ГОСТ Р ИСО/МЭК 29100-2013

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационная технология

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Основы обеспечения приватности

Information technology - Security techniques - Privacy framework

ОКС 35.040

Дата введения 2015-01-01

Предисловие

1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью "Научно-производственная фирма "Кристалл" (ООО "НПФ "Кристалл") и Обществом с ограниченной ответственностью "Информационный аналитический вычислительный центр" (ООО "ИАВЦ") на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 22 "Информационные технологии"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ приказом Федерального агентства по техническому регулированию и метрологии от "08" ноября 2013 N 1539-ст

4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 29100:2011* "Информационная технология. Методы и средства обеспечения безопасности. Основы обеспечения приватности" (ISO/IEC 29100:2011 "Information technology - Security techniques - Privacy framework", IDT).

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.

Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2012 (пункт 3.5)

5 ВВЕДЕН ВПЕРВЫЕ

6 ПЕРЕИЗДАНИЕ. Январь 2019 г.

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Настоящий стандарт предоставляет высокоуровневую структуру для защиты персональной идентификационной информации (ПИИ) в пределах системы информационно-коммуникационной технологии (ИКТ). Он является общим по своему характеру, определяет место организационных, технических и процедурных аспектов в общей структуре обеспечения приватности.

Структура обеспечения приватности предназначена для содействия организациям в определении требований к связанным с ПИИ мерам защиты приватности в среде ИКТ посредством:

- продвижения общей терминологии, связанной с обеспечением приватности;

- определения субъектов и их ролей при обработке ПИИ;

- описания требований к мерам защиты приватности;

- ссылки на известные принципы обеспечения приватности.

В некоторых странах ссылки настоящего стандарта на требования к мерам защиты приватности могут расцениваться как дополнение к законодательным требованиям защиты ПИИ. Из-за растущего ИКТ числа информационно-коммуникационных технологий, которые обрабатывают ПИИ, важно применять международные стандарты по информационной безопасности, которые обеспечивают общее понимание защиты ПИИ. Настоящий стандарт предназначен для улучшения существующих стандартов безопасности посредством сосредоточения значительного внимания на обработке ПИИ.

Увеличение коммерческого использования и ценности ПИИ, совместного использования ПИИ разными странами, а также растущая сложность систем ИКТ могут усложнить для организации обеспечение приватности и достижение соответствия различным законам. Лица, заинтересованные в обеспечении приватности, могут предотвратить возникновение неуверенности и недоверия посредством надлежащего обращения с приватной информацией, а также избегая случаев неправильного использования ПИИ.

Использование настоящего стандарта призвано:

- содействовать проектированию, реализации, эксплуатации и поддержке систем ИКТ, которые обрабатывают ПИИ и обеспечивают её защиту;

- стимулировать инновационные решения, позволяющие обеспечивать защиту ПИИ в системах ИКТ;

- совершенствовать корпоративные программы обеспечения приватности благодаря использованию лучших практических приемов.

Структура обеспечения приватности, представленная в настоящем стандарте, может служить основой для дополнительных инициатив по стандартизации обеспечения приватности, таких как:

- техническая эталонная архитектура;

- реализация и использование конкретных технологий обеспечения приватности и общего менеджмента приватности;

- меры и средства контроля и управления приватностью для процессов обработки данных в рамках аутсорсинга;

- оценка рисков приватности;

- определенные технические спецификации.

Некоторые страны могут потребовать соответствия с одним или более документами, на которые имеются ссылки в постоянно действующем документе 2 РГ 5 ИСО/МЭК СТК 1/ПК 27 "Библиографический список официальных документов по приватности" [ISO/IEC JTC 1/SC 27 WG 5 "Standing Document 2 (WG 5 SD2) - Official Privacy Documents References"] [3], или с другими соответствующими законами и нормативными документами, но настоящий стандарт не предназначен служить примером ни глобальной модели стратегии, ни законодательной основы.

