АДМИНИСТРАЦИЯ ГОРОДА ИРКУТСКА

РАСПОРЯЖЕНИЕ

от 2 марта 2015 года N 031-10-124/5


Об осуществлении внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных и о внутренних проверках режима защиты персональных данных в администрации города Иркутска

(с изменениями на 18 июня 2019 года)

(в ред. Распоряжения администрации г. Иркутска от 18.06.2019 N 031-10-236/9)

В целях повышения эффективности защиты персональных данных в администрации города Иркутска, руководствуясь ст. 16 Федерального закона от 06.10.2003 N 131-ФЗ "Об общих принципах организации местного самоуправления в Российской Федерации", Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", постановлением Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными актами, операторами, являющимися государственными или муниципальными органами", ст.ст. 37, 38, 42 Устава города Иркутска,

1. Утвердить:

1.1. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации города Иркутска (Приложение N 1).

1.2. План внутренних проверок режима защиты персональных данных в администрации города Иркутска (Приложение N 2).

2. Руководителям структурных подразделений администрации города Иркутска в месячный срок с момента подписания настоящего распоряжения ознакомить под роспись сотрудников подведомственного структурного подразделения администрации города Иркутска. Листы ознакомления представить в отдел информационной безопасности и криптографической защиты информации департамента информатизации комитета по экономике администрации г. Иркутска.

3. Контроль за исполнением настоящего Распоряжения возложить на заместителя мэра - руководителя аппарата администрации города Иркутска.

И.о. главы администрации города Иркутска
А.Б.ЛОГАШОВ

Приложение N 1
к распоряжению администрации
города Иркутска
от 2 марта 2015 г. N 031-10-124/5

ПРАВИЛА ОСУЩЕСТВЛЕНИЯ ВНУТРЕННЕГО КОНТРОЛЯ СООТВЕТСТВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕБОВАНИЯМ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В АДМИНИСТРАЦИИ ГОРОДА ИРКУТСКА

(в ред. Распоряжения администрации г. Иркутска от 18.06.2019 N 031-10-236/9)

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящие Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в администрации города Иркутска (далее - Правила) определяют порядок осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным действующим законодательством, в том числе Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами администрации города Иркутска.

1.2. Правила разработаны с учетом требований Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", постановления Правительства Российской Федерации от 21.03.2011 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", иных нормативных правовых актов.

2. ПОРЯДОК ОСУЩЕСТВЛЕНИЯ ВНУТРЕННЕГО КОНТРОЛЯ СООТВЕТСТВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕБОВАНИЯМ ЗАКОНОДАТЕЛЬСТВА

2.1. Цель проведения внутреннего контроля состоит в проверке и оценке соответствия обеспечения безопасности персональных данных (далее - ПДн) требованиям действующего законодательства, в том числе Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", политики администрации города Иркутска в отношении обработки ПДн, правовых актов администрации города Иркутска, регулирующих работу с ПДн в структурных подразделениях администрации города Иркутска.

2.2. При проведении контроля используются процедуры документальной проверки, опрос и интервью с муниципальными служащими, работниками, замещающими должности, не являющиеся должностями муниципальной службы, на основании трудового договора (далее - служащие) администрации города Иркутска. При необходимости уточнения результатов документальной проверки, опросов и интервью в рамках внутреннего контроля в качестве дополнительного способа может применяться "проверка на месте", которая проводится для обеспечения уверенности в том, что конкретные защитные меры реализуются, правильно используются и проверяются с помощью тестирования.

2.3. При проведении внутреннего контроля должно быть обеспечено документальное и, если это необходимо, техническое подтверждение того, что:

- политика в отношении обработки ПДн соответствует требованиям законодательства Российской Федерации;

- организационная структура обеспечения безопасности ПДн создана;

- процессы выполнения требований безопасности ПДн исполняются и удовлетворяют поставленным целям;

- защитные меры (межсетевые экраны, средства защиты информации от несанкционированного доступа и т.п.) настроены и используются правильно;

- остаточные риски безопасности ПДн оценены и остаются приемлемыми;

- рекомендации предшествующих проверок реализованы.

