Положение о комиссии по определению уровня защищённости персональных данных: требования, штрафы

Статус обязательный внутренний орган оператора для оценки и утверждения уровня защищённости персональных данных
Основание ст. 18.1, ст. 19 Федерального закона № 152-ФЗ, ПП РФ № 1119, приказ РКН № 178 (п. 1, п. 3)
Публичность внутренний документ, размещается в локальной сети и доводится до работников, участвующих в обработке ПДн
Утверждает руководитель организации
Ответственный за ведение ответственный за организацию обработки персональных данных, назначаемый оператором (согласно ст. 22.1 152-ФЗ)
Область применения определение уровня защищённости ИСПДн, подбор и обоснование организационных и технических мер защиты, проверка соответствия требованиям по уровням защищённости
Периодичность пересмотра плановый контроль и пересмотр не реже 1 раза в 3 года, а также при изменениях ИСПДн или выявлении новых угроз
Основные документы и материалы работы комиссии акт оценки уровня защищённости и/или оценки вреда, протокол заседания комиссии, решение об обосновании компенсирующих мер и перечень рекомендованных мер защиты

01 Назначение

Положение о комиссии по определению уровня защищённости персональных данных

Назначение, состав, порядок оценки уровня защищённости и практические требования к внедрению

Назначение и область применения. Комиссия - обязательный внутренний орган оператора для оценки и утверждения уровня защищённости конкретной информационной системы персональных данных (ИСПДн). Положение определяет границы применимости комиссии: все ИСПДн оператора, для которых требуется обоснование уровня и подбор организационных и технических мер защиты.

Состав комиссии, полномочия и ответственные роли. Комиссия формируется приказом оператора и включает ответственного за организацию обработки персональных данных, представителя службы информационной безопасности, ИТ-подразделения и юриста по необходимости. Руководитель организации утверждает состав и решения комиссии, а ответственный за организацию обработки обеспечивает подготовку материалов и реализацию решений комиссии.

Порядок оценки уровня защищённости и оформление результатов. Оценка проводится на основании критериев уровней защищённости, установленных для каждой ИСПДн, с подбором комплекса защитных мер под выбранный уровень. Результат оценки оформляется актом с обоснованием выбранного уровня и перечнем мер; акт направляется на утверждение руководителю организации и служит основанием для внедрения мер защиты.

Практические требования к внедрению и типичные ошибки. При внедрении фиксируйте границы ИСПДн и набор обрабатываемых категорий данных, документируйте обоснование выбора уровня и конкретные меры, контролируйте исполнение решений комиссии. Частые ошибки - отсутствие привязки мер к конкретной ИСПДн, формальное оформление акта без технического обоснования и неуведомление вовлечённых подразделений. Триггеры для пересмотра решения комиссии: изменение состава данных, внедрение новых технологий обработки или выводы проверок и инцидентов.

Раскрыть полностью

03 Синонимы и поисковые названия

Как ещё называют этот документ

Сбор распространённых названий и разговорных форм положения, полезный для поиска в реестре документов и при согласовании с подразделениями. Помогает избежать дублирующих положений о родственном органе.

Положение о комиссии по классификации ИСПДн
Положение о комиссии по определению уровня защищённости персональных данных
Регламент работы комиссии по определению уровня защищённости
Положение о постоянно действующей комиссии по защите персональных данных
Порядок работы комиссии по определению уровня защищённости
Положение о комиссии по обследованию информационных систем
Положение о комиссии по вопросам защиты персональных данных
Положение о рабочей группе по определению уровня защищённости
Положение о комиссии по оценке мер защиты персональных данных
Регламент по назначению и работе комиссии по персональным данным

04 Обязательное содержание

Контрольный список для Положения о комиссии по определению уровня защищённости ПДн

Минимальный и проверяемый набор требований к содержанию положения: состав и порядок назначения комиссии, триггеры работы и периодичность, методика оценки уровня защищённости и привязка к ИСПДн, обязательные документы и материалы заседаний, распределение ответственности и контроль исполнения, порядок взаимодействия с реестром и регулятором, а также граничные случаи и типичные ошибки, на которые ориентируются проверяющие.

