फिर से व्यक्तिगत डेटा की सुरक्षा पर या Roskomnadzor द्वारा सत्यापन की तैयारी

प्रविष्टि

सभी को शुभ दिन! इस लेख में, मैं एक बार फिर से व्यक्तिगत डेटा संरक्षण के विषय को उठाना चाहूंगा (बाद में हम उन्हें पीडीएन कहेंगे), साथ ही नियामकों के खिलाफ सुरक्षा का विषय। पीडी संरक्षण के विषय पर बहस का चरम समय बीत चुका है। इन चोटियों, एक नियम के रूप में, 152- पूरी ताकत में डालने की अगली "सबसे हाल की तारीख" के दृष्टिकोण के लिए जिम्मेदार है। नतीजतन, "सबसे हाल की समय सीमा" आ गई है, सक्रिय बहस थम गई है, लेकिन कानून "व्यक्तिगत डेटा पर" रहता है, नियामक चेक की व्यवस्था करते हैं और उल्लंघनकर्ताओं को दंडित करते हैं। इसलिए, विषय लंबे समय तक प्रासंगिक रहेगा।

तुरंत एक आरक्षण करें कि इस लेख में तकनीकी के बजाय मुख्य रूप से संगठनात्मक जानकारी होगी। "और हमें ऐसी जानकारी की आवश्यकता क्यों है?" - पाठक पूछेगा। मैं समझाता हूं: यह सिर्फ इतना हुआ कि दोनों बड़े और बहुत संगठनों के प्रमुख लंबी तार्किक श्रृंखलाओं का निर्माण और मुद्दे के सार में तल्लीन करना पसंद नहीं करते हैं, जो उनकी क्षमता से बहुत दूर है। इसलिए, जब व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए यह आवश्यक हो जाता है, तो उनकी राय में काफी तार्किक संबंध बनाया जाता है: "व्यक्तिगत डेटा का संरक्षण" -> "सूचना का संरक्षण" -> "सूचना प्रौद्योगिकी" -> "आईटी-कर्मचारियों पर व्यक्तिगत डेटा संरक्षण का मुद्दा रखें"। और मुझे इस बात की परवाह नहीं है कि इस मामले में शेर का हिस्सा वकीलों और कार्मिक अधिकारियों को सौंपा जा सकता है, लेकिन जैसा कि दाढ़ी वाले मजाक में कहा गया है: "जो लोग प्रकाश को लोड करना पसंद नहीं करते हैं, वे लोहे को लोड करने के लिए जाएंगे"।


एक विशेष श्रेणी (अंतरंग जीवन के बारे में जानकारी) के व्यक्तिगत डेटा के प्रकटीकरण का एक विशिष्ट उदाहरण

तो, यहाँ क्यों मैं अभी भी व्यक्तिगत डेटा की तकनीकी सुरक्षा पर विचार नहीं करूंगा।

इसके कई कारण हैं:

• इंटरनेट पर इतनी जानकारी और यह कमोबेश असंदिग्ध है।
• यह विषय काफी विवादास्पद है और एक अलग लेख के योग्य है, इस ओपस में मैं अभी भी संगठनात्मक मुद्दों पर स्पर्श करना चाहता हूं।
• संगठनात्मक मुद्दों की जाँच रोसकोम्नाडज़ोर द्वारा की जाती है, और एफएसटीईसी द्वारा तकनीकी। FSTEC व्यक्तिगत डेटा की सुरक्षा के बारे में बहुत कम निरीक्षण करता है, यदि केवल इसलिए कि प्रत्येक क्षेत्र में Roskomnadzor में एक विभाग है, और FSTEC संघीय जिले में एक है।
• सरकारी निर्णय संख्या 781 को रद्द करने के संबंध में, जो व्यक्तिगत डेटा की तकनीकी सुरक्षा को नियंत्रित करता है, और पीपी नंबर 1119 के साथ इसका प्रतिस्थापन, रूस के FSTEC और रूस के FSB के नियामक दस्तावेज "निलंबित" स्थिति में थे। उन्हें सिद्धांत में उपयोग नहीं किया जाना चाहिए, क्योंकि वे रद्द किए गए संकल्प संख्या 781 के अनुसरण में जारी किए गए थे, लेकिन दूसरी ओर, रूस के एफएसटीईसी के दस्तावेजों को रूस के एफएसटीईसी द्वारा ही रद्द किया जाना चाहिए। इसलिए, नियामकों से नए दस्तावेज जारी होने के बाद पीडी के तकनीकी संरक्षण पर विस्तार से विचार करना बेहतर है।
• आईटी-तकनीशियन फिर भी पीडी के तकनीकी संरक्षण के बहुत करीब हैं और उनके लिए यह पता लगाना आसान है, लेकिन जब बॉस "पेपर" काम करते हैं, तो कई को मदद और स्पष्टीकरण की आवश्यकता हो सकती है।

