# Упражнение: «Жизненный цикл данных как способ понимания риска» [Углубленное упражнение]

Данное обучающее упражнение направлено на рассмотрение оценки рисков с точки зрения жизненного цикла данных. Активисты\_ки, организации и движения работают с данными - от создания / сбора / сбора данных до публикации информации, основанной на данных.

## Введение

[![deepening_activ_circular_400px-with-text_russian.png](https://en.ftx.apc.org/uploads/images/gallery/2022-11/scaled-1680-/deepening-activ-circular-400px-with-text-russian.png)](https://en.ftx.apc.org/uploads/images/gallery/2022-11/deepening-activ-circular-400px-with-text-russian.png)

  
  
  
  
  
  
  
  
  
  
  
  
  
Картинка. Надпись на картинке: Углубленные Упражнения  
Рисунок на картинке: зеленый круг. Сверху картины дерево и по всему кругу распущены корни

<span lang="RU">Данное обучающее упражнение направлено на рассмотрение оценки рисков с точки зрения жизненного цикла данных. Активисты\_ки, организации и движения работают с данными - от создания / сбора / сбора данных до публикации информации, основанной на данных.</span>

<span lang="RU">Существует два основных подхода к технике проведения данного мероприятия</span>:

- **<span lang="RU">Общий семинар</span>**<span lang="RU"> проводится в рамках общего семинара по цифровой безопасности, участники\_цы которого представляют различные организации и/или не принадлежат к каким-либо организациям. </span>
- **<span lang="RU">Организационный семинар</span>**<span lang="RU"> предназначен для отдельных групп и их сотрудников\_ц. Общий контекст для этого типа семинара заключается в том, что различные команды одной организации объединяются для оценки рисков, связанных с практикой и процессами работы с данными в их организации</span>.

<span lang="RU">Цели обучения и общие темы, рассматриваемые в обоих подходах, одинаковы, но методологии и техники фасилитации должны быть скорректированы для двух различных сценариев семинаров</span>.

### <span lang="EN-PH">Цели </span><span lang="RU">о</span><span lang="EN-PH">бучения</span>

<span lang="RU">В процессе выполнения этого упражнения участники\_цы смогут:</span>

- <span lang="RU">понимать риски и аспекты безопасности на каждом этапе жизненного цикла данных;</span>
- <span lang="RU">применять механизмы оценки рисков для обеспечения личной и/или организационной безопасности</span>.

### <span lang="RU">Для кого предназначено данное упражнение</span><span lang="RU">?</span>

<span lang="RU">Это упражнение предназначено для отдельных активистов\_к (в рамках общей оценки рисков или семинара по цифровой безопасности) или для группы (организации, сети, коллектива), проходящей процесс оценки рисков. Существуют две техники проведения, два подхода к этому упражнению, в зависимости от того, будет ли это общий семинар или занятие для отдельной группы. </span>

<span lang="RU">Упражнение также может быть использовано в качестве диагностического для определения приоритетов, на каких практиках или инструментах следует сосредоточиться в оставшейся части семинара по цифровой безопасности</span>.

### <span lang="RU">Продолжительность</span>

<span lang="RU">Зависит от количества участников\_ц и размера группы. В целом, процесс может занять минимум четыре часа</span>.

### <span lang="EN-PH">Ресурсы</span>

- <span lang="EN-PH">Бумага для флипчарта</span>
- <span lang="EN-PH">Маркеры</span>
- <span lang="RU">Проектор для презентации жизненного цикла данных и направляющих вопросов, а также для совместного использования участниками\_цами, если необходимо</span>.

