Документы о защите персональных данных в организации: каков пакет, как проверяют, а также разработка и оформление распорядительного комплекта, образцы, чтобы скачать

Решения Центра безопасности данных

Решаемые задачи

Разработка и внедрение в организации пакета организационно-распорядительной документации по вопросам обработки и защиты персональных данных.

Воспользуйтесь нашим сервисом «152 онлайн» для подготовки пакета документов по персональным данным.

Сервис «152 онлайн» это:

• конкретный алгоритм действий и инструкции по приведению обработки персональных данных в соответствие требованиям закона № 152-ФЗ;
• не нужно быть специалистом по защите персональных данных, чтобы создать полный пакет документов;
• квалифицированная служба поддержки поможет разобраться в любом вопросе;
• сервис «152 онлайн» является результатом реального опыта внедрений нашего Центра;
• разработанные при помощи сервиса документы соответствуют ГОСТ и Вы можете сразу распечатать и подписать их.

Подробнее о подготовке пакета документов при помощи сервиса «152 онлайн»

Разработка пакета внутренних документов по защите персональных данных, является основной и первоочередной организационной мерой при внедрении комплексной системы защиты персональных данных. Именно документы по защите персональных данных проверяются в первую очередь контролирующими органами при проведении государственного контроля.

• К сожалению, реалией нашего времени является отсутствие в штате компаний специалиста, хорошо разбирающегося в вопросах обработки и защиты персональных данных, а обучение уже существующего работника предполагает отрыв его от основных обязанностей и налагает серьезные финансовые затраты.
• Именно поэтому привлечение профессиональных исполнителей на договорной основе является сейчас наиболее выгодным выходом из сложившейся ситуации.
• Решение проблемы с документами по персональным данным

Центр безопасности данных является высокопрофессиональным интегратором систем защиты персональных данных. В штате нашей компании присутствуют как специалисты технического, так и юридического профиля, которые в синтезе дают прекрасное сочетание для разработки различных комплектов документации, соответствующих предъявляемым техническим требованиям и правовым нормам.

Пакет документов, регламентирующих вопросы обработки и защиты персональных данных, разрабатывается индивидуально для вашей компании и состоит из более чем 40 документов от концепций и положений до шаблонов уведомлений и образцов писем.

Разрабатываемые документы полностью соответствуют нормам действующего законодательства Российской Федерации о персональных данных.

Преимущества нашего решения по защите персональных данных

Вы получите полный комплект документов, регламентирующих вопросы защиты персональных данных для вашей компании, что позволит вам пройти проверки контролирующих органов (Роскомнадзора, Роструда) в области персональных данных.

Комплект документов, регламентирующих вопросы обработки и защиты персональных данных, разрабатывается индивидуально для вашей организации и состоит более чем из 40 документов от концепций и положений до шаблонов уведомлений и образцов писем.

Документы будут разработаны «под ключ» с учетом направления деятельности вашей организации и индивидуальных внутренних бизнес-процессов. Разрабатываемые документы соответствуют нормам действующего законодательства Российской Федерации о персональных данных.

Вы получите шаблоны запросов, уведомлений и писем-ответов, необходимых для взаимодействия с контролирующими органами, субъектами персональных данных и третьими лицами.

Вы получите общее понимание вопросов обработки персональных данных и представление о дальнейших действиях по построению комплексной системы защиты персональных данных.

Запросите коммерческое предложение, которое поможет вам разобраться в деталях нашего решения. Коммерческое предложение содержит подробное описание услуги и перечень разрабатываемых документов по персональным данным, наши преимущества и схему взаимодействия с вами, а также оценку стоимости и сроков исполнения проекта.

Источник: https://data-sec.ru/services/documents-personal-data/

Нормативные документы по защите персональных данных

Документы по защите персональных данных работников необходимы для успешного внедрения на предприятии системы обеспечения конфиденциальности таких сведений. В нашей статье вы найдете информацию не только о том, какая документация может применяться в ходе работы с персональными данными, но также и о том, где можно скачать примеры таких документов. 

Законодательство о комплекте документов по защите персональных данных в организации

Что входит в пакет документов по защите персональных данных, где можно скачать образцы?

Законодательство о комплекте документов по защите персональных данных в организации

Законодатель в ст. 7 ФЗ «О персональных данных» от 27.07.2006 № 152 устанавливает обязанность организаций, имеющих статус оператора персональных данных (далее — ПД), т. е.

юридического лица, выполняющего сбор, обработку и хранение такой информации, по обеспечению конфиденциальности сведений.

Чтобы предотвратить несанкционированный доступ к ПД, необходимо реализовать комплекс защитных мер, в перечень которых входит разработка пакета специализированных документов и их внедрение в деятельность предприятия.

Не знаете свои права?

Подпишитесь на рассылку Народный СоветникЪ. Бесплатно, минута на прочтение, 1 раз в неделю.

Что входит в пакет документов по защите персональных данных, где можно скачать образцы?

Условно всю документацию, используемую в ходе реализации мероприятий, направленных на обеспечение защиты персональных данных на предприятии, можно разделить на 3 группы:

Скачать форму Положения о персональных данных

1. Организационные. Такие документы определяют задачи, функционал и объем ответственности служб и сотрудников, занимающихся сбором, обработкой и хранением персональных данных работников предприятия. К этой категории относятся:
   • положение о ПД (либо о защите ПД);
   • должностные инструкции;
   • приказы (о допуске к работе с ПД, утверждении списка сотрудников, имеющих право на работу с ПД, и пр.);
   • уведомления.
2. Технологические. В документации такого вида содержатся сведения, определяющие порядок и способы реализации процедуры защиты персональных данных. К ней могут быть отнесены инструкции по обработке и защите ПД.
3. Методические. Эти документы детализируют процессы обработки ПД и определяют порядок работы с документами и иными носителями ПД. К данной группе относятся правила работы с ПД.

