Передача ПДн 3-му лицу на флешке - Форум по вопросам информационной безопасности

Здравствуйте!

Товарищи, проконсультируйте, пожалуйста.

Как правильно оформить такую процедуру:

Раз в месяц из информационной системы на флешку выгружаются файл с ПДн (в том числе со спец. категориями), который потом передается в государственный орган.
Т.е. специалист организации берет эту флешку, идет в госорган и там с этой флешке скидывают файл к себе. Флешку возвращают.

Флешка учтена (единожды) в:
- Журнале регистрации и учёта съемных машинных носителей персональных данных и иной конфиденциальной информации
- Журнале выдачи/сдачи съемных машинных носителей персональных данных и иной конфиденциальной информации

Нужно ли при каждой такой передачи фиксировать её факт еще где-то или нет?
И может быть нужно еще какие-то бюрократические манипуляции совершать?

Заранее спасибо!

С уважением!

Есть такой методический документ ФСТЭК России "Меры защиты информации в государственных информационных системах", который рекомендуют использовать также при защите ПДн. Там есть раздел "Защита машинных носителей информации (ЗНИ)", где для всех классов расписано как и чем их защищать. Почитайте, думаю найдете ответы на свои вопросы

http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/805-metodicheskij-dokument

Игорь
Спасибо гляну.

У нас вообще вопрос возник правомерности передачи ПДн определенным лицам.

Может быть кто-нибудь пожалуйста, проконсультирует по такому вопросу:

В общем, как обычно бывает, начальство по своим соображениям хочет передавать ПДн определенных категорий ФЛ в ТФОМС.
Законодательством этот момент четко не отрегулирован (как, например, в случае с ФНС).
И надо разобраться правомерно ли это.

Аргументируется, что мол в соответствии с зак-м мы обязаны сообщать всю необходимую информацию по межведомственным запросам органов, которые осуществляют оказание ГМУ. А это и есть тот самый межвед.

Но, что на самом деле есть межвед?
Как отличить межвед от обычной передачи сведений третьими лицу?

Запросы никакие они нам не направляли (ни в электронном, ни на бумаге).

Заранее спасибо!

С уважением!

У вас в любом случае должен быть какой то регламент (например, приложение к двустороннему договору по передаче данных). Как минимум, чтобы вам прикрыть спину, если данные утекут от вашего получателя или будут иные вопросы регуляторов к нему..
Поскольку на данный момент вы оператор, а они по отношению к ПДн никто - нет даже запроса (а в нем будет ссылка на нормативный акт и виза руководства к исполнению), крайним скорее всего администратор безопасности.