1. Bölümü):
- Yorum;
- azarlamak;
- işten çıkarılma.
Maddi sorumluluk
Kuruluşun kişisel verileriyle çalışma kurallarının ihlaliyle bağlantılı olarak doğrudan fiili zararın ortaya çıkması durumunda çalışanın mali sorumluluğu ortaya çıkabilir (Rusya Federasyonu İş Kanunu'nun 238. Maddesi). İK departmanının sorumlu çalışanının ağır bir ihlalde bulunduğunu varsayalım; çalışanların kişisel verilerini internette dağıttı. Bunu öğrenen işçiler, işverene karşı "yaralı işçilere parasal tazminat ödenmesi - kişi başına 50.000 ruble" kararı veren bir dava açtılar. Böyle bir durumda işveren, suçlu İK departmanı çalışanına ortalama aylık kazanç sınırları dahilinde sınırlı mali sorumluluk getirme olanağına sahiptir (Rusya Federasyonu İş Kanunu'nun 241. Maddesi). Ortaya çıkan zararın telafisi, çalışanın neden olduğu zarar miktarının kesin olarak belirlendiği tarihten itibaren en geç bir ay içinde yöneticinin emriyle gerçekleştirilebilir. Aylık sürenin dolması halinde zararın mahkeme yoluyla karşılanması gerekecektir. Bu prosedür, Rusya Federasyonu İş Kanunu'nun 248. Maddesinde belirtilmiştir.
Ayrıca okuyun Fazla mesai için dinlenme süresi
Tam mali sorumlulukla, çalışanın, kişisel veriler alanındaki ihlallerle bağlantılı olarak ortaya çıkan zararın tamamını kuruluşa tam olarak tazmin etmesi gerekecektir (Rusya Federasyonu İş Kanunu'nun 242 ve 243. Maddeleri). Ancak kural olarak kişisel verilerin işlenmesinden sorumlu çalışanlara tam mali sorumluluk verilmemektedir.
Bir işveren (örneğin ticari bir kuruluş), disiplin ve mali sorumluluğu yalnızca kendi takdirine bağlı olarak uygular. Devlet düzenleyici otoriteleri (Roskomnadzor dahil) bu süreçte yer almamaktadır.
İdari sorumluluk
İşverenin ve yetkililerin kişisel verilerinin toplanması, saklanması, kullanılması veya dağıtılmasına ilişkin prosedürün ihlali durumunda, düzenleyici makamlar aşağıdaki tutarlara varabilecek para cezaları şeklinde idari sorumluluk uygulayabilir:
- yetkililer için (örneğin genel müdür, baş muhasebeci, personel memuru veya bireysel girişimci): 500 ila 1000 ruble;
- bir kuruluş için: 5.000 ila 10.000 ruble.
Resmi veya mesleki görevlerin yerine getirilmesiyle bağlantılı olarak kişisel verileri ifşa eden yetkililere ayrı (bağımsız) para cezası 4.000 ila 5.000 ruble arasında değişmektedir. Bu tür cezalar, Rusya Federasyonu İdari Suçlar Kanunu'nun 13.11 ve 13.14. Maddelerinde açıklanmaktadır.
Cezai sorumluluk
Yasa dışı eylemler nedeniyle yönetici, baş muhasebeci veya şirketin insan kaynakları departmanı başkanı veya kişisel verilerle çalışmaktan sorumlu diğer kişinin cezai sorumluluğu ortaya çıkabilir:
- bir çalışanın kişisel veya aile sırrını oluşturan özel hayatına ilişkin bilgilerin rızası olmadan toplanması veya yayılması;
- çalışan hakkındaki bilgilerin kamuya açık bir konuşmada, kamuya açık olarak sergilenen bir eserde veya medyada yayılması.
