Сведения о ПДн заказчика - Форум по вопросам информационной безопасности

Я собираю сведения о состоянии обработки ПДн у заказчика. Эти сведения содержатся в документах (положение о защите ПДн, перечень ПДн.... именно перечень этих документов я и спрашивал ранее). Часть из этих документов нужны обязательно, так как требуются при проверке регуляторами. И вот я спрашиваю: "Есть ли у вас документы, которые содержат такие-то и такие-то сведения?" (я специально не спрашиваю конкретные документы, так как называться они могут по-разному - вместо инструкции - регламент, например). Так вот, если такие документы у заказчика есть, то они отдают мне их (1), если же их нет, то я даю им типовые формы документов(2), которые необходимо заполнить.

Так вот мой вопрос в следующем: какие сведения мне необходимы для проектирования СЗПДн заказчика, и для чего эти сведения требуются? То есть я составляю перечень всех необходимых сведений, включающий в себя и сведения, запрашиваемые регуляторами, и дополнительные сведения, не обязательные регуляторам, но необходимые для проектирования СЗПДн.

Например, сведения об уязвимостях и возможных угрозах ПДн содержатся в документе "Частная модель угроз безопасности персональных данных в организации" и требуются регуляторами на основании пункта 12 Постановления Правительства № 781. Вот так в идеале должен выглядеть весь перечень. Но есть в этом документе и такие сведения, которые с точки зрения проектирования СЗПДн совершенно не интересны, например в той же модели угроз содержатся сведения об ущербе от реализации угроз. Какое нам дело, какой ущерб они нанесут. Для проектировщика это не имеет никакого значения.

Но вот пример посложнее: правовое обоснование обработки ПДн содержится в уведомлении об обработке, но сам по себе документ "уведомление об обработке ПДн" не нужен для проектирования СЗПДн. Правовое основание может содержаться в Уставе организации, где прописана её основная деятельность))))

И ещё момент, наличие всех сведений необходимо обосновать, для чего нужны, в каком документе содержатся, и какой нормативный правовой акт определяет обязательность его наличия. Также рассмотреть все виды обеспечения СЗПДн, техническое, правовое, организационное...

Пардон, но всё это можно высказать гораздо короче:
Господа, я занимаюсь проектированием СЗПДн. Скажите, что мне нужно запросить у заказчика, чтобы выполнить свою работу?

"например в той же модели угроз содержатся сведения об ущербе от реализации угроз. Какое нам дело, какой ущерб они нанесут. Для проектировщика это не имеет никакого значения."
- аплодирую стоя )