7 Этап - Описание информационных систем персональных данных

​

1. Определение условий создания и использования персональных данных

 

1.1. Цель обработки персональных данных работников ООО «Восток»

 

Персональные данные работников ООО «Восток» обрабатываются с целью:

• осуществление трудовых отношений с работником;

• передачи данных в уполномоченные органы (Налоговая, ФСС,ПФР);

• ведение расчетов заработной платы и надбавок;

• обеспечения личной безопасности работников;

• ведение автоматизированного бухгалтерского учета;

• осуществление банковских операций;

• организация пропускного режима.

 

1.2. Цель обработки персональных данных клиентов ООО «Восток»

 

Персональные данные клиентов ООО «Восток» обрабатываются с целью внесения и учета данных в информационных системах:

• АИС «Учет обращений».

• АИС «Статистика».

• АИС «Учет клиентов».

​

Примечание: Модель угроз включает в себя "Модель нарушителя". 

К построению модели актуальных угроз безопасности можно приступать лишь после полного изучения и составления ОРД и технических мер ЗИ введенных в эксплуатацию в организации. В противном случае все угрозы безопасности информации в модели будут носить актуальных характер. Вот перечень основных мероприятий, которые необходимо провести до построения модели актуальных угроз:

1. Уведомление об обработке ПДн.

2. Разработка ОРД

3. Идентификация и аутентификация субъектов доступа и объектов доступа;

4. Управление доступом субъектов доступа к объектам доступа;

5. Ограничение программной среды;

6. Защита машинных носителей информации;

7. Регистрация событий безопасности;

8. Антивирусная защита;

9. Обнаружение, предотвращение вторжений;

10. Контроль (анализ) защищенности информации;

11. Обеспечение доступности информации;

12. Защита среды виртаулизации;

13. Защита тех. средств;

14. Защита ИС, ее средств, систем связи и передачи данных;

​

Правовые основания обработки ПДн:

ТК РФ, Налоговый кодекс РФ, ФЗ "О бухгалтерском учете", лицензия на осуществление  банковских операций, согласие на обработку ПДн.

Категории субъектов ПДн:

Работники; акционеры; клиенты; физические лица, состоящие в гражданско-правовых отношениях; посетители; соискатели; уволенные работники; родственники работников/клиентов.

Адрес хранения базы персональных данных:

Индекс, город, улица, дом, офис. (Есть организации, которые не хранят Информационные базы у себя, а арендуют сервера у сторонней организации. Соответственно арендодатель должен принять все необходимые меры по защите ПДн. К Примеру, сервис mail.ru имеет в своем арсенале достаточный комплекс мер защиты ПДн).

​

1.3. Состав персональных данных работников ООО «Восток»

​

В результате проведенного анализа были выявлены следующие персональные данные работников:

• Фамилия Имя Отчество работника;

• Серия и номер документа, удостоверяющего личность работника, кем и когда выдан;

• Дата рождения работника;

• Адрес проживания работника;

• Реквизиты ИНН;

• Реквизиты страхового номера Индивидуального лицевого счета в Пенсионном фонде Российской Федерации;

• Реквизиты полиса обязательного медицинского страхования;

• Сведения о составе семьи работника;

• Сведения о доходах работника (номер банковской карты, номер лицевого счета, размер оклада, размер надбавок, премий);

• Сведения о начислениях работников.

​

1.4. Состав персональных данных клиентов ООО «Восток»

​

В ООО «Восток» были выявлены следующие персональные данные клиентов:

• Фамилия Имя Отчество клиента;

• Серия и номер документа, удостоверяющего личность клиента;

• Номер ИНН;

• Данные страхового свидетельства;

• Дата рождения клиента;

• Адрес проживания клиента.

​

Примечание: На каждый пункт обрабатываемых ПДн в организации необходимо обоснование их обработки. Т.е. необходимо четко понимать для каких целей обрабатываются ПДн.

 

1.5. Действия, осуществляемые с персональными данными работников и клиентов ООО «Восток» в ходе их обработки:

​

• Сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача персональных данных третьим лицам, в случаях, установленных законодательством РФ)

• Копирование (с целью заключения работников договоров, выдача информации по запросу правоохранительных органов, либо подтверждения факта работы работников в ООО «Восток»);

• Перемещение (определение для хранения альтернативных мест);

• Изменение (при смене паспортных данных);

• Уничтожение, просмотр.

​

1.6. Условия прекращения обработки персональных данных работников и клиентов ООО «Восток»

​

• отзыв об обработке персональных данных от субъекта ПДн;

• расторжение трудового договора;

• прекращение деятельности организации (ликвидация).

​

Примечание: Помним, что на уволенных работников "отзыв" и "расторжение ТД" в течении 5 лет после увольнения не распространяется - ФЗ "О бухгалтерском учете".

​

1.7. Субъекты, создающие персональные данные

​

К данным субъектам относятся такие структурные подразделения ООО «Восток» как:

• Отдел бухгалтерии;

• Отдел кадров.

​

1.8. Субъекты, которым предназначены персональные данные работников и клиентов ООО «Восток»

​

• Налоговые органы;

• Органы социального страхования;

• Органы социальной защиты:

• Банк, у которого обслуживается ООО «Восток».

• органы статистики;

• органы Пенсионного Фонда России;

• территориальный фонд обязательного медицинского страхования;

• органы дознания и следствия, прокурора и суда в связи с проведением расследования или судебным разбирательством (по запросу);

• правоохранительные органы (по запросу);

• головное ООО «Восток».

​

1.9. Правила доступа к защищаемой информации

​

 Правила доступа к защищаемой информации регламентированы:

 

• Приказ об утверждении списка лиц, допущенных к работе с персональными данными в  бумажном и электронном виде №___________ от __________________________________.

• Положением о разграничении прав доступа к обрабатываемым персональным данным (Приказ №______________ от ______________________).

​

1.10. Информационные технологии, базы данных, используемые для создания и обработки персональных данных:

​

 Информационные системы:

• «1С:Бухгалтерия»;

• «Сбис+++»;

• АИС «Учет обращений»;

• АИС «Статистика»;

• АИС «Учет клиентов».

​

2. Описание структуры ИСПДн

 

2.1. Описание  АРМ  где хранятся ПДн работников

​

​

​

​

​

​

​

​

​

​

Примечание: Требования на технические характеристики АРМ не жесткие, скорее носят рекомендательный характер из стандарта КОБИТ (Стандарт CobiT. Управление и аудит информационных технологий. Особенности проведения внешнего аудита ИТ. CobiT — это сохранение единого подхода к сбору, анализу информации, подготовке выводов и заключений на всех этапах управления, контроля и аудита ИТ, возможность сравнения существующих ИТ-процессов с "лучшими" практиками, в том числе отраслевыми.) 

                       

Основная мысль стандарта - построить качественные, надежные информационные процессы внутри организации. Также он повествует о том, что если в технической части, Вы отстали от современных технологий ("все железо старое"), то о защите информации не может быть и речи. Необходимо обновить инфраструктуру.

                       

Проверяющий может задать вопрос о том, действительно ли Ваши АРМ способны защищать информацию исходя из их технических характеристик.