## <span lang="RU">Техника проведения для общего семинара </span>

<span lang="RU">(Этот материал предназначен для общего семинара по оценке рисков или цифровой безопасности, в котором участвуют активисты\_ки из разных контекстов. Цели обучения остаются теми же, но некоторые тактики обучения и фасилитации будут отличаться от семинара для уже сформировавшейся группы людей.</span>)

### <span lang="RU">Первая фаза: что вы публикуете?</span>

<span lang="RU">В этой части упражнения участникам\_цам задается вопрос: «**Что вы публикуете в рамках своей работы в качестве активиста\_ки?»**</span>

<span lang="RU">Смысл здесь в том, чтобы начать с самой очевидной части жизненного цикла данных - обработанных данных, которые распространяются в виде информации. Это могут быть отчеты об исследованиях, статьи, сообщения в блогах, руководства, книги, веб-сайты, сообщения в социальных сетях и т. д.</span>

<span lang="RU">Это можно сделать на пленарном обсуждении, в стиле "попкорн". Это когда ведущий\_ая задает вопрос и просит участников\_ц дать короткие и емкие ответы - как кукуруза, лопающаяся на сковороде</span>!

### <span lang="RU">Вторая фаза: презентация жизненного цикла данных и соображений по безопасности</span>

<span lang="RU">Цель презентации - напомнить участникам\_цам о цикле управления данными. Ключевые моменты презентации можно найти здесь (см.файлы основы-жизненного цикла данных-презентация.</span><span lang="EN-PH">odp</span><span lang="RU"> а также[ Презентация](https://en.ftx.apc.org/attachments/103)</span>*)*.

### <span lang="RU">Третья фаза: время рефлексии о жизненном цикле персональных данных</span>

<span lang="RU">Сгруппируйте участников\_ц в соответствии с тем, что они публикуют. Попросите их выбрать конкретный пример того, что они опубликовали (статья, исследовательский отчет, книга и т.д.), и попросите их сформировать группы на основе аналогичной работы.</span>

<span lang="RU">Здесь у каждого\_й из них будет время проследить жизненный цикл опубликованных данных, а затем у группы будет время поделиться своими рефлексиями.</span><span lang="RU"> </span>

<span lang="RU">Время на рефлексию должно составлять около 15 минут. Далее потребуется около 45 минут на обсуждение в группе.</span>

<span lang="RU">Вопросы для индивидуальной рефлексии будут представлены в [презентации](https://en.ftx.apc.org/attachments/11 "презентации")</span>.

<span lang="RU">При работе в группе все участники\_цы группы по очереди расскажут о жизненном цикле данных своей опубликованной работы</span>.

### <span lang="RU">Четвертая фаза: обратная связь и соображения по безопасности</span>

<span lang="RU">Вместо презентации групповых отчетов тренер\_ка-фасилитатор\_ка задает каждой группе вопросы, которые помогут выявить то, о чем шла речь в группах.</span>

<span lang="RU">Ниже приведены вопросы, которые вы можете использовать для подведения итогов времени, проведенного в рефлексии и групповой дискуссии:</span>

- <span lang="RU">Какие устройства хранения данных были наиболее распространены в группе? Какие из них использовал только один человек? </span>
- <span lang="RU">Каковы были различия и сходства в доступе к хранилищу данных в вашей группе?</span>
- <span lang="RU">Как насчет обработки данных? Какие инструменты использовались в вашей группе?</span>
- <span lang="RU">Опубликовал ли кто-нибудь в группе что-то, что подвергло риску его или кого-то из его знакомых? Что именно?</span>
- <span lang="RU">Задумывался ли кто-нибудь в группе о практике архивирования и удаления данных до сегодняшнего дня? Если да, то какова была практика в этой области?</span>
- <span lang="RU">Возникали ли на каком-либо этапе жизненного цикла ваших данных проблемы с безопасностью и защитой? Каковы они</span>?

### <span lang="RU">Подведение итогов упражнения </span>

<span lang="RU">По завершении групповых презентаций и обмена опытом тренер\_ка-фасилитатор\_ка может подвести итоги упражнения:</span>

- <span lang="RU">Указать на ключевые моменты</span>
- <span lang="RU">Спросить участников\_ц об основных выводах, сделанных в ходе упражнения</span>
- <span lang="RU">Спросить участников\_ц об изменениях в практике управления данными, о которых они узнали в ходе мероприятия</span>.

