Нужно ли положение по безопасности ПДн в организации с ИСПДн 4-го уровня защищенности - Форум по вопросам информационной безопасности

Добрый день, есть ли необходимость разработки и ввода Положения по организации и проведению работ по обеспечению безопасности персональных данных при их обработке в ИСПДн, в организации с ИСПДн 4-го уровня защищенности, если согласно ПП РФ 1119 тот же ответственный за безопасность ПДн назначается только при 3-м уровне защищенности?

"13. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:
а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
б) обеспечение сохранности носителей персональных данных;
в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.
14. Для обеспечения 3-го уровня защищенности персональных данных при их обработке в информационных системах помимо выполнения требований, предусмотренных пунктом 13 настоящего документа, необходимо, чтобы было назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.

В этом Положении как раз и указывается, что и каким образом реализованы:
- режим безопасности помещений;
- сохранность носителей;
- определение лиц, которым необходим доступ к ПДн;
- технические меры защиты с использованием оных сертифицированных (или не очень) средств.
А также описывается перечень конкретных требований и мер, которые должны быть соблюдены в организации, в части защиты ПДн и порядка взаимодействия с ПДн. Остальное в части детализации - в инструкциях всем нужным лицам (операторам, пользователям, администраторам, руководителям и т.п.)
Так что да, Положение нужно для любой ИСПДн...

Ответственный за организацию обработки ПДн и ответственный за безопасность ПДн - одно и тоже лицо? Или надо назначать двоих?

to Богатырев
Да и нет. Воспользуйтесь поиском по форуму - такие вопросы уже раз 10 обсуждались...

oko

100500 топиков уже просмотрел. Если не затруднит, напишите вкратце. Спасибо