Конференция "152 ФЗ – основные ловушки и способы разминирования". Обобщенный опыт для тех у кого «конь не валялся» и нет лишних мил

Каковы требования регуляторов?
Учредительные документы
Организационно - распорядительные документы
Специальные документы в соответствии с требованиями закона и регуляторов

С чего начать ?
Инициировать назначение ответственного лица и/или ответственного
подразделения !
Создать и утвердить приказом рабочую группу, в которую необходимо включить представителей всех подразделений, участвующих в обработке персональных данных, а также юристов и специалистов по безопасности.
…
Поинтересоваться тем, что уже сделано в этой области коллегами до вас.

Создание карты персональных данных
Задача данного этапа – получить полное понимание того, Где? Как? и Какие? персональные данные обрабатываются, Откуда оператор получает персональные данные? и Куда передает?
Описывайте в карте обработку максимально подробно. На основе полученных данных вы будете проводить все последующие работы и, естественно, параллельно вносить изменения в карту.
Карта персональных данных – это ваш внутренний пакет документов и в первую очередь он должен быть понятным, поэтому подобную карту можно составлять в виде перечней, таблиц, а для наглядности можно использовать схемы, графики и т.д.

Сокращение перечня сведений составляющих персональные данные
Прежде чем защищать какие-то сведения, составляющие персональные данные, нужно выяснить, а нужно ли их вообще обрабатывать?
Объем обрабатываемых сведений должен соответствовать целям обработки!
Проверить (через юристов) правовые основания на обработку некоторых сведений
Уменьшить количество обрабатываемых сведений, а, следовательно, и требования по защите ОЧЕНЬ реально.
Необходимо помнить : чем меньше сведений оператор обрабатывает, тем ниже класс системы и соответственно ниже требования по защите.

Обезличивание персональных данных
Федеральный закон о персональных данных дал определение обезличиванию (как процессу):
обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных
1) Право на обезличивание персональных данных у оператора есть по федеральному закону.
2) Требований к «правильному» обезличиванию не существует.
3) Способы и алгоритмы обезличивания персональных данных оператор, осуществляющий обработку персональных данных, определяет самостоятельно

Написание основных документов
Модели угроз безопасности персональных данных для каждой ИСПДн;
Акты классификации ИСПДн;
Положение о защите персональных данных;
Положение о назначении подразделения по защите персональных данных;
Должностные регламенты лиц, ответственных за защиту персональных данных;
Схема организации ИСПДн;
Копия договора об оказании услуг (если есть);
Копия трудового договора с сотрудниками;
Письменное согласие субъектов персональных данных;
Приказ с перечнем лиц, допущенных к обработке персональных данных;
Документы учета обращений граждан (субъектов персональных данных) о выполнении их законных прав;
Приказ о назначении лиц, ответственных за ведение и периодическую проверку содержания журнала обращений;
Приказ о ведении журналов (реестров, книг), содержащих персональные данные, необходимые для однократного пропуска на территорию;
Копия уведомления об обработке персональных данных (если уведомление до проверки не будет подано, то это 100%-е нарушение статьи 19.7 КоАП РФ Непредставление сведений…).

Начнем с модели угроз…
Модель угроз - это документ, определяющий перечень и характеристики основных (актуальных) угроз безопасности ПДн и уязвимостей при их обработке в ИС ПДн, которые должны учитываться в процессе организации защиты информации, проектирования и разработки систем защиты информации, проведения проверок (контроля) защищенности ПДн.
Цель разработки модели угроз – определение актуальных для конкретной ИС ПДн угроз безопасности, источников угроз и уязвимостей. Результаты моделирования должны использоваться для классификации ИС ПДн, а также в качестве исходных данных для построения (проектирования) обоснованной и эффективной системы защиты персональных данных.

НТЦ «Сфера» http://www.ntc-sfera.ru/products/
Откуда ждать помощи ???

Программный комплекс WingDoc ПД
. Программа имеет модульную архитектуру. В состав программы входят следующие модули:
Модуль «Модель угроз ИСПДн»
Модуль «Модель угроз ИСПДн-К»
программа выдает документ «Модель угроз», в который попадают введенные, обработанные данные, списки угроз.
Модуль «Документы»
А чем именно??

Внимание! Заполнение сведений для модели угроз задача не тривиальная. Перед тем как приступить убедитесь в наличии исходной информации и проведите инвентаризацию ресурсов.
Модель угроз сформированная системой может быть избыточной ( оптимальности никто не обещал!), а поэтому убедитесь в применимости лично для вашей организации сделанных системой выводов и при необходимости скорректируйте документ.
Подводные камни автоматизированной системы…

Удачи Вам в нелегком труде и
плодотворной работы на сегодняшней конференции!
Помните жизненный принцип воинов-самураев,
«Делай, что должен - и будь, что будет».
Спасибо за внимание!
Выражаю благодарность виртуальным коллегам Алексею Лукацкому и Евгению Цареву , чьи посты были использованы мной частично, за проделанный труд.
Заключение