О ПРОВЕДЕНИИ МЕРОПРИЯТИЙ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В МИНИСТЕРСТВЕ ГОСУДАРСТВЕННОГО ИМУЩЕСТВА РЕСПУБЛИКИ МАРИЙ ЭЛ



Постановление

МИНИСТЕРСТВО ГОСУДАРСТВЕННОГО ИМУЩЕСТВА РЕСПУБЛИКИ МАРИЙ ЭЛ

ПРИКАЗ

от 11 апреля 2013 года № 07-нп

О ПРОВЕДЕНИИ МЕРОПРИЯТИЙ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В МИНИСТЕРСТВЕ ГОСУДАРСТВЕННОГО ИМУЩЕСТВА РЕСПУБЛИКИ МАРИЙ ЭЛ

Во исполнение требований Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», постановления Правительства Российской Федерации от 21 марта 2012 года № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами» приказываю:

1. Утвердить Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в Министерстве государственного имущества Республики Марий Эл в части обработки персональных данных, согласно Приложению № 1 к настоящему приказу.

2. Утвердить План мероприятий по обеспечению защиты персональных данных в Министерстве государственного имущества Республики Марий Эл, согласно Приложению № 2 к настоящему приказу.

3. Абзац четвертый пункта 1 приказа Министерства государственного имущества Республики Марий Эл от 3 сентября 2012 года № 269-од «О мерах, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» (в редакции приказа Мингосимущества Республики Марий Эл от 31 октября 2012г. № 352-од) признать утратившим силу.

4. Контроль за исполнением настоящего приказа возложить на начальника общего отдела Юсова В.Л.

Министр Н.А. Хайруллова

Приложение № 1

к приказу Министерства государственного имущества Республики Марий Эл от 11 апреля 2013 года № 07-нп

ПРАВИЛА

осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в Министерстве государственного имущества Республики Марий Эл

1. Настоящими Правилами осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в Министерстве государственного имущества Республики Марий Эл (далее – Правила) определяются процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных; основания, порядок, формы и методы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных.

2. Настоящие Правила разработаны в соответствии с требованиями Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», постановления Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», постановления Правительства Российской Федерации от 15 сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации», постановления Правительства Российской Федерации от 21 марта2012 года № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами» и другими нормативно-правовыми актами.

3. В настоящих Правилах используются основные понятия, определенные в статье 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

4. В целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям в Министерстве государственного имущества Республики Марий Эл организуется проведение периодических проверок условий обработки персональных данных.

5. Проверки организуются лицом, ответственным за организацию обработки персональных данных и осуществляются в его присутствии комиссией, образуемой приказом Министерства государственного имущества Республики Марий Эл.

6. Проверки соответствия обработки персональных данных установленным требованиям в Министерстве государственного имущества Республики Марий Эл проводятся на основании утвержденного приказом Министерства государственного имущества Республики Марий Эл ежегодного плана осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям или на основании поступившего письменного заявления о нарушениях правил обработки персональных данных (внеплановые проверки). Проведение внеплановой проверки организуется в течение трех рабочих дней с момента поступления соответствующего заявления.

7. При проведении проверки соответствия обработки персональных данных установленным требованиям должны быть полностью, объективно и всесторонне установлены:

- соблюдение требований к обработке персональных данных;

- соблюдение режима защиты персональных данных;

- актуальность и факты внесения изменений в имеющиеся локальные акты по вопросам обработки и защиты персональных данных;

- эффективность принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

- порядок и условия применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;

- соблюдение антивирусной защиты на всех элементах информационной системы персональных данных;

- порядок и условия применения средств защиты информации;

- соблюдение режима защиты информации при подключении к сетям общего пользования и (или) международного обмена;

- установка обновлений программного обеспечения на всех элементах информационной системы персональных данных;

- выполнение резервного копирования защищаемой информации;

- проведение анализа и пересмотра имеющихся угроз безопасности персональных данных;

- учет машинных носителей персональных данных;

- соблюдение правил доступа к персональным данным;

- наличие (отсутствие) фактов несанкционированного доступа к персональным данным и принятие необходимых мер;

- осуществление мероприятий по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- осуществление мероприятий по обеспечению целостности персональных данных.

8. Ответственный за организацию обработки персональных данных в Министерстве государственного имущества Республики Марий Эл (комиссия) имеет право:

- запрашивать у министра государственного имущества Республики Марий Эл, государственных гражданских служащих Республики Марий Эл и работников (далее – сотрудники)в Министерстве государственного имущества Республики Марий Эл информацию, необходимую для реализации полномочий;

- требовать от уполномоченных на обработку персональных данных должностных лиц уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

- принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства Российской Федерации;

- вносить на рассмотрение министру государственного имущества Республики Марий Эл предложения о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке;

- вносить на рассмотрение министру государственного имущества Республики Марий Эл предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в отношении обработки персональных данных.