थोड़ा अपने बारे में

मैंने पहले अपने बारे में थोड़ा बताना आवश्यक समझा ताकि पाठक यह समझे कि नीचे लिखी गई हर बात विभिन्न संगठनों में व्यक्तिगत डेटा की सुरक्षा को व्यवस्थित करने के व्यक्तिगत अनुभव पर आधारित है, और इंटरनेट पर विभिन्न फोरम की बहसों की विवेचना नहीं है (कभी-कभी "विशेषज्ञ" होते हैं) वे लिखेंगे कि बाल अंत में खड़े हैं, और न केवल सिर पर)।

मैं सुदूर पूर्व में कंपनियों में से एक के विभाग का प्रमुख हूं, जो सूचना सुरक्षा के क्षेत्र में उद्यमों की आउटसोर्सिंग में लगी हुई है। बेशक, व्यक्तिगत डेटा की सुरक्षा हमारी सबसे अनुरोधित सेवाओं में से एक है। मैं 2008 से इस दिशा में काम कर रहा हूं। ग्राहकों के बीच दोनों छोटे संगठन और काफी बड़े राज्य के स्वामित्व वाले (विभाग, सरकारी मूल्यांकन, विधानसभाएं, आदि) और वाणिज्यिक (मोबाइल ऑपरेटर, इंटरनेट प्रदाता, निजी चिकित्सा क्लीनिक) हैं।

PD के संरक्षण के क्षेत्र में कानून की आवश्यकताओं को पूरा करने के उद्देश्य से कुछ ग्राहकों के लिए रोसकोमनादज़र के निरीक्षण किए गए और अब तक परिणाम 100% सफल निरीक्षण है। मुझे इस तरह की समीक्षा के दौरान संगठन के हितों का प्रतिनिधित्व करने का व्यक्तिगत अनुभव भी है।

तो, आपको पीडी प्रसंस्करण के आयोजन के लिए जिम्मेदार ठहराया गया है, और इसके अलावा, आपने सीखा है कि आप आने वाले वर्ष के लिए रोसकोम्नाज़डोर के निरीक्षण योजना में शामिल हैं। कहाँ से शुरू करें?

और इसलिए, यह हुआ: सिर, वास्तव में परेशान नहीं हुआ, एक आदेश पर हस्ताक्षर किए, जिसमें कहा गया था "आई। ई। इवानोव, एलएलसी हॉर्न्स और हूव्स के सिस्टम प्रशासक, यह सुनिश्चित करने के लिए कि हमारे संगठन में व्यक्तिगत डेटा की सुरक्षा फेंग शुई है।" पहले क्या करें?

सबसे पहले, आपको यह पता लगाने की आवश्यकता है कि क्या आपका संगठन व्यक्तिगत डेटा ऑपरेटरों की रजिस्ट्री में है । ऐसा करने के लिए, खोज में यह कंपनी टिन को चलाने के लिए पर्याप्त है। यदि ऐसा कोई नोटिस नहीं है, तो आपको इसे दर्ज करने की आवश्यकता है (लेकिन ध्यान रखें कि यदि अधिसूचना पहले दर्ज नहीं की गई है - यह आपके संगठन को ठीक करने के लिए एक अवसर है)।