Kişisel verilerin işlenmesine ilişkin bu tür ihlaller için aşağıdaki cezai yaptırımlara izin verilmektedir:
- 200.000 rubleye kadar (veya hükümlünün 18 aya kadar olan geliri tutarında) para cezası;
- 360 saate kadar zorunlu çalışma;
- bir yıla kadar ıslah emeği;
- üç yıla kadar bir süre için belirli pozisyonlarda bulunma veya belirli faaliyetlerde bulunma hakkından yoksun bırakılarak veya olmaksızın iki yıla kadar bir süre için zorla çalıştırma;
- dört aya kadar tutuklama;
- üç yıla kadar bir süre boyunca belirli pozisyonlarda bulunma veya belirli faaliyetlerde bulunma hakkından yoksun bırakılarak iki yıla kadar hapis cezası.
Bir kişinin resmi konumunu kullanarak işlediği aynı fiiller daha ağır şekilde cezalandırılır:
- 100.000 ila 300.000 ruble arasında para cezası. (veya hükümlünün bir ila iki yıllık geliri tutarında);
- iki ila beş yıllık bir süre boyunca belirli pozisyonlarda bulunma veya belirli faaliyetlerde bulunma hakkından yoksun bırakma;
- Beş yıla kadar bir süre için belirli pozisyonlarda bulunma veya belirli faaliyetlerde bulunma hakkından yoksun bırakılarak veya verilmeden dört yıla kadar bir süre için zorla çalıştırma;
- dört ila altı ay süreyle tutuklanma;
- beş yıla kadar bir süre boyunca belirli pozisyonlarda bulunma veya belirli faaliyetlerde bulunma hakkından yoksun bırakılarak dört yıla kadar hapis cezası (Rusya Federasyonu Ceza Kanunu'nun 137. Maddesi).
1 Temmuz 2017'den itibaren neler değişecek?
07.02 tarihli Federal Kanun. 2017 Sayılı 13-FZ, kişisel verilerin korunması alanında bir işverene idari sorumluluk getirme gerekçelerinin listesini genişletti ve ayrıca idari para cezalarının miktarını da artırdı. Bu kanun 1 Temmuz 2017 tarihinde yürürlüğe giriyor. Kişisel veriler alanındaki idari sorumluluğun önemli ölçüde sıkılaştırıldığını hemen söyleyelim. Aynı zamanda aşağıdakiler de önemlidir: Rusya Federasyonu İdari Suçlar Kanunu'nun 13.11. Maddesinde açıklanan tek idari sorumluluk türü yerine yedi tane görünecektir. Böylece kişisel veri alanında işverenlerin farklı ihlalleri için farklı cezalar uygulanabilecek. Farklı suçlar için birden fazla ihlal tespit edilmesi halinde, cezaların sayısı da buna göre artabilecek. Yeni suçları daha detaylı açıklayalım.
İhlal 1: kişisel verilerin “diğer” amaçlarla işlenmesi
1 Temmuz 2017'den itibaren, kişisel verilerin kanunda öngörülmeyen hallerde işlenmesi veya kişisel verilerin toplama amaçlarıyla bağdaşmayan kişisel verilerin işlenmesi, bağımsız idari ihlal türleridir (İdari Kanunun 13.11. Maddesinin 1. Bölümü). Rusya Federasyonu'nun suçları). Bir örnek verelim: İşveren bir kuruluş, çalışanların kişisel verilerini toplar ve bu verileri reklam amacıyla üçüncü taraf şirketlere aktarır (tam ad, telefon numaraları, ikamet bölgeleri, gelir düzeyi aktarılır). Daha sonra reklam firmaları çalışanlarına telefon, e-posta ve ev adresleri aracılığıyla çeşitli spam ve reklam teklifleri göndermeye başlıyor. İşverenin bu tür eylemleri suç teşkil etmiyorsa idari sorumluluğa başvurulabilir. 1 Temmuz 2017'den itibaren idari cezalar aşağıdaki gibi olabilir:
- veya uyarı;
- veya para cezası.
