Назначение акта. Акт фиксирует решение комиссии о присвоении уровня защищённости конкретной информационной системы персональных данных, служит основанием для выбора организационно-технических мер и для последующего утверждения руководителем. Документ обязателен для каждой ИСПДн и показывает, какие риски и режимы обработки учтены при выборе уровня.
Состав комиссии и ответственность. Комиссия формируется приказом или локальным решением организации и включает представителей структур, отвечающих за обработку и безопасность. Ответственным за подготовку акта остаётся сотрудник, отвечающий за организацию обработки персональных данных, или уполномоченный представитель комиссии, окончательное утверждение принимает руководитель организации.
Обязательные разделы акта. В акте указывают идентификацию ИСПДн, цель и правовые основания обработки, перечень обрабатываемых категорий персональных данных с отметкой о специальных режимах, обоснование присвоенного уровня защищённости, перечень требуемых мер и ссылка на исходные аналитические материалы (анализ угроз, результаты тестов). Документ должен содержать дату, состав комиссии и подписи ответственных.
Когда оформлять акт. Акт оформляют при вводе в эксплуатацию новой ИСПДн, при изменении характера обработки или технической архитектуры, при подключении специальных категорий данных либо биометрии, а также при существенных изменениях в оценке рисков. Решение комиссии обновляют при выявлении новых обстоятельств, влияющих на уровень защищённости.
Типичные ошибки и практические рекомендации. Частые ошибки - отсутствие обоснования уровня, формулировок мер без привязки к отчетам по рискам, игнорирование особых режимов обработки. Рекомендации: привязывать выводы акта к результатам анализа угроз, вести протокол заседания комиссии, сохранять версии акта в деле ИСПДн и проверять согласование с ответственным за обработку до утверждения руководителем.
Позвонить