4) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
6) срок, в течение которого действует согласие, а также порядок его отзыва.
3. ИСПОЛНИТЕЛЬ РАБОТ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ Общее руководство работами по обеспечению безопасности ПДн осуществляет руководитель Организации. Для организации работ по обеспечению безопасности ПДн руководителем Организации назначаются должностные лица, ответственные за следующие направления:
- Методическое руководство и контроль за эффективностью предусмотренных мер защиты информации;
- Научно-техническое руководство и непосредственную организацию работ по созданию (модернизации) СЗПДн.
3.1 Привлечение сторонних организаций Разработка СЗПДн может осуществляться как подразделением Организации, так и другими специализированными организациями, имеющими лицензии ФСТЭК России на соответствующий вид деятельности. В случае разработки СЗПДн или ее отдельных компонентов специализированными организациями руководством Организации определяются подразделения (или отдельные специалисты), ответственные за организацию и проведение мероприятий по защите ПДн. Разработка и внедрение СЗПДн осуществляется во взаимодействии разработчика с ответственным подразделением, которое осуществляет методическое руководство и участвует в разработке конкретных требований по защите персональных данных, аналитическом обосновании необходимости создания СЗПДн, согласовании выбора средств вычислительной техники и связи, технических и программных средств защиты, организации работ по выявлению возможных каналов утечки информации или воздействий на неё и предупреждению утечки и нарушения целостности ПДн, в аттестации ИСПДн.
4. РЕШЕНИЕ ВОПРОСОВ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ПДН В ДИНАМИКЕ ИЗМЕНЕНИЯ ОБСТАНОВКИ И КОНТРОЛЯ ЭФФЕКТИВНОСТИ ЗАЩИТЫ
4.1 Модернизация СЗПДн Для функционирующих ИСПДн доработка (модернизация) СЗПДн должна проводиться в случае, если:
- изменился состав или структура самой ИСПДн или технические особенности ее построения (изменился состав или структура программного обеспечения, технических средств обработки ПДн, топологии ИСПДн);
- изменился состав угроз безопасности ПДн в ИСПДн;
- изменился класс ИСПДн.
Для определения необходимости доработки (модернизации) СЗПДн не реже одного раза в год должна проводиться проверка состава и структуры ИСПДн, состава угроз безопасности ПДн в ИСПДн и класса ИСПДн. Проверка проводится силами подразделения (должностного лица), ответственного за обеспечение безопасности ПДн. Результаты проверки оформляются актом и утверждаются руководством.
4.2 Контроль за соблюдением условий использования СЗИ Необходимо проводить периодический (не реже одного раза в год) контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией.
4.3 Разбирательства Разбирательство и составление заключений в обязательном порядке должно проводиться в случае выявления следующих фактов:
- несоблюдение условий хранения носителей персональных данных.
- использование средств защиты информации, которые могут привести к нарушению заданного уровня безопасности (конфиденциальность/ целостность/доступность) персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных.
- нарушение заданного уровня безопасности ПДн (конфиденциальность/ целостность/доступность).
В процессе проведения разбирательства необходимо провести разработку и принятие мер по предотвращению возможных негативных последствий подобных нарушений. По окончании проведения разбирательства необходимо провести разработку (доработку) и принятие мер по предотвращению повторения подобных нарушений. |
