Техпаспорт Наименование Информационной Системы Персональных Данных Пример

Классификация информационных систем персональных данных

Если в ИСПДн все пользователи (администраторы, операторы, раз­работчики) обладают одинаковым набором прав доступа или осуществля­ют вход под единой учетной записью и вход под другими учетными запи­сями не осуществляется, то эта ИСПДн с равными правами доступа (пол­номочиями) ко всей информации ИСПДн разных пользователей, в против­ном случае с разными правами доступа (полномочиями) ко всей информа­ции ИСПДн разных пользователей.

1. Объем ПДн, обрабатываемых в ИСПДн (Хнцд). Должен быть определен объем записей ПДн в ИСПДн, может принимать значение:

• 1 — в информационной системе одновременно обрабатываются ПДн более чем 100 000 субъектов ПДн или ПДн субъектов ПДн в пределах субъекта Российской Федерации или Российской Федерации в целом;
• 2 — в информационной системе одновременно обрабатываются ПДн от 1000 до 100 000 субъектов ПДн или ПДн субъектов ПДн, рабо­тающих в отрасли экономики Российской Федерации, в органе государст­венной власти, проживающих в пределах муниципального образования;
• 3 — в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов ПДн или ПДн субъектов ПДн в пределах конкретной организации.

1. Количество рабочих станций, входящих в состав ИСПДн. Должен быть определен перечень рабочих станций, задействованных в ка­ком-либо качестве в обработке ПДн в ИСПДн и (или) имеющих незащи­щенное физическое подключение к ИСПДн.
2. Структура ИСПДн. ИСПДн является:

• АРМ, если вся обработка ПДн производится в рамках одного рабочего места;
• локальной информационной системой, если вся обработка ПДн производится в рамках одной ЛВС;
• распределенной информационной системой, если обработка ПДн производится в рамках комплекса АРМ и (или) локальных информа­ционных систем, объединенных в единую информационную систему сред­ствами связи с использованием технологии удаленного доступа, т.е. эле­менты ИСПДн разнесены территориально, например, в ИСПДн включена сеть филиала, и связь между территориально удаленными элементами осуществляется по каналам сетей общего пользования и (или) междуна­родного обмена.

1. Количество пользователей, допущенных к работе в ИСПДн. Дол­жен быть определен перечень пользователей, допущенных к ПДн в ИСПДн.
2. Режим обработки ПДн в ИСПДн. ИСПДн является однопользо­вательской, если сотрудник обрабатывающий ПДн совмещает в себе функции администратора (осуществляет настройка и поддержку техниче­ских и программных средств) и оператора. Во всех других случаях ИСПДн является многопользовательской.

Технический паспорт информационных систем

• наименование ИСПДн;
• адрес местонахождения ИСПДн;
• данные об утвержденной частной модели угроз безопасности ПДн в ИСПДн;
• перечень персональных данных, обрабатываемых в ИСПДн;
• перечень технологических процессов обработки ПДн, используемых в ИСПДн;
• перечень основных технических средств и систем, входящих в состав ИСПДн;
• перечень вспомогательных технических средств, входящих в состав ИСПДн;
• перечень средств защиты информации, установленных в ИСПДн.

Технический паспорт ИСПДн разрабатывается в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации (СТР-К). Прямых требований к составлению технического паспорта для ИСПДн нет, но они косвенно вытекают из других требований.

Типовая форма технического паспорта информационной системы персональных данных

6 Тип ОТСС 5 Сервер базы данных С 2) 6 Принтер 22) Программные и технические характеристики Процессор: Intel Core 2 Quad Q ГГц Память: 2048 Мб Жесткий диск: 2×250 Гб Asus Striker II Extreme Видео: 52Mb GeForce 9600GT Сетевая : Интегрированная + D-Link DFE- 520TX Microsoft Windows Server 2003 R2 С: Бухгалтерия локальный 3.2. Состав вспомогательных технических средств и систем (ВТСС): Таблица 4 вспомогательных технических средств, входящих в состав ИСПДн (средств вычислительной техники, не участвующих в обработке персональных данных) Наименование и тип ВТСС Стационарный телефонный 202, 203, аппарат 2 Факс 203 Примечание

3 . Общие сведения об ИСПДн. Наименование ИСПДн:.2. Физическое расположение ИСПДн. 3. Частная модель угроз безопасности ПДн в ИСПДн утверждена..200 г..4. Класс ИСПДн: K3 (акт классификации ИСПДн от..200 г).5. Перечень ПДн, обрабатываемых в ИСПДн персональных данных, обрабатываемых в ИСПДн Наименование персональных данных. Персональные данные работников. Первичные учетные данные работников.2 Сведения о занимаемой должности.3 Финансовое состояние работника.4 Сведения о реквизитах работника.5 Дополнительные сведения о работнике Категория ПДн Таблица Цель обработки ПДн в рамках ИСПДн Учет работников, осуществление процессов согласно трудовому законодательству РФ Поддержание иерархичности отношений между работниками, осуществление процессов согласно трудовому законодательству РФ Осуществление налоговых отчислений, осуществление процессов согласно трудовому законодательству РФ Осуществление процессов согласно трудовому законодательству РФ Выплата льгот, осуществление процессов согласно трудовому законодательству РФ 2. Технологические процессы обработки ПДн, используемые в ИСПДн. технологических процессов обработки ПДн, используемых в ИСПДн Таблица 2 Наименование технологического процесса. Прием сотрудника на работу 2. Увольнение работника 3. Начисление работнику зарплаты 4. Начисление работнику премии

