Оглавление (стр. 1 )

Оглавление.

■ Создание приказов по личному составу и требования к ним.

■ Документы о защите персональных данных сотрудников (требование гл. 14 Трудового кодекса РФ).

■ Пошаговая процедура приёма на работу:  документы, предъявляемые при заключении трудового договора ● составление трудовых договоров ●  приказ (распоряжение) о приёме на работу ● книга регистрации трудовых договоров.

■ Оформление отпусков: предоставляем ● отзываем из ежегодного отпуска ●  переносим ●  продлеваем.

■ Порядок оформления документов при переводах: виды переводов ●  оформление, подписание и регистрация соглашения о внесении изменений в трудовой договор.

■ Командировка. Процедура оформления: от приказа до отчёта. ●уведомление о праве отказаться от командировки.

■ Документальное оформление: дисциплинарных взысканий ● снятия дисциплинарных взысканий ● отстранения от работы ● поощрения работника.

■ Поручение дополнительной работы. Процедуры оформления: совмещения профессий (должностей) ● расширения зон обслуживания, исполнения обязанностей временно отсутствующего работника, в том числе руководителя организации во время его отсутствия.

■ Прекращение трудового договора: документы, заполняемые при увольнении ●  приказ (распоряжение) о прекращении (расторжении) трудового договора ●  документы, выдаваемые работнику при увольнении.

■ Ведение трудовых книжек и книги их учёта: дубликаты трудовых книжек ●  вкладыш в трудовую книжку ●  внесение изменений ●  исправление ошибок.

■  Учёт сведений о персонале: личная карточка.

■  Личное дело: состав ● формирование ● ведение. 

■ Наиболее распространённые ошибки при ведении кадрового делопроизводства.

■ Создание приказов по личному составу и требования к ним.

В настоящее время действуют унифицированные формы большинства приказов по личному составу (Постановление Госкомстата России от 01.01.2001 N 1).

При разработке локальных нормативных актов, журналов и других документов, для которых не предусмотрена типовая форма, следует руководствоваться "Государственной системой документационного обеспечения управления. Основные положения. Общие требования к документам и службам документационного обеспечения" (одобрена коллегией Главархива СССР от 01.01.2001, Приказ Главархива СССР от 01.01.2001 N 33), а также нормами "Унифицированной системы документации. Унифицированная система организационно-распорядительной документации. Требования к оформлению документов. ГОСТ Р 6.30-2003" (утв. Постановлением Госстандарта России от 01.01.2001 N 65-ст).

Сроки хранения документов устанавливаются в Перечне типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения, утвержденного Приказом Минкультуры РФ от 01.01.2001 N 558.

Документы о защите персональных данных сотрудников (требование гл. 14 Трудового кодекса РФ).

ЗАКОНОДАТЕЛЬНЫЕ АКТЫ В ОБЛАСТИ ОРГАНИЗАЦИИ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

Федеральный закон "О персональных данных" № 000 ФЗ от 01.01.2001

Постановление Правительства РФ "Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных"

Постановление Правительства РФ "Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации"

Постановление Правительства РФ "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных"

Приказ ФСТЭК России, ФСБ России, Мининформсвязи России от 01.01.2001 №55/86/20 "Об утверждении порядка классификации информационных систем персональных данных"

Приказ Россвязьохранкультуры № 000 от 01.01.2001 "Об утверждении положения о ведении реестра операторов, осуществляющих обработку персональных данных"

Приказ Роскомнадзора «Об утверждении образца формы уведомления об обработке персональных данных»

«Методика определения актуальных угроз безопасности персональных данных при их обработке, в информационных системах персональных данных». Пометка «ДСП» снята Решением ФСТЭК России от 16 ноября 2009 г.

«Базовая модель угроз безопасности персональных данных при их обработке, в информационных системах персональных данных» (выписка). (При рассмотрении угроз утечки информации по каналам побочных электромагнитных излучений и наводок необходимо применять полную версию данного документа.)

Методические рекомендации по обеспечению с помощью криптографических средств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации.

Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, содержащей сведения, не составляющие государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных.

