Регламент проведения инструктажа по информационной безопасности


Инструкция пользователя по обеспечению ИБ

Инструкция

пользователя по обеспечению информационной безопасности

 1. Общие положения

1.1. Настоящая Инструкция определяет основные обязанности и ответственность пользователя, допущенного к обработке конфиденциальной информации.

1.2. Пользователь при выполнении работ в пределах своих функциональных обязанностей, обеспечивает безопасность конфиденциальной информации и несет персональную ответственность за соблюдение требований руководящих документов по защите информации.

2. Основные обязанности пользователя:

2.1. Выполнять общие требования по обеспечению режима конфиденциальности проводимых работ, установленные законодательством РФ, внутренними документами организации и настоящей Инструкцией.

2.2. При работе с конфиденциальной информацией располагать во время работы экран видео монитора так, чтобы исключалась возможность просмотра отображаемой на нем информации посторонними лицами.

2.3. Соблюдать правила работы со средствами защиты информации и установленный режим разграничения доступа к техническим средствам, программам, базам данных, файлам и другим носителям конфиденциальной информацией при ее обработке.

2.4. После окончания обработки конфиденциальной информации в рамках выполнения одного задания, а также по окончании рабочего дня, произвести стирание остаточной информации с жесткого диска ЭВМ.

2.5. В случае выявления инцидентов информационной безопасности (фактов или попыток несанкционированного доступа к информации, обрабатываемой в ЭВМ или без использования средств автоматизации) немедленно сообщить об этом в Департамент экономической безопасности, по требованию руководителя подразделения написать служебную записку на имя руководителя подразделения и принять участие в служебной проверке по данному инциденту.

2.6. Самостоятельно не устанавливать на ЭВМ какие-либо аппаратные или программные средства.

2.7. Знать штатные режимы работы программного обеспечения, основные пути проникновения и распространения компьютерных вирусов.

2.9. Помнить личные пароли и персональные идентификаторы, хранить их в тайне, не оставлять без присмотра носители, их содержащие, и хранить в запирающемся ящике стола или сейфе. С установленной периодичностью менять свой пароль (пароли).

2.10. При применении внешних носителей информации перед началом работы провести их проверку на предмет наличия компьютерных вирусов средствами ЭВМ.

2.11. Знать и строго выполнять правила работы с установленными на его ЭВМ средствами защиты информации (антивирус, средства разграничения доступа, средства криптографической защиты и т.п.) в соответствии с технической документацией на эти средства.

2.12. Передавать для хранения установленным порядком свое индивидуальное устройство идентификации (Touch Memory , Smart Card , Proximity и т.п.), другие реквизиты разграничения доступа и носители ключевой информации только руководителю подразделения или ответственному за информационную безопасность.

2.13. Надежно хранить и никому не передавать личную печать.

2.14. Немедленно ставить в известность Департамент экономической безопасности и руководителя подразделения при обнаружении:

  • нарушений целостности пломб (наклеек, нарушении или несоответствии номеров печатей) на аппаратных средствах или иных фактов совершения в его отсутствие попыток несанкционированного доступа к закрепленной за ним защищенной ЭВМ;
  • некорректного функционирования установленных на ЭВМ технических средств защиты;
  • отклонений в нормальной работе системных и прикладных программных средств, затрудняющих эксплуатацию ЭВМ, выхода из строя или неустойчивого функционирования узлов ЭВМ или периферийных устройств (дисководов, принтера и т.п.), а также перебоев в системе электроснабжения.

2.15. По завершении работ по изменению аппаратно-программной конфигурации, закрепленной за ним ЭВМ проверять ее работоспособность.

3. Обеспечение антивирусной безопасности

3.1.Основными путями проникновения вирусов в информационно-вычислительную сеть организации являются: съемные носители информации, электронная почта, файлы, получаемые из сети Интернет, ранее зараженные ЭВМ.

3.2. При возникновении подозрения на наличие компьютерного вируса (сообщение антивирусной программы, нетипичная работа программ, появление графических и звуковых эффектов, искажений данных, пропадание файлов, частое появление сообщений о системных ошибках и т.п.) пользователь должен провести внеочередной антивирусный контроль ЭВМ.

3.3. В случае обнаружения при проведении антивирусной проверки зараженных компьютерными вирусами файлов пользователь ОБЯЗАН:

  • прекратить (приостановить) работу;
  • немедленно поставить в известность о факте обнаружения зараженных вирусом файлов своего непосредственного руководителя, ответственного за информационную безопасность, а также смежные подразделения, использующие эти файлы в работе;
  • оценить необходимость дальнейшего использования файлов, зараженных вирусом;
  • провести лечение или уничтожение зараженных файлов (при необходимости для выполнения требований данного пункта следует привлечь администратора системы).

3.4. Пользователю ЗАПРЕЩАЕТСЯ:

  • отключать средства антивирусной защиты информации;
  • без разрешения копировать любые файлы, устанавливать и использовать любое программное обеспечение, не предназначенное для выполнения служебных задач.

4. Обеспечение безопасности персональных данных

4.1. Основанием для допуска работника организации к обработке персональных данных в рамках своих функциональных обязанностей является Перечнем должностей, утвержденным директором организации и должностная инструкция работника. Основанием для прекращения допуска к персональным данным является исключение из Перечня должностей, утвержденным директором организации и (или) изменение должностной инструкции работника.

