montana/Vera Montana/_audit/27_konfidencialnost_pd.md

# 27. Положение о порядке обеспечения конфиденциальности при обработке ПД (23.07.2024)

**Тип:** Local Regulation, **Приложение 3** к Политике оператора в отношении обработки ПД
**Утверждено:** Директор ЗАО «Уайт Бёрд» М.А. Шабанов, 23.07.2024
**Юр.лицо:** ЗАО «Уайт Бёрд», г. Минск
**Размер:** 5.1 МБ, ~6 стр.
**Глав:** 4

## Что это
**Технико-организационное Положение** о том, КАК именно защищать ПД (организационные + технические меры). Сопровождает Положение об обработке ПД (#25). Это **Приложение 3**, в то время как #25 — **Приложение 1**, а #18 — главная Политика.

## Структура документа

### Глава 1. Общие положения (п.1-16)
- Применяемые в Обществе **способы обеспечения безопасности** при обработке ПД
- **Обязательное соблюдение конфиденциальности** должностными лицами (NDA в трудовом договоре + должностной инструкции)
- **Перечень должностных лиц, допущенных к ПД, утверждается приказом директора** (только эти лица могут обрабатывать)
- **Знакомство работника с Политикой под роспись** при найме
- **Хранилища** для документов и средств доступа (ключи, пароли) — выделяются работодателем
- **Запрет** на устную/письменную передачу ПД без служебной необходимости
- **Запрет передачи третьим лицам** по телефону, факсу, электронной почте (за исключениями)
- **Немедленное уведомление руководителя + ИБ** при инциденте

### Глава 2. Безопасность БЕЗ средств автоматизации (бумажные носители, п.17-20)
- **Руководитель структурного подразделения определяет места хранения**
- **Контроль наличия условий**, обеспечивающих сохранность ПД
- **Уничтожение** ПД способом, исключающим дальнейшую обработку (шреддер)
- **Информирование лиц** об особенностях работы

### Глава 3. Безопасность С использованием средств автоматизации (КСО, п.21-26)
**КСО** = Компьютерная Сеть Общества.
Требования к КСО:
- **Допуск только при наличии паролей доступа**
- **Помещения**, исключающие неконтролируемое пребывание посторонних лиц
- **Антивирусное ПО** + восстановление ПД
- **Запрет несанкционированного выноса** оборудования из помещений
- **Запрет несанкционированной установки** ПО
- **Обучение пользователей** средствам защиты
- **Учёт лиц с правами доступа и паролей**
- **Учёт средств защиты информации**
- **Контроль соблюдения условий использования** СЗИ

### Глава 4. Съёмные носители (п.27-30)
- **Все съёмные носители подлежат учёту** (диски, USB, дискеты)
- **Каждый носитель имеет этикетку** с уникальным учётным номером
- **Запрещено:**
  - хранить съёмные носители с ПД вместе с открытой информацией
  - оставлять без присмотра, передавать другим лицам
  - выносить из служебных помещений (домой, в гостиницы)
- **Об утрате** — немедленное уведомление директора
- **Утилизация** по отдельному локальному акту

## Моё мнение
**Этот документ — очень классический бумажно-офисный подход к безопасности.** В нём НЕ хватает современных IT-мер. Whitebird явно делал это формально по требованию законодательства РБ.

### Сильные стороны
1. **Чёткое распределение ответственности** — руководитель подразделения отвечает за свой участок
2. **Учёт допущенных лиц** через приказ директора — bureaucracy works
3. **Уведомительная иерархия** — работник → руководитель → ИБ → директор
4. **Запрет на устную передачу** — простое, но важное правило
5. **Учёт носителей с этикетками** — basic but effective

### Критические недостатки документа
1. **НЕТ упоминания шифрования** — ни at-rest, ни in-transit
2. **НЕТ упоминания MFA** (многофакторной аутентификации)
3. **НЕТ упоминания DLP** (Data Loss Prevention)
4. **НЕТ упоминания SIEM** (Security Information and Event Management)
5. **НЕТ упоминания pen-test** (хотя в аудите Kept упомянуты pen-tests 2 раза в год)
6. **НЕТ упоминания специфики crypto** (private keys клиентов, hot/cold wallets)
7. **«Антивирусное ПО»** упомянуто как panacea — это XXI век, нужно EDR/XDR
8. **НЕТ упоминания cloud-сервисов** (а они явно используют AWS/Azure/Hetzner)
9. **НЕТ упоминания удалённой работы** — после 2020 это must
10. **НЕТ упоминания BYOD policy** — могут ли работники использовать личные устройства

**Документ написан в стиле 2010 года**, как требование госорганов, а не как actual security strategy. Реальная безопасность Whitebird должна быть в отдельной (закрытой для аудиторов) внутренней документации.