ИСО/МЭК 29100 подготовлен совместным техническим комитетом ИСО/МЭК СТК 1 "Информационная технология", Подкомитетом ПК 27 "Методы и средства обеспечения безопасности".

     1 Область применения

В настоящем стандарте представлена структура обеспечения приватности, которая:

- устанавливает общую терминологию приватности;

- определяет субъектов и их роли в обработке персональной идентификационной информации (ПИИ);

- описывает соображения, касающиеся мер защиты приватности;

- предоставляет ссылки на известные принципы обеспечения приватности.

Настоящий стандарт предназначен для физических лиц и организаций, вовлеченных в определение особенностей, приобретение, моделирование, проектирование, создание, тестирование, обслуживание, управление и функционирование системы информационно-коммуникационных технологий (ИКТ) или услуги, где для обработки ПИИ требуются меры и средства контроля и управления приватностью.

     2 Термины и определения

Для целей данного документа применяются следующие термины и определения:

Примечание - В целях упрощения использования семейства международных стандартов ИСО/МЭК 27000 в специфическом контексте приватности и интеграции понятий приватности в контексте ИСО/МЭК 27000, в таблице, приведенной в Приложении А, представлены понятия ИСО/МЭК 27000, соответствующие понятиям ИСО/МЭК 29100, используемым в настоящем стандарте.

2.1 анонимность (anonymity): Свойство информации, не позволяющее прямо или косвенно определить обладателя ПИИ.

2.2 обезличивание (anonymization): Процесс, посредством которого ПИИ изменяется так, что обладатель ПИИ не может быть опознан прямо или косвенно ни самим оператором ПИИ, ни в сотрудничестве с любой другой стороной.

2.3 обезличенные данные (anonymized data): Данные, которые были получены в результате процесса обезличивания ПИИ.

2.4 согласие (consent): Добровольное, конкретное и осознанное разрешение, данное обладателем ПИИ на обработку его ПИИ.

2.5 идентифицируемость (identifiability): Условие, результатом которого является прямая или косвенная идентификация обладателя ПИИ на основе данного набора ПИИ.

2.6 идентифицировать (identify): Устанавливать связь между обладателем ПИИ и ПИИ или набором ПИИ.

2.7 идентификационные данные (identity data): Набор атрибутов, которые позволяют идентифицировать обладателя ПИИ.

2.8 согласие на обработку (opt-in): Процесс или тип политики, посредством которой обладатель ПИИ обязан предпринять действие, чтобы выразить определенное, ясное и заблаговременное согласие на обработку его ПИИ для конкретной цели.

Примечание - Другим термином, часто используемым в отношении принципа приватности "согласие и выбор", является термин "запрет на обработку". С его помощью описывается процесс или тип политики, посредством которой обладатель ПИИ обязан предпринять отдельное действие, чтобы отказать или отозвать согласие либо воспрепятствовать осуществлению определенного вида обработки его ПИИ. Использование политики отказа от обработки предполагает, что оператор ПИИ обладает правом обработки ПИИ назначенным образом. Под этим правом может подразумеваться некое действие обладателя ПИИ, отличающееся от согласия (Например, размещение заказа в онлайновом магазине).

2.9 персональная идентификационная информация; ПИИ (personally identifiable information, PII): Любая информация: (a) которая может использоваться для идентификации обладателя ПИИ, которому такая информация принадлежит; (b) которая прямо или косвенно уже связана или может быть связана с обладателем ПИИ.

Примечание - Для того чтобы определить, является ли обладатель ПИИ идентифицируемым, следует учесть все средства, которые могут быть корректно использованы лицом, заинтересованным в обеспечении приватности, владеющим данными, или любой другой стороной для идентификации этого физического лица.

2.10 оператор ПИИ (PII controller): Лицо, заинтересованное в обеспечении приватности (или лица, заинтересованные в обеспечении приватности), которое определяет цели и способы обработки ПИИ, в отличие от физических лиц, использующих данные в личных целях.

