Правильный подход к построению модели угроз - Форум по вопросам информационной безопасности

Спасибо! Согласен, что проще не спорить с регулятором и признать все, что обрабатывается с помощью СВТ автоматизированной обработкой ПДн. Только не знаю где поставить грань автоматизированной обработки. До попадания в СВТ неавтоматизированная, после попадания в СВТ автоматизированная/После извлечения из СВТ опять неавтоматизированная ….при условии, что данные в СВТ остаются на хранение/архивацию…Вопрос просто еще в том, что если при условии извлечения из СВТ обработку ПДн признавать неавтоматизированной, то поголовно всех сотрудников нужно ознакомить о факте обработки ПД без использования средств автоматизации, так как в организации очень много писем содержащих ПДн (как минимум ФИО /должность в шапке) ходят в организации в бумажном виде (так же весь этот процесс дублируется в СЭД). Или если ПДн с бумажных носителей были занесены/извлечены в ИСПДн и идет смешанная обрабока.....лучше и проще признавать весь этот процесс "обработкой с использованием средств автоматизации"

При получении обращения гражданина (59-ФЗ 02.05.2006) - руководитель расписывает на подчиненных для исполнения. у Вас наверняка есть внутренний регламент рассмотрения запросов граждан, где прописано кто и в какие сроки что делает. Если нет, то решите - кто имеет право подготовить ответ для гражданина и на кого руководитель может расписать запрос. ВОТ эти все работники и будут ознакомлены с 687 ПП РФ.
Мы для себя решили, что ВСЕ работники могут быть задействованы в этом и знакомим всех, не считая обслуживающий персонал.
А вообще по 211 п.1 е вы должны знакомить всех работников с с положениями законодательства РФ о ПДн и/или организовать обучение. Вот и организуйте ресурс со всеми законодательными актами и внутренними актами организации по вопросам ПДн, дайте всем ссылку где все это лежит, срок месяц на изучение, а потом оформите как самостоятельное изучение под лист ознакомления с перечислением всех нормативных актов и опросным листом для закрепления материала. Сделайте вывод, что все всё знают или нужно провести доп.разъясняющую работу с определенным подразделением, отдайте на утверждение руководителю протокол проведения занятия по ПДн, подшейте к документации для РКН.

to тоже ОМСУ

Спасибо, отличная идея, у нас сейчас все ознакамливаются с положениями законодательства РФ о ПДн "формально" при трудоустройстве под роспись. А в случае переписки между структурными подразделениями, как минимум в каждом письме фигурирует ФИО и должность адресата и подписанта (у нас бумажный документооборот дублирует электронный по СЭД) получается вроде как тоже неавтоматизированная обработка...........