4.3. Каждый работник организации, участвующий в процессах обработки персональных данных и имеющий доступ к аппаратным средствам, программному обеспечению и базам данных системы организации, является пользователем и несет персональную ответственность за свои действия.

4.4. Пользователь ОБЯЗАН:

  • знать требования руководящих документов по защите персональных данных;
  • производить обработку защищаемой информации в строгом соответствии с утвержденными технологическими инструкциями;
  • строго соблюдать установленные правила обеспечения безопасности персональных данных при работе с программными и техническими средствами.

4.5. Пользователю ЗАПРЕЩАЕТСЯ:

  • использовать компоненты программного и аппаратного обеспечения не по назначению (в неслужебных целях);
  • использовать средства разработки и отладки программного обеспечения стандартных программных средств общего назначения (MS Office и др.);
  • самовольно вносить какие-либо изменения в конфигурацию аппаратно — программных средств ЭВМ или устанавливать дополнительно любые программные и аппаратные средства;
  • осуществлять обработку персональных данных в присутствии посторонних (не допущенных к данной информации) лиц;
  • записывать и хранить персональные данные на неучтенных съемных носителях информации (гибких магнитных дисках, флэш — накопителях и т.п.), осуществлять несанкционированную распечатку персональных данных;
  • оставлять включенной без присмотра свою ЭВМ, не активизировав средства защиты от несанкционированного доступа (временную блокировку экрана и клавиатуры);
  • оставлять без личного присмотра на рабочем месте или где бы то ни было свое персональное устройство идентификации, носители и распечатки, содержащие персональные данные;
  • умышленно использовать недокументированные свойства и ошибки в программном обеспечении или в настройках средств защиты, которые могут привести к нарушениям безопасности персональных данных. Об обнаружении такого рода ошибок — ставить в известность ответственного за безопасность информации и руководителя подразделения.

4.6. Особенности обработки персональных данных без использования средств автоматизации.

4.6.1. Обработка персональных данных считается не автоматизированной, если она осуществляется без использования средств вычислительной техники.

4.6.2. Допуск к не автоматизированной обработке персональных данных осуществляется в соответствии с Перечнем должностей сотрудников организации, имеющих доступ к персональным данным, которые несут ответственность за реализацию требований по обеспечению безопасности персональных данных.

4.6.3. Персональные данные при их не автоматизированной обработке и хранении должны обособляться от иной информации путем фиксации их на отдельных материальных носителях в специальных разделах или на полях форм (бланков).

4.6.4. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.

4.6.5. Для каждой категории персональных данных используется отдельный материальный носитель.

4.6.6. Хранение материальных носителей персональных данных осуществляется в специальных шкафах (ящиках, сейфах и т.д.), обеспечивающих сохранность материальных носителей и исключающих несанкционированный к ним доступ.

5. Обеспечение информационной безопасности при использовании ресурсов сети Интернет

5.1. Ресурсы сети Интернет могут использоваться для осуществления выполнения требований законодательства Российской Федерации, дистанционного обслуживания, получения и распространения информации, связанной с деятельностью организации (в том числе, путем создания информационного web-сайта), информационно-аналитической работы в интересах организации, обмена почтовыми сообщениями, а также ведения собственной хозяйственной деятельности. Иное использование ресурсов сети Интернет, решение о котором не принято руководством организации в установленном порядке, рассматривается как нарушение информационной безопасности.

5.2. С целью ограничения использования сети Интернет в неустановленных целях выделяется ограниченное число пакетов, содержащих перечень сервисов и ресурсов сети Интернет, доступных для пользователей. Наделение работников организации правами пользователя конкретного пакета выполняется в соответствии с его должностными обязанностями.

5.3.Особенности использования сети Интернет:

  • сеть Интернет не имеет единого органа управления (за исключением службы управления пространством имен и адресов) и не является юридическим лицом, с которым можно было бы заключить договор (соглашение). Провайдеры (посредники) сети Интернет могут обеспечить только те услуги, которые реализуются непосредственно ими;
  • гарантии по обеспечению информационной безопасности при использовании сети Интернет никаким органом не предоставляются.

5.4. При осуществлении электронного документооборота, в связи с повышенными рисками информационной безопасности при взаимодействии с сетью Интернет организация применяет соответствующие средства защиты информации (межсетевые экраны, антивирусные средства, средства криптографической защиты информации и пр.), обеспечивающие прием и передачу информации только в установленном формате и только для конкретной технологии.

5.5. Почтовый обмен конфиденциальной информацией через сеть Интернет осуществляется с использованием защитных мер.

5.6. Электронная почта организации подлежит периодической архивации. Доступ к архиву разрешен только подразделению (лицу) в организации, ответственному за обеспечение информационной безопасности. Изменения в архиве не допускаются.

5.7. При взаимодействии с сетью Интернет Департамент информационных технологий обеспечивает программными и аппаратными средствами противодействие атакам хакеров и распространению спама.

5.8. При пользовании ресурсами сети Интернет ЗАПРЕЩАЕТСЯ:

  • использовать на рабочем месте иные каналы доступа ЭВМ к сети Интернет, кроме установленного;
  • проводить самостоятельное изменение конфигурации технического и программного обеспечения ЭВМ, подключенной к сети Интернет;
  • осуществлять отправку электронных почтовых сообщений, содержащих конфиденциальную информацию, по открытым каналам;
  • использовать иные, кроме служебных, почтовые ящики для электронной переписки;
  • открывать файлы, пришедшие вместе с почтовым сообщением, если не известен источник этого сообщения;
  • осуществлять перенос полученной по сети Интернет документированной информации в электронном виде на другие компьютеры без проверки ее антивирусными программами;
  • скачивать из сети Интернет, в том числе средствами электронной почты, информацию, содержащую исполняемые модули, программы, драйверы и т.п., без предварительного согласования с Департаментом информационных технологий;
  • использовать сеть Интернет вне служебных задач, посещать интернет – сайты, не связанные с выполнением должностных обязанностей.

