Раздел 4. Оценка затрат оператора на ликвидацию последствий нарушений заданных характеристик безопасности

Раздел 4. Оценка затрат оператора на ликвидацию последствий нарушений заданных характеристик безопасности

Для определения оптимального состава мер по обеспечению безопасности персональных данных необходимо оценить ущерб оператору, который помимо затрат на компенсацию морального ущерба субъектам персональных данных будет складываться из:

а) затрат на уведомление субъектов персональных данных;

б) штрафов;

в) затрат на контроль эффективности системы защиты информации;

г) компенсации ущерба репутации Министерства.

1) Уведомление субъектов персональных данных.

В соответствии с частью 3 статьи 21 Федерального закона "О персональных данных" Министерство обязано уведомить субъекта персональных данных о неправомерной обработке его персональных данных в трехдневный срок.

Затраты на уведомление субъекта персональных данных составят:

Перечень мероприятий	Средние затраты оператора на уведомление одного субъекта (рублей)
Составление и распечатка уведомления на каждого субъекта персональных данных	5,0
Направление уведомления заказным письмом субъекту персональных данных	30,0
Срочное уведомление субъекта по телефону	25,0

Общие затраты на уведомление субъектов персональных данных Министерства могут составить:

Наименование информационной системы персональных данных	Общее количество субъектов персональных данных	Сумма затрат на уведомление субъектов персональных данных (тыс. рублей)
"Автоматизированная информационная система государственного банка данных о детях, оставшихся без попечения родителей"	около 10 000	60,0
"Информационная система, обеспечивающая автоматизацию контроля и надзора за полнотой и качеством осуществления органами исполнительной власти субъектов Российской Федерации переданных полномочий Российской Федерации в сфере образования и полномочия Российской Федерации по подтверждению документов об ученых степенях и ученых званиях"	около 10 000	60,0
"Информационная система "Общероссийский день приема граждан"	около 1 000	60,0
"Информационно-поисковая компьютерная система "Автоматизированная система обращений граждан"	около 10 000	60,0
"Единая информационная система управления кадровым составом государственной гражданской службы Российской Федерации (ЕИСУ КС)"	около 10 000	60,0
"Государственная информационная система сферы образования Республики Крым"	более 100 000	100,0

2) Штрафы.

В случае распространения персональных данных субъекта персональных данных, штрафы могут составить:

- до 10,0 тыс. рублей - статья 13.11 Кодекса Российской Федерации об административных правонарушениях "Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах";

- до 300,0 тыс. рублей - статья 137 Уголовного кодекса Российской Федерации "Нарушение неприкосновенности частной жизни".

3) Контроль эффективности системы защиты информации.

В случае компрометации системы безопасности персональных данных, оператору с привлечением организации лицензиата ФСТЭК необходимо выполнить перечень мероприятий по контролю эффективности системы защиты, который включает в себя:

анализ и оценку исходных данных и документации по защите информации на объекте информатизации;

проверку состава технических средств, средств защиты информации, их состояния, взаимного размещения технических средств объекта информатизации;

изучение технологического процесса обработки и хранения информации, анализ информационных потоков на объекте информатизации;

проверку состояния организации работ и выполнения организационно-технических требований по защите информации на объекте информатизации;

испытания технических и программных средств защиты информации объекта информатизации (по соответствующим методикам);

контроль эффективности защиты информации от НСД;

анализ результатов работы комиссии и выдачу заключения.

Затраты на проведение указанных работ определяются при привлечении организации лицензиата ФСТЭК России.

4) Ущерб репутации Министерства.

Ущерб репутации Министерства может привести к значительным негативным последствиям.