İhlal 2: Kişisel verilerin izin alınmadan işlenmesi
Kişisel verilerin işveren tarafından işlenmesi genel kural olarak ancak çalışanların yazılı rızası ile mümkündür. Bu tür bir onay aşağıdaki bilgileri içermelidir (27 Temmuz 2006 tarih ve 152-FZ sayılı Kanunun 9. maddesinin 4. kısmı):
- Çalışanın tam adı, adresi, pasaport bilgileri (kimliğini kanıtlayan diğer belge), belgenin düzenlenme tarihi ve düzenleyen makam hakkındaki bilgiler dahil;
- çalışanın rızasını alan işverenin (operatörün) adı veya tam adı ve adresi;
- kişisel verilerin işlenme amacı;
- işlenmesi için onay verilen kişisel verilerin listesi;
- İşveren adına kişisel verileri işleyen kişinin adı veya tam adı ve adresi, eğer işleme faaliyeti bu kişiye emanet edilecekse;
- rızanın verildiği kişisel verilere ilişkin eylemlerin bir listesi, işverenin kişisel verileri işlemek için kullandığı yöntemlerin genel bir açıklaması;
- federal kanunla aksi belirtilmedikçe, çalışanın rızasının geçerli olduğu süre ve bunun geri çekilme yöntemi;
- çalışan imzası.
1 Temmuz 2017 tarihinden itibaren, çalışanın yazılı izni olmadan veya yazılı rızanın yukarıda belirtilen bilgileri içermemesi durumunda kişisel verilerin işlenmesi, İdari Suçlar Kanunu'nun 13.11. Maddesinin 2. Kısmında öngörülen bağımsız bir idari ihlaldir. Rusya Federasyonu. Bunun için cezalar mümkündür:
İhlal 3: kişisel veri işleme politikasına erişim
Kişisel veri operatörü (örneğin bir işveren veya web sitesi), kişisel verilerin işlenmesine ilişkin politikasını tanımlayan belgeyi, kişisel verilerin korunmasına yönelik uygulanan gereklilikler hakkında bilgi yayınlamak veya başka bir şekilde sınırsız erişim sağlamakla yükümlüdür. İnternette kişisel verileri toplayan operatör (örneğin, bir web sitesi aracılığıyla), kişisel verilerin işlenmesine ilişkin politikasını ve kişisel verilerin korunmasına yönelik uygulanan gereklilikler hakkında bilgileri tanımlayan bir belgeyi İnternette yayınlamakla yükümlüdür. Belirtilen belgeye erişim olanağı sağlar. Bu, 27 Temmuz 2006 tarih ve 152-FZ sayılı Kanunun 18.1 maddesinin 2. paragrafında belirtilmiştir.
Birçok İnternet kullanıcısı uygulamada bu yükümlülüğü yerine getirmekle karşı karşıya kalmaktadır. Yani örneğin web sitelerine herhangi bir başvuru bırakıp tam adınızı ve e-posta adresinizi belirttiğinizde, benzer belgelere giden bağlantılara dikkat edebilirsiniz: “Kişisel Veri İşleme Politikası”, “Kişisel Verilerin İşlenmesine İlişkin Yönetmelik” , vesaire. . Ancak bazı sitelerin bunu ihmal ettiğini ve herhangi bir bağlantı sağlamadığını bilmekte fayda var. Ve bir kişinin siteye bir talep bıraktığı, sitenin kişisel verileri hangi amaçlarla topladığını bilmediği ortaya çıktı.
Bazı işverenler ayrıca web sitelerinde boş pozisyonları gösteriyor ve adayları "Hakkımda" formunu doldurmaya davet ediyor. Bu gibi durumlarda internet sitesinin “Kişisel Verilerin İşlenmesi Politikası”na da erişim sağlaması gerekmektedir.