2.4. При проведении внутреннего контроля могут использоваться журналы средств защиты информации для выявления попыток несанкционированного доступа к защищаемым ресурсам, а также журнал учета нештатных ситуаций информационных систем персональных данных (далее - ИСПДн), ведущийся администратором безопасности.

2.5. Ответственный за организацию обработки ПДн для проведения контроля имеет право привлекать администратора безопасности ИСПДн и других служащих.

Заместитель мэра - председатель комитета
по экономике администрации г. Иркутска
А.А.АЛЬМУХАМЕДОВ

Начальник отдела информационной безопасности
и криптографической защиты информации
департамента информатизации комитета
по экономике администрации г. Иркутска
Е.В.ТОРГАШИН

Приложение N 2
к распоряжению администрации
города Иркутска
от 2 марта 2015 г. N 031-10-124/5

ПЛАН ВНУТРЕННИХ ПРОВЕРОК РЕЖИМА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В АДМИНИСТРАЦИИ ГОРОДА ИРКУТСКА

(в ред. Распоряжения администрации г. Иркутска от 18.06.2019 N 031-10-236/9)

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. План внутренних проверок режима защиты персональных данных в администрации города Иркутска (далее - План) содержит перечень мероприятий (внутренних проверок) по проверке режима защиты персональных данных в администрации города Иркутска.

1.2. План содержит следующую информацию:

- название проводимого мероприятия;

- периодичность проведения;

- исполнитель мероприятия.

1.3. План распространяется на все структурные подразделения администрации города Иркутска, в которых осуществляется обработка персональных данных либо имеется доступ к персональным данным.

Руководители структурных подразделений администрации города Иркутска доводят до сведения муниципальных служащих и (или) работников, замещающих должности, не являющиеся должностями муниципальной службы, на основании трудового договора, назначенных ответственными за организацию обработки персональных данных в соответствующем структурном подразделении администрации города Иркутска, настоящий План под роспись.

2. МЕРОПРИЯТИЯ ПО ПРОВЕРКЕ РЕЖИМА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Мероприятия по проверке режима защиты персональных данных имеют следующую периодичность:

- ежедневные мероприятия - мероприятия, предусматривающие постоянный контроль за выполнением требований действующего законодательства ответственным за организацию обработки персональных данных в соответствующем структурном подразделении администрации города Иркутска (далее - ответственный исполнитель) и незамедлительное реагирование на инциденты информационной безопасности;

- еженедельные и ежемесячные мероприятия - мероприятия, предусматривающие проведение мероприятий ответственными исполнителями в один и тот же день недели или месяца. Факт проведения мероприятия должен быть зафиксирован в журнале, указанном в разделе 3 настоящего Плана;

- ежегодные или проводимые раз в несколько лет - мероприятия, предусматривающие проведение мероприятий в четко определенные ответственными исполнителями периоды времени. В ходе мероприятий должны быть учтены результаты проводимых ранее мероприятий по проверке режима защиты персональных данных в данном периоде.

3. ЖУРНАЛ УЧЕТА МЕРОПРИЯТИЙ ПО КОНТРОЛЮ ОБЕСПЕЧЕНИЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Информация о периодически проводимых мероприятиях и их результатах фиксируется в журнале учета мероприятий по контролю за соблюдением режима защиты персональных данных (далее - Журнал). Форма Журнала представлена в Приложении N 1 к настоящему Плану.

В Журнале отмечаются мероприятия в соответствии с Планом, носящие периодический характер.

В Журнал заносится следующая информация:

- название проведенного мероприятия;

- дата проведенного мероприятия;

- исполнитель мероприятия;

- результат (отчет, действия) мероприятия (при необходимости).

4. ПЛАН ВНУТРЕННИХ ПРОВЕРОК РЕЖИМА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