- (о ужас))) проведение аттестации информационной системы по требованиям ФСТЭК (ФЗ-152, ГИС, АС);

ИСПДн — это информационная система (хранения и обработки) персональных данных. Она включает в себя сами персональные данные и средства, которые используют для их обработки и защиты.

До 11 марта 2013 года все, кто работал с персональными данными, обязаны были провести классификацию своей ИСПДн. Для этого нужно было собрать специальную комиссию и тщательно проанализировать систему. Теперь приказ, который обязывал это делать, отменен. Соответственно, классификация ИСПДн по защищенности тоже больше не действует.

Зато теперь появились уровни защищенности персональных данных. Всего их четыре — чем выше уровень, тем более серьезная защита нужна данным. Уровни защищенности описаны в 1119 постановлении Правительства, меры защиты — в 21 приказе ФСТЭК.

Основной акцент документа сделан на требования по нейтрализация угроз персональным данным.

Безопасность персональных данных (ПДн) обеспечивает Оператор или уполномоченное лицо (полномочия на обработку ПДн по поручению). Решение по передаче функций защиты персональных данных на аутсорсинг вполне может быть обосновано для многих Операторов, однако, они действуют в правовом поле со всеми вытекающими отсюда требованиями.

Выбор системы защиты информации для СЗПДн должен осуществляться в соответствии с нормативными правовыми актами ФСБ России и ФСТЭК России.

Выделяется несколько типов ИСПДн по типу персональных данных и по типу субъектов персональных данных. В целом понятно и удобно работать с ними. 1я классификаця предполагает выделение:

• ИСПДн, в которой обрабатывающей специальные категории персональных данных (информация, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов ПДн). Обратите внимание, хотя этот перечень и совпадает со 152-ФЗ, но в соответствующей статье закона (ст.10 152-ФЗ) присутствует упоминание об информации о судимости и требований к ней, а в ПП 1119 ничего об этом не сказано.
• ИСПДн, в которой обрабатываются биометрические персональные данные.
• ИСПДн, в которой обрабатываются общедоступные ИСПДн. Причем основание для общедоступности - получение из общедоступных источников, созданных в соответствии со 152-ФЗ.
• ИСПДн, в которой обрабатываются иные категории персональных данных.

Второй тип классификации предполагает выделение ИСПДн, в которых обрабатываются персональных данных только указанных сотрудников и ИСПДн, в которой обрабатываются персональных данных субъектов, не являющихся сотрудниками оператора.

На уровень защищенности ИСПДн влияют тип угроз, перечень ПДн и количество субъектов персональных данных:

Перечень требований к уровням защищенности тоже можно представить в таблице.

Итак, необходимо:

Определить перечень носителей персональных данных и требования по их хранению, использованию, транспортировке и уничтожению. 

Обеспечить физическую безопасность носителей персональных данных и контроль доступа в помещения обработки персональных данных. Хорошей практикой является наличие утвержденного списка лиц, допущенных в серверное помещение.

Назначить должностное лицо (работника), ответственного за обеспечение безопасности персональных данных в ИСПДн.

Внести правки в положение о структурном подразделении, ответственного за обеспечение безопасности персональных данных.

Разработать и утвердить перечень лиц, допущенных к обработке персональных данных.

Для СЗПДн использовать средства защиты информации (СЗИ), прошедшие процедуру оценки соответствия.

Определить процедуру регулярных проверок выполнения требований к СЗПДн (процедура внутреннего контроля).

Пересмотреть/Доработать с учетом новых данных (сделать, если еще не сделали):

Пересмотреть протокол возможного ущерба субъектам ПДн.

Пересмотреть и обновить Акты классификации ИСПДн с учетом уровней защищенности.

Быть готовым к пересмотру и доработке

Быть готовым к пересмотру модели угроз ИСПДн.

Быть готовым к пересмотру всей СЗПДн и закупке новых СЗИ.

ЧТО ПРЕДЛАГАЕТСЯ:

Мы предлагаем аттестацию уже имеющейся информационной системы персональных данных предприятия (ИСПДн) на соответствие требованиям Федерального закона «О персональных данных» от 27.07.2006 N 152-ФЗ, постановлениями Правительства Российской Федерации и подзаконными актами государственных информационных систем (ГИС) по требованиям ФСТЭК и ФСБ России автоматизированных систем (АС) по требованиям ФСТЭК и ФСБ России.

Состав работ:

• Аудит ИТ-инфраструктуры и информационной безопасности, оценка текущего уровня защищенности;
• Разработка мер по приведению инфраструктуры заказчика в соответствие требованиям нормативно-правовых актов;
• Проектирование и внедрение систем защиты;
• Разработка организационно-распорядительной документации (ОРД), программы и методики испытаний (ПМИ);
• Аттестационные испытания;
• Подготовка отчетных материалов.

Аттестация проводится независимыми аудиторами, обладающими лицензиями ФСТЭК и ФСБ России.

Постановление Правительства РФ от 1 ноября 2012 г. N 1119.docx

Постановление Правительства РФ от 1 ноября 2012 г. N 1119.pdf

О стоимости и порядке предоставления услуги Вы можете узнать обратившись к форме обратной связи.