Положение по организации и проведению работ по обеспечению безопасности ПДн

10) Разработка эксплуатационной документации на ИСПДн и средства защиты информации, а также организационно-распорядительной документации по защите информации (приказов, инструкций и других документов).

2.3.3 Стадия ввода в действие

2.3.3.1 На стадии ввода в действие ИСПДн (СЗПДн) осуществляются:

1) Генерация пакетов прикладных программ в комплексе с программными средствами защиты информации.

2) Опытная эксплуатация средств защиты информации в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе ИСПДн и отработки ПДн.

3) Приемо-сдаточные испытания средств защиты информации по результатам опытной эксплуатации.

4) Организация охраны и физической защиты помещений ИСПДн, и исключающих несанкционированный доступ к техническим средствам ИСПДн, хищение и нарушение работоспособности, хищение носителей информации.

5) Оценка соответствия ИСПДн требованиям безопасности ПДн.

2.3.3.2 Оценка соответствия ИСПДн по требованиям безопасности ПДн проводится:

- для ИСПДн 1 и 2 классов - обязательная сертификация (аттестация по требованиям безопасности информации);

- для ИСПДн 3 класса - декларирование соответствия требованиям безопасности информации (оформляется документ «Декларация соответствия ИСПДн, требованиям по обеспечению безопасности ПДн»);

- для ИСПДн 4 класса оценка соответствия проводится по решению руководства Организации.

2.4 Лицензирование В соответствии с положениями Федерального закона от 8 августа 2001 г. № 128 «О лицензировании отдельных видов деятельности» и требованиями постановления Правительства Российской Федерации от 16 августа 2006 г. № 504 «О лицензировании деятельности по технической защите конфиденциальной информации» для проведения мероприятий по обеспечению безопасности ПДн при их обработке в ИСПДн 1, 2 классов и в распределенных информационных системах 3 класса Организация должна получить лицензию на осуществление деятельности по технической защите конфиденциальной информации в установленном порядке.

2.5 Организационно-распорядительная документация

2.5.1 Перечень ОРД, разрабатываемой в Организации. В рамках реализации мер по обеспечению безопасности ПДн в Организации должны быть разработаны следующие документы:

1) Положение об обработке персональных данных (для каждого вида ПДн).

2) Регламент взаимодействия с субъектами персональных данных.

3) Регламент взаимодействия с уполномоченными органами.

4) Регламент взаимодействия при передаче персональных данных третьим лицам.

5) Регламент контроля режима обработки персональных данных.

6) Регламент обеспечения режима обработки персональных данных.

7) Инструкции администраторов СЗИ, обеспечивающих безопасность персональных данных.

8) Инструкции пользователей ИСПДн по работе с персональными данными и СЗИ.

9) Раздел должностных инструкций персонала в части обеспечения безопасности ПДн при их обработке.

10) Типовые формы согласия субъектов на обработку персональных данных.

2.5.2 Требования к содержанию ОРД. При разработке «Положения об обработке ПДн» и Типовых форм согласия субъектов ПДн желательно руководствоваться примерными формами, предлагаемыми Роскомнадзором. Типовая форма письменного согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;