Учения по 152-ФЗ тест процедур
В соответствии со ст. 19 закона «О персональных данных», оператор обязан организовать обучение своих сотрудников в области защиты персональных данных, а также проводить проверки (тесты) соблюдения требований к обработке ПДн.
Учения — это форма обучения, в ходе которой персонал моделирует действия по обработке персональных данных в типовых или нестандартных ситуациях. Тестовые процедуры — это контрольные мероприятия по проверке полноты и правильности исполнения технических мер защиты и регламентов.
Оператор обязан разработать и утвердить программу обучения. Согласно ч. 3 ст. 19 ФЗ-152, программа должна содержать: цели, задачи, содержание модулей, формы контроля (тесты, зачёты), сроки периодичности. На практике обучение проводится не реже одного раза в год; при внедрении новых систем — до или одновременно с их вводом.
Внутренний регламент по проведению тестовых процедур утверждается приказом руководителя оператора и согласовывается с ответственным за организацию обработки ПДн. В тесте могут моделироваться: утечка данных, сбой системы, доступ несанкционированного лица к БД; проверяется выполнение алгоритмов блокировки доступа, оповещения уполномоченного органа (Роскомнадзора) в течение 24 часов после инцидента.
Стоимость и сроки тестирования зависят от регламента проверки. За проведение теста отвечает внутренний контролёр или привлечённый подрядчик. По результатам тестирования составляется акт, который хранится не менее пяти лет вместе с журналом учёта тестовых процедур.
На портале госдело.рф реализована «Среда для проведения учений»: в защищённом контуре оператор может проводить имитацию действий по получению, обработке и передаче ПДн без риска реального разглашения сведений. Срок доступа к среде — не более 90 дней с даты активации подписки.
Контрольные тесты проводятся:
- по итогам каждого цикла обучения;
- при изменении конфигурации ИС, парка средств защиты информации или состава сотрудников (не реже одного раза в полгода);
- после крупных инцидентов информационной безопасности (по необходимости).
Нарушение требований к обучению и тестам является самостоятельным основанием для привлечения к административной ответственности: штраф по ст. 19.7‑5 КоАП РФ составляет от 30 до 50 тысяч рублей на должностных лиц, до 60–70 тысяч на юрлиц.
Ключевые положения
- Обучение и тестирование — обязательный этап обеспечения безопасности ПДн согласно ФЗ‑152.
- Программа утверждается приказом; периодичность — не реже одного раза в год.
- Тесты включают моделирование инцидентов ИБ и проверку исполнения регламентов защиты.
- По итогам тестов составляется акт, который хранится 5 лет.
- Неисполнение обязанностей по тестированию грозит штрафами до 70 тыс. руб.; отсутствие обучения — аналогично.
Должен быть внутренний порядок с датами, ответственными, сценариями и журналом учений; используйте защищённые среды для тестирования.