1. Если мне не изменяет память - 1С стратифицировали только ограниченный набор экземпляров бухгалтерии (Защищенный программный комплекс 1С:Предприятие 8.2z). Относится ли сюда ваша сборка? Если да, то требуйте сертификат ФСТЭК (его при проверке точно попросят).

2. Защита ПДн подразумевает целый комплекс мероприятий:
а. Организационные - в ПДн выражен в качестве набора документов.
б. Инженерно-технические (физические) - осуществление физической защиты от несанкционированного доступа (НСД).
в. Программно-аппаратные - создание системы защиты ПДн (СЗПДн).
г. Контролирующие.

Что у Вас сделано, что нет - мне пока не ясно, но одно могу сказать точно, что если Вас сейчас интересует только хватит ли сертифицированной 1С для перекрытия всех мероприятий по созданию СЗПДн по третьему классу, то могу наверняка сказать что нет. Точно видно только если смотреть схему ИСПДн, модель угроз, модель злоумышленника и т.д., что у вас сделано в организационных мероприятиях.

программа у нас "Бухгалтерия предприятия" и "Зарплата и Управление персоналом" на платформе 8.2, Лицензионное соглашение есть по обоим продуктам (просертификацию - да, я напутала - они заявляли о 8.2.z).

Получается, обеспечением защиты персональных данных занимаемся мы сами:
- отнесли себя к 3-му классу;
- определились с порядком обработки и уровнями допуска к ПДн, определили ответственных;

по ИСПДн:
- используем лицензионное ПО и антивирус;
- вход - только по логину и паролю;
- разграничили уровни доступа пользователей к информационным ресурсам;
- все запросы в системе - автоматом регистрируются
- резервное копирование;
- ограниченный доступ к серверу.

по обработке ПДн без использования средств автоматизации:
- определили что и для каких целей обрабатываем таким образом;
- разделили потоки
- ограничили доступ к этим документам - только у ответственных, под ключом

в итоге:
- выпутили положение о ЗПДн;
- выпустили декларацию о защите ПДн.

скажите, пожалуйста - достаточно ли предпринятых мер?

По бумажной обработке: берете 687ПП и делаете все так как там написано, один-в-один.

Вы ничего не сказали о разработанных организационных документах, а их д.б. достаточно много.

В любом случае определить, достаточно ли мер или нет, можно только в ходе аудита либо проверки регуляторов - очень много нюансов, универсальных рецептов здесь нет и на словах ничего не оценить, даже пытаться не стоит.

Могу добавить, что классификация тоже зависит от того, специальная у Вас система, или типовая. Класс специальной уточняется на основании модели угроз.
Еще посмотрите приказ №58, который содержит требования к системе защиты (СЗПДн) по различным классам. Там указаны параметры для каждой подсистемы, на которые стоит обратить внимание.

По заданным оператором характеристикам безопасности персональных данных, обрабатываемых в информационной системе, информационные системы подразделяются на типовые и специальные информационные системы.

Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных.

Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).

К специальным информационным системам должны быть отнесены:

информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;

информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

Определения описаны в Приказе Трех, а именно:

"8. По заданным оператором характеристикам безопасности персональных данных, обрабатываемых в информационной системе, информационные системы подразделяются на типовые и специальные информационные системы.

Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных.

Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).

К специальным информационным системам должны быть отнесены:

информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;

информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы."

Но, т.к. с точки зрения здравого смысла практически для любого бизнеса важно обеспечение целостности и доступности данных, то большая часть ИСПДн автоматически становятся специальными.

является ли информация о наличии судимостей - персональными данными?
насколько правомерен сбор такой информации?
получаем инфо у кандидатов из анкет в бумажном виде. анкеты вышедших в последний тур соискания - храним как кадровый резерв,под замком, вместе с личными делами, трудовыми и прочей трудовой требухой. отвалившихся - удаляем через шредер.
в конце анкеты есть пункт "даю разрешение на обработку моих персональных данных"
достаточно ли?

1. вставила в анкету соискателей:

Даю согласие на обработку Оператором своих персональных данных, то есть совершение следующих действий:
- сбор;
- систематизация;
- накопление;
- хранение;
- уточнение (обновление, изменение);
- использование;
- обезличивание;
- блокирование;
- уничтожение персональных данных, при этом описание вышеуказанных способов обработки данных приведено в федеральном законе №152-ФЗ "О персональных данных".

2. а по хранению/уничтожению Анкет - это пипец о_О и действительно кто-то ТАК изголяется?! ладно, пусть в этом будет несоответствие формальное, но по факту совесть чиста.

3. еще вопрос по ИСПДн - перс.данные сотрудников обрабатываются 5-ю сотрудниками, в сетевой версии 1С:ЗУП на 5 пользователей. компы к инторнэту подключены. они же не подпадают под "наличие соединения с сетями общего пользования" или таки да??

4. еще вопрос по ИСПДн -перс.данные клиентов - фио, должность, контактная инфо - тел рабочий/мобильный, почта, адрес - в принципе - инфо - не супер секретная - на сайтах компаний публикуюца МНОГИЕ. так же нужно меры принимать?

спасибо вам за ваше внимание, терпение и знания)