Безопасность и защита персональных данных

1. Нормативные требования

ИП Собко Екатерина Алексеевна обязана применять меры по статьям 18.1 и 19 Закона № 152-ФЗ. При определении требуемого уровня защищённости и состава технических мер учитываются Постановление Правительства РФ от 01.11.2012 № 1119 и приказ ФСТЭК России от 18.02.2013 № 21 и иные применимые акты.

2. Организационные меры

• определение целей, состава и сроков обработки данных;
• доступ сотрудников и администраторов только в пределах служебной необходимости;
• разделение ролей и полномочий;
• регламенты работы с паролями, ключами, резервными копиями и носителями;
• учёт и контроль значимых административных действий;
• оценка рисков и вреда субъектам, внутренний контроль и периодический пересмотр мер;
• проверка договоров с лицами, обрабатывающими данные по поручению;
• процедуры обработки обращений субъектов и инцидентов.

3. Технические меры сайта

• HTTPS и защитные HTTP-заголовки;
• HttpOnly/Secure cookies для чувствительных сессий и криптографическая подпись сессий;
• хеширование паролей, разграничение административных прав и серверные проверки полномочий;
• same-origin-защита изменяющих запросов, rate limiting и валидация входных данных;
• серверная повторная проверка цены, состава заказа, доставки и статуса оплаты;
• журналирование событий и мониторинг ошибок;
• хранение секретов вне клиентского кода и запрет их публикации;
• необязательная аналитика только после пользовательского выбора.

4. Реагирование на инциденты

При подозрении на неправомерный доступ оператор должен локализовать инцидент, сохранить необходимые журналы, оценить затронутые данные и вред, провести внутреннее расследование и выполнить обязательные уведомления. Для инцидентов с неправомерной передачей персональных данных действуют сроки уведомления Роскомнадзора, установленные частью 3.1 статьи 21 Закона № 152-ФЗ и соответствующим порядком.

5. Ограничение публичной информации

В открытом доступе не публикуются секреты, ключи API, пароли, точные схемы сети, правила обнаружения атак, конфигурации защитных систем и иные сведения, которые способны облегчить обход мер безопасности. Это не ограничивает право субъекта получать предусмотренную законом информацию о его персональных данных.

6. Отсутствие абсолютной гарантии

Ни одна информационная система не может добросовестно обещать абсолютную неуязвимость. Обязанность оператора состоит в применении необходимых и достаточных мер, своевременном реагировании и соблюдении установленных законом процедур.

7. Сообщение о проблеме

Если вы обнаружили возможную утечку или уязвимость, не размещайте персональные данные и технические детали публично. Используйте официальные контакты магазина. Email: support@косметичка.com.

8. Связанные документы

Политика обработки персональных данных · Согласие · Cookies.