Образец оформления акта классификации информационной системы обработки персональных данных

классификации информационной системы обработки персональных данных

Комиссия в составе:

в результате анализа состава обрабатываемой информации и условий использования (эксплуатации) информационной системы обработки персональных данных (далее – ИС), в соответствии с требованиями "Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных" (утверждено постановлением Правительства РФ от 17.11.2007 г. № 781, далее – Положение) и "Порядка проведения классификации информационных систем персональных данных" (утвержден приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13.02.2008 г. № 55 / 86 / 20, далее – Порядок)

1. В информационной системе осуществляется автоматизированная обработка персональных данных о состоянии здоровья пациентов, обратившихся за медицинской помощью в учреждение, а также персональных данных работников учреждения – субъектов персональных данных.

2. Исходя из этого, в соответствии с п. 8 Порядка ИС относится к категории специальных систем, в которой должны быть обеспечены требования защиты от несанкционированного доступа (конфиденциальности), защиты от уничтожения, изменения и блокирования персональных данных.

3. Учитывая, что нарушение указанных выше характеристик безопасности информации, содержащей сведения, составляющие врачебную тайну (сведения о состоянии здоровья), может привести к значительным негативным последствиям для субъектов персональных данных (пациентов), в соответствии с п. 14 Порядка информационная система относится к классу 1 (К1) .

получения, обработки и. информационно -профессиоведческих сведений о специальностях орга­низации (моделей компетентности), их систематизация и классификация. реализации поведенческих актов ; ¦. персональной. системы человеческих ресурсов ; Цели данной главы.

акт приемки результатов апробации системы. СИСТЕМА КОМПЛЕКСНОЙ ОБРАБОТКИДАННЫХ ДЛЯ ПОВЫШЕНИЯ ЭФФЕКТИВНОСТИ ИНФОРМАЦИОННОЙ. с. 2. Шевчук В.П. Классификацияинформационно -измерительных систем по типу. был данобразец печатного. системы. выдачу персональныхданных.

системы аналитических показателей, их классификация. Информационное и методическое обеспечение АХД. 4. Аналитическая обработкаданных о ходе и результатах хозяйствования. 5. Оформление. персональных ЭВМ), базы данных. за образец. удовлетворяющего. данные "Акта.

в нормативных актах. европейских. с вышеприведенной классификацией разрешения проблемных. хорошо оформленные. За. получить бесплатно образец или. работы с базой персональныхданных. Источник: Cespedes. Информационныесистемы управления Обработкаданных.

выданной и оформленной в. Автоматическая классификация видеоматериалов. Информационныесистемы для. (образец продукции. обработкаперсональныхданных - действия (операции) с персональнымиданными. нормативно-правовых актов. Данное Согласие действует.

Акт классификации - Шаблоны документов для ИСПДн - Документы необходимые организации для обработки ПДн - О персональных данных - Информационная безопа

Генеральный директор «Наименование организации»

« ____ » ____________ 2009 г.

А К Т № ______
классификации информационной системы персональных данных
«Наименование ИСПДн»

Комиссия в составе:
Председатель:
члены комиссии:

рассмотрев следующие исходные данные на информационную систему персональных данных:

1. Категория обрабатываемых персональных данных (Хпд). Хпд = 1/2/3/4.
Обрабатываются персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;
Обрабатываются персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1.
Обрабатываются персональные данные, позволяющие идентифицировать субъекта персональных данных.
Обрабатываются обезличенные и (или) общедоступные персональные данные.

2. Объем обрабатываемых персональных данных (Хнпд). Хнпд = 3/2/1.
Одновременно обрабатываются данные менее чем 1000 субъектов персональных данных/Одновременно обрабатываются данные субъектов ПДн в объеме одной организации.
Одновременно обрабатываются данные от 1000 до 100000 субъектов персональных данных/Одновременно обрабатываются данные субъектов ПДн в объеме одной отрасли/органа власти/муниципального образования.
Одновременно обрабатываются данные более 100000 субъектов персональных данных/Одновременно обрабатываются данные субъектов ПДн в объеме РФ/субъекта РФ.

3. Требуемые характеристики безопасности персональных данных. Типовая/Специальная ИСПДн.
Необходимо выполнить следующие характеристики безопасности персональных данных: конфиденциальность, защищенность от уничтожения, изменения, блокирования, иное. На основании этого информационная система относится к специальной/типовой информационно системе персональных данных. По значению последствий нарушения заданной характеристики безопасности для субъектов персональных данных соответствующая типовым ИСПДн класса К2, требующая дополнительных мер защиты (К2+).

