Назначение и область действия. Документ фиксирует границы контролируемой зоны, то есть перечень помещений и технических зон, где размещено или эксплуатируется ИСПДн и осуществляется обработка персональных данных. Цель приказа - формализовать режим безопасности и закрепить перечень зон, к которым применяются организационные и технические меры защиты.
Кто утверждает и ответственные роли. Приказ утверждает руководитель организации; подготовку проекта и сопровождение внедрения выполняют назначенные ответственные лица: ответственный за организацию обработки персональных данных и ответственный по информационной безопасности. В приказе следует зафиксировать полномочия и обязанности этих ролей, включая подготовку схемы зон и контроль доступа.
Обязательные элементы приказа. Приказ должен содержать: точное описание границ контролируемой зоны с планами или схемами размещения, перечень помещений и технических зон, режим доступа и порядок его предоставления, назначение ответственных лиц, ссылки на применяемые организационные и технические меры защиты. Формулировки по мерам защиты должны соотноситься с требованиями по уровню защищённости и базовыми мерами из профильных методик.
Внедрение, проверка и типичные ошибки. При внедрении утвердите схему зон и доведите приказ до лиц, эксплуатирующих помещения и оборудование. Триггеры для пересмотра: изменение состава ИСПДн, перенос серверного оборудования, реорганизация инфраструктуры. Частые ошибки - несовпадение фактического распределения оборудования со схемой, отсутствие указания ответственных, неопределённый режим доступа; при планировании учитывайте внутренние и внешние угрозы при оценке рисков.
Позвонить