## Что нужно команде Монтаны для копирования 1:1

### Минимум что должно быть в этом Положении (формальная часть для регулятора)
**Используем структуру Whitebird + дополняем современным:**

#### Раздел A. Бумажные носители (как у Whitebird)
- Хранилища с замками
- Шреддер для уничтожения
- Запрет на оставление без присмотра
- Журнал выдачи носителей

#### Раздел B. Электронные носители (улучшенный)
- **Запрет на USB-накопители** (use cloud / encrypted channel)
- Если разрешены — **только зашифрованные** (BitLocker, FileVault, LUKS)
- **Учёт через DLP-систему** (Microsoft Purview, Forcepoint)
- **Auto-wipe** при утрате (если есть управление через MDM)

#### Раздел C. КСО (Компьютерная сеть Общества) — современная версия
- **Шифрование at-rest:** PostgreSQL TDE / LUKS на серверах
- **Шифрование in-transit:** TLS 1.3 + mTLS для внутренних API
- **MFA для всех сотрудников:** TOTP (Google Authenticator) + WebAuthn (Yubikey)
- **SSO через identity provider** (Okta, Keycloak, JumpCloud)
- **EDR на всех endpoints:** CrowdStrike, SentinelOne
- **SIEM:** ELK Stack / Splunk / Datadog
- **PAM (Privileged Access Management):** HashiCorp Vault для секретов
- **VPN для удалённых сотрудников:** WireGuard + 2FA
- **Zero Trust Network:** аутентификация на каждом hop

### Дополнительные положения для crypto-специфики
Whitebird не упоминает, но Монтана должна:

#### Раздел D. Защита криптовалютных активов
- **Hot wallets:** не более 5% активов; multi-sig 2/3; HSM-backed keys
- **Cold wallets:** 95% активов; air-gapped, geo-distributed (Минск, Дубай, Сингапур); multi-sig 3/5
- **Ключи:** Shamir Secret Sharing (5 частей, threshold 3)
- **Подписание транзакций:** только из изолированной среды
- **Camera lockdown:** запрет на фото в комнатах с cold storage
- **Faraday-cage room** для cold key ceremonies
- **Independent audit** холодных кошельков (Proof of Reserves)

#### Раздел E. Защита API клиентов
- **Rate limiting:** WAF (Cloudflare, AWS WAF)
- **DDoS protection:** Cloudflare Magic Transit / AWS Shield
- **API key rotation:** обязательно каждые 90 дней
- **OAuth 2.0 + JWT** с коротким TTL
- **IP whitelisting** для API + sensitive endpoints

#### Раздел F. Физическая безопасность офиса
- **Контроль доступа:** карты + биометрия в зоне crypto-операций
- **Видеонаблюдение:** 24/7, хранение 90 дней
- **Запрет на смартфоны** в зоне cold storage (Faraday box)
- **Двойной контроль** (two-person rule) для крипто-операций
- **Раздельные кабинеты** для security/compliance/development

#### Раздел G. Удалённая работа (post-COVID)
- **Только корпоративные ноутбуки** (no BYOD)
- **MDM (Mobile Device Management):** Jamf для Mac, Intune для Windows
- **Зашифрованные диски** обязательно
- **Webcam tape** policy
- **Compliance check** перед каждой сессией (OS up-to-date, antivirus running)
- **Запрет на работу из публичных Wi-Fi** без VPN

### Должностные роли для безопасности
| Роль | Зарплата (Минск) | Зарплата (Дубай) |
|---|---|---|
| **CISO** (Chief Information Security Officer) | $4-7k/мес | $15-25k/мес |
| **DPO** (Data Protection Officer) | $2-4k/мес | $8-12k/мес |
| **SOC Engineer** (Security Operations Center) | $2-4k/мес | $6-10k/мес |
| **Penetration Tester** | $3-5k/мес | $10-15k/мес |
| **Blockchain Security Engineer** | $4-7k/мес | $15-25k/мес |
| **Wallet Custody Engineer** | $5-8k/мес | $15-30k/мес |

### Шаблон Local Regulation для Монтаны
**Структура:**
1. Глава 1 — Общие положения (с правовой базой)
2. Глава 2 — Бумажные носители (минимум, для compliance)
3. Глава 3 — Электронные носители (расширенно)
4. Глава 4 — КСО (полная современная)
5. Глава 5 — **Crypto-active защита** (новое)
6. Глава 6 — **Удалённая работа** (новое)
7. Глава 7 — **Cloud-инфраструктура** (новое)
8. Глава 8 — Инциденты и реагирование (расширенно)

### Compliance vs Real Security
**Важное наблюдение:** документ Whitebird — это **compliance документ**, не security strategy. Это нормально. Монтана должна иметь:
- **Public Local Regulation** (для регулятора, копия Whitebird-стиля)
- **Internal Security Standards** (для команды, реальная страт)
- **NDA для security standards** — никто не должен видеть внутреннюю архитектуру

## Ссылки внутри Whitebird-стека
- → #18 (главная Политика обработки ПД)
- → #25 (Приложение 1 — обработка ПД клиентов)
- → #11 (Положение об управлении рисками — включая кибер)
- → #22 (аудит Kept — упоминает pen-tests)
- → #28 (статья поддержки пользователей — связь)