План мероприятий по защите персональных данных

1.1. Настоящий план определяет перечень организационных и технических мероприятий по обеспечению безопасности персональных данных при их обработке оператором, сроки их выполнения и ответственных исполнителей.

1.2. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством о персональных данных, и самостоятельно определять состав таких мер 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.3. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.4. Требования к защите персональных данных при их обработке в информационных системах и уровни защищённости установлены постановлением Правительства ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах, а состав и содержание мер защиты — приказом ФСТЭК России Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.

1.5. Установленный для информационных систем оператора уровень защищённости: __________.

1.6. Тип актуальных угроз безопасности: __________.

1.7. Число субъектов, персональные данные которых обрабатываются оператором: __________.

1.8. Ответственным за организацию обработки персональных данных является __________ __________ 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.9. План обязателен для всех работников оператора, участвующих в обработке персональных данных, и для подразделений, обеспечивающих функционирование информационных систем.

2.1. Мероприятия, сроки их выполнения, ответственные исполнители и документы, подтверждающие исполнение, приведены в таблице.

2.2. Мероприятие считается исполненным только при наличии указанного в таблице подтверждающего документа: устный доклад об исполнении не принимается.

2.3. Ответственный исполнитель, указанный в таблице, обеспечивает выполнение мероприятия лично либо силами подчинённого подразделения и отвечает за соблюдение срока.

2.4. Мероприятия, срок которых указан периодом (ежеквартально, ежемесячно), выполняются в течение всего периода действия плана, а их исполнение подтверждается документом за каждый период.

2.5. Ниже раскрыто содержание групп мероприятий, включаемых в план-график.

3.1. Актуализация локальных нормативных актов оператора: политики обработки персональных данных, положения об обработке и защите, перечня обрабатываемых данных и целей обработки, форм согласий и разъяснений субъектам.

3.2. Издание документа, определяющего политику оператора в отношении обработки персональных данных, и его опубликование, а также обеспечение неограниченного доступа к нему 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

3.3. Назначение лица, ответственного за организацию обработки персональных данных, и определение его полномочий приказом руководителя 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

3.4. Утверждение и актуализация перечня работников, допущенных к обработке персональных данных, с указанием состава данных и объёма операций для каждого работника.

3.5. Утверждение перечня информационных систем персональных данных и мест хранения материальных носителей: __________.

3.6. Подготовка и направление в уполномоченный орган по защите прав субъектов персональных данных уведомления об обработке персональных данных 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

3.7. Определение и документальное оформление порядка обработки обращений субъектов персональных данных и сроков ответа на них 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

3.8. Заключение или актуализация поручений на обработку персональных данных с лицами, которым обработка поручается, с включением обязанности соблюдать конфиденциальность и требования к безопасности.

3.9. Определение порядка уничтожения персональных данных по достижении целей обработки и по отзыву согласия с составлением акта об уничтожении 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

4.1. Применение прошедших процедуру оценки соответствия средств защиты информации в объёме, определённом для установленного уровня защищённости Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.

4.2. Разграничение прав доступа к информационным системам: доступ предоставляется в объёме, минимально необходимом для исполнения работником трудовой функции, и отзывается в день прекращения оснований.

4.3. Ведение и хранение журналов регистрации событий безопасности и действий пользователей, позволяющих установить, кто и когда обращался к персональным данным.

4.4. Применение средств антивирусной защиты и поддержание их в актуальном состоянии: __________.

4.5. Резервное копирование данных информационных систем: __________.

4.6. Периодическая проверка восстановления данных из резервной копии обязательна.

4.7. Применение парольной политики и многофакторной аутентификации для доступа к системам, обрабатывающим персональные данные, и для удалённого доступа.

4.8. Обеспечение защиты каналов передачи данных при передаче персональных данных по сетям общего пользования.

4.9. Обеспечение режима безопасности помещений, в которых размещены носители и технические средства информационных систем, и исключение бесконтрольного доступа в них посторонних лиц.

4.10. Учёт машинных носителей персональных данных, порядок их выдачи, возврата и гарантированного уничтожения информации перед списанием или передачей техники.