9. В отношении персональных данных, ставших известными лицу, ответственному за организацию обработки персональных данных в Министерстве государственного имущества Республики Марий Эл (комиссии) в ходе проведения мероприятий внутреннего контроля, должна обеспечиваться конфиденциальность персональных данных.

10. Проверка должна быть завершена не позднее чем через месяц со дня принятия решения о её проведении. О результатах проведенной проверки и мерах, необходимых для устранения выявленных нарушений, министру государственного имущества Республики Марий Эл докладывает ответственный за организацию обработки персональных данных либо председатель комиссии.

11. Результатом проведения внутренней проверки в части обработки и защиты персональных данных в Министерстве государственного имущества Республики Марий Эл является Отчетный документ по результатам проведенной внутренней проверки, составленный ответственным за организацию обработки персональных данных и утвержденный приказом Министерства государственного имущества Республики Марий Эл.

12. Министр государственного имущества Республики Марий Эл, назначивший внеплановую проверку, обязан контролировать своевременность и правильность её проведения.

Приложение № 2

к приказу Министерства государственного имущества Республики Марий Эл от 11 апреля 2013 года № 07-нп

ПЛАН

мероприятий по обеспечению защиты персональных данных в Министерстве государственного имущества Республики Марий Эл

№ п/п

Наименование мероприятия

Разрабатываемые документы

Срок исполнения (периодичность)

Ответственный исполнитель

Организационные мероприятия

Определение перечня информационных систем персональных данных(далее – ИСПДн)

Перечень информационных систем персональных данных в Министерстве государственного имущества Республики Марий Эл

Имеется Поддерживать в актуальном состоянии

Администратор информационной безопасности,

Администратор ИСПДн

Определение обрабатываемых персональных данных (далее – ПДн) и объектов защиты

Перечень персональных данных, обрабатываемых в Министерстве государственного имущества Республики Марий Эл;

Приказ о создании справочников и списков, содержащих персональные данные;

Согласие на обработку персональных данных

Имеется

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Определение лиц, допущенных к обработке ПДн

Разрешительная система допуска сотрудников в Министерстве государственного имущества Республики Марий Эл, допущенных к обработке персональных данных;

Обязательство о неразглашении конфиденциальной информации.

Имеется.

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Определение ответственных лиц, участвующих в обработке ПДн

Приказ о назначении ответственных лиц за обработку и защиту персональных данных в Министерстве государственного имущества Республики Марий Эл

Имеется.

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Определение прав разграничения доступа пользователей ИСПДн, необходимых для выполнения должностных обязанностей

Положение о разграничении прав доступа к обрабатываемым персональным данным

Имеется.

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности, Администратор ИСПДн

Назначение Администратора информационной безопасности

Приказ о назначении ответственных лиц за обработку и защиту персональных данных в Министерстве государственного имущества Республики Марий Эл;

Инструкция Администратора информационной безопасности

Имеется.

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных

Создание комиссии по классификации ИСПДн

Приказ о проведении классификации информационных систем персональных данных и определении уровня защищенности персональных данных при их обработке в информационных системах персональных данных в Министерстве государственного имущества Республики Марий Эл

Имеется.

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных

Классификация всех выявленных ИСПДн

Приказ о проведении классификации информационных систем персональных данных и определении уровня защищенности персональных данных при их обработке в информационных системах персональных данных в Министерстве государственного имущества Республики Марий Эл

Акт классификации информационных систем персональных данных

Имеется.

Поддерживать в актуальном состоянии

Комиссия (в соответствии с Приказом о проведении классификации информационных систем персональных данных и определении уровня защищенности персональных данных при их обработке в информационных системах персональных данных)

Создание комиссии по определению уровня защищенности персональных данных при их обработке в информационных системах персональных данных

Приказ о проведении классификации информационных систем персональных данных и определении уровня защищенности персональных данных при их обработке в информационных системах персональных данных в Министерстве государственного имущества Республики Марий Эл

Имеется.

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных

Определение уровня защищенности персональных данных при их обработке в информационных системах персональных данных

Приказ о проведении классификации информационных систем персональных данных и определении уровня защищенности персональных данных при их обработке в информационных системах персональных данных в Министерстве государственного имущества Республики Марий Эл;

Акты определения уровня защищенности персональных данных при их обработке в информационных системах персональных данных

Имеется.