4. Структура информационной системы. Автоматизированные рабочие места/ Локальная информационная система/Распределенная информационная система.
Используются автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных.
Используются комплексы автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа.
Используются комплексы автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа.

5. Подключение информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена. Не имеет/Имеет подключения к сетям международного информационного обмена.

6. Режим обработки персональных данных. Одно / Многопользовательский.

7. Разграничение доступа. С разграничением / Без разграничения прав доступа.

8. Местонахождение технических средств информационной системы. Все средства находятся в пределах Российской Федерации/Технические средства частично или целиком находятся за пределами Российской Федерации.

на основании Модели угроз безопасности ИСПДн «Наименование ИСПДн» (утв. __.__.____ за №) и в соответствии с «Порядком проведения классификации информационных систем персональных данных», утвержденным совместным приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. № 55/86/20,

Акт классификации Персональных данных

классификации информационной системы персональных данных

По результатам проведенного анализа исходных данных информационной системы персональных данных выявлены следующие характеристики:

В соответствии с Порядком проведения классификации информационных систем персональных данных утвержденного приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20, на основании категории и объема обрабатываемых персональных данных и в соответствии с моделью угроз безопасности персональных данных (в случае ее разработки) информационная система персональных данных (наименование ИСПДн) классифицируется, как типовая ИСПДн класса К3.

А теперь что обозначает выше написанное;

1. ПДн обрабатываемые в ИСПДн. Должен быть определен пере­чень ПДн, обработка которых ведется в ИСПДн.
2. Категория ПДн, обрабатываемых в ИСПДн (Х _п д). Исходя из особенностей ПДн определяются следующие категории обрабатываемых в информационной системе ПДн:

• категория 1 - ПДн, касающиеся расовой, национальной при­надлежности, политических взглядов, религиозных и философских убеж­дений, состояния здоровья, интимной жизни;
• категория 2 - ПДн, позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию, за исключением ПДн, относящихся к категории 1;
• категория 3 - ПДн, позволяющие идентифицировать субъекта

• категория 4 - обезличенные и (или) общедоступные ПДн.

К ПДн позволяющим идентифицировать человека относятся такие данные, которые позволяют установить личность человека.

Например, на основании только фамилии, имени и отчества нельзя точно установить личность, т.к. существуют полные однофамильцы. Но если в ИСПДн помимо ФИО обрабатываются также данные об адресе проживания, биометрические данные (фотографическое изображение), данные о месте работы и т.д. то уже на основании их можно выделить конкретного человека.

Обезличенными данными являются данные, на основании которых нельзя идентифицировать субъекта ПДн.

1. Объем ПДн, обрабатываемых в ИСПДн (Хнцд). Должен быть определен объем записей ПДн в ИСПДн, может принимать значение:

• 1 - в информационной системе одновременно обрабатываются ПДн более чем 100 000 субъектов ПДн или ПДн субъектов ПДн в пределах субъекта Российской Федерации или Российской Федерации в целом;
• 2 - в информационной системе одновременно обрабатываются ПДн от 1000 до 100 000 субъектов ПДн или ПДн субъектов ПДн, рабо­тающих в отрасли экономики Российской Федерации, в органе государст­венной власти, проживающих в пределах муниципального образования;
• 3 - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов ПДн или ПДн субъектов ПДн в пределах конкретной организации.

1. Количество рабочих станций, входящих в состав ИСПДн. Должен быть определен перечень рабочих станций, задействованных в ка­ком-либо качестве в обработке ПДн в ИСПДн и (или) имеющих незащи­щенное физическое подключение к ИСПДн.

1. Структура ИСПДн. ИСПДн является:

• АРМ, если вся обработка ПДн производится в рамках одного рабочего места;
• локальной информационной системой, если вся обработка ПДн производится в рамках одной ЛВС;
• распределенной информационной системой, если обработка ПДн производится в рамках комплекса АРМ и (или) локальных информа­ционных систем, объединенных в единую информационную систему сред­ствами связи с использованием технологии удаленного доступа, т.е. эле­менты ИСПДн разнесены территориально, например, в ИСПДн включена сеть филиала, и связь между территориально удаленными элементами осуществляется по каналам сетей общего пользования и (или) междуна­родного обмена.

