Акт определения уровня защищённости ИСПДн

1.1. Комиссия, созданная приказом __________ от __________ № __________, в составе: председатель комиссии — __________ __________, провела определение уровня защищённости персональных данных при их обработке в информационной системе персональных данных оператора — __________.

1.2. Ответственный за организацию обработки персональных данных: __________ __________ 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.3. Комиссия правомочна при участии не менее трёх её членов, включая председателя.

2.1. Настоящий акт составлен в соответствии с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, установленными постановлением Правительства Российской Федерации от 01.11.2012 № 1119 ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

2.2. Определение уровня защищённости проводится для последующего выбора и реализации мер по обеспечению безопасности персональных данных, необходимых и достаточных для нейтрализации актуальных угроз 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

2.3. Цель обработки персональных данных в информационной системе: __________.

3.1. Комиссия установила следующие характеристики информационной системы персональных данных:

3.2. состав и архитектура: __________

3.3. состав обрабатываемых персональных данных: __________

3.4. категория обрабатываемых персональных данных: __________

3.5. категория субъектов: __________

3.6. объём обрабатываемых данных: __________

3.7. тип актуальных угроз безопасности: __________

3.8. Дополнительные исходные данные, использованные комиссией:

4.1. Уровень защищённости определён по совокупности критериев: категория обрабатываемых персональных данных, категория субъектов и их количество, тип актуальных угроз безопасности ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

4.2. Первый уровень защищённости (УЗ-1) устанавливается при актуальности угроз 1-го типа для специальных категорий, биометрических или иных категорий персональных данных, а также при актуальности угроз 2-го типа для специальных категорий персональных данных более чем 100 000 субъектов, не являющихся работниками оператора.

4.3. Второй уровень защищённости (УЗ-2) устанавливается при актуальности угроз 1-го типа для общедоступных персональных данных; при актуальности угроз 2-го типа для специальных категорий персональных данных работников оператора или менее чем 100 000 субъектов, не являющихся работниками оператора, для биометрических персональных данных, а также для общедоступных или иных категорий персональных данных более чем 100 000 субъектов, не являющихся работниками оператора; при актуальности угроз 3-го типа для специальных категорий персональных данных более чем 100 000 субъектов, не являющихся работниками оператора.

4.4. Третий уровень защищённости (УЗ-3) устанавливается при актуальности угроз 2-го типа для общедоступных или иных категорий персональных данных работников оператора или менее чем 100 000 субъектов, не являющихся работниками оператора; при актуальности угроз 3-го типа для специальных категорий персональных данных работников оператора или менее чем 100 000 субъектов, не являющихся работниками оператора, для биометрических персональных данных, а также для иных категорий персональных данных более чем 100 000 субъектов, не являющихся работниками оператора.

4.5. Четвёртый уровень защищённости (УЗ-4) устанавливается при актуальности угроз 3-го типа для общедоступных персональных данных, а также для иных категорий персональных данных работников оператора или менее чем 100 000 субъектов, не являющихся работниками оператора.

4.6. Специальные категории персональных данных и биометрические персональные данные обрабатываются с соблюдением дополнительных условий, установленных законом 152-ФЗ ст. 10152-ФЗ ст. 10Специальные категории персональных данных 152-ФЗ ст. 11152-ФЗ ст. 11Биометрические персональные данные.

5.1. На основании установленных характеристик информационной системы и применённых критериев комиссия определила: для информационной системы персональных данных __________ необходимо обеспечить __________.

5.2. Определённый уровень защищённости является обязательным для исполнения всеми работниками оператора, допущенными к обработке персональных данных в указанной информационной системе.

5.3. Настоящий акт является основанием для формирования требований к системе защиты персональных данных и для выбора состава мер защиты.

7.1. Настоящий акт действует бессрочно и подлежит пересмотру при изменении архитектуры или состава информационной системы, при изменении состава либо категорий обрабатываемых персональных данных, при существенном изменении числа субъектов, а также при выявлении новых актуальных угроз безопасности.

7.2. Пересмотр акта производится той же комиссией либо комиссией, созданной новым приказом оператора, с составлением акта в новой редакции.

7.3. Настоящий акт составлен в одном экземпляре и хранится у ответственного за организацию обработки персональных данных вместе с иными документами по защите персональных данных.

7.4. Копия акта предъявляется по требованию уполномоченного органа по защите прав субъектов персональных данных.

8.1. Председатель комиссии: __________ ______________ / __________ /

8.2. Акт принят на хранение: __________ ______________ / __________ /