ОРГАНИЗАЦИЯ И ПРОВЕДЕНИЕ АУДИТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

В соответствии с требованиями статьи 18.1 Федерального закона от 27.07.2006 г. N 152-ФЗ каждый оператор персональных данных должен осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора.

Контроль выполнения требований документа "Требования к защите персональных данных при их обработке в информационных системах персональных данных", утвержденного Постановлением Правительства Российской Федерации от 01.11.2012 г. N 1119, организуется и проводится оператором самостоятельно и (или) с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации, не реже 1 раза в 3 года.

Организация внутреннего контроля порядка обработки персональных данных в системе-112 осуществляется в соответствии с локальным актом "Порядок выполнения работ по проведению аудита ИБ ИСПДн".

Мероприятия по осуществлению внутреннего контроля обработки и обеспечения безопасности персональных данных направлены на решение следующих задач:

- обеспечение соблюдения сотрудниками оператора системы-112 требований локальных документов и нормативных правовых актов, регулирующих защиту персональных данных;

- оценка компетентности работников, задействованных в обработке персональных данных;

- обеспечение работоспособности и эффективности технических средств ИСПДн - система-112, их соответствия требованиям уполномоченных органов исполнительной власти по вопросам безопасности персональных данных;

- выявление нарушений установленного порядка обработки персональных данных и своевременное предотвращение негативных последствий таких нарушений;

- принятие корректирующих мер, направленных на устранение выявленных нарушений, как в порядке обработки персональных данных, так и в работе технических средств информационных систем персональных данных;

- разработка рекомендаций по совершенствованию порядка обработки и обеспечения безопасности персональных данных по результатам контрольных мероприятий;

- осуществление контроля исполнения рекомендаций и указаний по устранению нарушений.