1. Количество пользователей, допущенных к работе в ИСПДн. Дол­жен быть определен перечень пользователей, допущенных к ПДн в ИСПДн.

1. Режим обработки ПДн в ИСПДн. ИСПДн является однопользо­вательской, если сотрудник обрабатывающий ПДн совмещает в себе функции администратора (осуществляет настройка и поддержку техниче­ских и программных средств) и оператора. Во всех других случаях ИСПДн является многопользовательской.

Если в ИСПДн все пользователи (администраторы, операторы, раз­работчики) обладают одинаковым набором прав доступа или осуществля­ют вход под единой учетной записью и вход под другими учетными запи­сями не осуществляется, то эта ИСПДн с равными правами доступа (пол­номочиями) ко всей информации ИСПДн разных пользователей, в против­ном случае с разными правами доступа (полномочиями) ко всей информа­ции ИСПДн разных пользователей.

1. Подключение ИСПДн к локальным (распределенным) сетям общего пользования. Если ИСПДн или ее элементы имеет подключение к локальным (распределенным) сетям общего пользования, вне зависимости обусловлено ли это служебной необходимостью или нет, то ИСПДн имеет подключение.

1. Подключение ИСПДн к сетям международного информацион­ного обмена. Если ИСПДн или ее элементы имеет подключение к сети Интернет или другим сетям международного информационного обмена, вне зависимости обусловлено ли это служебной необходимостью или нет, то ИСПДн имеет подключение.

1. Тип ИСПДн. Все ИСПДн подразделяются на типовые и специ­альные. К типовым системам относятся системы, в которых требуется обеспечить только свойство конфиденциальности ПДн. Специальные ИСПДн - ИСПДн, в которых вне зависимости от необходимости обеспе­чения конфиденциальности ПДн требуется обеспечить хотя бы одну из ха­рактеристик безопасности ПДн, отличную от конфиденциальности (защи­щенность от уничтожения, изменения, блокирования, а также иных не­санкционированных действий). Характеристики безопасности задаются по решению оператора.

К специальным ИСПДн должны быть отнесены:

• ИСПДн, в которых обрабатываются ПДн, касающиеся состоя­ния здоровья субъектов ПДн;
• ИСПДн, в которых предусмотрено принятие на основании ис­ключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы.

1. Местонахождение технических средств ИСПДн. Все техниче­ские средства ИСПДн находятся в пределах Российской Федерации или технические средства ИСПДн частично или целиком находятся за преде­лами Российской Федерации.

На втором этапе комиссия по результатам анализа исходных данных типовой ИСПДн присваивается один из следующих классов:

• класс 1 (К1) - информационные системы, для которых нару­шение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к значительным негативным последствиям для субъ­ектов ПДн;
• класс 2 (К2) - информационные системы, для которых нару­шение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к негативным последствиям для субъектов ПДн;
• класс 3 (К3) - информационные системы, для которых нару­шение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов ПДн;
• класс 4 (К4) - информационные системы, для которых нару­шение заданной характеристики безопасности ПДн, обрабатываемых в них, не приводит к негативным последствиям для субъектов ПДн.

Класс типовой ИСПДн определяется в соответствии с таблицей:

По результатам исходных данных класс специальной ИСПДн определяется на основе частной модели угроз безопасности ПДн.

Как в случае с типовыми ИСПДн, для специальных систем, необхо­димо определить класс. Классификация специальных систем по аналогии с типовыми нужна для того, чтобы в дальнейшем можно было спроектиро­вать систему защиты ИСПДн, поскольку в документах ФСТЭК России за­щита для любых систем строится с учетом их класса и модели угроз.

В случае выделения в составе ИСПДн подсистем, каждая из которых является ИСПДн, ИСПДн в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем.

Результаты классификации оформляются соответствующим актом оператора для каждой выявленной ИСПДн ( Проект акта ).

Акт классификации ИСПДн утверждается председателем комиссии по классификации и подписывается всеми членами комиссии.

Пример присвоения класса:

В соответствии с Порядком проведения классификации информа­ционных систем персональных данных утвержденного приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20, на основании категории и объема обрабатываемых персональных данных и в соответствии с моделью угроз безопасности персональ­ных данных (в случае ее разработки) информационная система персональ­ных данных (наименование ИСПДн) классифицируется, как типо­вая/специальная ИСПДн класса_______________________________.

