Как сделать так, чтобы сотрудники бережно относились к информации, к которой они имеют доступ в силу выполнения своих должностных обязанностей? Каковы наиболее эффективные пути повышения ответственности за сохранность информационных ресурсов? Как не допустить инсайдерской утечки информации? И что делать в том случае, если утечка персональных данных из компании все же произошла, но не из-за злого умысла или халатности сотрудника, а просто от незнания элементарных вещей. Например того, что же включает в себя понятие «персональные данные»?
Чаще всего мы пытаемся найти ответы именно на эти вопросы. «Неужели, если я сообщил кому-то всего лишь фамилию, имя, отчество и адрес клиента, можно считать, что я разгласил информацию персонального характера? Здесь же нет каких-то особенных сведений…». Однако такое непонимание сути вопроса и приводит к тому, что, к сожалению, именно собственные сотрудники компаний просто по незнанию становятся прекрасным источником информации для конкурентов. Что уж говорить, если такой работник будет отвечать в компании за организацию работы с персональными данными в целом? А это случается сплошь и рядом.
К тому же надо помнить, что как «незнание закона не освобождает от ответственности», так и незнание основных принципов работы с персональными данными, обязанностей оператора персональных данных и прав субъектов персональных данных не будет служить оправданием в случае, если жалоба клиента обернется судебным разбирательством.
Вот почему почти во всех европейских странах обучение стало одним из приоритетных направлений в деятельности органов, отвечающих за контроль и надзор в сфере персональных данных. Причем чаще всего самыми активными инициаторами проведения всевозможных курсов, семинаров являются именно профессиональные ассоциации, представляющие интересы организаций различных сфер деятельности.
Именно с целью повышения образовательного уровня сотрудников организаций, являющихся операторами персональных данных согласно Федеральному закону от 27 июля 2006 года № 152-ФЗ «О персональных данных», в Московском техническом университете связи и информатики (МТУСИ) было открыто обучение по курсу «Организация работы с персональными данными». Программа курса разработана специалистами вуза совместно с ЗАО «РНТ» и ООО «ИнфоТехноПроект» при участии Межрегиональной общественной организации «Ассоциация защиты информации». Она также согласована с Министерством связи и массовых коммуникаций Российской Федерации, Федеральным агентством связи России, ФСБ России, ФСТЭК России.
«Слушатели курсов не просто получат определенный объем знаний и навыков, необходимых им для осуществления своей деятельности в рамках выполнения требований законодательства о персональных данных, — говорит один из разработчиков программы — генеральный директор компании «ИнфоТехноПроект» Елена Голованова. — По окончании обучения у них появится четкое представление о возможных на сегодняшний день процедурах страхования информационных рисков как одного из способов возмещения материального ущерба в связи с нарушением конфиденциальности информации. Для них уже не будет «тайной за семью печатями» процедура прохождения проверки контрольно-надзорных органов в сфере персональных данных: о чем спросит проверяющий, каковы возможные сценарии проведения проверки? Это неизбежное мероприятие волнует почти каждую организацию, и если заранее быть к нему готовыми, то оно не станет «стрессом» ни для руководства компании, ни для её рядовых сотрудников».
Кроме того, при разработке курса прежде всего учитывается практический результат – как составить уведомление об обработке персональных данных, определить категорию обрабатываемых персональных данных, провести классификацию информационной системы, оценить актуальность угроз безопасности… Наверное, эти навыки сегодня являются приоритетными для любого специалиста, отвечающего в компании за организацию работы с персональными данными сотрудников и клиентов.
|
