Политика информационной безопасности

1.1. Настоящая Политика информационной безопасности (далее — Политика) определяет цели, принципы и правила защиты информации в __________ (далее — Организация).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утверждёнными постановлением Правительства Российской Федерации от 01.11.2012 № 1119, Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных, утверждёнными приказом ФСТЭК России от 18.02.2013 № 21, и Положением об особенностях обработки персональных данных без использования средств автоматизации, утверждённым постановлением Правительства Российской Федерации от 15.09.2008 № 687.

1.3. Политика является локальным нормативным актом Организации и обязательна для всех лиц, указанных в разделе «Область действия».

1.4. Правила обработки персональных данных (цели, состав данных, сроки, права субъектов) установлены отдельной политикой Организации в отношении обработки персональных данных; настоящая Политика определяет меры их защиты.

2.1. Целями Политики являются обеспечение конфиденциальности, целостности и доступности информации Организации, соблюдение требований законодательства Российской Федерации о защите информации и персональных данных, защита прав субъектов персональных данных.

2.2. Для достижения целей Организация решает следующие задачи:

2.3. определяет состав защищаемой информации и информационных систем;

2.4. определяет актуальные угрозы безопасности информации и принимает меры их нейтрализации;

2.5. разграничивает доступ к информации по принципу минимально необходимых прав;

2.6. своевременно выявляет инциденты информационной безопасности, реагирует на них и устраняет их последствия;

2.7. обучает работников правилам информационной безопасности и контролирует их соблюдение.

3.1. Политика распространяется на всю информацию, которую Организация создаёт, получает, обрабатывает и хранит, независимо от формы её представления — в информационных системах, на машинных и бумажных носителях.

3.2. Политика распространяется на информационные системы, программные и технические средства, помещения Организации, в которых обрабатывается защищаемая информация.

3.3. Требования Политики обязательны для всех работников Организации, а также для лиц, которым доступ к информации Организации предоставлен на основании договора; обязанность соблюдать Политику включается в такие договоры.

4.1. Руководитель Организации утверждает Политику и иные локальные акты по защите информации, перечень лиц, допущенных к обработке персональных данных, и уровни защищённости персональных данных, обеспечивает выделение ресурсов на защиту информации.

4.2. Ответственный за организацию обработки персональных данных — __________ __________ — организует выполнение Политики, внутренний контроль за соблюдением законодательства о персональных данных, ознакомление и обучение работников, приём сообщений об инцидентах и взаимодействие с Роскомнадзором.

4.3. Администратор информационной безопасности — __________ __________ — настраивает и сопровождает средства защиты информации, предоставляет и блокирует доступ по согласованным заявкам, ведёт учёт машинных носителей, контролирует журналы событий и восстанавливает информацию из резервных копий.

4.4. Руководители структурных подразделений определяют, к какой информации нужен доступ их работникам, согласуют заявки на доступ и обеспечивают соблюдение Политики в подразделении.

4.5. Работники (пользователи) обрабатывают информацию только в объёме, необходимом для выполнения трудовых обязанностей, соблюдают требования Политики и незамедлительно сообщают о нарушениях и подозрительных событиях.

5.1. Информация Организации делится на следующие категории:

5.2. персональные данные работников, клиентов, контрагентов и иных субъектов, включая специальные категории и биометрические персональные данные, если они обрабатываются;

5.3. иная конфиденциальная информация — служебная информация ограниченного распространения, сведения о мерах защиты, учётные данные и пароли;

5.4. общедоступная информация, размещаемая Организацией на сайте и в открытых источниках.

5.5. Информация ограниченного доступа (персональные данные и иная конфиденциальная информация) не подлежит разглашению и передаче третьим лицам без правового основания.

5.6. За каждой информационной системой и массивом информации закрепляется владелец — руководитель подразделения, отвечающий за определение круга допущенных лиц.

5.7. Перечень информационных систем персональных данных, категории обрабатываемых данных и уровни их защищённости фиксируются в акте определения уровня защищённости и актуализируются при изменении состава систем.

6.1. Доступ к информации ограниченного доступа предоставляется по принципу минимально необходимых прав: работник получает доступ только к тем данным и функциям, которые нужны для выполнения его трудовых обязанностей.

6.2. Перечень лиц, доступ которых к персональным данным необходим для выполнения трудовых обязанностей, утверждается руководителем Организации и пересматривается при изменении штата и не реже одного раза в год.

6.3. Доступ предоставляется администратором информационной безопасности по заявке, согласованной руководителем подразделения, и только по персональной учётной записи, общие учётные записи для работы пользователей не используются.