Класс ИСПДн может быть пересмотрен:

• по решению оператора на основе проведенных им анализа и оцен­ки УБПДн с учетом особенностей и (или) изменений конкретной ИСПДн;
• по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности ПДн при их обработке в ИСПДн.

В процессе классификации для снижения затрат на создание СЗПДн и оптимизации класса ИСПДн необходимо рассмотреть и по возможности ис­пользовать следующие инструменты:

1. Сегментация. Физическая или логическая сегментация ИСПДн по классам обрабатываемой информации, выделение сегментов сети, в ко­торых происходит автоматизированная обработка ПДн. Данные работы можно провести с помощью внедрения в ЛВС оператора сертифицирован­ных по требованиям ФСТЭК России МЭ.
2. Обезличивание. Введение в процесс обработки ПДн процедуры обезличивания существенно упростит задачи по защите ПДн. После вы­полнения обезличивания защите будет подлежать лишь справочник, по­зволяющий выполнить обратное преобразование.
3. Разделение ПДн на части. В этом случае возможно уменьшение количества субъектов ПДн, обрабатываемых в ИСПДн. Это может быть достигнуто, например, за счет использования таблиц перекрестных ссылок в базах данных.
4. Постановка требований поставщикам и разработчикам систем обработки ПДн. Включение требований наличия в составе закупаемых информационных систем средств, обеспечивающих защиту ПДн в соответ­ствии с действующим законодательством, позволит снизить затраты на приобретение дополнительных СЗИ.

И так если у кого есть вопросы то пишите помогу отвечу на ваши любые вопросы.

Порядок проведения классификации информационных систем персональных данных

3 апреля 2008 г.

приказом ФСТЭК России,

ФСБ России, Мининформсвязи России от 13 февраля 2008 г.

1. 
   Настоящий Порядок определяет проведение классификации информационных систем персональных данных, представляющих собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации (далее - информационные системы) 1 .
   
2. 
   Классификация информационных систем проводится государственными органами, муниципальными органами, юридическими и физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных (далее - оператор) 2 .
   
3. 
   Классификация информационных систем проводится на этапе создания информационных систем или в ходе их эксплуатации (для ранее введенных в эксплуатацию и (или) модернизируемых информационных систем) с целью установления методов и способов защиты информации, необходимых для обеспечения безопасности персональных данных.
   
4. 
   Проведение классификации информационных систем включает в себя следующие этапы:
   

5. При проведении классификации информационной системы учитываются
следующие исходные данные:

' Абзац первый пункта 1 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденного постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781 (Собрание законодательства Российской Федерации, 2007, № 48, часть II, ст. 6001) (далее - Положение). ' Абзац первый пункта 6 Положения.

категория обрабатываемых в информационной системе персональных данных - Х_П д;

объем обрабатываемых персональных данных (количество субъектов персональных данных, персональные данные которых обрабатываются в информационной системе) - Х_Н пд;

заданные оператором характеристики безопасности персональных данных, обрабатываемых в информационной системе;

структура информационной системы;

наличие подключений информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена; режим обработки персональных данных;

режим разграничения прав доступа пользователей информационной системы;

местонахождение технических средств информационной системы.

6. Определяются следующие категории обрабатываемых в
информационной системе персональных данных (Х_П д):

категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;

категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных;

категория 4 - обезличенные и (или) общедоступные персональные данные.

1. 
   - в информационной системе одновременно обрабатываются персональные данные более чем 100 000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;
   
2. 
   - в информационной системе одновременно обрабатываются персональные данные от 1000 до 100 000 субъектов персональных данных или персональные данные субъектов персональных данных, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования;
   
3. 
   - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах конкретной организации.
   

Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных.

Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).

К специальным информационным системам должны быть отнесены:

информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;

информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

9. По структуре информационные системы подразделяются:

на автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных (автоматизированные рабочие места);

на комплексы автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа (локальные информационные системы);

1. 
   По наличию подключений к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы подразделяются на системы, имеющие подключения, и системы, не имеющие подключений.
   
2. 
   По режиму обработки персональных данных в информационной системе информационные системы подразделяются на однопользовательские и многопользовательские.
   
3. 
   По разграничению прав доступа пользователей информационные системы подразделяются на системы без разграничения прав доступа и системы с разграничением прав доступа.
   
4. 
   Информационные системы в зависимости от местонахождения их технических средств подразделяются на системы, все технические средства которых находятся в пределах Российской Федерации, и системы, технические средства которых частично или целиком находятся за пределами Российской Федерации.
   

