Аттестация информационных систем, содержащих персональные данные

Обработка и хранение персональной информации граждан в рамках как коммерческой, так и некоммерческой деятельности требует выполнения определенных мер по обеспечению безопасности. Необходимость защиты персональных данных и проведения аттестации ИСПДн закреплена в Федеральном законе №152-ФЗ от 7 июля 2006 года. Данный закон распространяется не только на государственные и муниципальные организации, но и на физических лиц, индивидуальных предпринимателей и юридические лица. В зависимости от уровня защищенности и типа системы проведение аттестации может быть как обязательным, так и добровольным.

Процедура аттестации информационных систем в соответствии с требованиями информационной безопасности является затратной, что влечет за собой увеличение расходов на обеспечение защиты данных в полтора-два раза. По этой причине многие операторы персональных данных стремятся избежать прохождения данной процедуры.

Важно понимать, что термин "аттестация ИСПДн" применяется исключительно в отношении государственных информационных систем, что налагает на их операторов обязанность соблюдать Требования по защите информации, не относящейся к государственной тайне, содержащейся в государственных информационных системах. Эти требования утверждены Приказом ФСТЭК России №17 от 11 февраля 2013 года.

Обязательная аттестация предусмотрена исключительно для государственных информационных систем. Приказ ФСТЭК России №17 от 11 февраля 2013 года.

Для информационных систем, не относящихся к государственным, наличие аттестата соответствия требованиям безопасности информации не является обязательным. Однако, в ряде случаев он может потребоваться для подтверждения высокого уровня защиты персональных данных. В таких ситуациях аттестацию можно пройти на добровольной основе, следуя положениям указанного выше приказа ФСТЭК России №17.

Проведение аттестации осуществляется организацией, обладающей лицензией на техническую защиту конфиденциальной информации. В рамках данной организации создается аттестационная комиссия, включающая экспертов в сфере информационной безопасности. Они проводят анализ организационных и технических мер защиты, а также тестирование программных и технических средств защиты персональных данных. По итогам проверки выдается либо Аттестат соответствия, либо предписание на устранение выявленных недостатков. В связи с этим крайне важно тщательно подготовиться к процедуре аттестации, а лучше доверить этот процесс специализированной организации.

Кроме того, для подтверждения достаточного уровня защиты персональных данных возможно проведение аудита соответствия, который выполняется компетентными организациями, имеющими лицензию на деятельность в области технической защиты конфиденциальной информации.

Последние новости