Безопасная обработка данных: рекомендации Роскомнадзора

Обработка персональных данных сегодня требует повышенного внимания. Роскомнадзор подготовил рекомендации, которые помогут компаниям защитить данные своих сотрудников и клиентов.

• Собирайте и храните меньше персональных данных. Используйте только ту информацию, которая необходима вашей компании для выполнения конкретных задач. Не копите данные «на всякий случай»: это повышает риск утечки информации. Персональные данные нужно удалять сразу после того, как цель их обработки будет достигнута (например, после оказания услуги).
• Распределяйте информацию по разным базам данных. Группируйте персональные данные клиентов, работников, соискателей и храните их отдельно друг от друга. Благодаря этому управлять данными и защищать их от посторонних станет проще.
• Храните данные пользователей и информацию об их связи с вашей компанией по отдельности. Идентификаторы, которые могут указать на конкретного человека (ф. и. о., email, телефон, адрес), и сведения о его взаимодействии с организацией (оплаченные товары и услуги, подписанные договоры) должны храниться в разных базах данных. Для связи двух баз используйте синтетические идентификаторы и храните их отдельно. Благодаря этому злоумышленники не смогут похитить информацию о клиенте, даже если они получат доступ к одной базе данных.
• Применяйте технологии, которые помогут защитить персональные данные: шифрование, многофакторную аутентификацию, мониторинг доступа. При этом помните, что вы несёте ответственность за безопасность данных, даже если их обрабатывают третьи лица.
• Сообщайте Роскомнадзору о нарушениях и утечке персональных данных. 
• Контролируйте доступ к серверам. Доступ к серверам и хранилищам данных должны иметь только уполномоченные сотрудники, которые прошли авторизацию.
• Назначьте сотрудника, ответственного за защиту персональных данных, и разработайте внутренние правила по работе с персональными данными. Выберите работника, который будет внедрять меры для защиты информации, обучать других сотрудников соблюдению политики безопасности и реагировать на любые проблемы, связанные с персональными данными.