Достаточно ли защитить сервер или стойку для соответствия 152-ФЗ?

Федеральный закон «О персональных данных» №152-ФЗ не относится к защите серверов и прочих систем. Закон регламентирует защиту персональных данных субъектов, то есть физических лиц.

Таким образом в первую очередь исполнение закона обеспечивается регламентированием деятельности внутри компании, составлением большого количества документации, назначением ответственных лиц и так далее.

Технические средства, какими бы они ни были, не будут иметь значения, если нарушены правовые основания для обработки персональных данных.

Среди прочего, вы должны:

• иметь законное обоснование того, с какими целями вы собираете персональные данные;
• не собирать данных больше, чем необходимо для ваших целей;
• исполнять регламент сроков хранения персональных данных;
• иметь в свободном доступе политику обработки персональных данных;
• собирать в явном виде согласие на обработку ПДн, на трансграничную передачу, на обработку третьими лицами и пр.

За полным перечнем документов (форм, приказов, должностных инструкций, регламентов, уведомлений и т.д.), необходимых к подготовке оператору персональных данных, желательно обращаться к профессиональным юристам и компаниям, оказывающим услугу по подготовке документации для 152-ФЗ.

Мы, в свою очередь, всегда рады помочь по мере наших возможностей нашим клиентам, которым необходимо обеспечить соответствие их ИС закону 152-ФЗ, а именно: внести необходимые для их уровня защищённости изменения в предоставляемую им услугу (будь то виртуальный сервер, виртуальный дата-центр, аренда физического сервера или аренда стойки и т.д.), если окажется, что имеющего сейчас уровня не достаточно, а также можем давать рекомендации по специалистам и профильным компаниям, но это не услуга «из коробки», а индивидуальная работа.

Процесс в общем случае выглядит так:

1. вы описываете (сами или с помощью привлечённых специалистов) свою ИС;
2. понимаете, какой уровень защищённости вам нужен;
3. понимаете, какой уровень защищённости у вас сейчас;
4. составляете (сами или с помощью привлечённых специалистов) перечень требований, выполнение которых необходимо для нейтрализации угроз безопасности ПДн;
5. если какие-либо требования из перечня будут относиться к предоставляемым нами услугам, то вы обращаетесь с данными требованиями к нам и мы, работая в контакте с вами, делаем всё возможное для их удовлетворения.

Возможно Вас также заинтересует:

Должны ли все средства защиты персональных данных быть сертифицированы ФСТЭК России по 152-ФЗ?

Какой уровень защищённости может обеспечить ATLEX по 152-ФЗ?

Почему хостинг-провайдер или дата-центр не может взять на себя ваши обязанности по исполнению 152-ФЗ?

Можно ли купить аттестованную по 152-ФЗ информационную систему (сервер, хостинг и т.д.)?

Для кого обязательна аттестация по 152-ФЗ?