LINUX.ORG.RU
ФорумTalks

[HRMS] Вопрос по соблюдению ФЗ-152 «О персональных данных»


0

0

Тут отвечая на вопрос в топике "Если бы существовал MS-DOS Server, Вы бы ...", мне подумалось вот что, а существует ли программное обеспечение, которое может управлять персоналом не только в рамках тех функций, которые обеспечивает «Human Resource Management System(HRMS)», а ещё, чтобы не системный администратор создавал и управлял пользователями, назначал пароли и разрешал/запрещал/ограничивал им доступ в интернет к документам в локальной сети, базам данным и прочее...

А делал бы это кадровик или сотрудник, который выполняет его функции, потому что по хорошему, если вдуматься, то обеспечением сохранности персональных данных, должен заниматься ответственный за это человек, а никак системный администратор.

Потому что, как мне кажется, в прямые обязанности системного администратора не входит ответственность следить за тем, как сотрудники компании нарушают федеральный закон №152-ФЗ «О персональных данных». Все же, как мне думается, за соблюдением этого закона должен следить как минимум отдел кадров на среднем предприятии, на малом — директор или его заместитель, а на крупном департамент Управления персоналом или Служба безопасности.

★★

по-хорошему читай должностную инструкцию при приёме на работу. А ещё менеджер и должен разработать кто, что и куда вводит и кто за это ответственный.

dimon555 ★★★★★
()

по хорошему с какого перепугу этим стал заниматься отдел кадров? Потому что админ решил, что он за это не отвечает? Или потому что у кого то на предприятии не разработана должностная инструкция?

saibogo ★★★★
()
Ответ на: комментарий от saibogo

> по хорошему с какого перепугу этим стал заниматься отдел кадров?

Вы знаете только что созванивался с юристом, которые занимается такими проблемами, так он сказал, что сейчас на предприятии должно быть разработано положении «О защите персональных данных» и как правило обязанности сейчас накладываются на отдел кадров. Ну, никак на системного администратора, у которого порой-то и образование бывает ниже среднего ;-)))

rjaan ★★
() автор топика

> <...> чтобы не системный администратор создавал и управлял пользователями, назначал пароли и разрешал/запрещал/ограничивал им доступ в интернет к документам в локальной сети, базам данным и прочее...

ЗамечТательно! А ещё мы системному администратору и логиниться на сервера с персональными данными запретим и бекапы ему делать не дадим. Может его вообще уволить, во-избежание?

Deleted
()
Ответ на: комментарий от Deleted

Есть доступ — есть проблема.

ЗамечТательно! А ещё мы системному администратору и логиниться на сервера с персональными данными запретим и бекапы ему делать не дадим. Может его вообще уволить, во-избежание?

А почему бы и нет? Грамотно настроенная система не нуждается в обслуживании постоянно, только эпизодически, о чём могут приходить сообщения по электронной почте. Бэкапы, ротация логов, мониторинг заполнения файловых систем, температуры НЖМД и микросхем могут делаться и без администратора. Если что-то сломалось или собирается сломаться начальник службы безопасности выдаёт админу пароль. Что кстати не отменяет использования камер наблюдения на рабочем месте админа (одна на экран, одна на клавиатуру). Было бы желание, а возможность работать почти без админа найдётся.

Camel ★★★★★
()
Ответ на: Есть доступ — есть проблема. от Camel

Эта многоэтажная модель после нескольких взмахов бритвой Оккама превращается в простой тезис «Системный администратор входит в круг лиц, работающих с персональными данными», с чего, собственно и начали. В некоторых организациях сисадмин подотчётен начальнику СБ и согласовывает с ним все мероприятия инженерной службы. Мне кажется это вполне обоснованным, если всё организовать разумно и без перегибов.

Deleted
()
Ответ на: комментарий от Deleted

И ты прав, Абрам.

Эта многоэтажная модель после нескольких взмахов бритвой Оккама превращается в простой тезис «Системный администратор входит в круг лиц, работающих с персональными данными»

Не могу не согласиться. Но это в теории, на практике же эта многоэтажная модель, которая требует высокой квалификации как админа, так и СБ, что уже делает её трудоосуществимой, хоть и даёт админу доступ к персональным данным, возможности его весьма ограничены.

Короче, обсуждаем мы с вами сферических админов в вакууме хороших СБ. А в реальной жизни админ, обычно, имеет самый непосредственный доступ к данным.

Camel ★★★★★
()

Обеспечение исполнения ФЗ-152, если не подходить к нему формально - комплексные меры, которые затрагивают всех. Сваливать всё на общий отдел (кадровиков) так как они работают с персональными данными наёмных работников - глупо. Так же, как и сваливать всё на техперсонал, в силу того, что он имеет доступ к данным, которые можно отнести к персональным.

Разобраться будет много проще, если выделить, какие данные относятся к персональным, а которые нет.

В общем смысле, если брать наёмных работников, их персональные данные обрабатываются в соответствии с договорами (трудовыми контрактами). Если включить в контракт соответствующий пункт, то ФЗ-152 проходит мимо.

vvn_black ★★★★★
()
Ответ на: комментарий от vvn_black

> В общем смысле, если брать наёмных работников, их персональные данные обрабатываются в соответствии с договорами (трудовыми контрактами). Если включить в контракт соответствующий пункт, то ФЗ-152 проходит мимо.

Да, но тогда с каждого человека, который попадает в вашу информационную базу нужно брать расписку, что он не под наркозом, не под мухой, а в здравом уме и твердой памяти разрешает вам делать что угодно с его персональными данными. Накладно получается...

Разобраться будет много проще, если выделить, какие данные относятся к персональным, а которые нет.

Как мне кажется, что этим должен занимать специально выделенный человек, должность которого называется администратор безопасности и являющийся, согласно РД ФСТЭК, ответственным за все безобразия, который творят пользователи в вашей информационной системе.

rjaan ★★
() автор топика
Ответ на: комментарий от Deleted

> В некоторых организациях сисадмин подотчётен начальнику СБ и согласовывает с ним все мероприятия инженерной службы.

При условии, что он прошел обучение на специалиста по защите информации и может выполнять работы связанные с созданием/изменением/удалением и назначением прав доступа пользователей к объектам информационной системы, т.е. производить весь комплекс мер для обеспечения целостности объектов баз данных, документов и другой информации, хранящейся на ваших серверах или в одноранговой сети на рабочих станциях.

rjaan ★★
() автор топика
Ответ на: Есть доступ — есть проблема. от Camel

> А почему бы и нет? Грамотно настроенная система не нуждается в обслуживании постоянно, только эпизодически, о чём могут приходить сообщения по электронной почте. Бэкапы, ротация логов, мониторинг заполнения файловых систем, температуры НЖМД и микросхем могут делаться и без администратора. Если что-то сломалось или собирается сломаться начальник службы безопасности выдаёт админу пароль. Что кстати не отменяет использования камер наблюдения на рабочем месте админа (одна на экран, одна на клавиатуру). Было бы желание, а возможность работать почти без админа найдётся.

Вот тут Вы правы, но опять же нехватка программного обеспечения в этой области, пока не может сделать это реальностью и многим компаниям придется пока иметь в своем штатном расписании должность системного администратора. Ну, будем надеяться пока ...

rjaan ★★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.