#####   


<span lang="RU">\*Картинка с рисунком. На рисунке растения синего цвета</span>

![image-1605452256072.png](https://en.ftx.apc.org/uploads/images/gallery/2020-11/scaled-1680-/image-1605452256072.png)

## <span lang="RU">Техника проведения для организационного семинара</span>

<p class="callout info"><span lang="RU">Данный семинар предназначен для организаций и их сотрудников\_ц</span>.</p>

### <span lang="RU">Первая фаза: какая информация является общей для каждого отдела/ программы / команды организации</span>?

<span lang="RU">Исходя из конфигурации и структуры организации, попросите каждый отдел или команду привести пример чего-то общего для них - внутри организации или за ее пределами.</span>

- <span lang="RU">Вот примеры для стимулирования ответов:</span>
- <span lang="RU">Для отделов коммуникаций - какие сводки вы публикуете?</span>
- <span lang="RU">Для исследовательских команд - какие исследования вы проводите, о чем отчитываетесь? </span>
- <span lang="RU">Для администраторов и финансистов - кто может ознакомиться с платежными ведомостями вашей организации? Как насчет финансовых отчетов?</span>
- <span lang="RU">Для отделов кадров - как насчет оценки персонала</span>?

<p class="callout info">**<span lang="RU">Примечание по фасилитации:</span>**<span lang="RU"> на этот вопрос гораздо легче отвечать командам, у которых есть цели, ориентированные на внешний мир, например, отделу по коммуникациям, или программе, которая публикует отчеты и исследования. В отношении более ориентированных на внутренний мир отделов, таких как финансово-административный или отдел кадров, тренеру\_ке-фасилитатору\_ке, возможно, придется потратить время на примеры того, какой информацией они обмениваются</span>.</p>

<span lang="RU">Цель этого этапа - заставить различные команды признать, что все они обмениваются информацией, как внутри организации, так и за ее пределами. Это важно, поскольку каждая команда должна быть в состоянии определить один или два вида информации, которыми они обмениваются при оценке риска в своей практике управления данными</span>.

### <span lang="RU">Вторая фаза: презентация жизненного цикла данных и соображений по безопасности</span>

<span lang="RU">Цель презентации - напомнить участникам\_цам о цикле управления данными. Ключевые моменты презентации можно найти здесь [Презентация\_Жизненный Цикл Данных](https://en.ftx.apc.org/attachments/103)</span>

### <span lang="RU">Третья фаза: групповая работа </span>

<span lang="RU">В рамках команд попросите каждую группу определить один-два вида информации, которой они делятся/которую публикуют. </span>

<span lang="RU">Чтобы расставить приоритеты, предложите командам подумать о том, какую информацию они больше всего хотят обезопасить, или о том, какая информация, которой они делятся, является конфиденциальной. </span>

<span lang="RU">Затем, для каждого вида совместно используемой или публикуемой информации, попросите команды вернуться назад и отследить его жизненный цикл данных. Используйте приведенную ниже презентацию, чтобы задать ключевые вопросы о практике управления данными для каждого фрагмента опубликованных или совместно используемых данных.</span>

<span lang="RU">В конце этого процесса каждая команда должна быть в состоянии поделиться с остальными результатами своих обсуждений. </span>

<span lang="RU">В целом групповая работа займет около часа</span>.

<span lang="RU">Четвертая фаза: презентации групп и рефлексия по поводу безопасности </span>

<span lang="RU">В зависимости от размера организации и проделанной каждым отделом работы, дайте им время представить результаты обсуждения своим коллегам. Поощряйте каждую группу подумать о креативной презентации и ключевых моментах своих обсуждений. Им не обязательно делиться всем.</span>

<span lang="RU">Призовите слушателей делать записи о том, что им рассказывают, поскольку после каждой презентации будет дано время для обмена комментариями и обратной связи.</span>

<span lang="RU">В реалистичных условиях этот процесс займет около 10 минут на группу.</span>

<span lang="RU">Роль тренера\_ки-фасилитатора\_ки здесь, помимо учета времени и управления обратной связью, заключается также в предоставлении обратной связи по каждой презентации. Сейчас самое время надеть шляпу практикующего специалиста по безопасности.</span>

<span lang="RU">Некоторые области, о которых следует спросить:</span>

- <span lang="RU">Если процесс сбора данных должен быть конфиденциальным, не лучше ли использовать более безопасные средства связи?</span>
- <span lang="RU">Кто имеет доступ к устройству хранения данных в теории и в реальности? Если речь идет о физическом устройстве хранения данных, то где оно находится в офисе?</span>
- <span lang="RU">Кто имеет доступ к исходным данным</span>?