4.11. Обновление системного и прикладного программного обеспечения и устранение выявленных уязвимостей в установленные сроки.

5.1. Осуществление внутреннего контроля соответствия обработки персональных данных требованиям закона и принятым в соответствии с ним нормативным правовым актам, требованиям к защите данных и локальным актам оператора 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

5.2. Периодичность внутреннего контроля: __________.

5.3. Результаты контроля оформляются актом с перечнем выявленных несоответствий и сроками их устранения.

5.4. Оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения закона, и соотнесение указанного вреда с принимаемыми оператором мерами 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

5.5. Оценка эффективности принимаемых мер по обеспечению безопасности персональных данных проводится __________ и до ввода информационной системы в эксплуатацию 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

5.6. Учёт машинных носителей и контроль фактического наличия носителей персональных данных.

5.7. Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер, включая восстановление изменённых или уничтоженных данных 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

5.8. Проверка актуальности перечня работников, допущенных к обработке, и фактических прав доступа в информационных системах.

5.9. Проверка соблюдения сроков хранения персональных данных и своевременности их уничтожения по достижении целей обработки.

5.10. Проверка исполнения поручений на обработку персональных данных третьими лицами и соблюдения ими требований к безопасности данных.

6.1. Ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, требованиями к защите данных и локальными актами оператора под подпись 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

6.2. Периодичность обучения и инструктажей: __________.

6.3. Вновь принимаемые работники проходят инструктаж до предоставления им доступа к персональным данным.

6.4. Ознакомление работников с обязанностью не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

6.5. Ознакомление работников с порядком передачи персональных данных работника и с их правами в области защиты таких данных ТК РФ ст. 88ТК РФ ст. 88Передача персональных данных работника.

6.6. Проведение практических занятий по действиям при получении обращения субъекта персональных данных и при обнаружении инцидента.

6.7. Доведение до работников результатов внутреннего контроля и типовых ошибок, выявленных за период.

6.8. Учёт проведённого обучения: журнал или лист ознакомления с указанием даты, темы и подписи работника.

6.9. Рассылка по электронной почте ознакомление под подпись не заменяет.

8.1. Общий контроль исполнения плана осуществляет __________ __________ как лицо, ответственное за организацию обработки персональных данных.

8.2. Ответственные исполнители, указанные в плане-графике, представляют сведения об исполнении мероприятия с приложением подтверждающего документа не позднее пяти рабочих дней со дня наступления установленного срока.

8.3. Ответственный за организацию обработки ведёт учёт исполнения плана и фиксирует по каждому мероприятию отметку об исполнении, о частичном исполнении или о неисполнении с указанием причины.

8.4. Мероприятие, срок которого наступил, а подтверждающий документ отсутствует, учитывается как неисполненное независимо от фактически проделанной работы.

8.5. При выявлении неисполнения ответственный за организацию обработки направляет исполнителю требование об устранении с указанием нового срока и уведомляет руководителя оператора.

8.6. Контроль исполнения плана совмещается с внутренним контролем соответствия обработки требованиям закона и оформляется одним актом 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

8.7. Сведения об исполнении плана хранятся не менее срока действия плана и трёх последующих лет и предъявляются при проверках уполномоченного органа.

12.1. План утверждается приказом руководителя оператора от __________ № __________ и действует в течение периода: __________.

12.2. План доводится до ответственных исполнителей под подпись в листе ознакомления Приложение № 2.

12.3. План подлежит актуализации при изменении законодательства о персональных данных, состава обрабатываемых данных, целей и способов обработки, а также структуры информационных систем оператора.

12.4. Новый план на следующий период утверждается не позднее последнего рабочего дня периода действия предыдущего плана; мероприятия, не исполненные в предыдущем периоде, переносятся в новый план с отметкой о переносе.

12.5. Отчёт об исполнении плана за истёкший период оформляется по форме Приложение № 1.

12.6. План, отчёты о его исполнении, акты внутреннего контроля и документы, подтверждающие исполнение мероприятий, хранятся у ответственного за организацию обработки персональных данных.

12.7. Контактные данные оператора для обращений субъектов персональных данных: __________, телефон __________, сайт __________, почтовый адрес __________.