Не портите сурприз

PS Документов, которые проверяет РКН (судя по их сайту), в списке ФСТЭК нету. Видать чотко разграничивают свои сферы влияния

А что проверять-то будут? И на каком основании? И с генпрокуратурой согласовали ли?

Она д.б. в едином плане проверок, который должен быть с генпрокуротурой согласован и у нее же на сайте выложен. Не знаю правда муниципалов касается это или нет...

С каких пор они гостайну начали проверять? У Вас аттестованная муниципальная АС так ее проверять и будут...

Везет Расскажете потом как было

Добавлено (03.02.2011, 16:53)
---------------------------------------------

В Обществе с ограниченной ответственностью «Центр кадровых предложений» выявлены нарушения прав субъектов персональных данных. В результате плановой выездной проверки, проведенной в январе 2011 года, выявлены следующие нарушения: • представление в уполномоченный орган уведомления об обработке персональных данных, содержащего неполные или недостоверные сведения; • нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) в части обработки персональных данных без согласия субъекта персональных данных, а именно образцы соглашения об использовании персональных данных между соискателем и ООО «Центр кадровых предложений» содержат не полный перечень категорий персональных данных обрабатываемых оператором; • в договоре ООО «Центр кадровых предложений» № 07п – 476 с АК Сберегательный банк Российской Федерации «о зачислении денежных средств на счета физических лиц в соответствии с реестрами, предоставляемым по системе «Клиент-Сбербанк» отсутствует существенное условие о соблюдении конфиденциальности и безопасности персональных данных в случае, если оператор поручает обработку персональных данных третьему лицу; • несоответствие содержания письменного согласия субъекта персональных данных на обработку персональных данных требованиям законодательства Российской Федерации; • несоответствие типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных, требованиям законодательства Российской Федерации, а именно форма анкеты соискателя содержит неполные сведения. По итогам проверки выданы предписания об устранении выявленных нарушений, материалы направлены в органы прокуратуры для принятия мер прокурорского реагирования, и привлечения виновных лиц к ответственности по ст.ст.13.11, 13.14 КоАП РФ.

Добавлено (03.02.2011, 16:55)
---------------------------------------------
http://35.rsoc.ru/news/news20362.htm

Согласно регламенту проверок, организация была заранее предупреждена, был направлен список документов, которые необходимы при проверке (хотя. как оказалось позже, то далеко не полный). И вот дождались - проверка приехала.

День первый.
Приехала комиссия из трех человек. Предъявили оригинал приказа о проверке, показали свои удостоверения.
Дальше действовали по проекту проверки, т.е. подробно по пунктам делали опрос что проводится, что нет, рассматривали документы. В итоге первого дня попросили:
1. Копию реально заключенного согласия субъекта ПДн (по каждой ИСПДн)
2. Заполненную копию трудового договора.
3. Копию удостоверения сотрудника.
4. Копии всех договоров, заключенных при передаче ПДн третьим лицам (банки например).
5. Копию заявления на перечисление зарплаты.
6. В перечне ПДн попросили каждый пункт ПДн, которые обрабатываются, раскрыть на основании какого документа (Кодекс, ФЗ, ПП, или внутреннего нормативного документа) происходит обработка.
7. Копии различных журналов (карточек посещений и т.п.)
8. Копию гражданско-правового договора.
9. Копию должностных инструкций.
10. Копии иных типовых форм, где содержатся ПДн.
11. Копии всех документов, которые разработаны в ходе организационного этапа защиты ПДн.
Естественно, все копии необходимо было заверить.

Беседа проводилась за "круглым столом" с руководством, для того чтобы составить общую картину работы организации и раскрыть меры, предпринятые для защиты ПДн.
Сообщили интересный факт: фотография - это биометрия! Правда только в том случае, если к ней применяются специальные требования (сослались на ГОСТ о биометрических данных).

День второй.
Комиссия разделилась на несколько групп. Одна из которых проверяла техническую сторону, другая оценивала организационную. Т.к. я являюсь техническим специалистом, то присутствовал с первой группой.
Проверяющие подходили к каждому рабочему месту, где проводится обработка ПДн, и проводили:
1. Опрос сотрудника о процедуре обработки ПДн.
2. Снимали скрин-шоты с экранов (где видны поля для заполнения ПДн).
3. Сверяли картину с документацией.
4. Запросили копии всех цифровых сертификатов.
5. Запросили копии договоров на все установленные средства защиты информации (в том числе и криптографические).
6. Запросили электронный журнал обращений к каждой БД (логи).
7. Дали несколько полезных советов по поводу работы со средствами защиты (которые могут помочь пройти проверку ФСБ и ФСТЭК, если таковые будут).

Долго дискутировали по поводу правомерности объединения нескольких разных БД в одну ИСПДн. В основном из-за того, что проверяющие говорили о том что цели обработки в данном случае различны, но мы не соглашались с тем что цели противоречат друг другу (а по 152-ФЗ только при несовместимости целей БД нельзя объединять в одну ИСПДн).

День третий.
Снова собрали "круглый стол". Отдали проверяющим все запрошенные ими документы, прояснили недостаточно освещенные в документах вопросы, подвели черту работы комиссии. Проверяющие уехали с документацией для детального ее изучения и сравнения с картиной, которую получили во время проведения проверки. Сообщили, что акт о проведении проверки будет примерно через неделю. Что же, крайне интересно что будет в этом акте.

В результате организацию обязали написать еще один документ "порядок обработки ПДн", в который необходимо вынести сведения из существующих документов в перефразированном виде. Вот в принципе и все, если кратко