Оценка соответствия требованиям Федерального закона «О персональных данных»

Анализ и оценка соответствия требованиям законодательства является первым этапом приведения процессов обработки и защиты персональных данных (ПДн) в соответствие действующему законодательству.

Для проведения такой оценки необходимо провести сбор информации о процессах обработки ПДн, анализ текущих процессов обработки ПДн, а также применяемых мер защиты ПДн на предмет соответствия требованиям Федерального закона № 152-ФЗ «О персональных данных» и нормативных правовых актов, принятых во исполнение 152-ФЗ (постановлений Правительства РФ, нормативных документов ФСТЭК России, ФСБ России, Роскомнадзора и других). Все результаты должны быть отражены в документации.

Сбор информации осуществляется следующими способами:

сбор и анализ действующей документации Компании, устанавливающей порядок обработки и обеспечения защиты ПДн, типовых форм документов, содержащих ПДн, шаблонов договоров с клиентами и контрагентами, а также иных документов на предмет соответствия требованиям нормативных актов;
сбор и анализ эксплуатационной документации информационных систем Компании, описывающей состав, структуру, функциональные возможности, технические характеристики и порядок использования ИСПДн и средств защиты информации;
интервьюирование и анкетирование работников, осуществляющих обработку персональных данных и администрирование ИТ-инфраструктуры Компании.

Оценка соответствия процессов обработки и защиты ПДн включает в себя:

определение перечня обрабатываемых персональных данных, целей их обработки и категорий ПДн;
анализ процессов, связанных с обработкой персональных данных, с точки зрения их соответствия положениям Федерального закона № 152-ФЗ «О персональных данных»;
определение перечня элементов информационных систем персональных данных (ИСПДн) – подсистем ИСПДн, входящих в их состав технических средств;
определение степени участия персонала в обработке персональных данных, характера взаимодействия персонала, ответственного за обеспечение безопасности ПДн;
оценку актуальности и достаточности внутренних нормативных документов, регламентирующих порядок обработки и защиты персональных данных;
определение используемых технических средств, организационных мер и способов защиты персональных данных и оценка их соответствия требованиям нормативных документов;
моделирование потенциального нарушителя безопасности ПДн и формирование совокупности предположений о возможностях, которые могут использоваться нарушителями при создании способов, подготовке и проведении атак;
определение актуальных угроз безопасности ПДн и типа актуальных угроз безопасности ПДн;
определение требуемого уровня защищенности ПДн при их обработке в ИСПДн в соответствии с составом, объемом обрабатываемых ПДн и типом актуальных угроз безопасности ПДн.

По результатам обследования формируется отчет, в котором содержатся описание текущего состояния процессов обработки и защиты персональных данных, оценка их соответствия требованиям правовых актов и рекомендации по устранению выявленных недостатков и нарушений.

Кроме того, при необходимости разрабатываются следующие документы:

Перечень обрабатываемых персональных данных;
Перечень информационных систем персональных данных;
Перечень подразделений и сотрудников, допущенных к обработке персональных данных;
Перечень мест хранения носителей персональных данных, обрабатываемых без использования средств автоматизации;
Частная модель нарушителя и угроз безопасности персональных данных при их обработке в информационных системах персональных данных (для каждой ИСПДн);
Необходимый комплект приказов об утверждении указанных выше документов;
Приказ о выборе требуемых уровней защищенности ПДн.

В случае появления вопросов или интереса к описанной услуге, пожалуйста, свяжитесь с нами по телефону +7 (495) 980-67-76 или через форму обратной связи, адресовав вопрос в «Коммерческий отдел».