***

Таким образом, пакет документации по защите ПД может включать в себя должностные инструкции, приказы, уведомления, а также положения, регулирующие порядок сбора, обработки и хранения информации. Образцы всех этих документов имеются на нашем сайте.

Источник: https://nsovetnik.ru/personalnye_dannye/normativnye_dokumenty_po_zawite_personalnyh_dannyh/

Комплект типовых документов для операторов персональных данных

Документы по обработке и защите персональных данных предоставляются GlobalTrust на основании лицензионного соглашения «в том виде как они есть».

Эти документы являются исходными материалами для разработки организацией собственного комплекта документов в области персональных данных.

Разработка и внедрение подобных документов должна выполняться квалифицированными специалистами в области защиты информации, персональных данных и права.

Взаимосвязь с другими комплектами документов

В данный комплект включены документы, регламентирующие вопросы обработки и защиты персональных данных, обрабатываемых в ИСПДн. Эти документы служат дополнением к выпущенным ранее комплектам типовых документов GlobalTrust по управлению информационной безопасностью и рисками и отражают специфику нормативной базы РФ в области защиты персональных данных.

Документы по защите информации, которые носят более общий характер и применяются для организации защиты не только персональных данных, но любых других видов информационных активов, в данный комплект не включены. Эти документы можно дополнительно приобрести как по отдельности, так и в составе следующих комплектов:

Перечень документов

В состав комплекта GTS 1071 включено более 60 документов по персональным данным.

GTS 1070 Проектная документация

1. Общее описание ИСПДн
2. Описание технологического процесса обработки персональных данных
3. Разрешительная система доступа АС
4. Частная модель угроз безопасности ПДн
5. Концепция обеспечения безопасности ПДн
6. Аналитическое обоснование набора мер по защите ПДн
7. Техническое задание на создание СЗПДн
8. Технический паспорт ИСПДн
9. Технический паспорт защищаемого помещения
10. Таблица соответствия методическим рекомендациям по выполнению законодательных требований при обработке персональных данных в организациях БС РФ

GTS 1096 Положения и политики

1. Положение об обработке персональных данных
2. Положение об обеспечении безопасности персональных данных
3. Политика обработки ПДн

GTS 1094 Планы

1. План работ по обеспечению соответствия требованиям законодательства и нормативной базы в области персональных данных
2. План мероприятий по защите ПДн
3. План работ по контролю эффективности СЗПДн

GTS 1090 Инструкции и регламенты

1. Инструкция администратора безопасности ИСПДн
2. Инструкция системного администратора ИСПДн
3. Инструкция пользователя ИСПДн
4. Инструкция по проведению контроля защищенности
5. Инструкция по контролю установки программных коррекций и целостности сертифицированной ОС Windows
6. Инструкция по осуществлению антивирусного контроля
7. Инструкция по обеспечению режима безопасности и эксплуатации оборудования в защищаемом помещении
8. Инструкция ответственного за защиту информации в защищаемом помещении
9. Инструкция об организации работы с СКЗИ
10. Инструкция о порядке обращения с носителями ПДн
11. Регламент реагирования на запросы субъектов ПДн
12. Регламент реагирования на инциденты ИБ

GTS 1091 Приказы

1. Приказ об организации работ по защите персональных данных
2. Приказ о вводе в действие организационно-распорядительных документов по обработке и защите персональных данных
3. Приказ о вводе в эксплуатацию объектов информатизации
4. Приказ о вводе в эксплуатацию АРМ ИСПДн
5. Приказ о назначении системного администратора ИСПДн
6. Приказ о назначении администратора безопасности ИСПДн
7. Приказ о контролируемой зоне
8. Приказ о назначении комиссии по проведению аттестации ИСПДн

GTS 1093 Акты

1. Акт классификации ИСПДн
2. Акт определения уровня защищенности ПДн
3. Акт установки СЗИ от НСД
4. Акт приемки ИСПДн в опытную эксплуатацию
5. Акт приемки ИСПДн в промышленную эксплуатацию
6. Акт приема-передачи носителей персональных данных

GTS 1097 Журналы

1. Журнал учета обращений по вопросам персональных данных
2. Памятка к журналу регистрации обращений по вопросам персональных данных
3. Журнал учета носителей конфидеyциальной информации
4. Журнал учета персональных идентификаторов и паролей ИСПДн
5. Журнал по учету работ по контролю эффективности СЗПДн

GTS 1095 Перечни

1. Перечень лиц, имеющих доступ в помещения ИСПДн
2. Перечень лиц, допущенных к обработке персональных данных
3. Перечень лиц, допущенных к обсуждению конфиденциальной информации
4. Перечень объектов информатизации, предназначенных для обработки конфиденциальной информации
5. Перечень сведений конфиденциального характера
6. Данные по уровню подготовки кадров, обеспечивающих защиту информации

GTS 1098 Обязательства и уведомления

1. Уведомление Роскомнадзора об обработке персональных данных
2. Обязательство работника о неразглашении персональных данных
3. Обязательство работника о соблюдении режима конфиденциальности персональных данных

GTS 1099 Согласия субъекта

1. Согласие субъекта на получение его персональных данных у третьей стороны
2. Согласие работника на передачу его персональных данных третьей стороне
3. Согласие работника на передачу его персональных данных в коммерческих целях
4. Согласие субъекта на обработку его персональных данных
5. Сборник типовых форм документов по персональным данным

Приобретение комплекта документов

Приобрести комплект типовых документов для операторов персональных данных GTS 1071 можно в интернет-магазине GTrust.ru. Поставка документов осуществляется в электронном виде в формате MS Word на CD-ROM или по email.

