Во исполнение приказа Министерства образования и науки Республики Татарстан № 3774/9 от 27.05.2009г. "О мероприятиях по обеспечению информационной безопасности информационных систем персональных данных в образовательных учреждениях Республики Татарстани" и Федерального Приказа № 55/86/20 от 13.02.2008г. "Об утверждении порядка классификации информационных систем персональных данных", в срок до 16 июня 2009 года, каждое учреждение образования района обязано выполнить комплекс работ по оформлению документации по ОРГАНИЗАЦИИ работы по информационной безопасности. Каждому учреждению был был выслан 29 мая 2009г. в 16:15 пакет документации, содержащий Приказ МОиН РТ и комплект необходимой сопроводительной и методической документации и инструкции (см. приложенный к письму файл "Письмо руководителю.doc").
До 16 июня 2009 года необходимо выполнить следующее: 1.Издать приказ по учреждению "О назначении ответственного за информационную безопасность" 2. Издать приказ по учреждению "О создании комиссии для классификации ИСПД" 3. Издать АКТ по учреждению "Акт классификации ИСПД" (см. пример в приложении № 3 после приказа) 4. Заполнить "Перечень информационных систем персональных данных (ИСПДн), в которых должна быть обеспечена безопасность информации" (форма и образец для заполнения - см. Приложение №2). 5. До 16 июня 2009 года заполнить форму отчёта (приложение №4) и прислать её на адрес ИМЦ Советского района email@sovedu.ru Форма отчёта в отдельном приложенном файле ("Приложение 4.doc"). 6. Обратите внимание !!! Кроме п.1-5, до 16 июня 2009г. - каждому учреждению необходимо обязательно заполнить специальные формы отчёта на сайте ИМЦ Советского района на странице http://www.sovedu.ru/index/0-28Заполнение форм на сайте является ПРИОРИТЕТНОЙ задачей !!!
1. Совместный приказ Министерства образования и науки Республики Татарстан и ГУ «Центр информационных технологий Республики Татарстан» №1156/09/29-о от 18.05.2009 в 1 экз. на 3 л. 2. Приказ № 55/86/20 от 13.02.2008 «Об утверждении Порядка проведения классификации информационных систем персональных данных» в 1 экз. на 8 л. 3. Пример приказа о создании комиссии и акта классификации в 1 экз. на 3 л. 4. Форма «Сведения об информационных системах персональных данных» в 1 экз. на 1 л.
Формы № 1 и № 2 необходимо заполнить до 16 июня 2009года.
А до 16 июня осталось всего:
Убедительная просьба с особой внимательностью отнестись к заполнению !!!
1. Форма для заполнения № 1(Приложение №4)
Примечания для Формы № 1:
а) Объяснение и примеры для каждого пункта приведены непосредственно в окошке для заполенения соответствующей графы. Внимание!!!Перед заполнением своих данных не забудьте стереть пример и описание.
б) «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» утверждено Постановлением Правительства РФ от 17 ноября 2007 г. №781 и Федеральным приказом № 55/86/20 от 13 февраля 2008г. "Об утверждении порядка классификации информационных систем персональных данных"
в) * - обязательные для заполнения поля
2. Форма для заполнения № 2
Примечания для Формы № 2:
а) Подробное объяснение для каждого из пунктов формы (1-8) приведены ниже в документе "Порядок проведения классификации информационных систем персональных данных". Т.е. ссылка в скобках указывает на пункт документа. Пример: в вопросе 4. формы №2 ссыка (пункт 9) указывает на Пункт 9 документа, приведенного ниже формы №2.
б) * - обязательные для заполнения поля.
Порядок проведения классификации информационных систем персональных данных
Зарегистрирован в Минюсте России 3 апреля 2008 г. № 11462
УТВЕРЖДЕН приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20
Пункт 1. Настоящий Порядок определяет проведение классификации информационных систем персональных данных, представляющих собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации (далее - информационные системы)
Пункт 2. Классификация информационных систем проводится государственными органами, муниципальными органами, юридическими и физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных (далее - оператор)
Пункт 3. Классификация информационных систем проводится на этапе создания информационных систем или в ходе их эксплуатации (для ранее введенных в эксплуатацию и (или) модернизируемых информационных систем) с целью установления методов и способов защиты информации, необходимых для обеспечения безопасности персональных данных.
Пункт 4. Проведение классификации информационных систем включает в себя следующие этапы: сбор и анализ исходных данных по информационной системе; присвоение информационной системе соответствующего класса и его документальное оформление.
Пункт 5. При проведении классификации информационной системы учитываются следующие исходные данные: категория обрабатываемых в информационной системе персональных данных - ХПд; объем обрабатываемых персональных данных (количество субъектов персональных данных, персональные данные которых обрабатываются в информационной системе) - ХНпд; заданные оператором характеристики безопасности персональных данных, обрабатываемых в информационной системе; структура информационной системы; наличие подключений информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена; режим обработки персональных данных; режим разграничения прав доступа пользователей информационной системы; местонахождение технических средств информационной системы.
Пункт 6. Определяются следующие категории обрабатываемых в информационной системе персональных данных (ХПд): категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни; категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1; категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных; категория 4 - обезличенные и (или) общедоступные персональные данные.
Пункт 7. Хнпд может принимать следующие значения: значение 1 - в информационной системе одновременно обрабатываются персональные данные более чем 100 000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом; значение 2 - в информационной системе одновременно обрабатываются персональные данные от 1000 до 100 000 субъектов персональных данных или персональные данные субъектов персональных данных, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования; значение 3 - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах конкретной организации.
Пункт 8. По заданным оператором характеристикам безопасности персональных данных, обрабатываемых в информационной системе, информационные системы подразделяются на типовые и специальные информационные системы. - Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных. - Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий). - К специальным информационным системам должны быть отнесены: информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных; информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.
Пункт 9. По структуре информационные системы подразделяются: на автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных (автоматизированные рабочие места); на комплексы автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа (локальные информационные системы); на комплексы автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа (распределенные информационные системы).
Пункт 10. По наличию подключений к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы подразделяются на системы, имеющие подключения, и системы, не имеющие подключений.
Пункт 11. По режиму обработки персональных данных в информационной системе информационные системы подразделяются на однопользовательские и многопользовательские.
Пункт 12. По разграничению прав доступа пользователей информационные системы подразделяются на системы без разграничения прав доступа и системы с разграничением прав доступа.
Пункт 13. Информационные системы в зависимости от местонахождения их технических средств подразделяются на системы, все технические средства которых находятся в пределах Российской Федерации, и системы, технические средства которых частично или целиком находятся за пределами Российской Федерации.
Пункт 14. По результатам анализа исходных данных типовой информационной системе присваивается один из следующих классов: класс 1 (К1) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных; класс 2 (К2) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных; класс 3 (КЗ) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных; класс 4 (К4) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.
Пункт 15. Класс типовой информационной системы определяется в соответствии с таблицей.
Хпд
Хнпд
значение 3
значение 2
значение 1
Категория 1
К4
К4
К4
Категория 2
К3
К3
К2
Категория 3
К3
К2
К1
Категория 4
К1
К1
К1
Пункт 16. По результатам анализа исходных данных класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных в соответствии с методическими документами, разрабатываемыми в соответствии с пунктом 2 постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»
Пункт 17. В случае выделения в составе информационной системы подсистем, каждая из которых является информационной системой, информационной системе в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем
Пункт 18. Результаты классификации информационных систем оформляются соответствующим актом оператора.
Пункт 19. Класс информационной системы может быть пересмотрен: - по решению оператора на основе проведенных им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной информационной системы; - по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.