Назначение и правовое основание положения Коротко указать цель документа и перечислить нормативы, на которые опирается комиссия, например ст. 18.1 и ст. 19 152-ФЗ, ПП РФ № 1119, приказ РКН № 178; проверяют наличие таких ссылок и согласованность описанных процедур с указанными актами.
Формально оформленный состав комиссии и приказ о назначении Прописать состав по должностям и требованиям к квалификации, порядок назначения и замещения, сроки полномочий; обязателен приказ оператора о назначении или иной документ, подтверждающий полномочия членов, который проверяющие сверяют с подписями в актах.
Триггеры созыва и периодичность заседаний Перечислить события, которые требуют собрания комиссии: ввод или смена ИСПДн, существенные изменения объёма или категории ПДн, результаты внутренней проверки или инцидента, требование регулятора, плановый пересмотр; указать минимальную периодичность плановых пересмотров и ссылку на методики оценки угроз.
Кворум, порядок принятия решений и документирование разногласий Фиксировать формулу кворума, правила голосования и приоритеты мнений профильных ответственных, обязанность отражать разногласия в протоколе; проверяют соответствие практики положения и наличие подписи председателя и ответственных в акте.
Обязательные документы и материалы заседания и реквизиты акта Указать перечень документов, которые выдаёт комиссия: протокол/акт с реквизитами, обоснованием уровня защищённости, таблицей мер, списком ответственных и сроков, приложениями (оценка угроз, отчёт по рискам, карта ИСПДн). Акт должен содержать реквизиты и подписи, проверяющие сверяют комплект приложений и наличие обязательных реквизитов по практике приказа РКН.
Методика оценки уровня защищённости и привязка к ИСПДн Описать применяемую методику оценки угроз и критерии выбора уровня в соответствии с ПП РФ № 1119 и рекомендованной методикой ФСТЭК, указать, что оценка проводится до ввода ИСПДн в эксплуатацию и при существенных изменениях, а результаты оформляются отчётом и прилагаются к акту.
Проверяемые документы и материалы оценки угроз и рисков Зафиксировать источник списка угроз (например банк данных ФСТЭК или внутренняя матрица угроз), форму отчёта об оценке рисков, таблицу мер соответствия и обоснование компенсирующих мер; на проверке сверяют наличие отчёта, расчёт соотношения вреда и мер и ссылку на применимые меры защиты.
Распределение ответственности за реализацию решений комиссии Определить порядок назначения ответственных за мероприятия, формат отчётности, сроки исполнения и штрафные/дисциплинарные последствия за нарушение сроков по трудовой и внутренней дисциплине; проверяют таблицу мероприятий с контактами и фактические отчёты об исполнении.
Хранение документов комиссии и доступность Указать реестры и места хранения положений, приказов, протоколов и приложений, права доступа и порядок ознакомления участников; требовать учёт носителей и электронных версий, сроки хранения и условия обособления данных с учётом требований ПП РФ № 687 и иных актов.
Взаимодействие с уведомлениями регулятора и реестром операторов Описать шаги при установлении обстоятельств, требующих уведомления (например ст. 22 152-ФЗ), кто готовит уведомление и кто утверждает его содержание, а также порядок представления сведений ответственному за организацию обработки; проверяют наличие процедур и примеров отправленных уведомлений при необходимости.
Граничные случаи, экстренные процедуры и типичные ошибки Прописать механизм экстренного созыва при инциденте, оформление промежуточных актов, привлечение внешних экспертов и порядок работы с обработкой без средств автоматизации; дополнить список типичных ошибок для проверяющих - отсутствие обоснования уровня, отсутствие приложений с оценкой угроз, отсутствие приказа о назначении, неполные реквизиты акта, несоответствие сроков исполнения отчётам.

05 Применимость

Применимость Положения о комиссии по определению уровня защищённости ПДн

Краткие границы применения: документ устанавливает порядок создания и работы комиссии (или порядок замены её функцией назначенного ответственного) для определения уровня защищённости каждой ИСПДн, обоснования мер защиты и оформления результатов оценки.