Приобретателю документов следует учитывать следующее:

1. Приобретение любых готовых документов не заменяет и не отменяет проведения всего комплекса работ по защите персональных данных и обеспечению соответствия требованиям законодательства (а служит лишь вспомогательным средством для квалифицированного разработчика документации);

2. Не существует четко определенного и утвержденного регуляторами списка необходимых документов по персональным данным, однако существуют потребности конкретной организации – оператора персональных данных и сложившаяся практика проведения работ в данной области;

3. Никакие документы сами по себе не могут служить гарантией успешного прохождения любых проверок со стороны регуляторов;

4. Любые документы могут содержать ошибки, опечатки и несоответствия, быть неполны или избыточны (в этом случае ГлобалТраст гарантирует внесение исправлений в документы в разумные оговоренные с заказчиком сроки, либо возврат денег за документы в соответствии с «Политикой возврата денег»);

5. Любые документы (типовые или разрабатанные специально под вас) в дальнейшем потребуют доработки и переработки в соответствии с жизненным циклом системной документации;

6. Прежде, чем приобретать документы, следует по-возможности заехать в офис ГлобалТраст и ознакомиться с документами лично. Их содержимое секретом не является, но охраняется авторским правом.

Поддержка внедрения

ГлобалТраст обеспечивает полную поддержку внедрения системы управления персональными данными (СУПДн) в соответствии с требованиями британского стандарта BS 10012, а также поддержку внедрения системы защиты персональных данных (СЗПДн) в соответствии с требованиями руководящих документов ФСТЭК и ФСБ России, предоставляя услуги по обучению, консалтингу, аудиту, проектированию, внедрению и аутсорсингу.

Онлайн поддержка внедрения и консультации по документам в форуме GlobalTrust.

Правила лицензирования

Лицензирование шаблонов типовых документов производится по количеству систем управления персональными данными (СУПДн) или количеству систем защиты персональных данных (СЗПДн), в рамках которых производится использование этих шаблонов. Одна лицензия дает право использования шаблонов в одной организации в рамках одной СУПДн или СЗПДн.

Компаниям, предполагающим использование шаблонов документов для оказания услуг другим организациям, требуется приобрести специальную консалтинговую лицензию, либо отдельно приобретать лицензии для каждой организации с учетом скидки на количество приобретаемых лицензий.

Источник: http://globaltrust.ru/ru/produkty/komplekty-dokumentov-po-informacionnoi-bezopasnosti/komplekt-tipovyh-dokumentov-dlya-operatorov-personalnyh-dannyh

Документы по персональным данным для ФЗ № 152

В связи с выходом ФЗ № 152 «О персональных данных» операторам персональных данных, необходимо выполнить комплекс мероприятий по защите персональных данных, включая разработку пакета организационно-распорядительных документов.

Вы будете полностью соответствовать требованию ФЗ № 152

Мы предлагаем купить за 11900р 5900 рублей полный комплект типовых организационно-распорядительных документов по персональным данным с 30% скидкой, который поможет полностью документировать все процедуры по защите персональных данных и ваша компания будет соответствовать всем требованиям закона, либо или заказать разработку всей документации у нас.

Пакет типовых документов	5900р
Разработка документов для компании	от 20000р

Это будет выгодно малым и средним компаниям, которые не в состоянии потратить большие деньги на разработку организационно-распорядительной документации по защите персональных данных и не могут себе позволить содержать в штате таких специалистов как специалист по информационной безопасности и технический писатель.

Памятка по ФЗ-152.

Пакет документов включает в себя (обновление 2019 года):

Положение по обработке персональных данных, включающее формысогласия субъекта на обработку персональных данных (ПД)уведомления оператора об обработке ПДпоручения третьей стороне на обработку ПДакта уничтожения персональных данныхуведомления о прекращении обработки и уничтожении ПДотзыва согласия субъекта на обработку персональных данныхзапроса субъекта на предоставление сведений об обработке ПДзапроса субъекта на уточнение ПДуведомления субъекта об обработке персональных данныхуведомления о внесении изменений в персональные данныеуведомления о прекращении обработки персональных данных оператором и др.

Приказ об организации работ по защите персональных данных, содержащий сведения о назначении (утверждении):

ответственного за обработку персональных данных в информационных системах персональных данныхответственного за обеспечение функционирования средств защиты информациисписка лиц, допущенных к работе со средствами защиты информациисписка лиц, допущенных к работе с персональными данными, обрабатываемыми в информационной системе, для выполнения служебных (трудовых) обязанностейсписка помещений, в которых разрешается обработка персональных данных списка мест хранения носителей ПДн

• Политика обеспечения безопасности персональных данных
• БОНУС: Книга «Федеральный закон «О персональных данных»: научно-практический комментарий».

