Безопасность персональных данных в КЭДО: как защитить кадровые документы от утечек

Переход на КЭДО помогает навести порядок в работе с кадровыми документами. Приказы и договоры быстрее согласовываются, не теряются среди других бумаг и реже попадают в руки посторонних по неосторожности. Но цифровой формат не исключает утечек. 

Сотрудник может случайно отправить справку не тому адресату, злоумышленник — получить доступ к учетной записи, а технический сбой — привести к потере документов. Чтобы снизить риски, нужны технические средства защиты и понятные алгоритмы работы с информацией. 

Разберем, как обеспечить безопасность данных в КЭДО, на примере платформы управления опытом сотрудников HRlink.

Законодательные требования к защите персональных данных в КЭДО

Требования к КЭДО в части обработки персональных данных регулирует Федеральный закон № 152-ФЗ «О персональных данных». Он обязывает работодателя соблюдать правила сбора, хранения, использования и защиты информации о сотрудниках.

Что нужно предусмотреть:

Получить согласие на обработку персональных данных (ПДн). Если компания использует стороннее решение КЭДО, нужно получить разрешение на передачу сведений провайдеру. Его оформляют отдельным документом, а не включают, например, в трудовой договор.

Направить уведомление об обработке персональных данных в Роскомнадзор. Его подают до начала обработки ПДн. Если меняются цели обработки или перечень данных, происходит утечка, об этом тоже нужно оповестить ведомство.

Соблюсти требования к локализации данных. При сборе ПДн в электронном виде их нужно хранить на серверах в России. Можно использовать отечественные облачные решения и дата-центры. 

Защитить информацию от посторонних. Компания должна предпринимать технические и организационные меры защиты. Ограничивать доступ к кадровым документам, контролировать действия пользователей, предотвращать утечки.

Получите разбор законов, регулирующих КЭДО

Все, чтобы полностью разобраться в нюансах перехода на кадровый электронный документооборот.

Получить

Какие угрозы возникают при использовании КЭДО

Электронный кадровый документооборот упрощает работу с документами, но требует внимательного отношения к их защите. 

Разберем основные риски КЭДО для персональных данных.

Ошибки сотрудников. Обычно никто не хочет слить данные специально. Но кадровый специалист может по невнимательности отправить, например, справку о доходах не тому коллеге. 

Несанкционированный доступ. Злоумышленники могут взломать сервис или обманом получить доступ к учетной записи сотрудника. Например, представиться специалистом технической поддержки и попросить сообщить пароль для «проверки системы». Если сотрудник не распознает уловки социальной инженерии и передаст данные для входа, мошенники смогут получить доступ к кадровым документам.

Технические сбои и потеря данных. Неисправность оборудования, ошибка при обновлении или повреждение файлов могут привести к тому, что документы перестанут открываться или исчезнут из системы.

Риски со стороны подрядчиков. При работе с внешней платформой КЭДО безопасность данных зависит и от методов защиты, которые применяет поставщик. Например, из-за ошибки в настройках сотрудники подрядчика могут получить доступ к документам , которые им не нужны для выполнения своих задач.

Перед выбором сервиса выясните, как поставщик защищает данные, ограничивает доступ к документам и восстанавливает их в случае технических сбоев.

Получите инструкцию по выбору платформы КЭДО

Выделили ключевые критерии, которые помогут сравнить платформы и выбрать безопасное решение для вашего бизнеса.

Получить

Как HRlink защищает кадровые данные на техническом уровне

Сервисы КЭДО встраивают защиту данных в архитектуру, инфраструктуру и систему управления доступами. Например, HRlink использует следующие меры безопасности.

Электронные подписи. В КЭДО применяют три основных вида: простую, усиленную неквалифицированную и усиленную квалифицированную. Они помогают определить, кто подписал документ, и наделяют его такой же юридической силой, что и бумажный с подписью от руки. 

Криптографические механизмы. В КЭДО используется шифрование данных. Даже если посторонние получат к ним доступ, они не смогут прочитать информацию без ключа расшифровки.

Двухфакторная аутентификация. Для входа в КЭДО можно настроить дополнительное подтверждение личности, например, с помощью одноразового кода. Это снижает риск несанкционированного доступа, если пароль попадет к посторонним.

Разграничение прав доступа. В КЭДО доступ к файлам и операциям настраивается по юридическим лицам, подразделениям и ролям пользователей. Для административных учетных записей также доступно ограничение входа по IP-адресам.

Резервное копирование данных. Система создает копии данных и хранит их в защищенных местах. При техническом сбое они помогают восстановить информацию.

Протокол просмотра. Система фиксирует дату, время и сведения о пользователе, который открывал документ. Эти записи помогают проверить, кто и когда обращался к кадровой информации.

Мониторинг уязвимостей. Система выявляет слабые места и уведомляет специалистов по безопасности. Это помогает своевременно устранять уязвимости и снижать риск атак.

Организационные меры защиты: как выстроить работу с данными в КЭДО

Даже надежная платформа не защитит компанию от всех рисков без четких правил работы с персональными данными.

Чтобы минимизировать вероятность утечек, нужно:

Разработать внутренние документы. Подготовьте необходимые локальные нормативные акты: положение о защите ПДн, политику обработки. Опишите порядок обработки и защиты персональных данных, цели сбора информации, правила доступа и обязанности сотрудников.