Область применения Положение применяется для определения уровня защищённости информационных систем персональных данных (ИСПДн), выбора организационных и технических мер защиты и проверки соответствия ИСПДн требованиям по уровням защищённости.
Кому документ обязателен Внутренний документ оператора, обязателен для подразделений и филиалов оператора, которые разрабатывают, эксплуатируют или администрируют ИСПДн; положение утверждается руководителем организации, ответственность за ведение возлагается на назначенного ответственного за организацию обработки персональных данных.
Типичные триггеры для работы комиссии Формирование комиссии или инициирование её заседания типично при вводе новой ИСПДн, при существенном изменении объема или категорий обрабатываемых данных, при внедрении новых технических решений или интеграций, а также при выявлении инцидентов, нештатных ситуаций или по результатам внутреннего контроля.
Альтернатива комиссии Вместо комиссии оценку может провести назначенный ответственный за организацию обработки персональных данных в порядке, установленном оператором; оформляемый результат равнозначен по назначению документу комиссии.
Ожидаемые результаты и доказательства оценки Результат оценки оформляется актом с указанием установленного уровня защищённости ИСПДн, перечня и обоснования организационных и технических мер, протоколов заседаний комиссии и расчетных обоснований выбора мер. Комплект доказательств формируется и хранится в ИТ-системе оператора.
Границы применимости и случаи, когда нужен другой документ Положение фокусируется на процедуре оценки уровня защищённости ИСПДн. Для общих политик безопасности персональных данных, оперативных регламентов эксплуатации или инструкций по администрированию целесообразно использовать соответствующие отдельные документы организации; положение не заменяет политику оператора и не исключает требования по централизованному учёту и доступности документов.

06 Нормативная база

Нормативная база для положения о комиссии по определению уровня защищённости ПДн

ст. 18.1 152-ФЗ Оператор самостоятельно определяет состав мер безопасности и оформляет локальные акты. Для положения комиссии это означает обязанность фиксировать процедуру выбора мер, документировать решения комиссии и обеспечивать доступность этих локальных актов для участников обработки и проверяющих. Триггеры работы комиссии: ввод новой ИСПДн, значительное изменение состава или объёмов данных, результат инцидента или плановая переоценка.
ст. 19 152-ФЗ Оператор обязан обеспечить организационные и технические меры защиты персональных данных. Комиссия выполняет роль экспертного органа по оценке соответствия предлагаемых мер требованиям безопасности, по согласованию ответственности и сроков внедрения, а также по контролю исполнения принятых решений с фиксацией результатов проверки.
ПП РФ № 1119 Для каждой информационной системы персональных данных устанавливается уровень защищённости. Положение комиссии должно описывать порядок классификации ИСПДн, критерии выбора уровня (категория данных, объём, число субъектов, тип угроз) и требование об обосновании и хранении решения по каждой ИСПДн с указанием ответственных.
приказ ФСТЭК № 21 Перечень организационно-технических мер увязан с установленным уровнем защищённости. В регламенте комиссии следует указать обязанность сверки предлагаемых мер с каталогом ФСТЭК, порядок применения компенсирующих мер и требования к оформлению обоснования отклонений от типового набора мер.
ч. 1 ст. 13.11 КоАП Неприложение или ненадлежащее оформление требований к организации обработки влечёт административную ответственность. Положение должно предусматривать состав обязательных документов и материалов комиссии (протоколы заседаний, акты оценки, приказы на назначение ответственных), порядок хранения и способы предоставления этих документов при проверках.
приказ РКН № 178, п. 1 Оценку уровня вреда и защищённости может проводить ответственное лицо или комиссия. Положение о комиссии должно регламентировать состав комиссии, порядок её назначения (распоряжение или приказ), требования к квалификации членов, периодичность заседаний, кворум и порядок принятия решений.
приказ РКН № 178, п. 3 Результаты оценки оформляются актом. Регламент комиссии должен требовать обязательного формирования акта по каждому случаю оценки: предмет оценки, мотивировка выбора уровня защищённости, определённая степень вреда, утверждённый перечень мер, сроки реализации и ответственные лица. Акт служит документом контроля и приложением к уведомлениям и проверочным материалам.