Перечень персональных данных, обрабатываемых в ИСПДн Матрица доступа Перечень защищаемых информационных ресурсов Акт классификации ИСПДн Модель угроз Инструкция по учёту носителей персональных данных Инструкция администратору ИСПДн Инструкция о порядке допуска лиц к информационным ресурсам ИСПДн Инструкция по внесению изменений в ИСПДн Инструкция по организации антивирусной защиты в ИСПДн Инструкция по организации парольной защиты Инструкция по резервному копированию и восстановлению персональных данных Инструкция пользователю ИСПДн Инструкция по использованию ресурсов сети Интернет Порядок взаимодействия с субъектами персональных данных и контролирующими органами по вопросам обработки персональных данных План внутренних проверок состояния защиты персональных данных Порядок повышения осведомлённости работников Журнал регистрации входящих запросов и обращений субъектов Журнал инструктажа пользователей и обслуживающего персонала Журнал учета мероприятий по защите информации

Под редакцией заместителя руководителя Роскомнадзора А.А. Приезжевой.

Ответственность за отсутствие документов

1) Уголовная Статьи: 137 УК РФ.

Штраф до 200.000 рублей, либо лишение свободы на срок до 2х лет.

2) Административная Статьи: Статья 13.11 КоАП РФ, 13.12 КоАП РФ, Статья 19.5 КоАП РФ.

Суммарный штраф от 335000р.,возможно лишение свободы на срок до 2х лет.

1. 3) Гражданская Статьи: Статья 17 №152-ФЗ «О персональных данных», Статья 24 №152-ФЗ.
2. Возмещение морального вреда по решению суда.

Почему компании заказывают у нас?

Документы разработаны полностью в соответствии с требованиями нормативных документов в области защиты персональных данных Индивидуальная разработка, в отличии от сервисов и генераторов документов, исключит возможные проблемы и штрафы со стороны проверяющих структур Найдёте дешевле – продадим со скидкой 10% от этой цены Уже более 237 организаций из разных регионов России успешно воспользовались нашими документами по защите персональных данных Приобретая пакет документов по персональным данным Вы значительно сэкономите своё время и обеспечите всей необходимой документацией свою организацию и она будет соответствовать ФЗ № 152

Как купить комплект документов

Стоимость полного комплекта проектов организационно-распорядительных документов составляет 5900 рублей! Все, что Вам надо сделать — это адаптировать шаблоны документов по защите персональных данных к специфике Вашей организации.

• Можно облегчить задачу — заказать адаптацию документов у нас.
• Так же, мы можем провести обследование информационных систем на предмет законности обработки персональных данных и, при необходимости, выработать рекомендации по обеспечению безопасности обрабатываемых персональных данных
• Вы можете купить данный пакет типовых документов по защите персональных данных сделав запрос по почте или заполнить соответствующую форму.

Мы принимаем:

Сбербанк Яндекс.Деньги WebMoney Mastercard Visa

Источник: http://www.swrit.ru/dokumenty-po-personalnym-dannym.html

Создание системы защиты персональных данных

Некоторые вендоры вводят пользователей в заблуждение, позиционируя сертифицированное бухгалтерское и кадровое ПО как панацею от выездных проверок Роскомнадзора.

Мы уже писали о плюсах и минусах сертифицированного программного обеспечения и его месте в комплексной защите персональных данных. В этом материале рассмотрим конкретные действия по выполнению требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» при работе с кадровой или бухгалтерской программой.

Напомним, что приведение процессов обработки и защиты ПДн в соответствие действующим требованиям законодательства РФ в общем случае выглядит следующим образом:

1. Обследование организации на предмет соответствия процессов обработки и защиты персональных данных требованиям Федерального закона от 27.07.2006 № 152-ФЗ.
2. Разработка комплекта внутренней организационно-распорядительной документации, регламентирующей процессы обработки и защиты персональных данных.
3. Определение угроз безопасности и потенциальных нарушителей безопасности персональных данных, обрабатываемых в информационной системе персональных данных.
4. Определение требуемого уровня защищенности персональных данных, обрабатываемых в информационной системе персональных данных.
5. Разработка технического задания на создание системы защиты персональных данных.
6. Приобретение средств защиты информации.
7. Внедрение системы защиты персональных данных.
8. Организация и проведение аттестации соответствия системы защиты персональных данных требованиям безопасности информации.

Аттестация не является обязательной, однако получение аттестата соответствия даст уверенность в том, что меры, реализованные в рамках системы защиты персональных данных, достаточно эффективны и удовлетворяют всем требованиям безопасности информации.

Обеспечьте защиту персональных данных в вашей компании

Узнать больше

Сертифицированное бухгалтерское или кадровое ПО в данном контексте может рассматриваться лишь как средство защиты информации.

Итак, дано: информационная система отдела кадров небольшой организации построена по классической клиент-серверной архитектуре.

В качестве ПО обработки ПДн используется любое кадровое ПО (Контур.Персонал,  «1С: зарплата и управление персоналом», сертифицированное ФСТЭК, прочее ПО).

В компании реализованы организационные (разработаны организационно-распорядительные документы по защите ПДн, сотрудники ознакомлены с требованиями законодательства и т д.) и физические (доступ в помещения обработки ПДн ограничен, внедрена охранная сигнализация и т д.) меры защиты ПДн, однако отсутствуют технические средства защиты информации.

Исходя из описанного выше порядка действий, оператор ПДн должен составить модель угроз и определить требуемый уровень защищенности ПДн, дабы в дальнейшем на основе полученных данных разработать систему защиты персональных данных.

Модель угроз безопасности ПДн: пример

Предположим, что в результате оценки исходного уровня защищенности информационной системы, внутренних и внешних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации и последствий реализаций угроз безопасности ПДн, модель угроз будет содержать следующие виды угроз*:

* Перечень актуальных угроз представлен в качестве примера и не может быть использован как эталон или руководство при построении модели угроз безопасности персональных данных.