<span lang="RU">Как тренер\_ка-фасилитатор\_ка, вы также можете использовать эту возможность, чтобы поделиться некоторыми рекомендациями и предложениями по повышению безопасности практики управления данными в организации</span>.

<p class="callout info">**<span lang="RU">Примечание для фасилитатора\_ки: </span>**<span lang="RU">существует ресурс под названием </span><span lang="EN-PH">[Alternative Tools in Networking andCommunications](https://ftxreboot.wiki.apc.org/index.php/Alternative-Tools-for-Networking-and-Communications "https://ftxreboot.wiki.apc.org/index.php/Alternative-Tools-for-Networking-and-Communications")</span><span lang="RU"> («Альтернативные инструменты для нетворкинга и коммуникаций») в «</span><span lang="EN-PH">FTX</span><span lang="RU">: перезагрузка безопасности», с которым вы можете ознакомиться для проведения данного упражнения</span>.</p>

### <span lang="RU">Пятая фаза: возвращение к группам: улучшение безопасности</span>

<span lang="RU">После того, как все команды представили свои презентации, они возвращаются в свои группы для дальнейшего обсуждения и рефлексии по поводу того, как они могут лучше защитить свой процесс управления данными и собственно данные. </span>

<span lang="RU">Цель каждой группы - спланировать методы повышения безопасности на всех этапах жизненного цикла данных.</span>

<span lang="RU">К концу обсуждения каждая группа должна иметь некоторые планы по повышению безопасности своей работы с данными</span>.

<p class="callout info">**<span lang="RU">Примечание: </span>**<span lang="RU">предполагается, что для этого группа прошла базовый тренинг по безопасности. Как вариант, тренер\_ка-фасилитатор\_ка может использовать четвертую фазу как возможность предоставить некоторые рекомендации по более безопасным альтернативным инструментам, опциям и процессам для практики управления данными группы</span>.</p>

*<span lang="RU">Методические вопросы для обсуждения в группе</span>*

- <span lang="RU">Какие из данных, которыми вы управляете, являются общедоступными (о них может знать каждый), частными (о них может знать только организация), конфиденциальными (о них может знать только команда и определенные группы внутри организации) - и как ваша команда может гарантировать, что эти различные типы данных могут оставаться частными и конфиденциальными?</span>
- <span lang="RU">Как ваша команда может обеспечить контроль над тем, кто имеет доступ к вашим данным? </span>
- <span lang="RU">Какова политика содержания и удаления данных на платформах, которые вы используете для хранения и обработки данных в интернете?</span>
- <span lang="RU">Как команда может практиковать более безопасные коммуникации, особенно в отношении частных и конфиденциальных данных и информации?</span>
- <span lang="RU">Какие практики и процессы должна иметь команда, чтобы сохранить конфиденциальность и секретность данных?</span>
- <span lang="RU">Что следует изменить в вашей практике управления данными, чтобы сделать ее более безопасной? Посмотрите на результаты предыдущей групповой работы и определите, что можно улучшить.</span>
- <span lang="RU">Какие роли должны быть у каждого члена команды, чтобы управлять этими изменениями</span>?

### <span lang="RU">Шестая фаза: финальная презентация планов</span>

<span lang="RU">На этом этапе каждой команде будет предоставлено время для представления способов, которыми они будут обеспечивать безопасность своей практики управления данными. </span>

<span lang="RU">Это возможность для всей организации поделиться стратегиями и тактиками и поучиться друг у друга</span>.