6. Порядок работы с носителями ключевой информации

6.1. В некоторых подсистемах организации для обеспечения контроля за целостностью передаваемых по технологическим каналам электронных документов (далее – ЭД), а также для подтверждения их подлинности и авторства могут использоваться средства электронной подписи (далее – ЭП).

6.2. Работнику организации (владельцу ключа ЭП), которому в соответствии с его должностными обязанностями предоставлено право постановки на ЭД его ЭП, выдается персональный ключевой носитель информации, на который записана уникальная ключевая информация (ключ ЭП), относящаяся к категории сведений ограниченного распространения.

6.3. Ключевые носители маркируются соответствующими этикетками, на которых отражается: регистрационный номер носителя и, при возможности размещения, дата изготовления и подпись уполномоченного сотрудника, изготовившего носитель, вид ключевой информации — эталон или рабочая копия, фамилия, имя, отчество и подпись владельца ключа ЭП.

6.4. Персональные ключевые носители (эталон и рабочую копию) владелец ключа ЭП должен хранить в специальном месте, гарантирующем их сохранность.

6.5. Ключи проверки ЭП установленным порядком регистрируются в справочнике «открытых» ключей, используемом при проверке подлинности документов по установленным на них ЭП.

6.6. Владелец ключа ОБЯЗАН:

  • под подпись в «Журнале учета ключевых носителей» получить ключевые носители, убедиться, что они правильно маркированы и на них установлена защита от записи;
  • использовать для работы только рабочую копию своего ключевого носителя;
  • сдавать свой персональный ключевой носитель на временное хранение руководителю подразделения или ответственному за информационную безопасность в период отсутствия на рабочем месте (например, на время отпуска или командировки);
  • в случае порчи рабочей копии ключевого носителя (например, при ошибке чтения) владелец ЭП обязан передать его уполномоченному сотруднику, который должен в присутствии исполнителя сделать новую рабочую копию ключевого носителя с имеющегося эталона и выдать его взамен испорченного. Испорченная рабочая копия ключевого носителя должна быть уничтожена.

6.7. Владельцу ключа ЭП ЗАПРЕЩАЕТСЯ:

  • оставлять ключевой носитель без личного присмотра;
  • передавать свой ключевой носитель (эталонную или рабочую копию) другим лицам (кроме как для хранения руководителю подразделения или ответственному за информационную безопасность);
  • делать неучтенные копии ключевого носителя, распечатывать или переписывать с него файлы на иной носитель информации (например, жесткий диск ЭВМ), снимать защиту от записи, вносить изменения в файлы, находящиеся на ключевом носителе;
  • использовать ключевой носитель на заведомо неисправном дисководе и/или ЭВМ;
  • подписывать своим персональным ключом ЭП любые электронные сообщения и документы, кроме тех видов документов, которые регламентированы технологическим процессом;
  • сообщать третьим лицам информацию о владении ключом ЭП для данного технологического процесса.

6.8. Действия при компрометации ключей

6.8.1. Если у владельца ключа ЭП появилось подозрение, что его ключевой носитель попал или мог попасть в чужие руки (был скомпрометирован), он обязан немедленно прекратить (не возобновлять) работу с ключевым носителем, сообщить об этом в Департамент информационных технологий и Департамент экономической безопасности, сдать скомпрометированный ключевой носитель с пометкой в журнале учета ключевых носителей о причине компрометации, написать служебную записку о факте компрометации персонального ключевого носителя на имя руководителя подразделения.

6.8.2. В случае утери ключевого носителя владелец ключа ЭП обязан немедленно сообщить об этом в Департамент информационных технологий и Департамент экономической безопасности, написать объяснительную записку об утере ключевого носителя на имя руководителя подразделения и принять участие в служебной проверке по факту утери ключевого носителя.

6.8.3. Ответственный за информационную безопасность обязан немедленно оповестить о факте утраты или компрометации ключевого носителя руководство организации для принятия действий по блокированию ключей для ЭП указанного исполнителя.

6.8.4. По решению руководства организации установленным порядком владелец ключа ЭП может получить новый комплект персональных ключевых носителей взамен скомпрометированных.

6.8.5. В случае перевода владельца ключа ЭП на другую работу, увольнения или прекращения трудовых отношений иным образом он обязан сдать (сразу по окончании последнего сеанса работы) свой ключевой носитель ответственному за информационную безопасность под подпись в журнале учёта.

7. Организация парольной защиты.

7.1. Пароль для своей учетной записи пользователь устанавливает самостоятельно.

7.2. Запрещается использовать пароль домена локальной вычислительной сети (вводится при загрузке ЭВМ) для входа в иные автоматизированные системы.

7.2. Длина пароля должна быть не менее 7 символов. В числе символов пароля рекомендуется использовать буквы в верхнем и нижнем регистрах, цифры и специальные символы (@, #, $, &, *, % и т.п.).