Приказ Федеральной службы по техническому и экспортному контролю от 5 февраля 2010 г. N 58 "Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных"

«ПЕРСОНАЛЬНЫЕ ДАННЫЕ» КАК ОТДЕЛЬНАЯ КАТЕГОРИЯ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ.

Информация - сведения, сообщения или данные независимо от способа их поиска, хранения, обработки, предоставления или распространения; Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа).

Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.

Обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами (ФЗ «Об информации, информационных технологиях и защите информации» N 149-ФЗ от 01.01.2001).

Персональные данные (ПДн) - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация (ФЗ «О персональных данных» от 01.01.2001).

Специальные категории персональных данных - персональные данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

Обработка специальных категорий персональных данных допускается в случаях, если:

- субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

- персональные данные являются общедоступными;

- обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;

- персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно;

- обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

- обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

- обработка персональных данных необходима в связи с осуществлением правосудия;

- обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации.

Обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.

Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, предусмотренных частями 2 и 3 настоящей статьи, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка.

АЛГОРИТМ СОЗДАНИЯ СИСТЕМЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

Этап 1. Назначение ответственных лиц оператора ПДн

Этап 2. Инвентаризация ресурсов информационных систем персональных данных (ИСПДн)

Этап 3. Получение согласия субъектов на обработку их ПДн

Этап 4. Пересмотр договоров с субъектами ПДн

Этап 5. Формирование Перечня ПДн и установление сроков их обработки

Этап 6. Ограничение доступа сотрудников к ПДн

Этап 7. Классификация ИСПДн

Этап 8. Создание и отправка Уведомления о начале обработки ПДн в уполномоченный орган

Этап 9. Получение лицензии ФСТЭК на техническую защиту конфиденциальной информации (при наличии ИС 1 и 2 класса)

Этап 10. Формирование модели угроз ПДн

Этап 11. Разработка технического задания на разработку системы защиты ПДн (СЗПДн)

Этап 12. Проектирование и создание СЗПДн

Этап 13. Ввод в эксплуатацию СЗПДн с использованием и/или без использования средств автоматизации в соответствии с требованиями регуляторов

Этап 14. Оценка соответствия ИСПДн требованиям безопасности ПДн

Этап 15. Контроль за соблюдением требований регуляторов по защите ПДн и модернизация ИСПДн

Этап 16. Обучение лиц, допущенных до работы с ПДн

Порядок организации работ по безопасности ПДн

 

Все мероприятия по обеспечению безопасности обработки персональных данных можно разделить на три достаточно больших раздела:

- Организационно – методологический

- Технический

- Программный

Названия достаточно условны, но позволяют разделить работы по способу реализации и комплексу мероприятий. Контроль и надзор за их выполнением осуществляют – Роскомнадзор, ФСТЭК, ФСБ, помимо комиссий из профильных министерств.

Организационно – методологический

На данном этапе в учреждении должно быть сформировано подразделение отвечающее и следящее за безопасностью обработки персональных данных в учреждении (это может быть даже один человек, но наделенный определенными полномочиями). Задача этого подразделения - организовать и поддерживать систему обеспечения безопасности конфиденциальной информации, а для этого надо издать около 40-50 организационно-распорядительных документов. Даже если нет информационной системы необходимо руководствоваться «Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», постановление Правительства РФ от 01.01.2001 г. № 000.

Технический

На этом этапе проводится комплекс работ, связанный с техническим оснащением и переоборудованием помещений, где хранится документация, каналов связи, по которым передается информация, рабочих мест, где формируется персональная информация. Данный комплекс работ может быть проведен с привлечением сертифицированной организации, специализирующейся на данном направлении. Весь перечень и характер мероприятий должен согласовываться с разработанными нормативными организационно – распорядительными документами. Примерный перечень таких мероприятий приведен ниже:

- пропускной режим доступа в учреждение

- физическая охрана

- кодовые замки для доступа в помещение

- шкафы и сейфы для хранения документов

- система видеонаблюдения помещений

- переносные кейсы для транспортировки документов

- электронные ключи доступа для работы на компьютере

- системы антивирусной защиты

- системы защиты по техническим каналам

- межсетевые экраны

- контроль доступа в интернет

- лицензионное программное обеспечение ( лицензия на СУБД)

- средства контроля электронной почты

- системы криптографической защиты

В итоге будет создана техническая основа, для выполнения всего комплекса мероприятий по обеспечению защиты персональных данных в учреждении.