Техпаспорт Наименование Информационной Системы Персональных Данных Пример

1. ПДн обрабатываемые в ИСПДн. Должен быть определен пере­чень ПДн, обработка которых ведется в ИСПДн.
2. Категория ПДн, обрабатываемых в ИСПДн (Х _п д). Исходя из особенностей ПДн определяются следующие категории обрабатываемых в информационной системе ПДн:

• категория 1 — ПДн, касающиеся расовой, национальной при­надлежности, политических взглядов, религиозных и философских убеж­дений, состояния здоровья, интимной жизни;
• категория 2 — ПДн, позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию, за исключением ПДн, относящихся к категории 1;
• категория 3 — ПДн, позволяющие идентифицировать субъекта

• категория 4 — обезличенные и (или) общедоступные ПДн.

В соответствии с пунктом 4 Приложения № 1 к «Требованиям о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах», утвержденных приказом ФСТЭК России от 11 февраля 2013 г. № 17, АИС ______ присвоить класс защищенностиК_.

Журнал учета паролей по информационной системе персональных данных (ИСПДн)

Возражение субъекта персональных данных на принятое на основании исключительно автоматизированной обработки персональных данных решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы

Запрос согласия субъекта персональных данных на принятие на основании исключительно автоматизированной обработки его персональных данных решения, порождающего юридические последствия в отношении субъекта персональных данных или иным образом затрагивающего его права и законные интересы

Акт классификации ИСПДн

9) условие обработки персональных данных — для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100 000 субъектов персональных данных, не являющихся сотрудниками оператора.

В соответствии с Постановлением Правительства Российской Федерации от 1 ноября 2012г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказом Генерального директора ЗАО «Компания-оператор ПДн» от «___» ___________ № ____ комиссия в составе:

Политика обработки персональных данных

8.1. Субъект ПДн вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

– наименование и место нахождения Оператора, сведения о лицах (за исключением сотрудников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;

Технический паспорт на оборудование: образец оформления и назначение документа

В техническом паспорте оборудования предусмотрено место для внесения пометок во время его эксплуатации. Перечисленные сведения помогают владельцу устройства правильно и безопасно использовать его, сохраняя функциональность аппарата на протяжении полного периода эксплуатации.

Процесс оформления технического паспорта регулируется такими правовыми актами: ГОСТ 2.601-2013 и ГОСТ 2.105-95. Эти нормативы предусматривают составление техпаспорта в материальном виде. Процесс оформления паспорта в электронном виде регулирует ГОСТ 2.610-2006. А если в разделы технического паспорта входит перечень используемых при разработке устройства сплавов и драгметаллов, производитель опирается на ГОСТ 2.105-95.

Порядок проведения классификации информационных систем персональных данных

Классификация информационных систем проводится государственными органами, муниципальными органами, юридическими и физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных (далее — оператор) 2 .

Информационные системы в зависимости от местонахождения их технических средств подразделяются на системы, все технические средства которых находятся в пределах Российской Федерации, и системы, технические средства которых частично или целиком находятся за пределами Российской Федерации.

Построение системы защиты персональных данных

Для ИСПД, находящихся в эксплуатации до введения ФЗ №152 «О персональных данных» от 27 июля 2006 года, должны быть проведены работы по их модернизации в соответствии с требованиями Федерального закона и «Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» №781.

В поле описание мер описываются меры, предусмотренные статьями 18 и 19 ФЗ «О персональных данных», в том числе сведения о шифровальных средствах, ФИО и контакты лиц, ответственных за обработку ПД, класс ИСПД, организационные и технические меры, применяемые оператором в целях защиты ПД.

Пример заполнения модели угроз информационной системы персональных данных «Турбо- бухгалтер»

Лица категории VII могут быть знакомы с основными алгоритмами, протоколами, реализуемыми и используемыми в конкретных подсистемах и ИСПДн ТБ в целом, но не знакомы с применяемыми принципами и концепциями безопасности на объекте ИСПД. Предполагается, что они могли бы использовать стандартное оборудование либо для идентификации уязвимостей, либо для реализации угроз ИБ. Данное оборудование может относиться к легко получаемому (например, программное обеспечение, полученное из общедоступных внешних источников).

В связи с изложенным, с целью создания необходимых условий безопасности персональных данных предполагается, что вероятные нарушители обладают всей информацией, необходимой для подготовки и реализации угроз, за исключением информации, доступ к которой со стороны нарушителя исключается системой защиты информации. К такой информации, например, относится парольная, аутентифицирующая и ключевая информация.

Пример заполнения модели угроз информационной системы персональных данных учреждения

Технические средства информационной системы персональных данных – средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, пе­реговорные и телевизионные устройства, средства изготовления, тиражиро­вания документов и другие технические средства обработки речевой, графи­ческой, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.

Персональные данные – любая информация, относящаяся к определен­ному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущест­венное положение, образование, профессия, доходы, другая информация.