класс 1 (К1) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных;

класс 2 (К2) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;

класс 3 (КЗ) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных;

класс 4 (К4) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.

15. Класс типовой информационной системы определяется в соответствии с
таблицей.

1. 
   По результатам анализа исходных данных класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных в соответствии с методическими документами, разрабатываемыми в соответствии с пунктом 2 постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» 1 .
   
2. 
   В случае выделения в составе информационной системы подсистем, каждая из которых является информационной системой, информационной системе в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем
   

1 Собрание законодательства Российской Федерации 2007, № 48, часть II, ст. 6001.

18. Результаты классификации информационных систем оформляются
соответствующим актом оператора.

19. Класс информационной системы может быть пересмотрен:

по решению оператора на основе проведенных им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной информационной системы;

по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.

перечня информационных систем персональных данных (ИСПДн), в которых должна быть обеспечена безопасность информации

* в графе 10 указывается дополнительная информация о системе, которую владелец системы считает необходимой включить в перечень В графах 4-8 указывается информация, используемая при классификации ИСПДн в соответствии с Порядком классификации информационных систем персональных данных (Приложение к Приказу ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. №55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»).

Пример заполнения перечня

Исходные данные классификации ИСПДн

Наименование ИСПДн (её составной части)

Наименование объекта (полное и сокращенное)

Отраслевая (ведомственная) принадлежность Адрес объекта

Наличие подключений к ССОП и сетям МИО (Интернет)

Режим обработки ПДн

Разграничение доступа пользователей

Нахождение ИСПДн (её составных частей)в пределах России

* в графе 10 указывается дополнительная информация о системе, которую владелец системы считает необходимой включить в перечень В графах 4-8 указывается информация, используемая при классификации ИСПДн в соответствии с Порядком классификации информационных систем персональных данных (Приложение к Приказу ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. №55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»).

^ Сведения об информационной системе персональных данных.

Наименование информационной системы персональных данных (ИСПД), разработчик системы.

^ Пример: «1С Предприятие», фирма 1С

Указать класс ИСПДН в соответствии с актом классификации

Цели и статус ИСПДн

Указать для чего и на основании чего созданы (в соответствии с законодательством, для исполнения договора со страховой компанией, по собственной инициативе и т.д.)

^ Пример: ведение кадрового и бухгалтерского учета сотрудников, создана в соответствии с законодательством

Объем и состав ИСПДн

Указать количество субъектов персональных данных, обрабатываемых в системе, и содержание информации (Ф.И.О. адрес, ИНН, национальность, пр.)

Указать источники получения персональных данных (от гражданина, от других образовательных учреждений, от третьих лиц и т.д.)

Режим обработки и доступ к ИСПДн

Указать режим обработки (однопользовательский, многопользовательский), порядок доступа (с разграничением или без) и наименование документа регламентирующего доступ если таковой имеется.

^ Пример: многопользовательский, с разграничением доступа, регламент отсутствует.

^ Пример: внутренние пользователи (отделы, структурные подразделения). Внешние пользователи (наименование организаций).

Способы передачи информации пользователям.

^ Пример: На бумажных носителях, на магнитных носителях информации, по защищенным каналам связи, пр.

Оператор (ст.3, п.2 ФЗ-152) или лицо, которому поручена обработка ПД (п.10 «Положения…»).

Правовое основание обработки персональных данных (кем принято решение и каким документом закреплено).

Указать полное наименование (по уставу) и почтовый адрес организации, документы, на основании которых функционирует учреждение.

^ Пример: Министерство образования и науки Республики Татарстан

Указ Президента РТ «О преобразовании Министерства образования Республики Татарстан» от 09.09.2004г. № УП-570

^ Положение о Министерстве образования и науки Республики Татарстан

Дата начала обработки ПДн

АКТ классификации государственной информационной системы персональных данных

классификации государственной информационной системы персональных данных «_____________________________________________________________________________________________________________»

В соответствии с постановлением Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», приказом Федеральной службы по техническому и экспортному контролю РФ от 11 февраля 2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» и Приказом директора __________________________________________________________________________________ от «___» __________ 2013 г. № ____ «О создании комиссии по классификации государственной информационной системы персональных данных «_____________________________________________» комиссия в составе:

должность/ фамилия и инициалы

должность/ фамилия и инициалы

должность/ фамилия и инициалы

произвела сбор исходных данных о государственной информационной системе персональных данных «Автоматизированная информационная система _________________________________________________________________________ » (далее – АИС________) и установила нижеследующее:

В соответствии с пунктом 4 Приложения № 1 к «Требованиям о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах», утвержденных приказом ФСТЭК России от 11 февраля 2013 г. № 17, АИС ______ присвоить класс защищенностиК_.

