Обеспечение безопасности персональных данных
Требования к операторам персональных данных за последние годы ужесточились, а ответственность за утечку выросла. Приводим информационные системы персональных данных в соответствие закону — от аудита текущего состояния до аттестации и сопровождения.
Что изменилось и почему стало сложнее
Построение защищённой ИСПДн перестало быть разовой задачей: добавились обязанности, которых раньше не было.
Взаимодействие с ГосСОПКА
Операторы персональных данных обязаны обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак — часть 12 статьи 19 152‑ФЗ и приказ ФСБ России от 13.02.2023 № 77
Биометрические персональные данные
Обработка биометрических персональных данных регулируется статьёй 11 152‑ФЗ, а их использование для идентификации и аутентификации — 572‑ФЗ от 29.12.2022; требования к защите выше
Трансграничная передача
Передача персональных данных за рубеж ограничена и требует отдельных решений и уведомлений.
Цена ошибки выросла
Утечка персональных данных — это не только предписание регулятора, но и репутационные последствия, и претензии субъектов ПДн.
Что мы делаем
Можно заказать весь цикл или отдельные работы — например, только аудит или только документы.
Аудит ИСПДн
Оцениваем существующую или проектируемую систему и выдаём рекомендации по приведению в соответствие требованиям.
Проектирование защищённой ИСПДн
Формируем требования, подбираем технические решения, внедряем и вводим систему в эксплуатацию с оценкой достаточности мер.
Подсистема безопасности ПДн
Проектируем отдельную подсистему защиты для действующей информационной системы, не переделывая её целиком.
Аттестация и оценка соответствия
Проводим комплекс мероприятий по оценке соответствия принятых мер с выдачей аттестата соответствия.
Организационно-распорядительные документы
Анализируем имеющиеся документы и разрабатываем недостающие — те, наличие которых требуют нормативные акты.
Средства защиты и защищённые каналы
Подбираем и внедряем сертифицированные средства защиты, проектируем и вводим в эксплуатацию защищённые каналы связи для передачи документов с персональными данными.
Кому это нужно
Органам власти и подведомственным организациям
Для государственных и муниципальных информационных систем персональных данных аттестация обязательна.
Медицинским организациям
Медицинские информационные системы обрабатывают специальные категории персональных данных — требования к ним выше.
Промышленным предприятиям
Кадровые и пропускные системы, видеонаблюдение, биометрический доступ — всё это обработка персональных данных.
Небольшим компаниям
Оператором персональных данных является практически любая организация с наёмными сотрудниками и клиентской базой.
Как строится работа
Обследование
Определяем состав систем, категории и объём обрабатываемых данных, уровень защищённости.
Модель угроз
Разрабатываем модель угроз и модель нарушителя под конкретную информационную систему.
Проект и подбор средств
Формируем требования и подбираем сертифицированные средства защиты под ресурсы организации.
Внедрение
Устанавливаем и настраиваем средства защиты, разрабатываем организационно-распорядительные документы.
Оценка соответствия
Проводим оценку эффективности принятых мер, при необходимости — в форме аттестации с выдачей аттестата.
Сопровождение
Поддерживаем систему защиты в актуальном состоянии при изменениях в системе и в требованиях.
Частые вопросы
Обязательно ли аттестовать ИСПДн?
Для государственных и муниципальных информационных систем персональных данных — да. Для остальных операторов закон требует оценки эффективности принятых мер; аттестация — одна из её форм, результат оформляется аттестатом соответствия.
У нас маленькая компания. Нам это правда нужно?
Оператором персональных данных является практически любая организация с сотрудниками и клиентами. Объём работ при этом зависит от масштаба системы — для небольшой компании он существенно меньше.
Мы используем облачный сервис. Кто отвечает за защиту?
Ответственность оператора перед субъектами персональных данных остаётся на вас независимо от того, где физически размещена система. Поручение обработки оформляется отдельно и тоже проверяется регулятором.
Что такое взаимодействие с ГосСОПКА для оператора ПДн?
Это обязанность информировать НКЦКИ о компьютерных инцидентах и обеспечивать техническую возможность взаимодействия. Помогаем её выполнить: настраиваем информирование по форматам и каналам НКЦКИ либо подключаем к центру ГосСОПКА.
Сколько времени занимает приведение в соответствие?
Зависит от состояния систем и документов. После обследования называем объём работ и срок; типовые проекты идут этапами, чтобы система оставалась в работе.
Смежные услуги
Аттестация объектов информатизации
Аттестат соответствия для информационных систем персональных данных.
Перейти →Центр мониторинга и ГосСОПКА
Помогает выполнить обязанность операторов ПДн по взаимодействию с НКЦКИ
Перейти →Обсудим вашу задачу и подготовим предложение
Опишите задачу — инженер Екатеринбургского НТЦ свяжется с вами в ближайший рабочий день, подберёт решение и подготовит расчёт. Здесь же можно записать сотрудников на курсы Учебного центра.
Телефон: +7 (343) 374-84-82
E-mail: info@gammaural.ru
Адрес: ул. Студенческая, д. 51, г. Екатеринбург, Свердловская обл., 620078