Медианн

Действия оператора персональных данных

Порядок проведения работ

Порядок работ по подготовке информационных систем персональных данных (ИСПДн) к проведению оценки соответствия ИСПДн требованиям безопасности персональных данных (ПДн) и созданию системы защиты ПДн (СЗПДн):

1. Проведение обследования автоматизированных систем (АС) Заказчика в части обработки в АС ПДн:

анализ информационных ресурсов:
- определение перечня всех существующих ИСПДн в составе АС Заказчика;
- определение состава и структуры каждой ИСПДн и технических особенностей ее/их построения (состав и структура ПО, топология ИСПДн);
- определение перечня и местонахождения ПДн, подлежащих защите;
- категорирование персональных данных;
- определение режима обработки ПДн в целом и отдельных компонентах.
анализ уязвимых звеньев и возможных угроз безопасности ПДн:
- оценка возможности физического доступа к ИСПДн;
- выявление возможных каналов утечки информации, в т.ч. технических;
- анализ возможностей программно-математического воздействия на ИСПДн;
- анализ возможностей электромагнитного воздействия на ИСПДн.
оценка ущерба от реализации угроз безопасности ПДн:
- оценка непосредственного ущерба от реализации угроз безопасности ПДн;
- оценка опосредованного ущерба от реализации угроз безопасности ПДн.
анализ имеющихся в распоряжении мер и средств защиты ПДн:
- от физического доступа;
- от утечки по техническим каналам;
- от несанкционированного доступа (НСД);
- от программно-математического воздействия;
- от электромагнитных воздействий.

2. Обоснование требований по обеспечению безопасности ПДн, обрабатываемых в ИСПДн:

3. Обоснование требований по обеспечению безопасности ПДн с использованием криптосредств:

4. Проведение работ по организации обеспечения безопасности ПДн при их обработке в ИСПДн:

5. Разработка документов, регламентирующих вопросы организации обеспечения безопасности ПДн и эксплуатации СЗПДн в ИСПДн.

6. Развертывание и ввод в опытную эксплуатацию СЗПДн в ИСПДн.

7. Доработка СЗПДн по результатам опытной эксплуатации.

8. Проведение работ по оценке соответствия ИСПДн по требованиям безопасности ПДн (сертификация (аттестация) по требованиям безопасности информации для ИСПДн 1 и 2 классов, декларирование соответствия требованиям безопасности информации для ИСПДн 3 класса, оценка соответствия для ИСПДн 4 класса).

Примерный перечень организационно-распорядительных документов

Аттестация (сертификация) ИСПДн

Мероприятия по обеспечению защиты ПДн