7.3. Пароль не должен включать в себя легко вычисляемые сочетания символов (логины, имена, фамилии и т.д.), а также общепринятые сокращения (ЭВМ, ЛВС, USER и т.п.).

7.4. При смене пароля новое значение должно отличаться от предыдущего не менее чем в 5 позициях.

7.5. Пользователь обязан хранить в тайне свой личный пароль.

7.6. Требования к паролю и периодичность его смены устанавливаются в групповых доменных политиках.

8. Ответственность пользователей

8.1. Работники организации несут ответственность согласно действующему законодательству, за разглашение сведений, составляющих служебную, коммерческую и иную охраняемую законом тайну (в том числе персональные данные) и сведений ограниченного распространения, ставших им известными по роду работы.

8.2. Нарушения установленных правил и требований по обеспечению информационной безопасности являются основанием для применения к работнику (пользователю) мер наказания, предусмотренных трудовым законодательством.

Скачать ZIP файл (26892): Instruktsiya-polzovatelya-IB.zip

Пригодились документы — поставь «лайк»:



Полный пакет документов по защите информации 44 документа
MS Word 2010 12 Mb -> СКАЧАТЬ
Защита персональных данных 18 документов
                      MS Word 2010 0,5 Mb) ->СКАЧАТЬ
Все вместе: защита информации + защита персональных данных      62 документа
MS Word 2010 12,5 Mb -> СКАЧАТЬ

+ Защита коммерческой тайны     2 документа MS Word 2010 0,05 Mb -> СКАЧАТЬ

Библиотека по защите информации   24 Книги   ОТКРЫТЬ

Выложенные здесь документы по информационной безопасности и защите персональных данных разработаны самостоятельно, с учетом имеющейся нормативной базы в стране. Документы использовались на строительно-монтажном предприятии, имеющем удаленные филиалы. Размещены они в таком порядке, в котором,на наш взгляд, их следует принимать и исполнять. Вы можете скачать документы сразу одним файлом или только требуемые документы.

Документы по защите информации

1. Концепция информационной безопасности организации, инструкции ответственных лиц.

      - концепция информационной безопасности организации -> СКАЧАТЬ       - должностная инструкция администратора безопасности -> СКАЧАТЬ       - должностная инструкция администратора ЛВС -> СКАЧАТЬ       - должностная инструкция администратора баз данных -> СКАЧАТЬ       - приказ об утверждении концепции информационной безопасности и назначании лиц, ответственных за защиту информации -> СКАЧАТЬ

2. Перечень информационных ресурсов организации.

      - перечень информационных ресурсов организации (образец) -> СКАЧАТЬ

3. Перечень защищаемых помещений.

      - приказ о защищаемых помещениях и помещених с ограниченным доступом -> СКАЧАТЬ       - приложение 1 - перечень защищаемых помещений и помещений с ограниченным лоступом (образец) -> СКАЧАТЬ       - приложение 2 - список сотрудников, имеющих доступ в помещения с ограниченным доступом (образец) -> СКАЧАТЬ       - технический паспорт защищаемого помещения -> СКАЧАТЬ

4. Планы мероприятий и планы работ по защите информации.

      - план действий по обеспечению информационной безопасности -> СКАЧАТЬ       - план работ по защите информации -> СКАЧАТЬ

5. Порядок разграничения прав доступа к информационным ресурсам.

      - порядок доступа к информационным, программным и аппаратным ресурсам -> СКАЧАТЬ       - приказ о порядке доступа к информационным ресурсам и утверждении их перечня -> СКАЧАТЬ

6. Положение об использовании программного обеспечения.

      - положение об использовании программного обеспечения -> СКАЧАТЬ       - приказ об использовании программного обеспечения -> СКАЧАТЬ

7. Положение об использовании сети Internet и электронной почты.

      - положение об использовании сети Интернет и электронной почты -> СКАЧАТЬ       - приложение 1 - список адресов электронной почты сотрудников -> СКАЧАТЬ       - приказ об использовании сети интернет и электронной почты -> СКАЧАТЬ

8. Положение о парольной защите.

      - положение по организации парольной защиты -> СКАЧАТЬ       - приказ по организации парольной защиты -> СКАЧАТЬ

9. Положение о резервном копировании.

      - положение о резерном копировании -> СКАЧАТЬ       - приказ о резервном копировании -> СКАЧАТЬ

10. Положение об антивирусном контроле.

      - положение об антивирусном контроле -> СКАЧАТЬ       - приказ об антивирусном контроле -> СКАЧАТЬ

11. Положение об использовании съемных носителях информации.

      - положение об использовании мобильных устройств и носителей информации -> СКАЧАТЬ

12. План обеспечения непрерывной работы и восстановления работоспособности.

      - план обеспечения непрерывности работы и восстановления автоматизированной системы -> СКАЧАТЬ       - приказ об введение в действие плана -> СКАЧАТЬ

13. Регламент реагирования на инциденты информационной безопасности.

      - регламент реагирования на инциденты информационной безопасности -> СКАЧАТЬ

14. Памятка сотруднику по информационной безопасности.

      - памятка по информационной безопасности -> СКАЧАТЬ

15. Сертификаты ФСБ, ФСТЭК, лицензии.

      - сертификаты ФСБ, ФСТЭК, лицензии на программные и аппаратные средства защиты информации -> СКАЧАТЬ

16. Нормативно-справочная информация.

