6.1.1. Требования по обеспечению безопасности персональных данных в ИСПДн в общем случае реализуются комплексом организационных, технологических, технических и программных мер, средств и механизмов защиты информации.
Организация выполнения и (или) реализация требований по обеспечению безопасности персональных данных должна осуществляться структурным подразделением или должностным лицом (работником) организации БС РФ, ответственным за обеспечение безопасности персональных данных, либо на договорной основе организацией - контрагентом организации БС РФ, имеющей лицензию на деятельность по технической защите конфиденциальной информации.
Допускается возложение ответственности за организацию работы по обеспечению безопасности персональных данных на существующее в организации БС РФ подразделение (например, на службу ИБ).
Реализация требований по обеспечению безопасности персональных данных должна осуществляться по согласованию и под контролем службы ИБ организации БС РФ.
6.1.2. Создание ИСПДн организации БС РФ должно включать разработку и согласование (утверждение) предусмотренной техническим заданием организационно-распорядительной, проектной и эксплуатационной документации на создаваемую систему. В документации должны быть отражены вопросы обеспечения безопасности обрабатываемых персональных данных.
Разработка концепций, технических заданий, проектирование, создание и тестирование, приемка и ввод в действие ИСПДн должны осуществляться по согласованию и под контролем структурного подразделения или должностного лица (работника) организации БС РФ, ответственного за обеспечение безопасности персональных данных, и службы ИБ организации БС РФ.
6.1.3. Все информационные активы, принадлежащие ИСПДн организаций БС РФ, должны быть защищены от воздействий вредоносного кода. В организации БС РФ должны быть определены и документально зафиксированы требования по обеспечению безопасности персональных данных средствами антивирусной защиты и порядок проведения контроля реализации этих требований в соответствии с требованиями пункта 7.5 СТО БР ИББС-1.0.
6.1.4. В организации БС РФ должна быть определена система контроля доступа, позволяющая осуществлять контроль доступа к коммуникационным портам, устройствам ввода-вывода информации, съемным машинным носителям и внешним накопителям информации ИСПДн.
6.1.5. Руководители эксплуатирующих и обслуживающих ИСПДн подразделений организации БС РФ обеспечивают безопасность персональных данных при их обработке в ИСПДн.
Работники, осуществляющие обработку персональных данных в ИСПДн, должны действовать в соответствии с инструкцией (руководством, регламентом и т.п.), входящей в состав эксплуатационной документации на ИСПДн, и соблюдать требования документов организации БС РФ по обеспечению ИБ.
6.1.6. Обязанности по администрированию средств защиты и механизмов защиты, реализующих требования по обеспечению ИБ ИСПДн организации БС РФ, возлагаются приказами (распоряжениями) на администраторов информационной безопасности ИСПДн.
6.1.7. Порядок действий администратора информационной безопасности ИСПДн и персонала, занятых в процессе обработки персональных данных, должен быть определен инструкциями (руководствами), которые готовятся разработчиком ИСПДн в составе эксплуатационной документации на ИСПДн.
Указанные инструкции (руководства):
устанавливают требования к квалификации администратора информационной безопасности и персонала в области защиты информации, а также актуальный перечень защищаемых объектов и правила его обновления;
содержат в полном объеме актуальные (по времени) данные о полномочиях пользователей;
содержат данные о технологии обработки информации в объеме, необходимом для администратора информационной безопасности;
устанавливают порядок и периодичность анализа журналов регистрации событий (архивов журналов);
регламентируют другие действия администратора информационной безопасности и персонала, предусмотренные настоящими рекомендациями.
Параметры конфигурации средств защиты и механизмов защиты информации от НСД, используемых в зоне ответственности администратора информационной безопасности, определяются в эксплуатационной документации на ИСПДн. Порядок и периодичность проверок установленных параметров конфигурации устанавливаются в эксплуатационной документации или регламентируются внутренним документом организации БС РФ, при этом проверки должны проводиться не реже чем раз в год.
6.1.8. В организации БС РФ должен быть определен и документально зафиксирован порядок доступа в помещения, в которых размещаются технические средства ИСПДн и хранятся носители персональных данных, предусматривающий контроль доступа в помещения посторонних лиц и наличие препятствий для несанкционированного проникновения в помещения.
Указанный порядок должен быть разработан структурным подразделением или должностным лицом (работником) организации БС РФ, ответственным за обеспечение режима физической безопасности организации БС РФ и согласован структурным подразделением или должностным лицом (работником) организации БС РФ, ответственным за обеспечение безопасности персональных данных, и службой ИБ организации БС РФ.
6.1.9. Пользователи и обслуживающий персонал ИСПДн не должны осуществлять несанкционированное и (или) нерегистрируемое (бесконтрольное) копирование персональных данных. С этой целью организационно-техническими мерами должно быть запрещено несанкционированное и (или) нерегистрируемое (бесконтрольное) копирование персональных данных, в том числе с использованием отчуждаемых (сменных) носителей информации, мобильных устройств копирования и переноса информации, коммуникационных портов и устройств ввода-вывода, реализующих различные интерфейсы (включая беспроводные), запоминающих устройств мобильных средств (например, ноутбуков, карманных персональных компьютеров, смартфонов, мобильных телефонов), а также устройств фото- и видеосъемки.