### <span lang="RU">Подведение итогов упражнения</span>

<span lang="RU">После завершения групповых презентаций и обмена мнениями тренер\_ка-фасилитатор\_ка может подвести итог упражнения:</span>

- <span lang="RU">Указать на ключевые моменты</span>
- <span lang="RU">Спросить участников\_ц об основных выводах, сделанных в ходе упражнения</span>
- <span lang="RU">Согласовать дальнейшие шаги по практической реализации планов</span>.

## <span lang="RU">Презентация</span>

<span lang="RU">Существует еще один способ понять риски по возрастанию — это взглянуть на практику работы с данными в организации. Каждая организация имеет дело с данными, и каждое отделение внутри организации тоже. </span>

<span lang="RU">Ниже приведены некоторые аспекты безопасности и защиты для каждого этапа жизненного цикла данных</span>.

### <span lang="EN-PH">Создание / </span><span lang="RU">получение</span> <span lang="EN-PH">/ </span><span lang="RU">с</span><span lang="EN-PH">бор данных</span>

- <span lang="RU">Какого рода данные собираются?</span>
- <span lang="RU">Кто создает/получает/собирает данные?</span>
- <span lang="RU">Подвергнет ли это людей риску? Кто подвергнется риску в случае обнародования этих данных?</span>
- <span lang="RU">Насколько публичным / частным / конфиденциальным является процесс сбора данных?</span>
- <span lang="RU">Какие инструменты вы используете для обеспечения безопасности процесса сбора данных</span>?

### <span lang="EN-PH">Хранение </span><span lang="RU">д</span><span lang="EN-PH">анных</span>

- <span lang="RU">Где хранятся данные?</span>
- <span lang="RU">Кто имеет доступ к хранилищу данных?</span>
- <span lang="RU">Какие методы / процессы / инструменты вы используете для обеспечения безопасности устройства хранения данных?</span>
- <span lang="RU">Облачное хранилище в противовес физическому хранилищу или хранилищу на устройстве</span>.

### <span lang="EN-PH">Обработка </span><span lang="RU">д</span><span lang="EN-PH">анных</span>

- <span lang="RU">Кто обрабатывает данные?</span>
- <span lang="RU">Будет ли анализ данных подвергать риску отдельных лиц или группы лиц?</span>
- <span lang="RU">Какие инструменты используются для анализа данных?</span>
- <span lang="RU">Кто имеет доступ к процессу/системе анализа данных?</span>
- <span lang="RU">При переработке данных сохраняются ли вторичные копии данных в других местах</span>?

### <span lang="RU">Публикация/обмен информацией из обработанных данных </span>

- <span lang="RU">Где публикуется информация / знания?</span>
- <span lang="RU">Будет ли публикация информации подвергать людей риску?</span>
- <span lang="RU">Кто является целевой аудиторией публикуемой информации?</span>
- <span lang="RU">Есть ли у вас контроль над тем, как публикуется информация</span>?

### <span lang="EN-PH">Архивирование</span>

- <span lang="RU">Где архивируются данные и обработанная информация?</span>
- <span lang="RU">Архивируются ли исходные данные или только обработанная информация?</span>
- <span lang="RU">Кто имеет доступ к архиву?</span>
- <span lang="RU">Каковы условия доступа к архиву</span>?

### <span lang="EN-PH">Удаление</span>

- <span lang="RU">Когда происходит уничтожение данных?</span>
- <span lang="RU">Условия удаления?</span>
- <span lang="RU">Как мы можем убедиться, что все копии удалены</span>?

#### <span lang="EN-PH">Примечание для </span><span lang="RU">ф</span><span lang="EN-PH">асилитатора</span><span lang="RU">\_ки</span>

<span lang="RU">Это упражнение - хороший способ узнать и оценить контекст цифровой безопасности, практику и процессы участников\_ц. Хорошо бы сосредоточиться на этом аспекте, а не ожидать от этого упражнения выработки стратегий и тактик для повышения их цифровой безопасности.</span>

