Раздел XIII. Порядок контроля за обеспечением уровня безопасности персональных данных и оценки соответствия информационных систем персональных данных (п.п. 68-72)

Раздел XIII. Порядок контроля за обеспечением уровня безопасности
персональных данных и оценки соответствия
информационных систем персональных данных

68. Порядок обследования защищенности персональных данных включает:

а) выделение информационных ресурсов, содержащих в себе персональные данные, а также технические средства, позволяющие осуществлять обработку персональных данных, из всей совокупности обрабатываемой информации;

б) определение соответствия действующей системы обработки персональных данных требованиям, установленным федеральным законодательством;

в) классификация информационных систем персональных данных.

69. По итогам обследования оператор получает:

а) аналитический отчет о предпроектном обследовании и текущей защищенности персональных данных;

б) акт классификации ИСПДн.

70. Подготовка ИСПДн к проведению оценки соответствия ИСПДн требованиям безопасности персональных данных и созданию СЗПДн осуществляется путем:

а) анализа информационных ресурсов (определения перечня всех существующих ИСПДн; определения состава и структуры каждой ИСПДн; определения перечня и местонахождения персональных данных, подлежащих защите; категорирования персональных данных; определения режима обработки персональных в целом и отдельных компонентах);

б) анализа уязвимых звеньев и возможных угроз безопасности персональных данных (оценки возможности физического доступа к ИСПДн;

выявления возможных каналов утечки информации, в том числе технических; анализа возможностей программно-математического воздействия на ИСПДн; анализа возможностей электромагнитного воздействия на ИСПДн);

в) оценки ущерба от реализации угроз безопасности персональных данных (оценки непосредственного и опосредованного ущерба от реализации угроз безопасности персональных данных);

г) анализа имеющихся в распоряжении мер и средств защиты персональных данных (от физического доступа; от утечки по техническим каналам; от НсД; от программно-математического воздействия; от электромагнитных воздействий).

71. Обоснование требований по обеспечению безопасности персональных данных, обрабатываемых в ИСПДн, включает:

а) разработку модели угроз безопасности персональных данных;

б)