Основными источниками угроз в данном случае будут выступать:

• внешние нарушители — внешние субъекты, находящиеся вне границ контролируемой зоны организации;
• внутренние нарушители — сотрудники, имеющие доступ в контролируемую зону организации, но не имеющие доступа к персональным данным.

Напомним, что контролируемая зона — это территория объекта, на которой исключено неконтролируемое пребывание лиц, не имеющих постоянного или разового доступа.

Определение уровня защищенности ПДн

В соответствии с постановлением Правительства Российской Федерации № 1119 от 01.11.2012 в описанной информационной системе требуется обеспечить 4-й уровень защищенности ПДн при их обработке в информационной системе.

Построение системы защиты персональных данных

В соответствии с Приказом ФСТЭК России от 18.02.

2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» определяем состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационной системе для 4-го уровня защищенности ПДн.

Рассмотрим техническую реализацию отдельно выбранных мер по обеспечению безопасности персональных данных:

Как видно из таблицы выше, для нейтрализации актуальных угроз безопасности персональных данных используются межсетевой экран и антивирусные средства защиты информации.

ПО обработки ПДн также используется в качестве способа реализации требований приказа ФСТЭК России № 21, однако оно не используется для нейтрализации актуальных угроз безопасности ПДн, а следовательно, процедура оценки соответствия (сертификация) такого ПО не требуется.

Текущая система защиты персональных данных позволит разграничить доступ к серверу обработки персональных данных и защитит рабочие станции от актуальных угроз безопасности.

Выводы

Наличие у программы сертификата соответствия ФСТЭК не решает проблемы защиты ПДн. Существует множество средств защиты информации и сценариев их использования. Для построения эффективной и адекватной системы защиты персональных данных важно понимать принципы и порядок реализации мер, направленных на обеспечение безопасности ПДн.

Важно! Защита персональных данных — это комплекс мероприятий, направленных на обеспечение безопасности персональных данных, и внедрение системы защиты является лишь одним из этапов обеспечения безопасности

Не стоит забывать о поддержании созданной системы защиты ПДн в актуальном состоянии. Периодически необходимо проверять актуальность организационно-распорядительной документации, обновлять модель угроз и контролировать обеспечение установленного уровня защищенности ПДн.

Источник: https://kontur.ru/articles/1723

Необходимый пакет документации по 152-ФЗ — ООО "ЦБИС"

Закон вступил в силу 7 июня 2006 г. и требует, чтобы каждый оператор разработал пакет организационно-распорядительной документации (ОРД) по обработке и защите персональных данных. О чем конкретно должна быть документация, сказано в статьях 18.1 и 19 закона.

Вроде все просто: открываем статьи 18.1 и 19 закона, читаем, что там написано, и пишем необходимую документацию применительно к нашей организации, конечно, не забывая перед этим прочитать весь закон целиком. При таком подходе, как показывает практика, операторы разрабатывают 3-5 документов, считая, что они выполнили требования закона и, проверка Роскомнадзора им не страшна.

Однако в жизни не все так просто. Чтобы понять, что описанный выше подход не является верным, достаточно сказать, что полноценный пакет ОРД насчитывает около 40 документов!

Почему же так много документов, и что в них должно содержаться? Давайте разбираться.

Какие документы необходимо разработать по 152-ФЗ?

В самом ФЗ-152 по большей части требования сформулированы общими фразами, и тем, кто не сталкивался с этим прежде, трудно понять, что же прячется под теми или иными формулировками.

Ниже приведен составленный на основе практического опыта перечень документов, требуемых статьями 18.1 и 19 закона:

Внимание: указанных выше документов не достаточно, чтобы соответствовать 152-ФЗ полностью и пройти проверку Роскомнадзора, так как нужно учитывать иные пункты закона и подзаконных нормативно-правовых актов.

Камни преткновения

На практике операторы персональных данных сталкиваются со следующими основными проблемами при разработке пакета ОРД для соответствия требованиям закона:

Лайфхак по правильной разработке пакета ОРД

Чтобы сделать пакет документов действительно соответствующим требованию закона и пройти проверку Роскомнадзора, необходимо сделать следующее:

Подзаконные нормативно-правовые акты по персональным данным

Чтобы соответствовать 152-ФЗ, необходимо выполнить требования не только статей 18.1 и 19 ФЗ-152, но и следующих нормативно-правовых актов:

 Пакет ОРД по 152-ФЗ: цена вопроса

Трудоемкость разработки пакета документации достаточно большая, ввиду большого объема самих документов, а также необходимости анализа целого ряда подзаконных нормативно-правовых актов и практики правоприменения (анализ судебных решений).

Поэтому стоимость типового комплекта документации для одной организации, как правило, составляет от 45 до 150 тысяч рублей.

Скачать коммерческое предложение на разработку документов в соответствии с 152-ФЗ

СКАЧАТЬ PDF

Что предлагаем мы?

Мы предлагаем вам типовой набор организационно-распорядительной документации, необходимый для соответствия требованиям 152-ФЗ и прохождения проверки Роскомнадзора, за 45 тысяч рублей с гарантией по договору. 

Источник: https://xn--90ao1ar.xn--p1ai/podgotovka-po-152-fz/razrabotka-dokumentatsii/

Готовые документы по по защите информации и персональных данных



Выложенные здесь документы по информационной безопасности и защите персональных данных разработаны самостоятельно, с учетом имеющейся нормативной базы в стране.