Программный

Данный этап является логическим завершением всех предыдущих мероприятий по защите персональных данных. На этом этапе происходит модификация и настройка прикладного программного обеспечения с использованием которого происходит обработка персональных данных на основании тех правил и рекомендаций, которые описаны в организационно – распорядительных документах учреждения, а также используются дополнительные сертифицированные программные продукты, обеспечивающие и реализующие дополнительные необходимые защитные функции. Основные работы должны включать в себя реализацию следующих мероприятий:

- создание электронных журналов регистрации и учета доступа в информационную систему

- управление и разграничение доступа к информации в системе

- создание электронных журналов контроля действий пользователей (создание, редактирование, удаление информации)

- криптографическая защита и контроль целостности трафика

- внедрение электронной подписи

- контроль целостности хранимой информации

- кодирование информации при необходимости

В итоге будет создана полноценная информационная система, отвечающая всем требованиям по защите персональных данных при их хранении и обработки.

Обобщая все вышеописанное - защита информации с использованием автоматизированных средств обработки данных это комплекс организационно-технических мероприятий, направленных на предотвращение потери, искажения и несанкционированного доступа к данным и ресурсам информационной системы (ИС)

Примерный комплекс мероприятий для информационной системы:

- категорирование всех массивов данных (ИР) персональная, конфиденциальная, открытая информация (инвентаризация, идентификация и учет ИР, ответственные)

- разграничение полномочий доступа к ресурсам ИС приказ о допуске

- авторизация, контроль и учет действий с данными + контроль копирования, печати, обмена данными по каналам связи регистрация событий в спец. электронных. журналах ("черный ящик") просмотр + мониторинг = учёт + безотказность

- применение устройств аутентификации пользователей для доступа в ИС,

двухфакторная идентификация, пароли, карточки, e-Token, биометрические средства (отпечаток пальца) и др.

- межсетевые экраны выход в Интернет, интеграция ИС разного класса

- защита от вирусов

- использование средств ЭЦП обеспечение целостности информации

- шифрование ПДн при передаче по каналам связи и на внешних МН, сертифицированные ФСБ средства криптозащиты, ответственные (отдельный приказ), журнал учета криптоключей и др.

- учет внешних носителей данных (маркировка, журнал учета и др.)

- резервное копирование / восстановление данных (регламент, учет копий) обеспечение целостности данных

- раздельное хранение носителей данных с резервными копиями - функциональная безопасность обеспечение непрерывности функционирования – доступность информации (надежность, отказоустойчивость, резервирование техники

- использование источников бесперебойного питания

- физическая защита = контроль доступа в помещения и к компьютерам, охрана периметра (контролируемой зоны)

- комплексное планирование, обеспечение ресурсами

- обучение персонала (инструктажи, допуск к работе, ознакомление с документы под роспись и т. д.)

- систематические проверки и контроль.

В отношении действующих информационных систем, обрабатывающих персональные данные, Учреждения обязаны осуществить ряд мероприятий:

- провести их классификацию с оформлением соответствующего акта;

- до 01.01.2010 (до 01.01.2011 г. – прим.: ст. 25 Федеральный закон от 01.01.2001 N 152-ФЗ "О персональных данных" устанавливает, что информационные системы персональных данных, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года. (часть третья в ред. Федерального закона от 01.01.2001 N 363-ФЗ)), реализовать комплекс мер по защите персональных данных в соответствии с перечисленными правовыми актами и методическими документами;

- провести оценку соответствия ИСПДн требованиям безопасности в форме сертификации (аттестации) или декларирования соответствия.

В целях организации работ по реализации положений Федерального закона от 27 июля 2006 года «О защите персональных данных», предлагается провести мониторинг мер и документов, существующих в учреждении.

