Положение о защите персональных данных

Работодатель / организация​ Утверждено документом № Номер документа​ от Дата документа.

Цель — предотвращать неправомерные доступ, раскрытие, утрату и изменение данных. Защита строится соразмерно угрозам, составу данных и способам обработки по статьям 18.1 и 19 Федерального закона № 152-ФЗ. Системы, помещения, носители: Системы и места хранения ПДн​. Ответственные и полномочия: Ответственные за организацию обработки и безопасность​.

Оператор обеспечивает неограниченный доступ к публичной политике обработки и сведениям о реализуемых требованиях защиты. При сетевом сборе они публикуются в соответствующей сети, в том числе на страницах сайта, где собираются данные. Настоящее внутреннее положение дополняет публичную политику; пароли, конфигурации и иные сведения, раскрытие которых создаёт угрозу безопасности, публично не размещаются.

Руководитель утверждает меры защиты, предоставляет ресурсы и контролирует устранение нарушений. Ответственный за организацию обработки координирует реестр процессов, обучение, обращения субъектов и взаимодействие с уполномоченным органом. Администраторы реализуют утверждённые настройки и ведут технические записи; руководители подразделений обосновывают доступ и сообщают о кадровых изменениях. Один сотрудник может совмещать роли только при оформлении полномочий и обеспечении контроля. Работник использует данные только для порученной цели, не копирует их на личные носители и в несогласованные сервисы, не раскрывает третьим лицам и немедленно сообщает об утрате, ошибочной отправке или подозрительном доступе. Конфиденциальность сохраняется и после прекращения доступа; она не препятствует законным обращениям субъекта и передаче по законным требованиям государственных органов.

Заявка содержит цель, систему или помещение, перечень данных, разрешённые действия и срок. Руководитель подразделения подтверждает служебную необходимость; уполномоченное лицо согласует доступ, администратор выполняет и фиксирует решение. Используются индивидуальные учётные записи. Общие административные доступы ограничиваются и учитываются отдельно, действия должны быть прослеживаемы. При переводе права пересматриваются, при увольнении или прекращении основания доступ закрывается, пропуска и носители возвращаются. Права периодически сверяются с реальными обязанностями, лишние удаляются. При телефонном или электронном запросе сведения не выдаются до проверки личности, полномочий и правового основания получателя.

Разрешённые роли и минимально необходимые права: Роли и разрешённые права доступа​. Доступ предоставляется по документированному решению, регулярно пересматривается и прекращается при утрате основания. Передача учётных данных другим лицам запрещена. Сотрудники допускаются после ознакомления с правилами и обязанностью конфиденциальности.

До ввода системы и после существенных изменений определяются актуальные угрозы, требуемый уровень защищённости и состав мер; результат документируется. Уровень не выбирается автоматически по размеру организации. До эксплуатации оценивается эффективность защиты. Применяются разграничение прав, безопасная аутентификация, учёт носителей, защита от вредоносного программного обеспечения, своевременное устранение уязвимостей, контроль внешних подключений и регистрация действий с данными. Средства защиты проходят необходимую оценку соответствия в случаях, установленных требованиями. Журналы защищаются от изменения и доступны только уполномоченным лицам. Резервные копии защищаются не слабее рабочих данных. Восстановление периодически проверяется на выделенной среде с фиксацией результата; копии учитываются в сроках хранения и процедурах уничтожения. При восстановлении повторно применяются ранее выполненные законные удаления и ограничения, чтобы данные не вернулись в обычную обработку. Угрозы и защищённость информационных систем: Угрозы, уровень защищённости и обоснование мер​. Технические меры: Средства защиты и настройки конкретных систем​. Резервирование: Параметры резервирования​. Бумажные дела хранятся в закрываемых местах, доступных только допущенным лицам; документы несовместимых целей отделяются. Выдача и возврат учитываются. Копирование допускается для конкретной задачи с контролем количества экземпляров, передача — в упаковке, исключающей случайное ознакомление. На столе и у общих принтеров документы без присмотра не оставляются. Испорченные копии собираются для контролируемого уничтожения, а не выбрасываются с обычным мусором. Места хранения, ответственные и особенности выдачи: Места и ответственные за бумажные носители​.

Обнаруживший инцидент немедленно сообщает: Контакты и порядок немедленного сообщения об инциденте​. Ответственный фиксирует обстоятельства, ограничивает ущерб, сохраняет доказательства и организует расследование. При установленной неправомерной или случайной передаче, повлекшей нарушение прав субъектов, оператор уведомляет уполномоченный орган в течение 24 часов; о результатах внутреннего расследования — в течение 72 часов по части 3.1 статьи 21 Федерального закона № 152-ФЗ.

Сотрудник не уничтожает журналы и не скрывает ошибку. Ответственный фиксирует время обнаружения, источник сообщения, категории затронутых данных и лиц, предполагаемый объём и принятые меры, сохраняет исходные доказательства и ограничивает доступ к ним. Техническая группа локализует инцидент без неоправданного уничтожения следов; правовая оценка определяет обязанности уведомления и дальнейшие действия. До истечения законных сроков направляются доступные проверенные сведения; расследование продолжается с документированием причин и корректирующих мер. После устранения проверяется отсутствие повторного доступа, пересматриваются права, процедуры и обучение.

Обучение, проверки, оценка эффективности и устранение недостатков: План обучения, проверок и устранения нарушений​. Контроль включает сверку прав, проверку хранения и резервных копий, анализ инцидентов и выполнения ранее выданных предписаний. По проверке оформляются выводы, ответственные и сроки устранения; закрытие нарушения подтверждается повторной проверкой. По достижении основания прекращения хранения данные изолируются от обычного использования, проверяются обязательные сроки сохранения документов и связанные копии. Уничтожение выполняется уполномоченными лицами контролируемым способом, фиксируются состав, основание, способ, дата и подтверждение результата. Исполнители, системы, носители и утверждённый способ уничтожения: Порядок уничтожения и доказательства​. Простое удаление файла не признаётся достаточным без проверки невозможности восстановления в предусмотренных случаях. Должность подписанта​ __________ / ФИО подписанта​ /; полномочия Основание полномочий​.