      - руководящие документы Гостехкомиссии, ГОСТы, ISO, федеральные законы по защите информации -> СКАЧАТЬ

17. Образцы документов.

     а) для начальников структурных подразделений:       - заявка на предоставление доступа к информационным ресурсам -> СКАЧАТЬ       - служебная записка на изменение состава информационных ресурсов -> СКАЧАТЬ       - перечень информационных ресурсов организации -> СКАЧАТЬ       - заявка на предоставление работнику мобильного устройства или носителя информации -> СКАЧАТЬ       - перечень программного обеспечения, разрешенного для использования -> СКАЧАТЬ      б) для администратора информационной безопасности:

      - журнал регистрации и учета заявок на предоставление доступа к информационным ресурсам -> СКАЧАТЬ

      - журнал инструктажа пользователей с правилами доступа к ресурсам -> СКАЧАТЬ       - паспорт автоматизированного рабочего места -> СКАЧАТЬ       - перечень данных¸ подлежащих резервному копированию и хранению -> СКАЧАТЬ       - расписание резервного копирования -> СКАЧАТЬ       - список работников, имеющих право работы с мобильными устройствами вне территории -> СКАЧАТЬ       - картотека Инциденты информационной безопасности -> СКАЧАТЬ

18. Приказ о проведении работ по защите информации.

      - финальный приказ, конкретизирующий дальнейшие действия должностных лиц -> СКАЧАТЬ

Защита персональных данных

1. Политика в области защиты персональных данных.

      - политика организации в области обработки и защиты персональных данных -> СКАЧАТЬ

2. Перечень песональных данных.

      - перечень персональных данных -> СКАЧАТЬ

3. Список информационных систем, в которых циркулируют персональные данные.

      - список автоматизированных систем с персональными данными -> СКАЧАТЬ       - список неавтоматизированных систем -> СКАЧАТЬ       - персональные данные в медпункте -> СКАЧАТЬ

4. Положение об обработке персональных данных.

      - положение об обработке персональных данных -> СКАЧАТЬ       - приложение 7 - список должностных лиц, осуществляющих обработку персональных данных -> СКАЧАТЬ       - приложение 8 - журнал учета допуска к обработке персональных данных -> СКАЧАТЬ

5. Модель угроз и модель нарушителя.

      - модель угроз и нарушителя безопасности персональных данных -> СКАЧАТЬ

6. Инструкция об обработке персональных данных без использования средств автоматизации.

      - инструкция об обработке персональных данных без использования средств автоматизации -> СКАЧАТЬ

7. Приказы по персональным данным.

      - приказ об утверждении нормативных актов по защите персональных данных -> СКАЧАТЬ       - приказ о порядке исполнения нормативных актов по вопросам обработки персональных данных -> СКАЧАТЬ

8. Прочие документы.

      - что необходимо для реализации учета обрабатываемых персональных данных и их защиты -> СКАЧАТЬ       - журнал учета допуска работников к обработке персональных данных -> СКАЧАТЬ       - лист ознакомления с документами по защите персональных данных -> СКАЧАТЬ       - информационное письмо в Роскомнадзор о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных -> СКАЧАТЬ       - регламент проведения проверок органами Роскомнадзора -> СКАЧАТЬ       - регламент проведения проверок ФСБ РФ в области защиты персональных данных -> СКАЧАТЬ

Твитнуть

Журнал проведения инструктажей по информационной безопасности

Можно скачать этот документ в формате MS Word. Скачивание доступно только зарегистрированным пользователям.

Типовая форма

ЖУРНАЛ

проведения инструктажей по информационной безопасности

Начат:_________________

Окончен:_______________

№ п/п

Наименование ИСПДн

Дата

проведения инструктажа

ФИО инструктируемого сотрудника

Краткое содержание инструктажа

Должность, ФИО, проводившего инструктаж

Подпись инструктирующего

Подпись инструктируемого

Войдите или зарегистрируйтесь, чтобы оставлять комментарии.Забыли пароль?

Снова о защите персональных данных или готовимся к проверке Роскомнадзора

Всем доброго времени суток! В этой статье я хотел бы еще раз поднять тему защиты персональных данных (далее будем обзывать их — ПДн), а также тему защиты от регуляторов. Пик дебатов на тему защиты ПДн давно прошел. Приходились эти пики как правило на приближение очередного «самого последнего срока» ввода 152-ФЗ в полную силу. В итоге «самый последний срок» наступил, активные дебаты стихли, но закон «О персональных данных» живет, регуляторы устраивают проверки и наказывают нарушителей. Поэтому тема будет еще долго актуальна. Сразу оговорюсь, что в этой статье в основном будет информация организационного характера, нежели техническая. «А зачем такая информация нужна нам?» — спросит читатель хабра. Объясняю: так уж получилось, что начальники как крупных, так и не очень организаций не любят выстраивать длинные логические цепочки и вникать в суть вопроса, который лежит далеко от их компетенции. Поэтому при возникновении необходимости обеспечения защиты персональных данных строится вполне логичная по их мнению взаимосвязь: «Защита персональных данных» -> «Защита информации» -> «Информационные технологии» -> «Взвалить вопрос защиты ПДн на IT-шников». И пофигу, что в этом вопросе львиную долю можно поручить юристам и кадровикам, но как говорится в бородатом анекдоте: «кому не нравится грузить люминь, пойдет грузить чугуний».

Типичный пример разглашения ПДн специальной категории (сведения об интимной жизни)

Итак, почему здесь я все-таки не буду рассматривать техническую защиту персональных данных.

