Назначение приказа и область применения. Внутренний приказ фиксирует факт и условия ввода ИСПДн в эксплуатацию, подтверждает завершение оценочных и организационных мероприятий и устанавливает дату начала допустимой обработки персональных данных. Приказ обязателен для ИСПДн организации и утверждается руководителем организации; документ служит отправной точкой для эксплуатации и контроля исполнения назначенных мер защиты.
Что должно быть в тексте приказа. Структура приказа включает идентификацию ИСПДн, дату и условия ввода в эксплуатацию, уровень или класс защищённости применительно к требованиям по уровням защищённости, перечень утверждённых организационных и технических мер, результат оценки эффективности мер до ввода, а также указание ответственных лиц и ссылку на эксплуатационную документацию и инструкции.
Роли и ответственность при вводе. Руководитель организации утверждает приказ. В нём назначается ответственный за организацию обработки персональных данных и администратор ИСПДн, фиксируются обязанности службы информационной безопасности и службы эксплуатации по реализации мер защиты и контролю. Для государственных систем дополнительно учитывается необходимость прохождения процедур аттестации системы защиты.
Триггеры, типичные ошибки и практические рекомендации. Триггером для издания приказа служит завершение внедрения и положительная оценка эффективности мер; для государственных ИС триггер может включать завершение аттестации. Частые ошибки: ввод без итоговой оценки эффективности мер, отсутствие явного списка утверждённых мер и назначенных ответственных, несоответствие уровней защиты требованиям. Рекомендации: приложить к приказу ссылки на протоколы испытаний и реестр пользователей, сверить применённые средства защиты с требуемыми уровнями и зафиксировать регламенты обслуживания.
Позвонить