Поддерживать в актуальном состоянии

Комиссия(в соответствии с Приказом о проведении классификации информационных систем персональных данных и определении уровня защищенности персональных данных при их обработке в информационных системах персональных данных)

Разработка частной модели угроз и нарушителя безопасности ПДн выявленных ИСПДн

Частная модель угроз и нарушителя безопасности персональных данных ИСПДн

Имеется

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Определение границ контролируемой зоны при обработке конфиденциальной информации в ИСПДн

Схемы границ контролируемой зоны при обработке конфиденциальной информации в ИСПДн в Министерстве государственного имущества Республики Марий Эл

Имеется

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Выбор помещений для установки аппаратных средств ИСПДнв помещениях, с целью исключения несанкционированного доступа лиц, не допущенных к обработке ПДн

При необходимости

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Организация режима и контроля доступа (охраны) в помещения, в которых установлены аппаратные средства ИСПДн

При необходимости

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Организация порядка резервного копирования защищаемой информации на твердом носителе

Положение о резервном копировании и восстановлении информации, содержащей персональные данные, обрабатываемой с использованием средств вычислительной техники

Разработано

Поддерживать в актуальном состоянии

Администратор информационной безопасности,

Администратор ИСПДн

Организация порядка восстановления работоспособности технических средств, программного обеспечения, баз данных

Положение о резервном копировании и восстановлении информации, содержащей персональные данные, обрабатываемой с использованием средств вычислительной техники

Разработано

Поддерживать в актуальном состоянии

Администратор информационной безопасности,

Администратор ИСПДн

Введение в действие инструкции по порядку формирования, распределения и применения паролей

Инструкция по организации парольной защиты на объектах вычислительной техники

Выполнено

Администратор информационной безопасности,

Администратор ИСПДн

Организация информирования и обучения сотрудников о порядке обработки ПДн

Приказ о введении режима защиты персональных данных

Выполнено

Ответственное лицо за организацию обработки персональных данных

Организация информирования и обучения сотрудников о введенном режиме защиты ПДн

Приказ о введении режима защиты персональных данных

Выполнено

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Введение в должностные инструкции (регламенты) положений о порядке обработки ПДн и обеспечении введенного режима защиты

II квартал

2013 года

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Разработка инструкции о порядке обеспечения конфиденциальности при обработке персональных данных

Инструкция о порядке обеспечения конфиденциальности при обработке персональных данных

Разработана.

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Мероприятия по физической защите

Организация постов охраны для пропуска в контролируемую зону

При необходимости

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Установка дополнительных замков на дверях в помещениях с аппаратными средствами ИСПДн

При необходимости

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Установка жалюзи на окнах

При необходимости

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Установка системы пожаротушения в помещениях, где расположены элементы ИСПДн

При необходимости

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Установка систем кондиционирования в помещениях, где расположены аппаратные средства ИСПДн

Выполнено

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Контролирующие мероприятия

Создание журнала учета мероприятий по контролю обеспечения защиты персональных данных и поддержание его в актуальном состоянии

Разработан.

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных

Контроль за соблюдением режима обработки ПДн

Постоянно

Ответственное лицо за организацию обработки персональных данных,

Администратор ИСПДн

Контроль за соблюдением требований к обработке персональных данных

Постоянно

Ответственное лицо за организацию обработки персональных данных,

Администратор ИСПДн

Контроль за соблюдением режима защиты персональных данных

Постоянно

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Контроль за выполнением антивирусной защиты при обработке ПДн в ИСПДн

Постоянно

Администратор информационной безопасности,

Администратор ИСПДн

Контроль за соблюдением режима защиты при подключении к сетям общего пользования и (или) международного обмена

Постоянно

Администратор информационной безопасности,

Администратор ИСПДн

Проведение периодических внутренних проверок в части обработки и защиты персональных данных

Положение по организации и проведению работ по обеспечению безопасности персональных данных

В соответствии с Положением

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности,

Администратор ИСПДн

Контроль за обновлениями программного обновлений программного обеспечения на всех элементах ИСПДн

Постоянно

Администратор информационной безопасности,

Администратор ИСПДн

Контроль за обеспечением резервного копирования

Постоянно

Администратор информационной безопасности,

Администратор ИСПДн

Организация анализа и пересмотра имеющихся угроз безопасности ПДн

Поддерживать в актуальном состоянии

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Администратор ИСПДн

Поддержание в актуальном состоянии нормативно-организационных документов

Постоянно

Ответственное лицо за организацию обработки персональных данных,

Администратор информационной безопасности

Контроль за разработкой и внесением изменений в программное обеспечение собственной разработки или штатное программное обеспечение, специально дорабатываемое собственными разработчиками или сторонними организациями.

Постоянно

Администратор ИСПДн