6.4. Пароль содержит не менее 8 символов, включает буквы разного регистра, цифры и специальные символы, меняется не реже одного раза в 90 дней и не совпадает с пятью предыдущими.

6.5. Передавать пароль другим лицам и записывать его в доступном месте запрещается.

6.6. Учётные записи уволенных работников блокируются не позднее дня увольнения, права переведённых работников пересматриваются в день перевода.

6.7. Подключение личных устройств и съёмных носителей к информационным системам Организации допускается только с разрешения администратора информационной безопасности, машинные носители персональных данных учитываются в журнале учёта.

7.1. Безопасность персональных данных обеспечивается мерами, предусмотренными частью 2 статьи 19 Федерального закона № 152-ФЗ: определением угроз безопасности персональных данных, применением организационных и технических мер, обеспечивающих установленный уровень защищённости, применением средств защиты информации, прошедших оценку соответствия, оценкой эффективности мер до ввода системы в эксплуатацию, учётом машинных носителей, обнаружением фактов несанкционированного доступа, восстановлением модифицированных или уничтоженных данных, установлением правил доступа и регистрацией действий с данными, контролем за принимаемыми мерами.

7.2. Актуальные угрозы определяются моделью угроз, утверждённой руководителем Организации.

7.3. Для информационных систем персональных данных Организации установлен 4-й уровень защищённости (УЗ-4).

7.4. Во исполнение Требований, утверждённых постановлением Правительства Российской Федерации № 1119, в Организации обеспечиваются режим безопасности помещений, в которых размещены информационные системы, препятствующий неконтролируемому проникновению посторонних лиц, сохранность носителей персональных данных, утверждённый руководителем перечень лиц, допущенных к персональным данным, и применение средств защиты информации, прошедших оценку соответствия, когда это необходимо для нейтрализации актуальных угроз.

7.5. Обработка персональных данных на бумажных носителях ведётся по правилам постановления Правительства Российской Федерации № 687: персональные данные обособляются от иной информации, для разных целей используются разные материальные носители, места хранения определяются приказом и запираются.

7.6. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации.

7.7. Выполнение требований к защите персональных данных контролируется Организацией самостоятельно или с привлечением лицензиата ФСТЭК России не реже одного раза в три года.

8.1. Состав технических мер определяется с учётом уровня защищённости персональных данных и актуальных угроз.

8.2. В Организации применяются следующие меры:

8.3. установка обновлений безопасности: критических — в течение 72 часов после выхода, остальных — не реже одного раза в месяц;

8.4. анализ защищённости информационных систем на наличие уязвимостей не реже одного раза в квартал.

9.1. Инцидентом информационной безопасности считается любое событие, которое привело или может привести к нарушению конфиденциальности, целостности или доступности информации: несанкционированный доступ, утечка, утрата носителя, заражение вредоносным программным обеспечением, несанкционированное изменение или уничтожение данных.

9.2. Работник, обнаруживший инцидент или признаки инцидента, немедленно сообщает о нём ответственному за организацию обработки персональных данных по адресу __________ и не предпринимает самостоятельных действий, которые могут уничтожить следы инцидента.

9.3. Каждый инцидент регистрируется в журнале учёта инцидентов с указанием времени выявления, описания, затронутых данных и принятых мер.

9.4. Ответственный организует расследование, устранение причин и последствий инцидента.

9.5. При неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов, Организация уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента и о результатах внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 Федерального закона № 152-ФЗ).

9.6. О компьютерных инцидентах, повлёкших неправомерную передачу персональных данных, Организация информирует государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) в установленном порядке.

10.1. Работники, допущенные к информации ограниченного доступа, знакомятся с Политикой под подпись до начала работы с такой информацией и проходят инструктаж по информационной безопасности при приёме на работу и не реже одного раза в год.

10.2. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность в порядке, установленном федеральными законами.

10.3. Разглашение персональных данных другого работника ставших известными работнику в связи с исполнением трудовых обязанностей, является основанием для расторжения трудового договора по подпункту «в» пункта 6 части первой статьи 81 Трудового кодекса Российской Федерации.

11.1. Внутренний контроль за соблюдением Политики проводится ответственным за организацию обработки персональных данных не реже одного раза в год, по его результатам составляется отчёт с перечнем нарушений и мер по их устранению.

11.2. Политика пересматривается не реже одного раза в год, а также при изменении законодательства, состава информационных систем, по результатам контроля и расследования инцидентов.

11.3. Политика вступает в силу со дня утверждения.

11.4. Изменения вносятся в том же порядке, в каком Политика утверждена.