В ходе изучения курса слушатели получают знания как по вопросам организации обработки, так и по обеспечению защиты персональных данных: структура нормативно-правовой базы, определение целей обработки персональных данных, категории персональных данных, реализация прав субъектов персональных данных, разработка политики оператора, подача уведомления о намерении обработки персональных данных, определение угроз безопасности ПДн, выбор и корректировка мер защиты, подбор средств защиты информации и др. Кроме того, рассматриваются вопросы оценки эффективности защиты ПДн, проведения проверок гос. регуляторами и разработки типового комплекта организационно-распорядительной документации по обработке и защите ПДн в организациях (на предприятиях).

 Необходимые документы:

Копия СНИЛС и диплома о высшем профессиональном образовании (в соответствии с требованиями ФИС «ФРДО»).

ПРОГРАММА КУРСА:

Введение.

Структура законодательно-правовой базы в области организации обработки и защиты персональных данных. Федеральное законодательство, действующие правовые акты Правительства РФ и государственных регуляторов.

Уполномоченные органы, осуществляющие контроль и надзор сфере ПДн (государственные регуляторы), их функции и полномочия.

Раздел 1. Основные положения Федерального закона 2006 г №152-ФЗ
«О персональных данных».

• Понятие персональных данных и их обработки. Терминология. Принципы и условия обработки ПДн, категории ПДн. Согласие субъекта персональных данных на их обработку и передачу. Формы согласий и необходимость их получения.

• Права субъекта ПДн и обязанности оператора. Меры по организации обработки ПДн и их реализация. Правила трансграничной передачи ПДн.

• Политика оператора в отношении обработки ПДн. Уведомление о намерении обработки ПДн. Ответственный за организацию обработки и его функционал.

 Раздел 2.  Особенности выполнения требований законодательства по обработке ПДн.

• Особенности обработки ПДн без средств автоматизации. Меры по обеспечению безопасности персональных данных при неавтоматизированной обработке.

• Особенности обработки ПДн в государственных и муниципальных органах.

• Формы и порядок проведения проверок Роскомнадзора в сфере ПДн. Перечень локальных актов, необходимых оператору при проверке Роскомнадзора.

• Ответственность за правонарушения в сфере ПДн. Гражданская, административная и уголовная ответственность оператора ПДн. Состав правонарушений. Правоприменительная практика.

Раздел 3.  Организация и порядок защиты персональных данных при их обработке в ИСПДн.

• Этапы и порядок разработки системы защиты персональных данных. Необходимые подготовительные мероприятия.

• Уровни защищенности персональных данных и порядок их определения. Требования к защите персональных данных.

• Определение угроз безопасности ПДн. Типы угроз. Источники угроз и характеристика нарушителя. Структура и содержание Модели угроз, порядок ее разработки. Определение актуальности угроз.

 Раздел 4. Состав, содержание и характеристика мер и средств защиты ПДн.

• Состав и содержание мер защиты ПДн, обрабатываемых в ИСПДн. Порядок выбора мер защиты. Оптимизация набора мер.

• Классификация средств защиты информации. Программные и программно-аппаратные средства защиты информации, необходимые для реализации набора мер защиты. Способы минимизации затрат на защиту ПДн.

• Особенности защиты ПДн при помощи средств криптографической защиты информации. Требования ФСБ России.

• Формы оценки соответствия средств защиты и оценки эффективности системы защиты ПДн. Плюсы и минусы аутсорсинга при защите ПДн.

• Организационно-распорядительная документация оператора ПДн по обеспечению безопасности ПДн и эксплуатации системы защиты ПДн. Порядок проведения проверок ФСТЭК и ФСБ по вопросам обеспечения безопасности ПДн.

ДОПОЛНИТЕЛЬНО:

Работу по выполнению закона «О персональных данных» можно условно разделить на две части:

1. Организация обработки ПДн, т.е. выполнение организационно-юридических норм, направленных на соблюдение прав субъекта ПДн и выполнение обязанностей оператора. Сюда входят и получение согласия на обработку ПДн, и разработка Политики оператора, и подача уведомления в Роскомнадзор, и разработка целого пакета локальных актов, регламентирующих работу с персональными данными (т.е. их обработку), и другие вопросы. Все эти вопросы подпадают под проверочные мероприятия, которые проводит Роскомнадзор.
2. Организация защиты ПДн, т.е. построение системы защиты информации применительно к информационным системам персональных данных (ИСПДн). Чтобы обеспечить защиту персональных данных, оператор обязан определить возможные угрозы безопасности ПДн, определить уровень защищенности ПДн, сформировать (выбрать) необходимый набор мер защиты ПДн и подобрать средства защиты, которые позволят выполнить выбранные меры. Кроме того, оператор обязан оценить эффективность созданной им системы защиты ПДн. Выполнение всех этих мероприятий регламентируется документами ФСТЭК и ФСБ и подпадают под проверки, которые проводятся этими регуляторами.

Таким образом, выполнение законодательства в сфере персональных данных включает в себя как юридическую, так и организационно-техническую работу, которую (в идеале) должны выполнять разные специалисты.

В нашем курсе изучаются оба эти направления, что позволяет разобраться и выполнить весь комплекс требований законодательства к оператору ПДн. Особое внимание уделяется разбору сложностей и противоречий, с которыми сталкиваются лица, работающие с персональными данными или обеспечивающие их защиту. Материал курса учитывает сложившуюся в настоящее время правоприменительную практику и изменения, которые периодически происходят в законодательстве.