<span lang="RU">В рамках организационного семинара вы, возможно, захотите обратить внимание на кадровые и административные команды / отделы. Во-первых, во многих организациях, как правило, именно у этих сотрудников\_ц не было опыта участия в семинарах по цифровой безопасности, поэтому многие темы и вопросы могут быть для них новыми. Во-вторых, поскольку большая часть их работы является внутренней, они могут не воспринимать свои подразделения как ¨публикующие¨ что-либо. Однако во многих организациях эти подразделения хранят и обрабатывают большое количество конфиденциальных данных (информация о персонале, зарплаты сотрудников, записи заседаний совета директоров, банковские реквизиты организации и т. д.) – поэтому важно указать на это в ходе семинара.</span>

<span lang="RU">Обратите внимание и на физические устройства хранения данных. Если есть картотеки, где хранятся печатные копии документов, спросите, где они расположены, и кто имеет к ним физический доступ. Иногда существует тенденция слишком сильно концентрироваться на практике онлайн-хранилищ, упуская при этом возможность сделать более безопасной тактику физического хранения</span>.

## <span lang="RU">Дополнительное</span> <span lang="RU">ч</span><span lang="EN-PH">тение (по желанию</span>)

- <span lang="EN-PH">FTX: </span><span lang="RU">перезагрузка</span> <span lang="RU">безопасности</span><span lang="EN-PH">: </span><span lang="RU">альтернативные</span> <span lang="RU">инструменты</span> <span lang="RU">для</span> <span lang="RU">нетворкинга</span> <span lang="RU">и</span> <span lang="RU">коммуникаций - </span>[FTX Safety Reboot: Alternative Tools in Networking and Communications. ](https://en.ftx.apc.org/link/561#bkmrk-page-title "Alternative Tools for Networking and Communications [Tactical Activity]")
- <span lang="EN-PH">FTX: </span><span lang="RU">перезагрузка</span> <span lang="RU">безопасности</span><span lang="EN-PH">, </span>[<span lang="RU">модуль</span> <span lang="RU">мобильной</span> <span lang="RU">безопасности</span>](https://en.ftx.apc.org/books/russian-ftx/chapter/mobilnaya-bezopasnost "модуль мобильной безопасности")
- [Electronic Frontier Foundation's Surveillance Self-Defense](https://ssd.eff.org/en) – <span lang="RU">Хотя это руководство в основном рассчитано на американскую аудиторию, в нем есть полезные разделы, объясняющие концепции наблюдения и инструменты, используемые для их обхода</span>.
- [Front Line Defenders' Guide to Secure Group Chat and Conferencing Tools](https://www.frontlinedefenders.org/en/resource-publication/guide-secure-group-chat-and-conferencing-tools) – <span lang="RU">полезное руководство по различным безопасным чат- и конференц-сервисам и инструментам, которые соответствуют критериям </span><span lang="EN-PH">Frontline</span> <span lang="EN-PH">Defender</span><span lang="RU"> о том, что делает приложение или сервис безопасным</span>.
- [Mozilla Foundation's Privacy Not Included website](https://foundation.mozilla.org/privacynotincluded/) – <span lang="RU">в котором рассматриваются различные политики и практики конфиденциальности и безопасности различных сервисов, платформ и устройств на предмет их соответствия </span><span lang="EN-PH">[Mozilla<span lang="RU">´</span>s Minimum Security Standards](https://foundation.mozilla.org/en/privacynotincluded/about/meets-minimum-security-standards "https://foundation.mozilla.org/en/privacynotincluded/about/meets-minimum-security-standards")</span><span lang="RU"> (минимальным стандартам безопасности </span><span lang="EN-PH">Mozilla</span><span lang="RU">), которые включают шифрование, обновления безопасности и политики конфиденциальности</span>.

#####   


<div class="pointer-container" id="bkmrk--1"><div class="pointer anim is-page-editable"><div class="input-group inline block"> <button class="button outline icon" data-clipboard-target="#pointer-url" title="Copy Link" type="button"><svg class="svg-icon" data-icon="copy" role="presentation" viewbox="0 0 24 24" xmlns="http://www.w3.org/2000/svg"></svg></button></div></div></div>\*Картинка с рисунком. На рисунке растения красного цвета

![image-1605451259399.png](https://en.ftx.apc.org/uploads/images/gallery/2020-11/scaled-1680-/image-1605451259399.png)