Москва, 25 января 2010 г. Национальная ассоциация негосударственных пенсионных фондов (НАПФ) и LETA IT-company – один из лидеров рынка информационной безопасности в России – объявляют о завершении разработки отраслевого стандарта защиты персональных данных (ПДн) для негосударственных пенсионных фондов (НПФ).

По завершении процедуры согласования с регуляторами он станет основой проектов по созданию систем защиты ПДн (СЗПДн) в НПФ.
Применение данного стандарта ускорит выполнение и снизит стоимость проектов, уменьшит риск ошибок и длительных циклов их исправления, позволит НПФ эффективнее взаимодействовать с исполнителями и регуляторами, а также упростит работу надзорных органов. Более того, стандарт можно будет применять при реализации и контроле исполнения норм законодательства в масштабах всего рынка пенсионного страхования России.

Инициатором создания стандарта выступила Национальная ассоциация негосударственных пенсионных фондов,  представляющая основных игроков отрасли негосударственного пенсионного обеспечения страны. Разработку провела LETA IT-company – одна из ведущих компаний в области защиты персональных данных и информационной безопасности.

Необходимость отраслевого стандарта защиты ПДн обусловлена рядом особенностей рынка пенсионного страхования. Так, деятельность НПФ предусматривает получение, обработку и хранение в информационных системах больших объемов персональных данных физических лиц. При этом информационные системы НПФ, как правило, имеют территориально-распределенный характер, а обрабатываемые ПДн относятся к различным категориям, вплоть до высшей. Все это значительно повышает организационно-технические требования к системам защиты персональных данных в НПФ.

Стандарт предлагает целостный подход к созданию и управлению персональными данными  и отвечает требованиям действующей нормативно-правовой базы. В ходе работы над ним решена масштабная задача: создан пакет нормативно-правовой документации по защите ПДн для всей вертикали негосударственных пенсионных фондов-членов НАПФ. При этом детализация и методическая выверенность документов, наличие готовых шаблонов и всей необходимой справочной информации позволяют непосредственно использовать пакет в реальных проектах.

Стандарт регламентирует порядок, правила и методику создания и аттестации систем защиты персональных данных в НПФ, причем документы охватывают все стадии обработки и защиты ПДн, включая этапы планирования, реализации, контроля и корректировки соответствующих мероприятий. Также даны детальные рекомендации по всему спектру вопросов создания СЗПДн – от разъяснения принципов защиты ПДн,  выявления, описания и классификации информационных систем персональных данных до применения конкретных методов обеспечения безопасности в ИСПДн различных классов. Стандарт охватывает все составляющие СЗПДн: физическая защита и контроль физического доступа; назначение и распределение ролей, обязанностей и полномочий; управление доступом в ИСПДн; организация антивирусной защиты, межсетевого экранирования; применение криптографических средств; обнаружение атак и вторжений; мониторинг и регистрация действий пользователей, контроль работы в Интернет; резервное копирование ПО и информации, содержащей персональные данные; учет, контроль обращения и уничтожение носителей информации и мобильных устройств и др. 

Особо следует отметить, что в рамках проекта была разработана оригинальная методика составления модели угроз и определения актуальных угроз безопасности персональных данных при их обработке в информационных системах негосударственного пенсионного фонда. Также создана базовая модель угроз безопасности персональных данных при их обработке в ИСПДн.

«Сложившаяся на рынке практика приведения информационных систем обработки персональных данных в соответствие с требованиями №152-ФЗ  показала всю сложность выполнения положений нормативно-правовой базы. Различие методических подходов и существование множества альтернатив при реализации одних и тех же требований нередко приводит к тому, что в компаниях одной сферы деятельности сходные проекты дают совершенно разные результаты. Такая “разноголосица” при реализации российскими негосударственными пенсионными фондами общего для всех свода требований не только нарушила бы внутренние взаимосвязи организации, но и могла стать дестабилизирующим фактором для всего рынка негосударственного пенсионного обеспечения, затруднить выполнение требований по защите ПДн среди НПФ, осложнить общий ход выполнения законодательных требований по защите ПДн  в масштабах страны, – говорит Константин Угрюмов, президент Национальной ассоциации негосударственных пенсионных фондов. – Отраслевой стандарт по защите персональных данных сделан именно для того, чтобы снять все эти риски и получить методологически и содержательно качественный продукт. Участие в разработке экспертов НАПФ и  LETA IT-company гарантирует соответствие этого документа реалиям российского  рынка».

«Высокие требования к защите персональных данных в пенсионных фондах – не прихоть регулятора, а объективная необходимость, обусловленная характером и объемами информации, которой оперируют современные НПФ. Было бы чрезвычайно расточительно, чтобы каждый фонд “с нуля” решал задачу защиты ПДн, не учитывая сходства бизнес-процессов и типизации крупных организационно-технических блоков решения, –  говорит Андрей Конусов, генеральный директор LETA IT-company. – Естественно, отраслевой стандарт защиты ПДн максимально использует эти возможности.  Логично, что эту работу инициировала Ассоциация, объединяющая всю отрасль негосударственного пенсионного обслуживания. Участие в разработке этого стандарта, важного и для НПФ, и для всего населения страны – большая честь для нашей компании. Мы вложили в эту работу методические наработки, знания и опыт множества реальных проектов по защите ПДн в НПФ и других отраслях. Уверен, что созданный пакет документации позволит российским НПФ резко снизить риски на пути внедрения систем защиты, отвечающих требованиям Российского законодательства».