1 Temmuz 2017'den bu yana, Rusya Federasyonu İdari Suçlar Kanunu'nun 13.11. Maddesinin 3. Bölümü bağımsız bir suç tanımlamıştır - operatörün işleme politikası olan bir belgeyi yayınlama veya bu belgeye sınırsız erişim sağlama yükümlülüğünü yerine getirmemesi kişisel verilerin veya bunların korunmasına ilişkin bilgilerin. Bu madde kapsamındaki sorumluluk bir uyarı veya idari para cezası gibi görünebilir:
İhlal 4: bilgilerin gizlenmesi
Kişisel verilerin konusu (yani bu verilerin ait olduğu kişi), aşağıdakileri içeren bilgiler de dahil olmak üzere kişisel verilerinin işlenmesine ilişkin bilgi alma hakkına sahiptir: (27 Temmuz 2006 Sayılı Kanun'un 14. maddesinin 7. kısmı). 152-FZ):
- operatör tarafından kişisel verilerin işlendiği gerçeğinin teyidi;
- kişisel verilerin işlenmesinin hukuki sebepleri ve amaçları;
- operatör tarafından kullanılan kişisel verilerin işlenme amaçları ve yöntemleri;
- operatörün adı ve yeri, kişisel verilere erişimi olan veya operatörle yapılan bir anlaşmaya göre veya federal yasaya dayanarak kişisel verilerin ifşa edilebileceği kişiler (operatörün çalışanları hariç) hakkında bilgi;
- federal yasa tarafından bu tür verilerin sunumu için farklı bir prosedür öngörülmediği sürece, ilgili kişisel veri konusuyla ilgili işlenmiş kişisel veriler, bunların alındığı kaynak;
- saklanma süreleri de dahil olmak üzere kişisel verilerin işlenmesi şartları;
- bu Federal Yasa tarafından sağlanan hakların kişisel verilerin konusu tarafından kullanılmasına ilişkin prosedür;
- tamamlanmış veya amaçlanan sınır ötesi veri aktarımlarına ilişkin bilgiler;
- İşletmeci adına kişisel verileri işleyen kişinin adı veya soyadı, adı, soyadı ve adresi, eğer işleme işlemi böyle bir kişiye verilmişse veya atanacaksa;
- Federal Yasa veya diğer federal yasalar tarafından sağlanan diğer bilgiler.
Bugün kişisel verilerin korunması sorununu gözlemleyebiliyoruz: bilgilerin işlenmesi ve iletilmesi için her türlü teknik aracın nüfuz etmesine tabidir. Özellikle etkilenenler, mali ve personel muhasebe sistemlerini kullanan özel ve kamu kuruluşlarıdır. 152-FZ sayılı Federal Kanun, kişisel veri operatörleri tarafından otomasyonlu veya otomasyonsuz olarak gerçekleştirilen kişisel verilerin işlenmesine ilişkin hakları korur ve ilişkileri düzenler. Bu kanuna göre kişisel veri, belirli bir kişiye ilişkin her türlü bilgi olabilir. Bu veriler kişinin tam adını, doğum tarihini, ikamet adresini, medeni ve sosyal mülkiyet durumunu, hangi eğitime sahip olduğunu, hangi uzmanlık alanında çalıştığını ve ne kadar gelire sahip olduğunu belirtebilir.
Hangi sorunlarla karşılaşabilirsiniz?
Ülkemiz muhasebe ve personel kayıtları, satış ve CRM süreçlerinde en popüler sistemleri sunmaktadır. Bunlar 1C şirketinin aşağıdaki ürünlerini içerir:
- "1C:Kurumsal";
- "1c muhasebe";
- “1C: maaş ve personel yönetimi”;
- “1C: Bir bütçe kurumunun maaşları ve personeli” ve diğer birçok benzer program.
Dosya veritabanları her kullanıcının kullanımına açıktır, dolayısıyla bilgilerin kopyalanma olasılığı vardır ve bu da kuruluşun 152-FZ sayılı Federal Yasayı ihlal etmesine neden olur. Bu nedenle, hoş olmayan küresel sonuçları önlemek için 1C'deki kişisel verilerin korunması gerekmektedir.
Birçok şirket, SQL sunucusunda saklanan özel bir veritabanına başvuruyor. Bu durumda bir tehlike olduğunu anlamak önemlidir: kişisel veriler harici depolama ortamına kopyalanmaya devam eder ve ardından cep telefonlarına, hafıza kartlarına ve bulut depolamaya aktarılır. Ayrıca çalınan bilgilerin e-posta, Skype ve Telegram aracılığıyla gönderildiği de gözlemleniyor.
Çoğu saldırgan, bilgisayar ekranının ekran görüntülerini alır ve bir ara belleğe alma programı kullanarak verileri 1C'den üçüncü taraf bir dosyaya aktarır. Bu yöntem en yaygın yöntem olarak kabul edilir ve şirket çoğu zaman bu tür kişisel veri hırsızlığından muzdariptir.
