Образцы документов по защите информации

Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.

Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.

Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.

Какие условия должны быть в поручении на обработку персональных данных (договоре с обработчиком) по части 3 статьи 6 152-ФЗ: перечень данных, цели, конфиденциальность, меры защиты, уведомление об инцидентах.

Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).

Что должно быть в обосновании состава обрабатываемых персональных данных: как по каждой цели показать соответствие объёма данных целям (статья 5 152-ФЗ), правовое основание и необходимость каждого реквизита. Помогает подтвердить перед Роскомнадзором, что данные не избыточны.

Инструкция по обеспечению безопасности при работе в информационной системе персональных данных (ИСПДн) для сотрудников: обязанности пользователя, запреты, действия при инцидентах. Основа — 152-ФЗ и приказ ФСТЭК России № 21.

Инструкция для пользователей средств криптографической защиты информации (СКЗИ): хранение ключевых носителей, запрет передачи, поэкземплярный учёт, действия при компрометации ключа. Основа — Инструкция ФАПСИ № 152 и приказ ФСБ России № 378.

Инструкция по организации парольной защиты: требования к длине и сложности паролей, правила использования, смены и хранения. Основа — приказ ФСТЭК России № 21 (идентификация и аутентификация).

Инструкция по антивирусной (антивредоносной) защите рабочих мест и серверов: обязательное включённое антивирусное средство с актуальными базами, проверка носителей, действия при обнаружении вредоносного ПО. Основа — приказ ФСТЭК России № 21.

Инструкция по реагированию на инциденты информационной безопасности: что относится к инцидентам, порядок сообщения, действия оператора при утечке ПДн (уведомление Роскомнадзора 24/72 часа). Основа — приказ ФСТЭК России № 21 и статья 21 152-ФЗ.

Краткая памятка сотруднику по защите персональных данных для ознакомления под подпись: минимизация, неразглашение, безопасное хранение, запрет выноса данных, сообщение об инцидентах и ответственность. Основа — 152-ФЗ.

Уведомление (памятка) работнику при увольнении о сохранении коммерческой тайны и иной охраняемой законом тайны (в том числе персональных данных): продолжение обязанности после увольнения, возврат носителей, ответственность. Основа — 98-ФЗ и 152-ФЗ.

Памятка-инструктаж сотруднику по информационной безопасности при удалённой работе: защищённый доступ, запрет сохранять данные на личном устройстве, блокировка экрана, антивирус, сообщение об инцидентах. Для ознакомления под подпись.

Перечень требований к компьютеру сотрудника для удалённой работы, в том числе личному (BYOD): актуальная ОС и обновления, включённый антивирус, шифрование диска, пароль и блокировка экрана, отдельная учётная запись, защищённое подключение, запрет хранить данные локально.

Правила безопасной работы пользователя (бухгалтера) с системой дистанционного банковского обслуживания: выделенное рабочее место, хранение и использование ключа электронной подписи на токене, проверка реквизитов платежей, подтверждение операций вторым фактором и действия при компрометации ключа. Для ознакомления под подпись.

Что фиксируют в журнале поэкземплярного учёта средств криптографической защиты (Инструкция ФАПСИ №152): регистрационные номера, выдача, возврат и уничтожение. Кто ведёт журнал и как.

Обоснование со ссылками на 63-ФЗ о том, почему нельзя создавать дубликаты УКЭП руководителя и передавать её сотрудникам, и почему работники подписывают документы от имени организации своей УКЭП физлица и машиночитаемой доверенностью (МЧД).

Что должно быть в должностной инструкции (положении) заместителя руководителя, ответственного за обеспечение информационной безопасности, по Указу Президента №250 и типовому положению (ПП №1272): квалификационные требования, полномочия, обязанности по реагированию на компьютерные инциденты и взаимодействию с НКЦКИ.

Что должно быть в положении о структурном подразделении, обеспечивающем информационную безопасность, по Указу Президента №250 и типовому положению (ПП №1272): задачи, функции, права, подчинённость и квалификационные требования к работникам (для субъектов КИИ — по приказу ФСТЭК №235).

Что должно быть в приказе о создании постоянно действующей комиссии по категорированию объектов КИИ по Федеральному закону от 26.07.2017 №187-ФЗ и Правилам, утверждённым постановлением Правительства РФ от 08.02.2018 №127: состав комиссии по пункту 11 Правил, её задачи и порядок работы. Структура и частые ошибки.

Как оформить перечень объектов критической информационной инфраструктуры, подлежащих категорированию, по ПП РФ №127: какие графы нужны и как объекты связываются с критическими процессами. Перечень направляется во ФСТЭК в 5 рабочих дней.

Что фиксируется в протоколе заседания комиссии по категорированию объектов КИИ: состав присутствующих, повестка, рассмотренные объекты и решения о категориях значимости. Структура протокола по ПП РФ №127.

Что должно быть в акте категорирования объекта КИИ по Правилам, утверждённым постановлением Правительства РФ от 08.02.2018 №127: обязательные сведения об объекте и о категории значимости, а также разделы, которые комиссии обычно включают, — оценка по показателям, анализ угроз, меры. Кто подписывает и утверждает акт.