В соответствии с пунктом 10 «Требований к защите персональных данных при их обработке в информационных системах персональных данных», утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119, установить 2-й уровень защищенности персональных данных при их обработке в АИС ___________ без повышения присвоенного класса защищенности АИС _______________.

Акт классификации информационной системы персональных данных образец

провела классификацию информационной системы наименование информационной системы, обрабатывающей персональные данные, и установила:

Выявленные определяющие признаки классификации типовой информационной системы:

- наивысшая категория обрабатываемых персональных данных (1, 2, 3);

- наличие сведений, составляющих государственную или служебную тайну;

- количество обрабатываемых субъектов персональных данных (диапазон);

- структура системы (автономная, локальная, распределенная);

- наличие подключений к сетям связи общего пользования и (или) сетям международного информационного обмена;

- режим обработки персональных данных (однопользовательский или многопользовательский);

- режим разграничения прав доступа пользователей информационной системы (без разграничения прав доступа или с разграничением прав);

- местонахождение технических средств информационной системы (в пределах Российской Федерации, частично или целиком за пределами Российской Федерации.),

Комиссия, на основании определяющих признаков классификации и в соответствии с приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. N 55/86/20 "Об утверждении Порядка проведения классификации информационных систем персональных данных", а также с рекомендациями ФСТЭК России,

присвоить информационной системе наименование информационной системы, обрабатывающей персональные данные, класс К1 или К2 или К3 или специальный.

Акт классификации информационных систем персональных данных при новом П-1119

В перечне ПДН которые подлежат защите у нас указано:

Фамилия, имя, отчество;

Место, год и дата рождения;

Паспортные данные (серия, номер паспорта, кем и когда выдан);

Адрес по прописке;

Адрес проживания (реальный);

Телефонный номер (домашний, рабочий, мобильный);

Информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность);

Информация о трудовой деятельности до приема на работу;

Информация о трудовом стаже (место работы, должность, период работы, причины увольнения);

Семейное положение и состав семьи (муж/жена, дети);

Информация о знании иностранных языков;

Данные о трудовом договоре (№ трудового договора, дата его заключения, дата начала и дата окончания договора, вид работы, срок действия договора, наличие испытательного срока, режим труда, длительность отпуска, обязанности работника, дополнительные социальные льготы и гарантии, № и число изменения к трудовому договору, характер работы, форма оплаты, категория персонала, условия труда, продолжительность рабочей недели, система оплаты);

Сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета);

Данные об аттестации работников;

Данные о повышении квалификации;

Данные о наградах, медалях, поощрениях, почетных званиях;

Информация о приеме на работу, перемещении по должности, увольнении;

Информация об отпусках;

Информация о командировках;

Информация о негосударственном пенсионном обеспечении.

Как мне тогда правльно написать в строке

Категория обрабатываемых персональных данных.

1) Категория как и писалось для медиков: СПЕЦИАЛЬНАЯ (p.s. Состояние здоровья однозначно)
2) Объем обрабатываемых ПДн: МЕНЕЕ 100 000
3)Вот с угрозами путаюсь прошу помочь
Думаю что угроза второго типа т.е.
Для ИС актуальны угрозы 2-го типа и ИС обрабатывает спец. Категории ПДн оператора, либо спец. Категории <100 000 не сотрудников.
Я, думаю что актуальная угроза 2 (лечим больных как приходящих, так и своих работников по обращению до 100 тыс полюбому)
Что скажете.

4) Уровень защищенности я думаю 2 т.к.

а) Режим помещений
б) Сохранность носителей
в) Утверждены списки лиц кто будет обрабатывать информацию
г) Есть сертифицированные СЗИ
д) Назначен ответственный за безопасность ПДн
е) доступ к эл/журналу обращений

Дмитрий пишет:
Сочувствую.
Все о чем ты спрашиваешь описано в 1119.
А в остальном чтобы определить ты хоть исходные данные то дай. А то ничего же не понятно.

Какие ПДн у тебя обрабатываются. О Здоровье?
Какой объем ПДн в базе. Сколько там данных о обладателях ПДн?