Документы использовались на строительно-монтажном предприятии, имеющем удаленные филиалы. Размещены они в таком порядке, в котором,на наш взгляд, их следует принимать и исполнять.

Вы можете скачать документы сразу одним файлом или только требуемые документы.

• Подборки документов:
• 1. Полный пакет документов по защите информации — 44 документа MS Word 2010 12 Mb -> СКАЧАТЬ
• 2. Защита персональных данных — 18 документов MS Word 2010 0,5 Mb) ->СКАЧАТЬ
• 3. Защита информации + защита персональных данных —      62 документа MS Word 2010 12,5 Mb -> СКАЧАТЬ
• 4. Защита коммерческой тайны —     2 документа MS Word 2010 0,05 Mb -> СКАЧАТЬ
• Отдельные документы:

1. Концепция информационной безопасности организации, инструкции ответственных лиц.

      — концепция информационной безопасности организации -> СКАЧАТЬ
      — должностная инструкция администратора безопасности -> СКАЧАТЬ
      — должностная инструкция администратора ЛВС -> СКАЧАТЬ
      — должностная инструкция администратора баз данных -> СКАЧАТЬ
      — приказ об утверждении концепции информационной безопасности и назначании лиц, ответственных за защиту информации -> СКАЧАТЬ

2. Перечень информационных ресурсов организации.

      — перечень информационных ресурсов организации (образец) -> СКАЧАТЬ

3. Перечень защищаемых помещений.

      — приказ о защищаемых помещениях и помещених с ограниченным доступом -> СКАЧАТЬ
      — приложение 1 — перечень защищаемых помещений и помещений с ограниченным лоступом (образец) -> СКАЧАТЬ
      — приложение 2 — список сотрудников, имеющих доступ в помещения с ограниченным доступом (образец) -> СКАЧАТЬ
      — технический паспорт защищаемого помещения -> СКАЧАТЬ

4. Планы мероприятий и планы работ по защите информации.

      — план действий по обеспечению информационной безопасности -> СКАЧАТЬ
      — план работ по защите информации -> СКАЧАТЬ

5. Порядок разграничения прав доступа к информационным ресурсам.

      — порядок доступа к информационным, программным и аппаратным ресурсам -> СКАЧАТЬ
      — приказ о порядке доступа к информационным ресурсам и утверждении их перечня -> СКАЧАТЬ

6. Положение об использовании программного обеспечения.

      — положение об использовании программного обеспечения -> СКАЧАТЬ
      — приказ об использовании программного обеспечения -> СКАЧАТЬ

7. Положение об использовании сети Internet и электронной почты.

      — положение об использовании сети Интернет и электронной почты -> СКАЧАТЬ
      — приложение 1 — список адресов электронной почты сотрудников -> СКАЧАТЬ
      — приказ об использовании сети интернет и электронной почты -> СКАЧАТЬ

8. Положение о парольной защите.

      — положение по организации парольной защиты -> СКАЧАТЬ
      — приказ по организации парольной защиты -> СКАЧАТЬ

9. Положение о резервном копировании.

      — положение о резерном копировании -> СКАЧАТЬ
      — приказ о резервном копировании -> СКАЧАТЬ

10. Положение об антивирусном контроле.

      — положение об антивирусном контроле -> СКАЧАТЬ
      — приказ об антивирусном контроле -> СКАЧАТЬ

11. Положение об использовании съемных носителях информации.

      — положение об использовании мобильных устройств и носителей информации -> СКАЧАТЬ

12. План обеспечения непрерывной работы и восстановления работоспособности.

      — план обеспечения непрерывности работы и восстановления автоматизированной системы -> СКАЧАТЬ
      — приказ об введение в действие плана -> СКАЧАТЬ

13. Регламент реагирования на инциденты информационной безопасности.

      — регламент реагирования на инциденты информационной безопасности -> СКАЧАТЬ

14. Памятка сотруднику по информационной безопасности.

      — памятка по информационной безопасности -> СКАЧАТЬ

15. Сертификаты ФСБ, ФСТЭК, лицензии.

      — сертификаты ФСБ, ФСТЭК, лицензии на программные и аппаратные средства защиты информации -> СКАЧАТЬ

16. Нормативно-справочная информация.

      — руководящие документы Гостехкомиссии, ГОСТы, ISO, федеральные законы по защите информации -> СКАЧАТЬ

17. Образцы документов.

     а) для начальников структурных подразделений:
      — заявка на предоставление доступа к информационным ресурсам -> СКАЧАТЬ
      — служебная записка на изменение состава информационных ресурсов -> СКАЧАТЬ
      — перечень информационных ресурсов организации -> СКАЧАТЬ
      — заявка на предоставление работнику мобильного устройства или носителя информации -> СКАЧАТЬ
      — перечень программного обеспечения, разрешенного для использования -> СКАЧАТЬ
     б) для администратора информационной безопасности:

      — журнал регистрации и учета заявок на предоставление доступа к информационным ресурсам -> СКАЧАТЬ

      — журнал инструктажа пользователей с правилами доступа к ресурсам -> СКАЧАТЬ
      — паспорт автоматизированного рабочего места -> СКАЧАТЬ
      — перечень данных¸ подлежащих резервному копированию и хранению -> СКАЧАТЬ
      — расписание резервного копирования -> СКАЧАТЬ
      — список работников, имеющих право работы с мобильными устройствами вне территории -> СКАЧАТЬ
      — картотека Инциденты информационной безопасности -> СКАЧАТЬ

18. Приказ о проведении работ по защите информации.