Şirketinizi gizli verilerin çalınmasına karşı nasıl korursunuz?
1C'de sızıntıya karşı koruma sağlayan modern bir sistem bulunmaktadır. DeviceLock DLP, belirli bir kullanıcının bilgileri kopyalamasını önlemenin etkili bir yoludur. Program ayrıca panonun çalışmasını da algılar. Sistem ayarları esnek olduğundan programları tek tek seçip kilitleyebilirsiniz.
DeviceLock DLP, belirli kullanıcıların veya çeşitli uygulamaların eylemlerini engelleyen ekran görüntülerini tanımlama ve seçerek engelleme yeteneğine sahiptir. Program seçici olarak belirli dosyalara erişime izin verir ve erişimi reddeder. Şirketin sorumlu kişisi, bilgilerin harici cihazlara kopyalanması veya ağ üzerinden gönderilmesi girişimi hakkında bir bildirim alır. Hoş olmayan sonuçları ortadan kaldırmak için bu benzersiz tekliften yararlanın.
Benzer haber bulunamadı.
Kişisel verileri yetkisiz erişime karşı korumak için özel bir yazılım paketi 1C oluşturuldu: Enterprise 8.3z (ZPK). Güvenli kompleks, güvenlik sınıfı 1'e kadar olan devlet bilgi sistemlerinde ve kişisel veri güvenliği seviyesi 1'e kadar olan bilgi sistemlerinde kullanılabilir.
Güvenli yazılım paketi 1C: Enterprise 8.3z, kişisel verilerin güvenliğini, siparişle onaylanan kişisel veri bilgi sistemlerinde işlenirken kişisel verilerin güvenliğini sağlamak için kurumsal ve teknik önlemlerin bileşimi ve içeriğine uygun olarak düzenlemek için kullanılabilir. 18 Şubat 2013 tarihli Rusya FSTEC'in N 21'i, tüm güvenlik seviyelerindeki kişisel veri bilgi sistemlerinde.
Kompleks 1C: Enterprise 8.3z kullanılabilir:
- Kişisel verilerin işleticisi olan ve kişisel verileri bağımsız olarak işleyen kuruluşlarda
- çeşitli operatörlerin ISPD'sini sürdürmek için hizmet sağlayan kuruluşlarda. ZPK 1C: Kurumsal, sürüm 8.3z
Hem bir tüzel kişilik veya girişimci için hem de bir grup şirket (holding) için bilgi işlerken kullanılabilir.
| Kod | İsim | Tavsiye edilen perakende fiyatı, ovmak. | |
|---|---|---|---|
|
4601546119070 |
Güvenli yazılım paketi "1C: Enterprise 8.3z" (x86-32) |
18 000*
|
Satın almak |
|
4601546119087 |
Güvenli yazılım paketi “1C: Enterprise 8.3z” (x86-64) |
54 000*
|
Satın almak |
| Ek koltuklar için lisanslar | |||
| 4601546080875 | 1C: Enterprise 8. 1 iş istasyonu için istemci lisansı | 6 300 | Satın almak |
| 4601546080882 | 1C: Enterprise 8. 5 iş istasyonu için istemci lisansı | 21 600 | Satın almak |
| 4601546080899 | 1C: Enterprise 8. 10 iş istasyonu için istemci lisansı | 41 400 | Satın almak |
| 4601546080905 | 1C: Enterprise 8. 20 iş istasyonu için istemci lisansı | 78 000 | Satın almak |
| 4601546080912 | 1C: Enterprise 8. 50 iş istasyonu için istemci lisansı | 187 200 | Satın almak |
| 4601546080929 | 1C: Enterprise 8. 100 iş istasyonu için istemci lisansı | 360 000 | Satın almak |
| 4601546080936 | 1C: Enterprise 8. 300 iş istasyonu için istemci lisansı | 1 068 000 | Satın almak |
| 4601546080943 | 1C: Enterprise 8. 500 iş istasyonu için istemci lisansı | 1 776 000 | Satın almak |
