Защита ПДн в малом бизнесе - Форум по вопросам информационной безопасности

Добрый день!
Просветите, пожалуйста…
Работает на небольшом промышленном предприятии в глубинке информационная система, в том числе и обработка ПДн присутствует (отдел кадров, расчет заработной платы, перечисление денежных средств на Р/с сотрудников через банк) . Обслуживается собственным небольшим отделом ИТ. Тихая провинциальная идиллия… Обычный набор софта: антивирус, прокси, БД своей разработки, «1С:Предприятие v8.1» и пр.
Теперь, в свете требований закона №152-ФЗ от 27.07.06 «О персональных данных» и прочих законодательных и нормативных актов, возникают вопросы:
1. Кто может проводить мероприятия по защите ПДн? Предприятие силами своего ИТ-подразделения может осуществить эту работу или обязательно нужно привлекать организацию имеющую лицензию ФСТЭК? Сотрудники ИТ-отдела, что и антивирус теперь «немоги» поставить?
2. Свои разработки по работе с ПДн в утиль?
3. А как сотням и сотням ИП-шников и мелких ООО-шек быть?

Ответ прост!
1. Мероприятия обязан проводить оператор ПД, т.е. Вы сами.
2. Организацию, обладающую лицензиями на разработку средств защиты Вы привлекать можете, если захотите сами.
3. Сотрудники ИТ могут сами поставить антивирус, если он имеет сертификат.

В общем можно все и самому.

1. Нужно привлекать организацию имеющую лицензию ФСТЭК или получать лицензию на ТЗКИ самим (это будет дороже для маленьких систем типа вашей, как я понял, так что надо приглашать). Антивирус можете сами поставить (проверьте наличие сертификата ФСТЭК), но это лишь малая часть работы.
2. Ваша база сама по себе никого не интересует. Средства защиты защищают операционку и сеть (грубо говоря). Если под "разработки по работе с ПДн" имеются ввиду ваши собственные средства защиты - то они должны иметь сертификаты ФСТЭК (дорогая процедура), если сертификатов нет - то считается что средств защиты нет.
3. Уменьшать число компов и класс, убирать подключение к интернету, обезличивать (на практике это очень спорный вопрос), переводить Пдн в "бумажный вид".

ПП 781 ст. 12 а-г имеет право только лицензиат! Так, что сами можете провести классификацию, разработать положения и др. бумажки, а создавать СЗИ, настраивать, проводить оценку и аттестацию - лецензиат.
Поэтому раньше выдавали лицензию на деятельность (т.е. на защиту сами) и на услуги отдельно.

1. Лицензиат - значит лицо имеющее лицензию?
2. Лицензию на что?
3. Где оговорено, что только лицензиат имеет право выполнить пункты а-г мероприятий перечисленных в ст.12 ПП №781 от 17.11.2007г.?

1.да
2. ТЗКИ
3. Положение
о лицензировании деятельности по технической защите конфиденциальной информации
п.2

Можно реализовать систему защиты ПДн исключительно по методическим документам ФСБ. http://sib-alpiks.ru/uslugi/kriptograficheskie_sredstva_zashhityi.html
Тем самым вы вместо трех надзорных органов (РКН, ФСТЭК, ФСБ) останетесь только под надзором двух. От основной области компетенции ФСТЭК - техническая защита (по каналам ПЭМИН), несложно уйти верно составив Модель угроз. Отмечу что Модель угроз должен и может составлять сам оператор-организация, и никаких лицензий при этом иметь не нужно! Можно конечно пригласить для этого лицензиата (не обязательно ФСТЭК, достаточно ФСБ), но это всего лишь право оператора.