08 Внедрение

Шаги внедрения Положения о комиссии по определению уровня защищённости ПДн

Порядок внедрения описывает этапы от создания комиссии до оформления и публикации результатов оценки уровня защищённости информационных систем персональных данных. Утверждение - руководитель организации, ведение - ответственный за организацию обработки ПДн.

1. Инициация и утверждение Положения Ответственный за организацию обработки подготавливает проект положения по шаблону оператора и передаёт руководителю на подпись. Результат на выходе - подписанный приказ об утверждении Положения и текст утверждённого Положения, заведённый в бумажный и электронный реестры.
2. Назначение комиссии и утверждение состава Кадровая служба по согласованию с ответственным формирует список членов комиссии и подготавливает приказ о назначении. Результат на выходе - приказ о назначении комиссии с приложением «Состав комиссии».
3. Разработка методики оценки уровня защищённости Комиссия вместе с профильными специалистами разрабатывает методику и реестр критериев для оценки уровня защищённости каждой ИСПДн, включая перечень предлагаемых организационных и технических мер. Результат на выходе - проект методики и реестр мер и критериев.
4. Проведение оценки и заседание комиссии Комиссия проводит оценку уровня защищённости по каждой ИСПДн по утверждённой методике, фиксирует замечания и предложения в протоколе заседания. Результат на выходе - протокол заседания с заполненным реестром по ИСПДн.
5. Оформление результатов в акт По итогам заседания ответственный формирует акт оценки уровня защищённости с обоснованием присвоенного уровня и перечнем рекомендованных мер. Результат на выходе - акт оценки уровня защищённости для каждой ИСПДн.
6. Введение результатов в практику и информирование Ответственный обеспечивает размещение Положения и актов в локальной сети, доведение содержания и изменений до работников, участвующих в обработке ПДн, и ведёт запись о рассылке и инструктаже. Результат на выходе - запись в журнале учёта, копии актов в общей папке и план контрольной проверки исполнения рекомендаций.

09 Актуализация

Поводы для пересмотра или переиздания Положения

Положение описывает орган и порядок работы комиссии, поэтому изменяется нечасто. Пересмотр целесообразен при событиях, которые меняют состав задач комиссии, порядок её формирования или требования к результатам оценки.

Изменились задачи комиссии Комиссии поручили дополнительные функции - например, координация уничтожения персональных данных, формирование актов по инцидентам, оценка рисков третьих лиц. В таких случаях положение корректируется с уточнением полномочий и границ ответственности, либо создаётся отдельный регламент для новых задач. Анализировать новые функции, подготовить проект изменений в положение или отдельный документ, утвердить приказом.
Изменилась структура организации или распределение ИСПДн Появились филиалы, дочерние организации или самостоятельные подразделения с собственными ИСПДн, изменился перечень обрабатываемых категорий данных. Требуется уточнить состав комиссии, порядок созыва и перечень ответственных должностей в приложениях к положению. Обновить состав комиссии и приложения с перечнем должностей и ИСПДн, обеспечить публикацию в локальной сети.
Комиссия не собирается или не оформляет результаты Фактический порядок работы не соответствует положению: заседания не проводятся, решения не оформляются актами. Это указывает на несоответствие документа практике или на нарушение исполнения и требует корректирующих мер. Провести служебную проверку факта исполнения, внести правки в положение или издать приказ об обеспечении работы комиссии.
Изменились требования регуляторов или применимые методики Появилиcь новые подзаконные акты или методики, меняющие перечень параметров для оценки уровней защищённости или требования к обоснованию мер защиты. Положение требуется обновить, чтобы соответствовать актуальным правилам и критериям оценки. Сопоставить положения с новыми требованиями, обновить критерии оценки и перечень обязательных документов для заседаний комиссии, утвердить новую редакцию.
Комиссия признана избыточной по результатам реорганизации Организация сократила число ИСПДн или централизовала функции безопасности, и оценка уровней может быть передана единоличному ответственному. В этом случае положение отменяется или корректируется с перераспределением обязанностей. Принять решение руководителя, оформить приказ об отмене или изменении положения и о перераспределении обязанностей по оценке уровней защищённости.

