Назначение и область применения. Инструкция обязательна при наличии информационной системы персональных данных организации и фиксирует порядок контроля соответствия организационных и технических мер требованиям законодательства. Документ внутренний, утверждается руководителем организации или уполномоченным им лицом и не предназначен для публичного распространения. Актуальность проверки и содержание контроля определяются исходя из требований к мерам защиты, установленным в нормативной базе.
Ключевые объекты и элементы контроля. Контроль должен охватывать критичные компоненты ИСПДн: средства антивирусной защиты и актуальность сигнатур, механизм обновления признаков вредоносных программ, работоспособность и настройки средств защиты, наличие и проверяемость резервного копирования, а также обоснование и документирование компенсирующих мер при ограничениях. В качестве проверяемых материалов используйте журналы работы средств защиты, отчёты об обновлениях, планы и протоколы восстановления, настройки конфигураций и акты оценки рисков.
Периодичность, критерии эффективности и ответственные. Оценка эффективности мер защиты проводится не реже одного раза в 3 года. Критериями оценки служат работоспособность средств защиты, соответствие настроек эталонным значениям, успешность восстановления данных в установленные сроки и полнота процедур контроля. За организацию и проведение контроля отвечает ответственный за организацию обработки персональных данных совместно с подразделением информационной безопасности; итоговое утверждение результатов - у руководителя организации или его уполномоченного.
Типичные ошибки, триггеры контроля и рекомендации по внедрению. Частые ошибки: отсутствие перечня критичных средств и их версий, несвоевременные обновления баз обнаружения, отсутствие регулярных тестов восстановления и нефиксирование обоснований компенсирующих мер. Триггерами внеплановой проверки служат ввод в эксплуатацию новых сервисов, изменение классификации данных, инциденты безопасности и критические обновления программного обеспечения. Рекомендуется вести реестр контрольных точек с ответственными, включить проверку конфигураций в регламент обслуживания, планировать тесты восстановления и документировать решения по компенсирующим мерам.
Позвонить