Причин несколько:
  • Этой информации итак много в интернетах и она более-менее однозначная.
  • Эта тема довольно емкая и заслуживает отдельной статьи, в этом опусе я все же хочу коснуться именно организационных моментов.
  • Организационные моменты проверяет Роскомнадзор, а технические – ФСТЭК. ФСТЭК проверяет гораздо меньше по защите персональных данных, хотя бы потому, что управление Роскомнадзора есть в каждом регионе, а управление ФСТЭК – одно на Федеральный округ.
  • В связи с отменой Постановления правительства № 781, регламентирующего техническую защиту персональных данных, и его заменой на ПП № 1119, нормативные документы ФСТЭК России и ФСБ России оказались в «подвешенном» состоянии. Ими по идее нельзя пользоваться, так как они были изданы во исполнение отмененного постановления № 781, но с другой стороны документы ФСТЭК России должен отменять сам ФСТЭК России. Поэтому техническую защиту ПДн лучше рассматривать предметно после выхода новой документации от регуляторов.
  • IT-шникам все же гораздо ближе техническая защита ПДн и им проще в этом разобраться, а вот когда начальство взваливает «бумажную» работу, многим может понадобиться помощь и разъяснения.
Немного о себе
Я посчитал нужным сначала немного рассказать о себе для того, чтобы читателю стало понятно, что все, написанное ниже, основано на личном опыте организации защиты персональных данных в различных организациях, а не является квинтэссенцией различных форумных дебатов в интернетах (там «специалисты» иногда такого напишут, что волосы дыбом встают, и не только на голове). Я являюсь начальником отдела одной из компаний на Дальнем Востоке, занимающихся аутсорсингом предприятий в сфере информационной безопасности. Безусловно, защита персональных данных – одна из наиболее востребованных наших услуг. Работаю я в этом направлении с 2008 года. Среди клиентов есть как небольшие организации, так и достаточно крупные государственные (департаменты, аппараты правительства, законодательные собрания и тд), так и коммерческие (операторы сотовой связи, интернет-провайдеры, частные медицинские клиники). У некоторых клиентов проходили проверки Роскомнадзора на предмет выполнения требований законодательства в сфере защиты ПДн и пока что результат – 100% успешных проверок. Также у меня есть личный опыт представления интересов организации в ходе подобной проверки.
Итак, вас назначили ответственным за организацию обработки ПДн, да к тому же вы узнали, что внесены в план проверок Роскомназдора на грядущий год. С чего начать?
И вот, это случилось: начальник, не особо заморачиваясь подписал приказ в котором сказано «Системному администратору ООО «Рога и копыта» Иванову И. И. сделать так, чтобы защита персональных данных в нашей опупенной организации была по фен-шую». Что делать в первую очередь?

В первую очередь нужно выяснить, есть ли в реестре операторов персональных данных ваша организация. Для этого в поиске достаточно вбить ИНН компании. Если такого уведомления нет, то нужно его подать (но нужно учесть, что если уведомление не было подано ранее – это уже повод для регулятора оштрафовать вашу организацию).

Если уведомление все-таки присутствует, нужно уточнить его содержание. Часто бывает так, что уведомление заполнялось каким-нибудь Васей Пупкиным из отдела кадров от балды в далеком 2007 году, которого к тому же давным давно уволили. В этом случае вполне естественно, что содержание многих полей не соответствует действительности. В то же время практика карательных мер как раз говорит о том, что большинство предписаний выносится Роскомнадзором именно в связи с несоответствием уведомления тому, что происходит в организации на самом деле. Например, в графе «Категории обрабатываемых персональных данных» указано «ФИО, паспортные данные, адрес места жительства, номер телефона», а вы обрабатываете еще и сведения о здоровье.

Для внесения изменений в уведомление на портале персональных данных также существует специальная форма. Тут надо помнить, что изменения не будут учтены, если вы вслед не отправите бумажное письмо в свое территориальное управление Роскомнадзора. Это же касается и первоначального уведомления.