Форма мониторинга

«Обеспечение защиты персональных данных в учреждении»

________________________________________________________

наименование учреждения

дата заполнения «______» __________________ 201__ год

1.Наличие в учреждении перечня конфиденциальной, служебной коммерческой и другой критичной информации, подлежащей защите (Да – 1, Нет – 0)
2.Наличие в учреждении организационно-распорядительной документации, регламентирующей проведение мероприятий по защите информации:
2.1.Приказ «Об утверждении перечня ПДн» (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.2. Уведомление об обработке (о намерении осуществлять обработку) ПДн (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.3. План мероприятий по обеспечению защиты ПДн учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.4. Приказ «О назначении ответственного за обеспечение информационной безопасности» (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.5. Инструкция ответственного за обеспечение безопасности информации (администратора информационной безопасности) (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.6. Приказ «Об утверждении Положения о защите персональных данных» (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.7. Приказ «Об утверждении Положения об особенностях обработки персональных данных осуществляемой без использования средств автоматизации» (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.8. Приказ «О проведении обследования организации обеспечения безопасности персональных данных при их обработке в информационной системе персональных данных» (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.9. Положение об обработке в информационных системах персональных данных (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.10. Образец письменного согласия на обработку ПДн и обязательства о неразглашении информации ограниченного распространения, утвержденного руководителем учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.11. Приказ «Об утверждении Порядка проведения классификации информационных систем персональных данных» (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.12. Частная модель угроз безопасности информационной системы персональных данных, утвержденная руководителем учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.13. Акт классификации информационной системы ПДн (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.14. Какой класс присвоен ИСПДн
2.15. Приказ «Об информационной безопасности при работе со сведениями конфиденциального характера» (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.16. Перечень лиц, обслуживающих информационную систему, утвержденный руководителем учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.17. Проведена ли аттестация по требованиям безопасности информации (для ИСПДн 1 и 2 класса) (если проведена – указывать номер документа и дату принятия, если нет – «не проведена»)
2.18. Инструкция по обеспечению защиты конфиденциальной информации, обрабатываемой в информационной системе (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.19. Состав программного обеспечения информационной системы, утвержденный руководителем учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.20. Перечень лиц, допущенных работать с информационной системой, утвержденный руководителем учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.21. Перечень защищаемых ресурсов информационной системы и уровень их конфиденциальности, утвержденный руководителем учреждений (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.22. Матрица доступа субъектов информационной системы, утвержденная руководителем учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.23. Акт установки системы технической защиты информации в информационной системе (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.24. Описание настроек системы разграничения доступа системы защиты информации от несанкционированного доступа информационной системы (утвержденного руководителем учреждения) (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.25. Описание технологического процесса обработки информации в информационной системе, утвержденного руководителем учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.26. Положение об учете, порядке работы, хранения, уничтожения документов и машиночитаемых носителей, содержащих персональные данные и иную конфиденциальную информацию (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
2.27. Организация охраны и физическая защита ресурсов ИСПДн, утвержденная руководителем учреждения (если есть – указывать номер документа и дату принятия, если нет – «отсутствует»)
3.Наличие в учреждении политики применения криптографических средств защиты (Да – 1, Нет – 0)
4.Наличие в учреждении документов, регламентирующих информационный обмен с другими юридическими или физическими лицами (Да – 1, Нет – 0)
5.Наличие в учреждении защищенных помещений (Да – 1, Нет – 0)
6.Наличие в учреждении выделенного, недоступного для посторонних, серверного помещения (Да – 1, Нет – 0)
7.Проведение обучения или повышение их квалификации лиц, ответственных за обеспечение информационной безопасности (Да – 1, Нет – 0)
8.Подключение ИСПДн к системам общего пользования (интранет, интернет) (Да – 1, Нет – 0)
9.Использование межсетевых экранов для отделения ИСПДн от остальных сетей (Да – 1, Нет – 0)
10.Какие средства криптографической защиты используются
11.Какие средства антивирусной защиты используются

ОРГАНИЗАЦИОННО-РАСПОРЯДИТЕЛЬНЫЕ ДОКУМЕНТЫ ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