      — финальный приказ, конкретизирующий дальнейшие действия должностных лиц -> СКАЧАТЬ

Защита персональных данных

1. Политика в области защиты персональных данных.

      — политика организации в области обработки и защиты персональных данных -> СКАЧАТЬ

2. Перечень песональных данных.

      — перечень персональных данных -> СКАЧАТЬ

3. Список информационных систем, в которых циркулируют персональные данные.

      — список автоматизированных систем с персональными данными -> СКАЧАТЬ
      — список неавтоматизированных систем -> СКАЧАТЬ
      — персональные данные в медпункте -> СКАЧАТЬ

4. Положение об обработке персональных данных.

      — положение об обработке персональных данных -> СКАЧАТЬ
      — приложение 7 — список должностных лиц, осуществляющих обработку персональных данных -> СКАЧАТЬ
      — приложение 8 — журнал учета допуска к обработке персональных данных -> СКАЧАТЬ

5. Модель угроз и модель нарушителя.

      — модель угроз и нарушителя безопасности персональных данных -> СКАЧАТЬ

6. Инструкция об обработке персональных данных без использования средств автоматизации.

      — инструкция об обработке персональных данных без использования средств автоматизации -> СКАЧАТЬ

7. Приказы по персональным данным.

      — приказ об утверждении нормативных актов по защите персональных данных -> СКАЧАТЬ
      — приказ о порядке исполнения нормативных актов по вопросам обработки персональных данных -> СКАЧАТЬ

8. Прочие документы.

      — что необходимо для реализации учета обрабатываемых персональных данных и их защиты -> СКАЧАТЬ
      — журнал учета допуска работников к обработке персональных данных -> СКАЧАТЬ
      — лист ознакомления с документами по защите персональных данных -> СКАЧАТЬ
      — информационное письмо в Роскомнадзор о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных -> СКАЧАТЬ
      — регламент проведения проверок органами Роскомнадзора -> СКАЧАТЬ
      — регламент проведения проверок ФСБ РФ в области защиты персональных данных -> СКАЧАТЬ

Источник: http://trinosoft.com/index.php?page=/is/readydoc

Чек-лист. Какие документы по персональным данным должны быть у юридического лица для успешного прохождения проверки Роскомнадзора?

В последнее время скандалы, связанные с утечкой персональных данных, приобрели невиданный прежде масштаб. Подобные инциденты происходят все чаще. Финансовый и репутационный ущерб от их реализации становится все более ощутимым для компаний, а практика показывает, что даже у корпоративных гигантов отсутствует 100% уверенность в защищенности своей конфиденциальной информации.

Тем не менее, угроза эта касается не только крупных коммерческих организаций. Оператором персональных данных согласно российскому законодательству является любое юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку персональных данных.

При этом исчерпывающего списка, что же является персональными данным, нет, но мы можем выделить самые важные из них:

ФИО;

дата рождения;

паспортные данные;

адрес места регистрации и/или проживания;

контактная информация;

номер ИНН;

номер СНИЛС;

Исходя из списка выше, можно понять, что в качестве оператора персональных данных может выступать любая организация, которая обрабатывает данные своих сотрудников. Следовательно, под проверку Роскомнадзора может попасть каждая организация.

Что первым проверит Роскомнадзор?

Роскомнадзор, конечно, не будет следить круглосуточно за вашей организацией. Первое, на что обратит внимание регулятор во время проверки, — наличие и актуальность документов, регламентирующих порядок сбора, хранения, обработки и уничтожения персональных данных граждан.

Эта организационно-распорядительная документация является фундаментом успешной и эффективной системы защиты информации, и потому очень важна.

ОРД определяет ответственных лиц, их обязанности, порядок работы с данными, уровень доступа, алгоритмы реагирования в случае возникновения инцидентов и другие важные нюансы.

Весь перечень документации, регламентирующей деятельность оператора ПДн, содержится более чем в 30 нормативно-правовых актах. Чтобы разобраться в них и выделить главное – понадобится большое количество времени.

Для вашего удобства мы собрали весь список, требуемых законодательством документов по персональным данным, в единый чек-лист.

Данный список поможет вам определить уровень готовности вашего пакета ОРД к проверкам регулятора.

Чек-лист готовности пакета документов к проверке Роскомнадзора для юридических лиц и индивидуальных предпринимателей.

1. 1. Акт установления уровня защищенности информационных систем персональных данных.
   2. Акт классификации государственной информационной системы или муниципальной информационной системы.
   3. Журнал регистрации письменных запросов граждан на доступ к своим персональным данным.

   4. Журнал регистрации обращений граждан для получения доступа к своим персональным данным.
   5. Журнал регистрации инцидентов информационной безопасности.
   6. Заключение об оценке вреда субъектам персональных данных.
   7. Инструкция об осуществлении контроля выполнения требования по защите персональных данных.

   8. Инструкция по допуску лиц в помещения, в которых ведется обработка персональных данных.
   9. Инструкция по учёту машинных носителей и регистрации их выдачи.
   10. Модель угроз.
   11. Отзыв согласия субъекта персональных данных.
   12. Перечень информационных систем персональных данных.
   13. Перечень мероприятий по защите персональных данных.

   14. План внутренних проверок состояния защиты персональных данных.
   15. Политика обработки персональных данных.
   16. Положение об ответственном за организацию обработки персональных данных.
   17. Положение о порядке обработки персональных данных.
   18. Положение по работе с инцидентами информационной безопасности.