Хорошо, с уведомлением разобрались, что потом?
Потом вам нужно издать и утвердить в своей организации кучу документов (инструкции, положения, приказы, журналы и тд). Здесь нужно помнить, что документы должны регламентировать не только автоматизированную обработку но и «аналоговую» тоже. Перечня документов как такового не существует, есть лишь перечень аспектов, которые вы должны описать в них. Первым делом нужно назначить ответственного за организацию обработки персональных данных (это лицо теперь требуется указывать в уведомлении оператора). Этот человек у нас будет отвечать в основном за «бумажные» вопросы. Также требуется назначить администратора безопасности персональных данных. Он будет отвечать уже за техническую сторону вопроса. И того и другого можно назначить одним приказом. Тут сразу хочу заметить, что все формулировки настоятельно рекомендуется согласовывать с текстом законодательства, так как проверяющие очень часто к ним придираются. Например, если вы ответственного за организацию обработки ПДн назовете просто ответственным за обработку ПДн, то с вероятностью 99.9% регулятор в процессе проверки попросит внести изменения в документ. Далее, многие об этом забывают, но Роскомнадзор требует: во всех кабинетах, в которых обрабатываются ПДн на бумаге должны быть определены места хранения (сейф, шкаф, стеллаж) и ответственные за сохранность конфиденциальности ПДн в этом кабинете. Проще говоря, издаем приказ, в котором пишем «В кабинете № 1 утвердить местом хранения сейф, ответственным назначить такого-то такого-то». Далее, вы должны назначить комиссию по классификации и комиссию по уничтожению ПДн. В эти комиссии должны входить: председатель комиссии и, как минимум, два члена комиссии. Обе комиссии по своему составу могут быть на 100% идентичными. Далее, необходимо определиться с лицами, допущенными к обработке персональных данных. Это сотрудники, которые работают с ПДн как работников организации, так и клиентов, абонентов и других категорий субъектов. Причем в документе должно быть указано какой работник к каким данным имеет доступ, обрабатывает он эти данные с помощью средств автоматизации или нет, а в случае с автоматизированной обработкой еще и его роль в системе (пользователь, администратор и тд). Тут следует заметить, что каждый сотрудник, допущенный к обработке персональных данных должен подписать соглашение о неразглашении ПДн. Следующим шагом нужно определить категории персональных данных, которые у нас подлежат защите. Это делается также отдельным приказом. Здесь есть тоже такой момент, о котором многие забывают, но Роскомнадзор при проверках спрашивает – персональные данные являются частным случаем сведений конфиденциального характера, поэтому отдельным приказом должен быть утвержден также и такой перечень. Что может относиться к сведениям конфиденциального характера, определено указом президента РФ № 188 от 6 марта 1997 г. Просто переписываем пункты, относящиеся к вашей организации в свой приказ и готово. Наконец, вы должны утвердить в организации основной документ, регламентирующий защиту ПДн. Обычно такой документ называют «Положение об обработке и защите персональных данных». Здесь вы описываете основные понятия из законодательства, цели и законные основания обработки ПДн, права и обязанности оператора, права и обязанности субъекта ПДн. Также придется разработать ряд журналов, вы должны показать Роскомнадзору, что вы проводите регулярную (а не только одноразовую) деятельность по защите ПДн. В этом вам помогут, например «Журнал проведения инструктажа по информационной безопасности» и «Журнал учета мероприятий по контролю обеспечения защиты персональных данных». Обязательно (Роскомнадзор обязательно спросит) должен быть журнал учета обращений граждан-субъектов персональных данных о выполнении их законных прав. Также не забудьте перед проверкой обзавестись журналом учета проверок юридических лиц контролирующими органами. Подводя итог по внедрению организационной документации по защите ПДн в вашей организации, еще раз повторюсь, строгого перечня документов нет. Вы можете создать один большой документ под названием «Политика в отношении защиты персональных данных», в котором опишите все, что я выше перечислил, а можете разбить на множество мелких документов. Можете издать несколько разных приказов, а можете назначить всех ответственных, определить лиц, допущенных к обработке ПДн и тд одним единственным распоряжением. Но, все-таки, для примера приведу стандартный перечень документов, который обычно мы внедряем у своих клиентов:
  • перечень сведений конфиденциального характера;
  • инструкция администратора информационной безопасности;
  • приказ о назначении лиц, ответственных за организацию обработки персональных данных и перечне мер по защите персональных данных;
  • перечень персональных данных, подлежащих защите;
  • приказ об утверждении мест хранения персональных данных;
  • инструкция пользователей информационной системы персональных данных;
  • приказ о назначении комиссии по уничтожению персональных данных;
  • порядок резервирования и восстановления работоспособности технических средств и программного обеспечения, баз данных и средств защиты информации;
  • план внутренних проверок режима защиты персональных данных;
  • приказ о вводе в эксплуатацию информационной системы персональных данных;
  • журнал учета носителей информации информационной системы персональных данных;
  • журнал учета мероприятий по контролю обеспечения защиты персональных данных;
  • журнал учета обращений граждан-субъектов персональных данных о выполнении их законных прав;
  • правила обработки персональных данных без использования средств автоматизации;
  • положение о разграничении прав доступа к обрабатываемым персональным данным;
  • акт классификации информационной системы персональных данных;
  • инструкция по проведения антивирусного контроля в информационной системе персональных данных;
  • инструкция по организации парольной защиты;
  • журнал периодического тестирования средств защиты информации;
  • форма акта уничтожения документов, содержащих персональные данные;
  • соглашение о неразглашении персональных данных;
  • журнал учета средств защиты информации;
  • журнал проведения инструктажа по информационной безопасности;
  • инструкция пользователю по обеспечению безопасности при возникновении внештатных ситуаций;
  • приказ о перечне лиц, допущенных к обработке персональных данных;
  • положение об обработке и защите персональных данных;
  • план мероприятий по обеспечению безопасности персональных данных;
  • модель угроз безопасности в информационной системе персональных данных.
