План мероприятий по обеспечению безопасности ПДн

При обработке персональных данных в информационных системах устанавливаются уровни защищенности ПДн в соответствии с Постановлением Правительства от 1.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

При определении уровня защищенности ПДн, при их обработке в ИСПДн учитываются следующие исходные данные:

· категория обрабатываемых в информационной системе персональных данных;

· объем обрабатываемых персональных данных (количество субъектов персональных данных, персональные данные которых обрабатываются в информационной системе);

· заданные оператором характеристики безопасности персональных данных, обрабатываемых в информационной системе;

· тип угроз безопасности ПДн, актуальных для информационной системы;

· проверяется условие принадлежности ПДн сотрудникам оператора ПДн или иным субъектам, не являющимся сотрудниками оператора.

По результатам анализа исходных данных информационных систем персональных данных присваивается соответствующий уровень защищенности ПДн, и составляется «Акт определения уровня защищенности ПДн, при их обработке в ИСПДн», утверждаемый руководителем Организации.

Уровень защищенности персональных данных может быть пересмотрен:

· по решению ответственного по защите ПДн в Организации на основе проведенных им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной информационной системы;

· по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.

Для обеспечения безопасности процессов обработки персональных данных в Организации, должны быть выполнены работы, в соответствии с планом, указанном ниже:

Мероприятие	Периодичность
Организационные мероприятия
Обследование информационных систем персональных данных	Разовое
Определение перечня ИСПДн	Разовое
Определение обрабатываемых ПДн и объектов защиты	Разовое
Определение круга лиц, участвующих в обработке ПДн	Разовое
Определение ответственности лиц, участвующих в обработке	Разовое
Определение прав разграничения доступа пользователей ИСПДн, необходимых для выполнения должностных обязанностей	Разовое
Назначение ответственных за безопасность и организацию ИСПДн	Разовое
Определение уровня защищенности ПДн для всех выявленных ИСПДн	Разовое
Установление контролируемой зоны вокруг ИСПДн	Разовое
Выбор помещений для установки аппаратных средств ИСПДн в помещениях, с целью исключения НСД лиц, не допущенных к обработке ПДн	Разовое
Организация режима и контроля доступа (охраны) в помещения, в которых установлены аппаратные средства ИСПДн.	Разовое
Организация порядка резервного копирования и восстановления защищаемой информации на твердые носители	Разовое
Введение в действие инструкции по защите ИСПДн	Разовое
Организация информирования и обучения сотрудников о порядке обработки и защиты ПДн	Разовое
Разработка должностных инструкций о порядке обработки ПДн и обеспечении введенного режима защиты	Разовое
Разработка инструкций о действии в случае возникновения внештатных ситуаций	Разовое
Разработка положения об обработке и защите ПДн, обрабатываемых в ИСПДн	Разовое
Утверждение политики безопасности персональных данных	Разовое
Организация журнала учета обращений субъектов ПДн	Разовое
Организация перечня по учету технических средств и средств защиты, а также документации к ним	Разовое
Организация постов охраны для пропуска в контролируемую зону	Разовое
Инженерно-технические мероприятия
Внедрение технической системы контроля доступа в контролируемую зону и помещения	Разовое
Внедрение технической системы контроля доступа к элементам ИСПДн	Разовое
Установка жалюзи на окнах	Разовое
Внедрение резервных (дублирующих) технических средств ключевых элементов ИСПДн	Разовое
Мероприятия по внедрению СЗИ от НСД
Внедрение системы защиты от НСД на рабочих станциях и серверах	Разовое
Внедрение системы антивирусной защиты	Разовое
Внедрение средств межсетевого экранирования	Разовое
Внедрение средств анализа защищенности	Разовое
Внедрение средств обнаружения вторжений	Разовое
Создание журнала внутренних проверок и поддержание его в актуальном состоянии	Ежемесячно
Контроль над соблюдением режима обработки ПДн	Еженедельно
Контроль над соблюдением режима защиты	Ежедневно
Контроль над выполнением антивирусной защиты	Еженедельно
Контроль над соблюдением режима защиты при подключении к сетям общего пользования и (или) международного обмена	Еженедельно
Проведение внутренних проверок на предмет выявления изменений в режиме обработки и защиты ПДн	Ежегодно
Контроль за обновлениями программного обеспечения и единообразия применяемого ПО на всех элементах ИСПДн	Еженедельно
Контроль за обеспечением резервного копирования	Ежемесячно
Организация анализа и пересмотра имеющихся угроз безопасности ПДн, а также предсказание появления новых, еще неизвестных, угроз	Ежегодно
Поддержание в актуальном состоянии нормативно-организационных документов	Ежемесячно
Контроль за разработкой и внесением изменений в программное обеспечение собственной разработки или штатное ПО, специально дорабатываемое собственными разработчиками или сторонними организациями.	Ежемесячно
Тестирование реализации правил фильтрации на МЭ, настроек системы защиты от НСД, системы защиты от вирусов, системы обнаружения вторжений и анализа защищенности	Ежемесячно