Разработка Положения о безопасности ПДн в ИСПДНн - Форум по вопросам информационной безопасности

Стоит передо мной такая задача: сочинить "Положение по организации и проведению работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных .." Вышестоящиее руководство дало наименование основных разделов и ссылку на ПП 781: I. Общие положения Определяется общий порядок организации работ по обеспечению безопасности ПДн в ИСПДн. Текст берётся из 781. Также добавить термины и определения. Цели, задачи, мероприятия. II. Обязанности должностных лиц по обеспечению безопасности ПДн. Кто является ответственным. Обязанности зама Главы, специалиста, сотрудников, кто допущен к обработке. III. порядок разбирательства и составления заключений по фактам несоблюдения условий хранения носителей ПДн, использования СЗИ и нарушения порядка предоставления ПДн, которые могут привести к нарушению конфиденциальности ПДн или другим нарушениям, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений. IV. порядок приостановки предоставления ПДн в случае обнаружения нарушений порядка их представления. V. порядок обучения администратора СЗИ и пользователей, в том числе антивирусной защите и первичный инструктаж пользователей. VI. порядок проверки электронного журнала обращений к ИСПДн. VII. правила парольной защиты VIII. правила антивирусной защиты IX. правила обновления общесистемного и прикладного ПО. X. контроль за соблюдением условий эксплуатации ИСПДн. В лучшем случае смогу написать раздел 1,7 и 8. Опытом кто может поделиться?

Рекомендую обратиться к лицензиатам

Что могла написала, остались разделы III, IV, V. Должны же быть аналоги в других нормативных актах и инструкциях?

Egozinka,
Вы будете аттестовывать свою ИСПДн? Если будете, то в техзадании укажите пункт: " исполнитель изготавливает проекты всей организационно-распорядительной документации на ИСПДн в соттветствии с требованиями действующего законодательства". На цену работ это сильно не повлияет, зато обеспечит приемственность организации СЗИ лицензиатом. У лицензиатов есть рыбы таких документов. Мы делаем так.

Сергей,
До аттестации ближайшее время дело вряд ли дойдет. Пытаемся хотя бы прикрыться разработкой организационно-распорядительной документации. Больше мы по ПД ничего не можем сделать в условиях отсутствия финансирования. Тут бы защиту ГТ суметь поддержать на должном уровне...

Egozinka,
В СТР-К предполагалось изготавливать такого рода документацию только совместно с лицензиатом, но говорят СТР-К - вне закона для ИСПДн (спорно), а то Вы могли б сослаться на отсутствие финансирования и квалифицированных штатов.
Нам этот документ не в первый раз изготавливает лицензиат. Объемом ок. 20 листов основная часть посвящена переписанным требованиям к подсистемам из РД.
Ваш 3 раздел - два предложения, о том, что в нештатной ситуации необходимо преостановить работу и доложить администратору БИ, который выяснив причины - утечка, вирус и др. докладывает ответственному по ТЗКИ. после устранения причины можно работать дальше. Если что серьезное - служебное разбирательство.
Ваш 4 раздел - описан в 3 - просто приостановить обработку и все.
Ваш 5 раздел - переписана инструкция к антивирусу - и все.
Проверялись ФСТЭКом неоднократно все ОК (пока что)

Добрый день! Я сейчас пишу диплом и тоже надо составить организационно-распорядительную документацию...Вот мне бы сейчас то, что сделали Вы, Egozinka