Примечание - Оператор ПИИ может давать указания другим (например, третьей стороне) по обработке ПИИ от своего лица, в то время как ответственность за обработку остается на операторе ПИИ.

2.11 обладатель ПИИ (Pll principal): Физическое лицо, к которому относится ПИИ.

Примечание - В зависимости от страны и конкретного закона в области защиты данных и обеспечения приватности синоним "субъект данных" может быть также использован вместо термина "обладатель ПИИ".

2.12 обработчик ПИИ (Pll processor): Лицо, заинтересованное в обеспечении приватности, которое обрабатывает ПИИ от имени и в соответствии с инструкциями оператора ПИИ.

2.13 нарушение приватности (privacy breach): Ситуация, когда ПИИ обрабатывается в нарушение одного или более соответствующих требований защиты приватности.

2.14 меры и средства контроля и управления приватностью (privacy controls): Меры, которые обрабатывают риски путем снижения их вероятности или их последствий.

Примечания

1 Меры и средства контроля и управления приватностью включают организационные, физические и технические меры, например, политики, процедуры, рекомендации, законные контракты, практики менеджмента или организационные структуры.

2 Мера и средство контроля и управления приватностью также применяется как синоним защитных мер или контрмер.

2.15 технология, улучшающая обеспечение приватности (privacy enhancing technology, PET): Мера и средство контроля и управления приватностью, состоящая из мер, продуктов или сервисов системы ИКТ, которые обеспечивают защиту приватности путем уничтожения или сокращения объема ПИИ или предотвращения ненужной и (или) нежелательной обработки ПИИ без потери функциональности системы ИКТ.

Примечания

1 Примерами использования технологии, улучшающей обеспечение приватности, являются средства обезличивания и псевдонимизации, которые устраняют, уменьшают, маскируют или обезличивают ПИИ либо предотвращают ненужную, несанкционированную и (или) нежелательную обработку ПИИ, но не ограничиваются ими.

2 Маскирование является процессом, результатом которого является затруднение понимания ПИИ.

2.16 политика приватности (privacy policy): Общее намерение и направление деятельности, правила и обязательства, формально выраженные оператором ПИИ, касающиеся обработки ПИИ в определенной области.

2.17 предпочтительные способы обеспечения приватности (privacy preferences): Конкретный выбор, сделанный обладателем ПИИ в отношении того, как должна быть обработана для определенной цели его ПИИ.

2.18 принципы обеспечения приватности (privacy principles): Совокупность утверждений, направленных на управление обеспечением приватности ПИИ при ее обработке в системах ИКТ.

2.19 риск обеспечения приватности (privacy risk): Влияние неопределенности на приватность.

Примечания

1 В Руководстве 73 ИСО и ИСО 31000 риск определяется как "влияние неопределенности на цели".

2 Неопределенность - это состояние, даже частичное, отсутствия информации, касающейся понимания или знания о событии, его последствиях или вероятности.

2.20 оценка риска обеспечения приватности (privacy risk assessment): Общий процесс идентификации, анализа и оценивания риска в отношении обработки ПИИ.

Примечание - Этот процесс известен также как оценка влияния на приватность.

2.21 требования к мерам защиты приватности (privacy safeguarding requirements): Набор требований, которые организация должна учитывать при обработке ПИИ в части защиты приватности ПИИ.

2.22 лицо, заинтересованное в обеспечении приватности (privacy stakeholder): Физическое или юридическое лицо, орган государственной власти, агентство или какая-либо другая организация, которые могут влиять, подвергаться влиянию или испытывать на себе влияние решения или деятельности, связанной с обработкой ПИИ.

2.23 обработка ПИИ (processing of PII): Любая операция или совокупность операций, выполняемых в отношении ПИИ.

Примечание - Примеры операций включают (но не ограничиваются этим) сбор, хранение, изменение, восстановление, опрос, разглашение, обезличивание, псевдонимизацию, распространение или иное предоставление, удаление или уничтожение ПИИ.