Вот, примерно так, опять же, список может быть гораздо шире или гораздо уже, все зависит от того, что будет написано в каждом из документов, здесь важно именно содержание. Образцы всех документов достаточно легко нагуглить. Многие наверное заметили, что в списке документов много таких, которые регламентируют автоматизированную обработку и защиту ПДн в информационных системах. Несмотря на то, что при проверке Роскомнадзор обращает больше внимания на документальное обеспечение защиты ПДн, нежели на техническое, все равно — чем больше документов вы предоставите по защите ПДн, тем больше плюсиков в карму со стороны регулятора вам упадет. Завершая раздел про документы, отмечу еще несколько моментов, на которые нужно обратить внимание. Во-первых, ко всем вышеперечисленным документам должен идти лист ознакомления и все лица, которых касается этот документ (будь то инструкция или приказ) должны расписаться в том, что они с бумажкой ознакомлены. Во-вторых, в должностные инструкции всех лиц, допущенных к обработке персональных данных нужно вписать строку «При работе с персональными данными руководствоваться Положением об обработке и защите персональных данных». И, в-третьих, помимо внутренних документов, необходимо разработать один публичный. Обычно его обзывают как «Политика в отношении обработки персональных данных». Такой документ должен вывешиваться на веб-сайте оператора ПДн, либо, если веб-сайта нет, на информационной доске в офисе или находиться в другом общедоступном месте. Примеров политики также можно нагуглить великое множество.
Аттестация
Несмотря на то, что этот момент больше относится к технической защите (ведь аттестация производится, когда наша информационная система полностью заряжена средствами защиты информации), все же хотел здесь пару слов сказать и о ней. Мне просто очень часто приходится слышать от очередных клиентов, что им промыли мозги о том, что аттестация информационных систем персональных данных является обязательной. Запомните раз и навсегда – это все ЧУШЬ! В положении об аттестации объектов информатизации черным по белому написано, что обязательной аттестации подлежат только объекты, содержащие государственную тайну и экологически опасные объекты. Поэтому весь этот бред об обязательной аттестации ИСПДн – просто происки недобросовестных интеграторов, желающих лишний раз скосить бабла с доверчивого клиента. Аттестация ИСПДн может быть обязательной только в том случае, если ваша организация находится в подчинении вышестоящего органа, и эта самая верхушка спустила вам указание аттестовывать все свои ИСПДн. Хотя, аттестацию может возжелать и сам начальник организации, ведь аттестат соответствия однозначно подтверждает, что ваши информационные системы полностью соответствуют законодательству как в плане документального обеспечения, так и в плане технической защиты. В этом случае нужно помнить, что одним из условий действительности аттестата является неизменность условий эксплуатации ИСПДн. То есть грубо говоря вы не можете поменять монитор на рабочем месте или установить дополнительное ПО без согласования с органом по аттестации, а это влечет за собой дополнительные затраты. Также стоит помнить, что аттестат соответствия может выдаваться максимум на три года, а потом – все по новой. Возвращаясь к нашей основной теме – подготовке к проверке Роскомназдора, хочу сказать, что за все пять лет работы в данной сфере, проверяющие никогда не требовали Аттестат соответствия.
Вместо заключения
Букв получилось довольно много и, я думаю, пора закругляться, тем более, что выполнив описанные выше меры, можно сказать, что вы практически готовы к проверке Роскомнадзора. Но все же еще раз постараюсь коротко сформулировать основные этапы, выполнение которых поможет вам с большой долей вероятности получить положительное заключение по итогам проверки и некоторые другие, не вошедшие в статью, моменты:
  • Уведомление оператора. Необходимо проверить наличие уведомления, а также правдивость сведений изложенных в нем.
  • Роскомнадзор не будет проверять ваши информационные системы персональных данных, эти функции возложены на ФСТЭК России и ФСБ России (в случае использования средств шифрования), поэтому сосредоточьтесь на документальном обеспечении, информировании своих сотрудников.
  • Думаю не стоит лишний раз говорить о том, что если к вам пришла проверка Роскомнадзора, а в отделе кадров у кого-нибудь на столе будет лежать без присмотра пачка ксерокопий чьих-то паспортов, то это будет эпик фейл.
  • Если после всего прочитанного и после всех проведенных мероприятий у вас еще остаются вопросы, не поленитесь (а уж тем более не бойтесь и не стесняйтесь) позвонить в региональное управление Роскомнадзора. Задайте интересующие вас вопросы. Как правило, дозвониться туда легко (в сравнении со многими другими госорганами) и работники РКН идут на встречу, и разъясняют свое видение некоторых спорных вопросов. В некоторых случаях такой звонок даже жизненно необходим, так как наше законодательство часто можно трактовать двояко и даже бывает такое, что у одного и того же сотрудника РКН сегодня одна точка зрения на какую-либо проблему, а завтра – другая.
  • Со всех субъектов лучше собирать согласие на обработку ПДн. Да, в законе есть перечень случаев, когда согласие не требуется, например, когда оператор и субъект являются сторонами договорных отношений. НО, здесь же нужно помнить, что обработка биометрических и специальных категорий ПДн, а также передача ПДн третьим лицам осуществляются ТОЛЬКО с согласия субъекта. В любом случае, предоставление согласия на обработку ПДн снимает с вас множество различных неприятных вопросов. И если есть возможность эти согласия собрать, лучше это сделать. Здесь, кстати, как и с уведомлением нужно помнить о том, что сведения, указанные в согласии должны совпадать с тем, что и как вы обрабатываете на самом деле.
  • В начале проверки покажите регуляторам, что вы всячески готовы сотрудничать и исправлять выявленные недостатки в ходе самой проверки. Идеально подготовиться невозможно, в любом случае будут какие-либо замечания. Это не страшно, их можно устранить в процессе проверки, которая длится как правило 20 дней. Если замечания будут устранены, на содержании итогового протокола это негативно никак не скажется.

На этом, наверное, и закончу. Как видно не так страшны проверки РКН, как могут показаться на первый взгляд. Если у читателей есть какие-либо вопросы или предложения по следующим статьям на тему ПДн, постараюсь на все ответить и все учесть.

Метки:
  • защита персональных данных
  • роскомнадзор


Смотрите также