ГОСТ Р 53647.6— 2012
4.15 Раскрытие информации третьим сторонам
Цель: Организация должна обеспечить управление раскрытием информации третьим сторонам
в соответствии с законодательными и обязательными требованиями и передовым опытом в области
защиты данных.
СМПИ должна включать в себя процедуры, обеспечивающие предоставление третьими
сторонами объективных свидетельств:
a) их права на доступ к персональной информации:
b
) их подлинности, при необходимости.
СМПИ должна включать в себя процедуры, обеспечивающие проведение проверки наличия
законных оснований для раскрытия информации третьим сторонам.
Третьимсторонамдолженраскрыватьсятолькоминимальнонеобходимыйобъем
персональной информации.
СМПИ должна включать в себя процедуры регистрации записей о фактах раскрытия
персональной информации. Записи должны стать объективным свидетельством того, что раскрытие
было законным и позволить организации контролировать раскрытие персональной информации.
Примечание - Если доступ к персональной информации предоставляется третьим сторонам на
основании закона, то проверку подлинности и минимизации объема раскрываемой информации можно не
проводить.
4.16 Передача обработки информации при привлечении субподрядчиков
Цель: Организация должна обеспечить, чтобы обработка персональной информации,
обрабатываемой подрядчиком от имени организации, осуществлялась в соответствии с
законодательными и обязательными требованиями и передовым опытом в области защиты данных.
Если обработка персональной информации от имени организации проводится подрядчиком.
СМПИ должна включать в себя процедуры, обеспечивающие:
a)выбор организацией подрядчиков, способных обеспечить техническую, физическую и
организационную безопасность в соответствии с требованиями организации в отношении
персональной информации:
b
)проведение организацией тщательнойпроверкивыбранного подрядчика,оценки
соответствующих мер безопасности в области защиты данных и. при необходимости, проверки мер
безопасности, применяемых подрядчиком до заключения договора в зависимости от характера
обрабатываемой персональной информации или обстоятельств, сопутствующих ее обработке;
c)составление договора об оказании услуг в письменной форме, требующего от выбранного
подрядчика обеспечения надлежащего уровня безопасности обрабатываемой персональной
информации;
d)проведение регулярных проверок мер безопасности у подрядчика в течение всего срока
его доступа к персональной информации;
e)выполнение подрядчиком обязательств по получению от организации разрешения на
использование услуг субподрядчиков для обработки персональной информации в соответствии с
договором;
f)включение в договор субподряда требования к субподрядчику (и это требование
распространяется далее и на его субподрядчиков) о соблюдении, как минимум, таких же требований по
безопасности и других положений, которые применимы кподрядчику;
д)установления в договорах подряда (которые передаются и субподрядчикам) требования
уничтожения соответствующей персональной информации либо передаче ее организации или
подрядчику (по указанию организации) при прекращении действия договора.
4.17 Поддержка
СМПИ должна включать в себя процедуры, обеспечивающие актуализацию процедур и
элементовобработкиинформациидляподдержанияихкорректногоинадлежащего
функционирования. Такие процедуры должны обеспечивать регулярное планирование и проведение
мероприятий по поддержке СМПИ.
5 Мониторинг и анализ СМПИ
_____
Цель: Обеспечение мониторинга и анализ результативности и эффективности СМПИ.
_________
5.1 Внутренний аудит
12