Защита персональных данных на предприятии

Эксперты в области защиты информации выделяют следующие основные этапы построения системы обеспечения безопасности персональных данных на предприятии.

На первом этапе издается нормативный документ об организации работ по созданию системы защиты персональных данных в компании. В данном приказе (распоряжении):

• • назначается сотрудник компании, ответственный за осуществление мероприятий, направленных на защиту персональных данных;
• • дается указание о разработке локальной документации, которая имеет отношение к защите персональных данных;
• • создается комиссия по контролю за обработкой персональных данных;
• • утверждается и вводится в действие положение по защите и обработке персональных данных в компании.

На втором этапе проводятся обследование и аудит информационных систем персональных данных компании. Целями данного этапа являются определение статуса компании и принятие решения относительно предоставления ей полномочий оператора обработки персональных данных. После этого проводится процедура определения класса информационной системы персональных данных в компании.

В результате реализации данного этапа должны быть разработаны и утверждены следующие документы:

• • приказ (распоряжение) о создании комиссии по классификации информационных систем персональных данных;
• • отчет об обследовании информационных систем персональных данных;
• • акт классификации типовой информационной системы персональных данных;
• • положение о защите и обработке персональных данных в организации;
• • примерная модель угроз безопасности данных, обрабатываемых в информационных системах персональных данных.

Третий этап предполагает направление уведомления об обработке (или о намерении осуществить обработку) персональных данных в территориальное подразделение Роскомнадзора.

Четвертый этап целесообразно отвести под разработку, утверждение и применение следующих документов: «Согласие на обработку персональных данных» и «Отзыв согласия на обработку персональных данных».

Пятый этап — это начало непосредственного внедрения системы защиты персональных данных. В организационном плане этот этап обязательно включает в себя создание и утверждение:

• • перечня лиц, которые будут допущены к обработке персональных данных;
• • перечня персональных данных, которые обрабатываются в компании;
• • положения об обработке и защите персональных данных в организации, а также типового обязательства об обеспечении конфиденциальности персональных данных сотрудниками предприятия;
• • описания системы защиты персональных данных при их обработке в информационных системах организации. К нему обычно прикрепляют:
• — Инструкцию пользователя по соблюдению режима защиты информации при работе в информационных системах персональных данных;
• — Инструкцию администратора безопасности информационных систем персональных данных организации;

Инструкцию по резервному копированию и восстановлению данных в информационных системах персональных данных предприятия;

— Положение о разграничении прав доступа к обрабатываемым персональным данным в информационных системах персональных данных в организации.

На шестом этапе требуется определить технические средства защиты персональных данных.

На заключительном седьмом этапе разрабатывается и утверждается заключение о соответствии системы защиты персональных данных, обрабатываемых в информационных системах организации, предъявляемым требованиям.