Приказ об утверждении модели угроз

1.1. Утвердить прилагаемую модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных __________.

1.2. Установить, что модель угроз распространяется на следующие информационные системы персональных данных:

2.1. Обеспечить в каждой информационной системе выполнение требований к защите персональных данных, установленных постановлением Правительства Российской Федерации от 01.11.2012 № 1119 для указанного в пункте 1 уровня защищённости.

2.2. При изменении категорий обрабатываемых данных, числа субъектов или типа актуальных угроз пересматривать уровень защищённости и актуализировать модель угроз.

3.1. Возложить организацию работ по нейтрализации актуальных угроз, ведение и актуализацию модели угроз на ответственного за организацию обработки персональных данных — __________ __________.

3.2. Возложить реализацию и сопровождение технических мер защиты, предусмотренных моделью угроз, и контроль их работоспособности на администратора безопасности информационных систем персональных данных — __________ __________.

3.3. Руководителям структурных подразделений представлять ответственным по их запросу сведения о составе обрабатываемых данных, применяемом программном обеспечении и изменениях в информационных системах в течение трёх рабочих дней.

4.1. Реализовать меры защиты, предусмотренные моделью угроз, в срок не более __________ рабочих дней со дня издания настоящего приказа.

4.2. Меры, требующие закупки средств защиты информации или привлечения подрядчика, включить в план мероприятий с указанием сроков и источника финансирования и представить план на утверждение в течение десяти рабочих дней со дня издания настоящего приказа.

4.3. По завершении реализации мер провести оценку их эффективности и оформить её результаты актом.

5.1. Пересматривать модель угроз не реже одного раза в год, а также при вводе в эксплуатацию новой информационной системы или выводе действующей, изменении состава обрабатываемых данных, целей обработки или числа субъектов, изменении архитектуры системы, программного обеспечения или каналов передачи данных, переносе данных к стороннему провайдеру, появлении в банке данных угроз ФСТЭК России новых применимых угроз и после инцидента с персональными данными.

5.2. Изменения в модель угроз утверждать приказом руководителя; до их утверждения действует прежняя редакция.

7.1. Установить, что модель угроз содержит сведения об архитектуре информационных систем и применяемых мерах защиты и является документом ограниченного доступа.

7.2. Доступ к полному тексту модели угроз предоставить руководителю организации, ответственному за организацию обработки персональных данных, администратору безопасности и лицам, проводящим внутренний контроль; хранить модель угроз и утратившие силу редакции у ответственного за организацию обработки персональных данных.

8.1. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, ответственному за организацию обработки персональных данных обеспечить уведомление Роскомнадзора об инциденте в течение 24 часов и о результатах внутреннего расследования в течение 72 часов с момента выявления, внести запись в журнал учёта инцидентов и инициировать внеплановый пересмотр модели угроз.

9.1. Ответственному за организацию обработки персональных данных ознакомить с настоящим приказом и моделью угроз в части, их касающейся, работников, допущенных к обработке персональных данных в информационных системах, под подпись в течение пяти рабочих дней со дня издания приказа.

9.2. Контроль за исполнением настоящего приказа оставляю за собой.