720 инструкция по шифровальной службе в российской федерации

Оказание услуг и проведение мероприятий по защите персональных данных проводится в несколько этапов:

1. Предварительное обследование информационных систем обработки персональных данных (ИСПДн):
• идентификация персональных данных, используемых способов их получения, обработки и защиты;
• идентификация и анализ существующих процессов и средств обеспечения безопасности персональных данных при их обработке;
• определение и документирование исходных данных ИСПДн (физическое расположение, организационная структура, состав и структура программных и технических средств, процессы обработки, каналы связи, области и границы и т.д.);
• анализ требований законодательства РФ в области персональных данных, а также проверка их выполнения;
• анализ защищенности ИСПДн, идентификация и анализ технических и организационных уязвимостей;
• подготовка отчета по результатам предварительного обследования;
• разработка модели актуальных угроз в отношении персональных данных и модели нарушителя;
• определение необходимого уровня защищенности ИСПДн в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119.
2. Разработка и внедрение подсистемы информационной безопасности информационной системы обработки персональных данных (ПИБ ИСПДн):
• разработка Технического задания, содержащего требования безопасности, соответствующие необходимому уровню защищенности персональных данных и технического проекта на создание ПИБ ИСПДн, реализующего выполнение указанных требований;
• разработка необходимой технической, эксплуатационной и организационно-распорядительной документации;
• поставка, установка и настройка сертифицированных средств защиты информации (СЗИ).
3. Аттестационные испытания информационных систем обработки персональных данных (ИСПДн) по требованиям безопасности информации:
• разработка программы и методики проведения аттестационных испытаний ИСПДн;
• проведение испытаний отдельных компонентов и подсистем ИСПДн и оформление соответствующих протоколов по результатам испытаний;
• подготовка заключения по результатам аттестационных испытаний объекта информатизации;
• оформление «Аттестата соответствия» ИСПДн требованиям по обеспечению безопасности персональных данных при их обработке с использованием средств автоматизации.
4. Уничтожение конфиденциальной информации на машинных носителях информации с использованием сертифицированных средств.
5. Проведение мероприятий по оценке принятых оператором правовых и организационных мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом Российской Федерации от 27.07.2006 №152-ФЗ «О персональных данных») и принятыми в соответствии с ним нормативными правовыми актами.
6. Разработка документов, предусмотренных ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами:

— для государственных и муниципальных органов;

— для юридических лиц.

7. Консультирование по вопросам защиты персональных данных обрабатываемых в информационных системах персональных данных и по организации обработки персональных данных без использования средств автоматизации в соответствии с требованиями предусмотренными постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
8. При наличии пакетов документов, указанных в п.6 сотрудники компании могут оказать помощь, при подготовке к проведению проверки уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзора) за соответствием обработки персональных данных требованиям требованиям законодательства РФ в области персональных данных.

Несоблюдение и/или нарушение требований по защите персональных данных может привести к следующим последствиям:

• судебные иски к учреждениям со стороны их сотрудников, партнеров и посетителей;
• принудительное приостановление (до 90 суток) или прекращение обработки персональных данных;
• приостановление действия или аннулирование лицензии на основной вид деятельности учреждения;
• привлечение учреждения и/или его руководителя к гражданской, административной и уголовной ответственности.

Постановления правительства

Постановление от 16 апреля 2012 г. N 313
«Об утверждении Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)»;

Документы Группы компаний «СпецПроект»

Закон РФ от 05.03.1992 N 2446-1 (ред. от 26.066.2008) «О
безопасности»

Постановления правительства

Постановление Правительства РФ от 26.06.1995 N 608 (ред. от
21.04.2010)
«О
сертификации средств защиты информации»

Указ Президента РФ от 16.08.2004 N 1085 (ред. от 29.06.2013)
«Вопросы Федеральной службы по
техническому и экспортному контролю»
(Выписка)