Безопасность информационных систем персональных данных (ИСПДн)

Персональные данные - это любая информация, которая может быть использована для идентификации физического лица. Это может быть как общая информация (имя, дата рождения, место рождения, адрес), так и более конкретная (семейное, социальное и экономическое положение, данные о здоровье, профессия), и хранится она в информационных системах персональных данных.

Оператор персональных данных - орган государственной власти, муниципалитет или частное лицо, осуществляющее обработку и защиту персональных данных в информационной системе и несущее непосредственную ответственность за их безопасность.

В соответствии со статьей 19 закона РФ №152-ФЗ "О персональных данных", оператор обязан принимать необходимые правовые, технические и организационные меры по обеспечению безопасности  персональных данных от любых неправомерных действий на всех этапах работы.

Зачем нужна безопасность персональных данных в информационных системах

Невыполнение требований мер по обеспечению безопасности при работе с персональными данными предусматривает административную ответственность по статье 13.11 КоАП РФ. 

Контроль за обработкой ИСПДн:

• ФСТЭК России. Проверка технической и организационной части обработки персональных данных.
• Роскомнадзор. Защита права субъекта ПДн и контроль за соответствием технологии обработки персональных данных требованиям закона № 152-ФЗ.
• ФСБ России. Осуществление контроля за безопасностью ПДн в обработке.

Этапы построения системы защиты персональных данных в ИС

Обследование безопасности информационной системы.

Сначала организация определяет, на каких рабочих местах будут обрабатываться персональные данные и какие сотрудники будут осуществлять обработку. Далее организация определяет категории и типы обрабатываемых данных, уровень защищенности информационной системы персональных данных (ИСПДн) и возможные угрозы.

В результате указанных действий составляются договоры на практическое развитие системы безопасности.

Установка средств защиты информации.

Также, в зависимости от условий договора, для развития системы должны быть приобретены и установлены такие средства защиты информации, как средства защиты данных от несанкционированного доступа, межсетевые экраны, антивирусные средства и средства анализа защищенности. На данном этапе установка средств защиты информации в ИСПДн должна осуществляться организацией, имеющей лицензию ФСБ России и/или ФСТЭК России на право выполнения этих работ.

Аттестация информационной системы персональных данных

Данный этап осуществляется Организацией только совместно с российской организацией/лицензиатом ФСТЭК России, имеющей опыт и компетенцию для выполнения данного вида работ. Сотрудники лицензиата организуют аттестационную комиссию, которой поручается оценить адекватность мер по защите информации.

По завершении работы комиссии лицензиат выдает сертификат соответствия. Наличие у оператора персональных данных сертификата соответствия подтверждает, что информационная система персональных данных соответствует требованиям российского законодательства.

Сертификат соответствия действует на постоянной основе, однако операторы должны проходить оценку эффективности мер защиты каждые три года.

Оценка эффективности мер защиты персональных данных

Помимо аттестации и создания систем защиты персональных данных, организации обязаны проводить оценку эффективности защиты персональных данных.

В соответствии с Приказом № 21 ФСТЭК России, организация вправе проводить оценку эффективности самостоятельно или с привлечением уполномоченного юридического лица или индивидуального предпринимателя. При этом организация по своему усмотрению принимает решение о формате оценки эффективности и документации, которая должна быть составлена в ходе оценки. Основными этапами этого процесса являются разработка методики оценки и тестирование соответствия ИСПДн требованиям защищенности персональных данных от угроз. Оценка эффективности мер ИСПДн проводится в соответствии с национальными стандартами ГОСТ. Успешное прохождение испытаний подтверждается постоянно действующим сертификатом соответствия. Оценка эффективности должна проводиться раз в три года.

ООО "ЦИТ" обеспечит защиту Вашей ИСПДн

Оказываем полный комплекс услуг по созданию и обеспечению безопасности информационных систем персональных данных, помогает снизить правовые риски в рамках №152-ФЗ и сократить ваши расходы на организацию IT-инфраструктуры.

Системный интегратор в области ИБ

Более 10 лет обеспечиваем безопасность информационных систем персональных данных различного уровня сложности.

Подключимся на любом этапе

Выполняем проекты по обеспечению безопасности ИСПДн любой сложности «под ключ», либо подключимся к проекту в нужный момент.

Интеграция в систему

Доработаем вашу имеющуюся систему защиты персональных данных в соответствии с актуальными требованиями законодательства.

Аудит существующей системы 

Проведем обследование вашей системы, организационно-распорядительной документации, дадим рекомендации по доработке системы.