ГОСТ Р 53647.6— 2012
4.13.4 Методы управления доступом
СМПИ должна включать в себя процедуры, обеспечивающие доступ к персональной
информации только сотрудникам, которым это необходимо для выполнения их должностных
обязанностей.
СМПИ должна включать в себя процедуры, обеспечивающие при предоставлении законного
доступа к персональной информации понимание персоналом того, что доступпредоставляется
исключительно в служебных целях и должен осуществляться исключительно в законных основаниях.
При обработке персональной информации с высоким уровнем риска (см. п. 4.2.2) СМПИ должна
включать в себя процедуры, обеспечивающие способы управления и контроля доступа, которые
должны быть взаимосвязаны с уровнем важности и чувствительности персональном информации.
СМПИ должна включать в себя процедуры, обеспечивающие контроль всех случаев доступа к
персональной информации и их оценку в соответствии с процедурой оценки риска информационной
безопасности организации.
4.13.5 Оценка безопасности
СМПИ должна включать в себя процедуры, обеспечивающие регулярное проведение оценки
безопасности.
В результате оценки должны быть оценены адекватность существующих методов и способов
обеспечения безопасности и, при необходимости, даны рекомендации по их улучшению.
При проведении оценки необходимо учитывать риск причинения вреда, ущерба и (или)
моральных потерь лицам в случае возникновения инцидента, связанного с безопасностью.
4.13.6 Управление инцидентами, связанными с безопасностью
СМПИ должна включать в себя процедуры:
a)оценки и управления инцидентами, связанными с безопасностью персональной
информации, включая процедуры смягчения ущерба, причиненного этими инцидентами;
b
)документирования каждого инцидента, связанного с безопасностью, включая оценку того,
как он произошел, какие корректирующие действия были предприняты и какие выводы были сделаны;
c)принятия решений о необходимости направления сообщения об инциденте, связанном с
безопасностью, соответствующему регулирующему органу или оповещения субъектов персональных
данных;
d)регистрации таких сообщений и выданных оповещений.
4.14 Трансграничная передача персональных данных за пределы РФ
Цель: Обеспечить соответствующий уровень защиты при передаче или обработке
персональной информации за пределами страны._______________________________________________
СМПИ должна включать в себя процедуры, обеспечивающие защиту прав физических лиц,
если организация передает персональную информацию за пределы РФ. в том числе:
a)необходимо включить в договора условия, обеспечивающие защиту информации и
процесса ее обработки, например, использование типовых договоров и/или установление внутренних
обязательных требований к работе с персональной информацией для организаций, получающих
информацию;
b
)при передаче персональной информации в организации, находящиеся в других странах,
следует установить соответствие этой организации международным требованиям обеспечения
безопасности персональной информации:
c)установление страны местонахождения организации, которой передается персональная
информация, и оценка этой страны на предмет обеспечения адекватной защиты этой информации;
d)еслиорганизация,получающаяинформацию,привлекаетдругиеорганизации
(субподрядчиков) к обработке персональной информации, следует провести проверку таких
организаций.
СМПИ должна включать в себя процедуры, обеспечивающие анализ и проверку персоналом,
ответственным за соблюдение законодательных и обязательных требований и соответствие
передовому мировому опыту в области защиты персональных данных (см. п. 4.1.2), всех новых
предложений, включающих передачу персональной информации за пределы РФ. В результате такого
анализа и проверки должны быть установлены возможности обеспечения адекватной защиты
персональной информации при такой передаче.
СМПИ должна включать в себя процедуры, обеспечивающие наличие типовых договоров с
субподрядчиками, которые обрабатывают персональную информацию от имени организации и
расположены за пределами РФ. Такие типовые договора, необходимы для обеспечения надлежащей
защиты персональной информации, если не согласованы иные адекватные процедуры защиты
информации.
11