Юридический словарь / Угрозы безопасности персональных данных

Что такое «Угрозы безопасности персональных данных»?

Определение термина Угрозы безопасности персональных данных: признаки, характеристики, виды и классификации, история и использование термина в Юридическом словаре портала «Мой Юрист».

Это условия и факторы, создающие опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иные неправомерные действия (согласно положениям Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных»)

Нужна помощь юриста? Получить помощь

Признаки / Существенные характеристики

Источник угрозы: может быть как внешним (хакеры, вредоносные программы), так и внутренним (сотрудники организации, имеющие доступ к данным).

Способ реализации: включает различные методы — от фишинга и социальной инженерии до эксплуатации уязвимостей в ПО.

Объект воздействия: персональные данные в любой форме (электронные базы данных, бумажные носители и т. д.).

Последствия: могут варьироваться от утечки данных до их полного уничтожения, включая неправомерное использование.

Вероятность возникновения: зависит от уровня защищённости информационной системы, актуальности применяемых мер защиты.

Масштаб потенциального ущерба: определяется объёмом и чувствительностью обрабатываемых персональных данных.

Виды / Классификация термина «Угрозы безопасности персональных данных»

По источнику возникновения:

Внешние угрозы — исходят от лиц и систем, не входящих в организацию (кибератаки, фишинговые рассылки).
Внутренние угрозы — связаны с действиями сотрудников или подрядчиков (умышленная утечка, случайное раскрытие данных).

По способу воздействия:

Технические угрозы — реализуются с помощью программных и аппаратных средств (вредоносное ПО, DDoS‑атаки).
Нетехнические угрозы — основаны на социальных методах (социальная инженерия, подкуп).

По степени преднамеренности:

Преднамеренные угрозы — целенаправленные действия для получения доступа к данным (кража учётных данных).
Непреднамеренные угрозы — возникают из‑за ошибок или халатности (случайное удаление данных, отправка информации не тому адресату).

По уровню доступа:

Угрозы на уровне пользователя — связаны с действиями авторизованных пользователей.
Угрозы на уровне системы — затрагивают инфраструктуру и механизмы защиты (взлом сервера).

Законодательство

Федеральный закон от 27.07.2006 № 152‑ФЗ «О персональных данных» (регулирует общие требования к защите персональных данных, определяет понятие угроз).

Федеральный закон от 27.07.2006 № 149‑ФЗ «Об информации, информационных технологиях и о защите информации» (устанавливает общие принципы защиты информации).

Приказы ФСТЭК России (например, Приказ ФСТЭК России от 18.02.2013 № 21) — определяют состав и содержание организационных и технических мер по обеспечению безопасности персональных данных.

Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» — устанавливает уровни защищённости и требования к мерам защиты.

Связанные термины

Персональные данные — информация, относящаяся к прямо или косвенно определённому физическому лицу.

Информационная безопасность — состояние защищённости информации и систем её обработки.

Утечка данных — несанкционированное распространение персональных данных.

Киберугроза — угроза, связанная с использованием информационных технологий для неправомерного доступа.

Меры защиты информации — действия и средства, направленные на предотвращение угроз безопасности данных.

Другие определения термина «Угрозы безопасности персональных данных»

Иностранное право: в GDPR (Общий регламент по защите данных ЕС) угрозы безопасности данных рассматриваются в контексте обязательств контролёров и процессоров данных по обеспечению адекватной защиты (ст. 32 GDPR).

Доктринальное определение: в научной литературе угрозы безопасности персональных данных часто определяются как совокупность условий и факторов, создающих риск нарушения конфиденциальности, целостности и доступности данных (в т. ч. в трудах по информационной безопасности и киберправу).

История термина «Угрозы безопасности персональных данных»

Термин «угроза» происходит от древнерусского слова, обозначающего «обещание причинить вред». В контексте информационной безопасности понятие угроз стало активно развиваться с появлением компьютерных сетей и цифровых данных.

Эволюция понятия:

До 1990‑х гг.: угрозы касались в основном физической защиты документов и информации.
1990‑е — 2000‑е гг.: с развитием интернета появились киберугрозы, связанные с несанкционированным доступом.
2000‑е — 2010‑е гг.: рост числа утечек данных, развитие законодательства о защите персональных данных (в т. ч. ФЗ‑152).
Современность: угрозы становятся всё более сложными (фишинг, APT‑атаки), требуется комплексный подход к защите данных.

Английский язык

Threats to personal data security — общий термин, обозначающий любые угрозы безопасности персональных данных.

Data breach risks — риски утечки данных, акцент на несанкционированном раскрытии.

Cyber threats to personal data — киберугрозы в отношении персональных данных, подчёркивает цифровой характер угроз.

Пример: The company identified several threats to personal data security, including phishing attacks and unauthorized access attempts.

Мнение эксперта / Спорные вопросы

Спорные вопросы:

Квалификация действий при случайном раскрытии данных: не всегда ясно, является ли это угрозой или следствием недостаточных мер защиты.
Баланс между защитой данных и удобством использования: строгие меры защиты могут усложнить работу пользователей, что приводит к поиску компромиссов.
Ответственность за угрозы, исходящие от третьих лиц: вопрос о том, кто несёт ответственность, если угроза реализована через подрядчика или облачного провайдера.
Оценка вероятности угроз: разные методики оценки (количественные и качественные) могут давать разные результаты, что влияет на выбор мер защиты.

Частые вопросы

Угрозы безопасности персональных данных это:
Это условия и факторы, создающие опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иные неправомерные действия (согласно положениям Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных»)

Используется в сфере защиты персональных данных, в законодательстве (в т. ч. в ФЗ «О персональных данных» № 152‑ФЗ), в нормативных актах регуляторов (например, ФСТЭК, ФСБ), в корпоративных политиках информационной безопасности, при оценке рисков и аудите ИТ‑систем, обрабатывающих персональные данные.

Потенциальные действия или условия, которые могут привести к неправомерному доступу, уничтожению, изменению, блокированию, копированию, распространению персональных данных либо к иным неправомерным действиям с ними.

Применяется при: анализе защищённости информационных систем; разработке мер защиты персональных данных; составлении моделей угроз; проведении проверок регуляторами; расследовании инцидентов утечки данных; планировании мероприятий по ИБ; подготовке отчётности по защите данных.

Отличается от общих угроз ИБ узкой направленностью — касается только персональных данных. В отличие от, например, угроз целостности данных вообще, здесь акцент на соблюдении законодательства о персональных данных и защите прав субъектов данных; имеет специальную классификацию и методики оценки (в т. ч. по требованиям ФСТЭК).

Важно для соблюдения законодательства (избежания штрафов и санкций), защиты прав субъектов персональных данных, предотвращения репутационных и финансовых потерь организации, корректного выбора мер защиты, обоснования затрат на ИБ, успешного прохождения проверок регуляторов.