10 Проверка

Вопросы проверяющего по Положению о комиссии по определению уровня защищённости ПДн

Документы и материалы проверки при документарной или выездной проверке положения о комиссии: наличие приказа о назначении, состав и полномочия комиссии, порядок оценки уровня защищённости ИСПДн, акты по конкретным ИСПДн, доказательства исполнения решений и отчёты по контролю эффективности мер.

Вопрос 01 «Предъявите приказ или распоряжение о создании (назначении) комиссии и сведения о её составе.»
Вопрос 02 «Предоставьте актуальную редакцию Положения и документы, подтверждающие доведение его требований до работников, участвующих в обработке ПДн.»
Вопрос 03 «Покажите разделы Положения, где описаны триггеры созыва комиссии, порядок созыва и требования к кворуму, а также образцы протоколов заседаний.»
Вопрос 04 «Предъявите акт или протокол комиссии по конкретной ИСПДн с обоснованием выбранного уровня защищённости.»
Вопрос 05 «Предъявите доказательства исполнения решений комиссии и материалы проверок эффективности принятых мер.»

Инспектор при проверке, может запросить:

Приказ или распоряжение о назначении комиссии с датой и подписью руководителя, список членов комиссии с должностями, документ о назначении председателя или ответственного, журнал изменений состава комиссии.
Текст Положения в актуальной редакции; записи о доведении положений до работников: журналы ознакомления, расписки, уведомления на внутреннем портале или почтовые рассылки, реестр внутренних документов с указанием ответственного за ведение.
Фрагменты Положения с перечнем триггеров созыва (ввод новой ИСПДн, изменение объёма или категории ПДн, инцидент и т.п.), регламентом созыва и кворума, шаблоном повестки и образцом протокола; примеры заполненных протоколов за несколько заседаний.
Акт или протокол комиссии с описанием ИСПДн, анализом категории и объёма ПДн, обоснованием уровня защищённости с ссылками на критерии ПП РФ № 1119, приложениями: отчёт об оценке угроз/рисков, таблица предлагаемых мер с указанием ответственных и сроков, подписи членов комиссии и реквизиты акта.
Приказы или распоряжения на внедрение мер защиты, акты приёмки работ, записи в системе управления задачами с исполнителями и сроками, журналы настройки и тестирования средств защиты, отчёты о проверках эффективности мер и план-график контроля мероприятий.

11 Экспертная позиция

Практический риск и рекомендация по работе комиссии

Частая ошибка - формальное создание комиссии без чётких критериев и технической экспертизы, из-за чего решения слабозадокументированы и труднообоснованы при проверке. Установите минимальный состав (ответственный за обработку, специалист по информационной безопасности, представитель ИТ и владелец данных), регламент оценки и шаблон акта. Для каждого решения фиксируйте: краткое описание ИСПДн, категории данных, мотив выбора уровня, сопоставление мер и план внедрения, протокол голосования и версия акта. Используйте комиссию для сложных или спорных оценок, в простых случаях оставляйте за ответственным лицом право проводить оценку с последующим актированием. Храните все доказательства и обоснования версии-ориентированно.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Положению о комиссии по определению уровня защищённости ПДн

Комиссия формализует оценку уровня защищённости ИСПДн, обосновывает выбор организационных и технических мер и фиксирует решения в актах и приложениях (оценки угроз, таблицы мер, ответственные). Наличие решений комиссии облегчает соотнесение оценки вреда и принятых мер при внутреннем контроле и при проверках уполномоченных органов. Положение закрепляет порядок принятия решений, состав и документальное сопровождение комиссии.

Положение о комиссии по определению уровня защищённости персональных данных