Назначить ответственного. Определите сотрудника, который будет контролировать соблюдение правил работы с ПДн. Обычно эту роль поручают руководителю HR-отдела или службы информационной безопасности.

Регулярно проверять доступы. Проводите аудит информационной безопасности: проверяйте права пользователей, соблюдение установленных норм в работе с документами в КЭДО. При переводе сотрудника на другую должность или увольнении своевременно пересматривайте и закрывайте его доступы.

Безопасно передавать документы в контролирующие органы. В HRlink документы для СФР и ГИТ быстро выгружаются в PDF и XML. Передавайте их через предусмотренные системой каналы или официальные порталы ведомств. Не используйте обычную электронную почту без дополнительных мер защиты. 

Соблюдать порядок прекращения обработки данных. Когда цель обработки достигнута и законные основания для дальнейшего хранения отсутствуют, данные нужно удалить. Например, после завершения найма, увольнения сотрудника, рассмотрения заявлений или истечения установленных сроков хранения. Удаление необходимо подтвердить актом. В HRlink этот процесс можно автоматизировать.

Последствия утечки персональных данных сотрудников

Риски можно разделить на две группы:

Репутационные. Если в открытый доступ попадут паспортные данные, адреса или сведения о зарплатах сотрудников, доверие к работодателю может снизиться. Люди начнут сомневаться, можно ли передавать компании личную информацию. Это может осложнить найм новых специалистов и повлиять на отношения с действующей командой и партнерами.

Финансовые. За нарушения законодательства о персональных данных компании грозят административные штрафы по статье 13.11 КоАП РФ. Размер взыскания зависит от характера нарушения, количества затронутых людей и других обстоятельств. 

Возможные санкции:

• за утечку данных от 1 000 до 10 000 человек — от 3 до 5 млн руб.;

• за утечку данных от 10 000 до 100 000 человек — от 5 до 10 млн руб.;

• за повторную утечку персональных данных компания может получить оборотный штраф — от 1 до 3% годовой выручки, но не менее 20 млн и не более 500 млн руб.

За нарушение правил работы с чувствительной информацией также предусмотрена административная ответственность. Например, за неуведомление Роскомнадзора об утечке персональных данных компании — штраф от 1 до 3 млн руб.

Что происходит с персональными данными сотрудников при смене вендора КЭДО

При переходе на другую платформу важно выяснить, что произойдет с данными у прежнего поставщика: кто сохранит к ним доступ и будут ли удалены копии. 

Обратите внимание на пять моментов:

Удаление данных. В договоре и документах, регулирующих обработку персональных данных, закрепите порядок прекращения обработки и удаления информации после завершения сотрудничества.

Резервные копии. Основные документы могут быть удалены, а их копии — остаться в резервных хранилищах. Уточните, как долго они хранятся.

Доступы сотрудников вендора. После завершения сотрудничества у техподдержки и других специалистов может остаться доступ к данным компании. Убедитесь, что его закрыли.

Субподрядчики. Выясните, передавал ли поставщик данные другим организациям, кто из них имеет доступ к информации и как организовано удаление копий.

Подтверждение удаления. Предусмотрите документальное подтверждение того, что поставщик выполнил обязательства по уничтожению данных.

Частые вопросы про информационную безопасность кадрового электронного документооборота

Кто в компании отвечает за безопасность данных?

Ответственность лежит на работодателе, как на операторе данных. Он назначает ответственных, утверждает внутренние правила и обеспечивает необходимые меры защиты. Конкретные задачи распределяют между HR, службами ИТ и информационной безопасности.

Как быть, если случился инцидент с персональными данными сотрудников в КЭДО?

Выяснить причину и масштаб проблемы, устранить уязвимость и сохранить сведения для расследования. Если произошла утечка ПДн, нужно проинформировать Роскомнадзор:

• в течение суток — направить первичное уведомление; 

• в течение 3 дней — итоги внутреннего расследования.

Как убедиться, что система КЭДО безопасная?

Уточните, где хранятся данные, как они шифруются, можно ли настроить двухфакторную аутентификацию и разграничить права доступа. Также проверьте, предусмотрены ли резервное копирование, мониторинг уязвимостей и аудит действий пользователей.

Чек-лист, как снизить риски для персональных данных в КЭДО

• При выборе вендора проверьте систему КЭДО на соответствие 152-ФЗ.

• Уточните, как в системе реализованы шифрование, резервное копирование и восстановление информации.

• Разработайте ЛНА, которые будут регулировать взаимодействие с ПДн.

• Распределите обязанности в работе с ПДн между HR, службами ИТ и информационной безопасности.

• Предоставьте сотрудникам доступ только к тем сведениям, без которых они не могут выполнять свои обязанности.

• Обучите сотрудников безопасной работе с данными.

• Подготовьте план реагирования на инциденты.

• Уточните, у кого есть доступ к данным на стороне вендора, где они хранятся, и что происходит с информацией после расторжения договора.

Несмотря на цифровые риски, КЭДО надежнее бумажного документооборота. Электронные документы не рвутся, не выцветают и не теряются при пересылке. Они защищены от фальсификации, доступ к ним можно ограничить, а действия пользователей — отследить. Главное — выбрать надежную платформу и настроить работу с данными по правилам безопасности.

Реклама: ООО «Инновации в управлении кадрами», ИНН 7801683312, erid: 2W5zFHSt9Fp