Защита персональных данных при использовании информационно-телекоммуникационных технологий для предоставления государственных и муниципальных услуг
В.Я.Ищейнов, к.т.н., доц. РГГУ
- Система межведомственного электронного взаимодействия
- Ормативная база защиты персональных данных
Федеральным законом №210-ФЗ от 27.07.2010 г. «Об организации предоставления государственных и муниципальных услуг» регулируются отношения, возникающие в связи с предоставлением государственных и муниципальных услуг, соответствующими федеральными органами исполнительной власти, органами государственных внебюджетных фондов, исполнительными органами государственной власти субъектов федерации, а также местными администрациями и иными органами местного самоуправления, осуществляющими исполнительно-распределительные функции.
Предоставление государственных и муниципальных услуг в электронной форме, в том числе взаимодействие органов, предоставляющих государственные услуги, органов, предоставляющих муниципальные услуги, организаций, участвующих в предоставлении государственных и муниципальных услуг или организующих предоставление государственных и муниципальных услуг, и заявителей, осуществляется на базе информационных систем, включая государственные и муниципальные информационные системы, составляющие информационно-технологическую и коммуникационную инфраструктуру.
Правила и порядок информационно-технологического взаимодействия информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме, а также требования к инфраструктуре, обеспечивающей их взаимодействие, устанавливаются правительством Российской Федерации.
Технические стандарты и требования, включая требования к технологической совместимости информационных систем, требования к стандартам и протоколам обмена данными в электронной форме при информационно-технологическом взаимодействии информационных систем, устанавливаются федеральными органами исполнительной власти, осуществляющими функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий.
Органы государственной власти субъекта Российской Федерации и органы местного самоуправления в целях ведения соответствующего реестра государственных услуг субъекта Российской Федерации и реестра муниципальных услуг в электронной форме вправе создавать региональные информационные системы и муниципальные информационные системы.
При создании региональных и муниципальных информационных систем, обеспечивающих ведение соответственно реестров государственных услуг субъектов Российской Федерации и реестров муниципальных услуг, должна быть предусмотрена возможность их интеграции с федеральной государственной информационной системой.
Единый портал государственных и муниципальных услуг является федеральной государственной информационной системой, обеспечивающей предоставление государственных и муниципальных услуг в электронной форме и доступ заявителей к сведениям о государственных и муниципальных услугах, предназначенных для распространения с использованием информационно-телекоммуникационной сети «Интернет» и размещенным в государственных и муниципальных информационных системах, обеспечивающих ведение соответственно реестров государственных и муниципальных услуг.
Таким образом в соответствии с федеральным законом №210-ФЗ государственные и муниципальные органы власти при предоставлении государственных услуг не имеют право требовать с обратившихся к ним граждан или юридических лиц документы, которые они могут получить самостоятельно из других ведомств.
Для обмена документами создана система межведомственного электронного взаимодействия (СМЭВ), которую начали применять федеральные и региональные ведомства с 1 июля 2012 года.
Что касается защиты персональных данных в СМЭВ, то дело обстоит следующим образом.
Проникновение информационных технологий в нашу жизнь вызывает пристальный интерес к защите информационного взаимодействия. Зачастую этот интерес академический или подогреваемый СМИ,
Считается, что: «…действительно, для значительного числа государственных услуг, предоставляемых в электронном виде, вполне достаточно простой идентификации гражданина. С точки зрения значительного количества граждан, не представляет особого интереса и защита персональных данных, так как они «уже давно украдены». Если интерес к защите в этой области и есть, то его можно считать не оформившимся в личный интерес. А значит общественное мнение не возражает против того, чтобы защищались эти коммуникации формально».
Существует и другая точка зрения: «…несмотря на то, что законодательство в этой сфере (защите персональных данных) принято, серьезных штрафных санкций к операторам персональных данных, действенного механизма привлечения их к административной ответственности сегодня нет. Поэтому подготовлен целый комплекс нормативных актов, который позволит структуре, ответственной за контроль в этой сфере – это Роскомнадзор, дать дополнительные полномочия в части привлечения к ответственности.
Сегодня эта процедура растягивается на много этапов: Роскомнадзор делает предварительную проверку, передает ее в прокуратуру, потом этап суда. За это время зачастую мы уже выходим за срок исковой давности. Мы хотим эту процедуру максимально ужесточить, тем самым показать все тем, кто обрабатывает персональные данные (а это около 300 тысяч различных юридических лиц в нашей стране), что в нашей стране информация, особенно персональные данные населения, - это большая ответственность, в том числе финансовая.
И пока этот механизм не заработает, конечно, отношение будет соответствующее. Такие поправки на нормативный акт уже подготовлены. Мы рассчитываем на их скорейшее принятие».
В федеральном законе № 210-ФЗ, ст.7, п.5 указывается лишь обязанность в соблюдении конфиденциальности, ставшей известной в связи с осуществлением деятельности при предоставлении государственных и муниципальных услуг, информации, которая связана с правами и законными интересами заявителя или третьих лиц.
Необходимо отметить, что формализация процесса работы с персональными данными информационной системы является важным этапом в СМЭВ. Обязательно должны быть решены вопросы безопасности, в частности, - процедура проверки полномочий; защита от записи или удаления ключевых объектов конфигурации системы; унифицированные методы доступа к данным; пакетная обработка для повышения скорости доступа; эффективная система идентификации.
Однако для автоматизации процедур выполнения требований к процессам обработки и защиты персональных данных – это учет активов, разработка моделей угроз, обучение и организация разрешительной системы доступа, контроль эффективности системы, необходимо обеспечить:
- межведомственное электронное взаимодействие по любым каналам связи в режимах онлайн и оффлайн;
- мониторинг состояния сервисов (изменение форматов, доступности и т.п.);
- быстрое подключение ведомств с различным уровнем готовности IT;
- юридическую значимость межведомственного документооборота;
- взаимодействие с единым порталом государственных и муниципальных услуг;
- организационную и юридическую поддержку.
Вывод. Разработка и оптимизация моделей угроз персональных данных, квалифицированный выбор средств защиты и автоматизация процесса обработки персональных данных, позволит обеспечить их информационную защиту.