   19. Приказ «О ведении журнала ознакомления работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных и обучения указанных сотрудников.
   20. Приказ «О журнале учета посетителей».
   21. Приказ «О журнале регистрации инцидентов информационной безопасности».
   22. Приказ «О журнале учёта проверок юридического лица, индивидуального предпринимателя, проводимых органами государственного контроля (надзора), органами муниципального контроля».
   23. Приказ «О назначении ответственного за организацию обработки персональных данных».
   24. Приказ «О назначении комиссии по работе с инцидентами информационной безопасности».
   25. Приказ «О создании комиссии по установлению уровня защищенности персональных данных в информационных системах персональных данных».
   26. Приказ «Об организации мероприятий по защите персональных данных».
   27. Приказ «Об ответственности за обработку и защиту персональных данных».
   28. Приказ «Об установлении границ контролируемой зоны объектов информатизации».
   29. Приказ «Об утверждении мест хранения материальных носителей персональных данных».
   30. Приказ «Об утверждении перечня лиц, имеющих право доступа в помещения, где размещены используемые средства криптографической защиты информации (СКЗИ), хранятся СКЗИ и (или) носители ключевой и аутентифицирующей и парольной информации СКЗИ».
   31. Приказ «Об утверждении типового обязательства работника о неразглашении персональных данных субъектов персональных данных».
   32. Приказ «Об утверждении типовой формы разъяснения субъекту персональных данных юридических последствий отказа предоставить свои персональные данные».
   33. Приказ «Об утверждении форм актов уничтожения персональных данных».
   34. Приказ «Об утверждении форм согласий на обработку персональных данных».
   35. Приказ «Об утверждении типовой формы поручения обработки персональных данных».
   36. Типовая форма поручения обработки персональных данных.
   37. Уведомление об обработке персональных данных.

Что делать, если ваш пакет ОРД неполный или ненадлежащего качества?

Естественно, организационно-распорядительную документацию необходимо привести в порядок – дополнить недостающими документами и актуализировать имеющиеся. Но разрабатывать документацию вручную — трудоемкий и длительный процесс. Автоматизируйте его! Воспользуйтесь системой DocShell. Узнайте, как она работает.

Оставьте заявку на подключение бесплатного тестового доступа к системе по бесплатному номеру телефона 8-800-770-01-31.

Источник: https://docshell.ru/personal-data/check_list_docs_proverka_rkn_pdn_urlitso/

Положение о защите персональных данных работников

Различного рода информация, которая относится к определенному физическому лицу, является его персональными данными. Соответственно, такое физическое лицо именуется субъектом персональных данных (п. 1 ч. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ). К субъектам персональных данных относятся в том числе и работники.

Работодатель, в свою очередь, занимается обработкой персональных данных своих работников, т. е. производит сбор данных, их систематизацию, хранение, обновление, передачу, удаление и т.д.

Это, к примеру, паспортные данные работников, сведения об адресе их проживания, информация об образовании или стаже работников, о заработной плате или семейном положении, о деловых качествах и даже увлечениях работников и т.д.

С целью обеспечения выполнения требований к порядку обработки персональных данных работников и защите этих сведений работодатель может разработать и утвердить Положение о работе с персональными данными работников. Оно также может именоваться, например, Положением об обработке персональных данных работников, Положением о защите персональных данных или даже Положением о персональных данных работников.

Работодатель должен внимательно подходить к разработке такого Положения, а в дальнейшем четко следовать указанному в нем порядку, ведь нарушение им законодательства о персональных данных чревато штрафами.

Так, например, обработка персональных данных в случаях, не предусмотренных законодательством в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, может повлечь наложение штрафа на должностных лиц работодателя в размере от 5 000 до 10 000 рублей, а на работодателя-организацию – от 30 000 до 50 000 рублей (ч. 1 ст. 13.11 КоАП РФ).

Хотя необходимо иметь в виду, что Положение о персональных данных обязательно и для работников. Работник может быть даже уволен за разглашение персональных данных другого работника, ставших известными ему при исполнении своих трудовых обязанностей (пп. «в» п. 6 ст. 81 ТК РФ).

Разрабатываем Положение о порядке обработки персональных данных работников

Структуру и содержание Положения о защите персональных данных работников (образец приведем ниже) работодатель определяет для себя самостоятельно. При этом руководствуется он, в частности, требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и гл. 14 «Защита персональных данных работника» ТК РФ.

При разработке Положения о персональных данных работодатель должен учитывать, в частности, следующие принципы обработки и защиты персональных данных:

• обработка персональных данных работников производится только в целях соблюдения законодательства РФ, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
• все персональные данные работников нужно получать у него самого. Если какие-либо персональные данные работника можно получить только у третьей стороны, работник заранее должен быть уведомлен об этом, а от него должно быть получено письменное согласие;
• работодатель должен за свой счет обеспечивать защиту персональных данных работников от неправомерного их использования или утраты;
• работодатель должен под роспись ознакомить работников с порядком обработки их персональных данных, а также с их правами и обязанностями в этой области.

Положение о защите персональных данных утверждается руководителем работодателя в качестве локального нормативного акта. С ним необходимо знакомить всех работников под роспись при их трудоустройстве (ч. 3 ст. 68 ТК РФ).

Приведем для Положения о персональных данных работников 2018 образец его заполнения.

Но такое согласие не требуется, если передача персональных данных необходима для предупреждения угрозы жизни и здоровью работника или необходима на основании других Федеральных законов (например, при передаче сведений в ПФР, ФСС, налоговые органы).

Также читайте:

Источник: https://glavkniga.ru/forms/727