Организация защищенного документооборота в ИСПДн - Форум по вопросам информационной безопасности

Добрый день всем!Ситуация следующая.
Защищаю кадры.работы к подготовке на аттестацию по технической защите конф информации проведены.Разработал массу документов.Но меня все гложит вопрос.Какие меры должны приниматься по документоообороту.Печати документов.
Необоходимо ли выставлять грифы на документах выведенных в отделе и отметки о том на каком АРМ распечатано, кто юзер. например в случае если кадровик распечатывает списки рабочих с их данными что бы передать курьером в филиал.и нужно ли какие либо журналы заводить?нужно ли делать перечень всех типов бумажных документов с ПД на всем предприятии или только ИСПДн?вобщем интересно все что связано с документооборотом с ПД, особенно в кадрах изменения в соответствии с ФЗ 152. Какие формы должны быть. пока есть только формы обязательств о неразглашении, согласие на обработку, ознакомление с положением об обработке и защите ПД.
и все пожалуй.документы хранятся в шкафу сейфе, компьютеры защищены антивир, СЗИ от НСД, МЭ, HIPS.

У Вас система класса К1?

а чем ПДн отличается от иной КИ?
Попробуйте конфиденциальное делопроизводство - там все ответы на Ваши вопросы

----а чем ПДн отличается от иной КИ?
Попробуйте конфиденциальное делопроизводство - там все ответы на Ваши вопросы

Есть организации в которых на всех документах, содержащих ПДн ставят гриф? Я не видел, но по идее это нарушение конф. документооборота, но ...

я работаю в ГУ личные дела сотрудников хранятся в соответствии с правилами ПДн госслужащих и ведении личных дел

для того что бы не ставить на все бумаги где есть ПДн (ПОМЕТКИ) необходим перечень общедоступных ПДн

система работает.

Yason про все документы никто и не говорил

>> Я не видел, но по идее это нарушение конф. документооборота, но ...

аргументы пожалуйста

у нас ГУ унитарное.система К-3, категория ПД 2, численность <1000. это на вопросы по теме не влияет.
Подключил лицензиатов, аттестовали ИСПДн. но эти вопросы с ними не поднимались..они ведь аттестуют по сути на техническую защиту КИ.
В перечень общедоступных что включить?журналы, списки и то какие в них ПД?да ведь все тоже что и должно быть защищено там будет)) опять же согласие надо получать с субъектов ПД на общедоступность? может быть работать и будет..но если проверка будет или данные уйдут. иски последуют вдруг (вот и вся защищенность - моя работа).бак просто кипит)
Помоему в Гос. тайне все документы выводимые в аттестованных АС нумеруются и с грифом. я понимаю разные виды тайн и разные НПА и РД. но документооборот и там и там работать должен по схожему принципу)) я не спорю, не утверждаю, хочу разобраться.
qwerty у вас в кадрах что помимо защиты какие орг меры введены?какие формы? надо ли делать журнал обращения субъектов ПД?акты об уничтожении нужно делать?у нас кадровый отдел загружен и без всего этого.

--- надо ли делать журнал обращения субъектов ПД?акты об уничтожении нужно делать?


да это нужно делать


----В перечень общедоступных что включить?

152 нам явно говорит что может быть включено в общедоступный источник (фио, должность, № кабинета, звание, и пр. -- а это уже многое приказы по штатке, журнал пропуска "местных" и пр.) в принципе можно включить все что угодно главное обосновать необходимость общедоступности.


-----опять же согласие надо получать с субъектов ПД на общедоступность?

да согласие брать надо.


----да ведь все тоже что и должно быть защищено там будет))


что например когда я пришел на работу?



----может быть работать и будет..но если проверка будет или данные уйдут. иски последуют вдруг (вот и вся защищенность - моя работа).бак просто кипит)


в подобной сфере деятельности да еще и с Российским законодательством наверняка утверждать трудно))) У Вас были проверки? Насколько я знаю в ФСТЭКе люди работают грамотные, но не всегда они отвечают по делу (по телефону), ну придет проверка ну выявит мелкие нарушения.. да пусть даже и грубые какие нить (что вряд ли) на моей практике (соседнее ведомство взяло наши бумаги.. к ним должна была придти проверка так у них кроме моих бумаг ничего не было, правда бумаги были все которые нужны для работы в целом без углублений ...) после чего я получил копию акта проверки где черным по белому написано о не соответствии - которое заключалось в отсутствии тех. средств но никак не в бумажном вопросе (на что им было написано.. что то вроде выполнить необходимые требования 152 , пунктов СТРК таких то и таких то и т.п. и был дан срок 6 месяцев и предписание - где собственно все и прописано)
Так вот к чему я веду .... когда есть предписание вышестоящие органы которые выделяют деньги не тянут резину а дают их и все, и боятся тут нечего.
А что касается иски пойдут и .п.т. так волков боятся в лес не ходить - в этой сфере судебных практик раз два и все... а операторов как собак... и что они выполняют требования?
да и максимальный размер выплаты что я знаю за нарушение требований по защите ПДн 3 тысячи рублей (при условии что нарушение обработки не повлекло серьезных последствий для субъекта).. согласен таких исков может быть много но это все теория вероятности

признателен за ответ!Таких бы людей побольше как вы отзывчивых)) сам если могу помоч помогаю!коллегам!в том в чем по сути они так и так разберутся.но я молодой спец., на мне неск филиалов. делаю работу а вопросы некоторые все еще висят.
с кое какими разобрался..спс.

West066...по поводу выделения денег и исков и т.д.- собирайте как можно больше бумажек и писем наверх (я себе лично делаю скан-копию с визами и номерами) потом при комиссии (либо в суде) можно будет этими бумажками прикрыться... типа исполнитель известил лицо принимающее решение\вышестоящий орган... а лицо принимающее решение, решение не приняло. Прецеденты были.