ГОСТ Р ИСО/МЭК 29100—2013
компенсацию. Возмещение осуществляется лучше всего, когда оно основано на прозрачности и
честности. Необходимыми типами мер по возмещению можно управлять согласно закону.
5.11 Информационная безопасность
Соблюдение принципа обеспечения информационной безопасности означает:
защиту ПИИ в рамках его полномочий соответствующими мерами и средствами контроля и
управления на эксплуатационном, функциональном и стратегическом уровне для обеспечения её
целостности, конфиденциальности и доступности, а также защиту от рисков, таких как
несанкционированный доступ, разрушение, использование, модификация или раскрытие либо потеря в
течение всего ее жизненного цикла:
выбор обработчиков ПИИ, которые предоставляют достаточные гарантии относительно
как организационных, физических и технических мер и средств контроля и управления при обработке
ПИИ. так и обеспечения соответствия этим мерам и средствам контроля и управления;
базирование этих мер и средств контроля и управления на требованиях соответствующего
законодательства,стандартовбезопасности,результатахсистематическихоценокрисков
безопасности, как описано в ИСО 31000. и результатах анализа «затраты/выгода»;
реализацию мер и средств контроля и управления соразмерно вероятности и серьезности
потенциальных последствий, чувствительности ПИИ. числу обладателей ПИИ. которые могут быть
затронуты, и контекста, в котором она производится;
ограничение доступа к ПИИ для тех лиц. кому такой доступ требуется для выполнения
своих обязанностей, и ограничение доступа тех лиц, которые имеют доступ только к той ПИИ, доступ
к которой им требуется для выполнения своих обязанностей;
принятие решений относительно рисков и уязвимостей, обнаруженных с помощью оценок
риска обеспечения приватности и процессов аудита;
периодический пересмотр и переоценка мер и средств контроля и управления в процессе
постоянного менеджмента рисков безопасности.
5.12 Соответствие приватности
Соблюдение принципа соответствия приватности означает:
проверку и демонстрирование того, что обработка удовлетворяет требованиям защиты
данных и сохранения приватности путем периодического проведения аудитов с использованием
внутренних аудиторов или аудиторов доверенной третьей стороны:
применение соответствующих внутренних мер и средств контроля и управления и
механизмов независимого наблюдения, которые обеспечивают уверенность в соответствии
применимому закону о приватности, политикам и процедурам обеспечения безопасности, защиты
данных и обеспечения приватности,
разработку и поддержку оценок риска приватности для оценивания того, соответствуют ли
инициативы по поставке программы или сервиса, включающие обработку ПИИ. требованиям защиты
данных и обеспечения приватности.
Применимый закон может требовать, чтобы один или более наблюдательных органов был
ответственным за мониторинг соответствия действующему закону о защите данных. В этих случаях
поддержаниепринципасоответствияприватноститакжеозначаетсотрудничествос
наблюдательными органами и соблюдение их руководящих принципов и требований.
17