यदि अधिसूचना अभी भी मौजूद है, तो आपको इसकी सामग्री को स्पष्ट करने की आवश्यकता है। अक्सर ऐसा होता है कि 2007 में बुलडोजर से मानव संसाधन विभाग के कुछ वासु पुपकीन द्वारा एक नोटिस भरा गया था, जिसे बहुत पहले निकाल दिया गया था। इस मामले में, यह काफी स्वाभाविक है कि कई क्षेत्रों की सामग्री वास्तविकता के अनुरूप नहीं है। एक ही समय में, दंडात्मक उपायों का अभ्यास सिर्फ यह बताता है कि रोस्कोम्नाडज़ोर द्वारा अधिकांश निर्देश अधिसूचना के विसंगति के संबंध में सटीक रूप से जारी किए जाते हैं कि संगठन में वास्तव में क्या हो रहा है। उदाहरण के लिए, "संसाधित व्यक्तिगत डेटा की श्रेणियाँ" कॉलम में "नाम, पासपोर्ट डेटा, निवास का पता, फ़ोन नंबर" कहा गया है, और आप स्वास्थ्य जानकारी भी संसाधित करते हैं।

व्यक्तिगत डेटा पोर्टल पर अधिसूचना में परिवर्तन करने के लिए एक विशेष रूप भी है। यहां हमें यह याद रखना चाहिए कि यदि आप बाद में रोसकोमनादोज़ोर के अपने क्षेत्रीय कार्यालय को एक कागज़ात पत्र नहीं भेजते हैं तो उन परिवर्तनों को ध्यान में नहीं रखा जाएगा। प्रारंभिक सूचना पर भी यही बात लागू होती है।

खैर, एक नोटिस के साथ पता चला, तो क्या?

फिर आपको अपने संगठन (निर्देशों, विनियमों, आदेशों, पत्रिकाओं, आदि) में दस्तावेजों के एक समूह को प्रकाशित और अनुमोदित करने की आवश्यकता है। यहां यह याद रखना चाहिए कि दस्तावेजों को न केवल स्वचालित प्रसंस्करण को विनियमित करना चाहिए, बल्कि "एनालॉग" भी।

दस्तावेजों की सूची इस तरह मौजूद नहीं है, केवल उन पहलुओं की एक सूची है जिन्हें आपको उनमें वर्णित करना चाहिए।
पहला कदम व्यक्तिगत डेटा के प्रसंस्करण के आयोजन के लिए जिम्मेदार व्यक्ति को नियुक्त करना है (यह व्यक्ति अब ऑपरेटर की अधिसूचना में इंगित किया जाना आवश्यक है)। यह व्यक्ति "पेपर" प्रश्नों के लिए मुख्य रूप से जिम्मेदार होगा। व्यक्तिगत डेटा के लिए सुरक्षा प्रशासक नियुक्त करना भी आवश्यक है। वह मुद्दे के तकनीकी पक्ष के लिए जिम्मेदार होगा। एक आदेश द्वारा दोनों और दूसरे को नियुक्त किया जा सकता है। यहां मैं तुरंत ध्यान देना चाहता हूं कि यह दृढ़ता से अनुशंसा की जाती है कि सभी योगों को कानून के पाठ से सहमत होना चाहिए, क्योंकि निरीक्षकों को अक्सर उनके साथ गलती मिलती है। उदाहरण के लिए, यदि आप पीडी प्रसंस्करण के लिए जिम्मेदार व्यक्ति को पीडी प्रसंस्करण के लिए जिम्मेदार कहते हैं, तो 99.9% की संभावना के साथ, नियामक आपसे सत्यापन प्रक्रिया के दौरान दस्तावेज़ में परिवर्तन करने के लिए कहेगा।

इसके अलावा, कई लोग इस बारे में भूल जाते हैं, लेकिन रोसकोमनादज़र की आवश्यकता होती है: सभी कार्यालयों में जहां पीडी को कागज, भंडारण स्थानों (सुरक्षित, कैबिनेट, ठंडे बस्ते) पर संसाधित किया जाता है और इस कार्यालय में पीडी की गोपनीयता बनाए रखने के लिए जिम्मेदार लोगों को परिभाषित किया जाना चाहिए। सीधे शब्दों में कहें, तो हम एक आदेश जारी करते हैं जिसमें हम लिखते हैं "कार्यालय नंबर 1 में, सुरक्षित जमा बॉक्स को भंडारण की जगह के रूप में पुष्टि करें, और इस तरह के एक व्यक्ति को नियुक्त करें।"
अगला, आपको पीडी के विनाश के लिए वर्गीकरण और कमीशन के लिए एक आयोग नियुक्त करना चाहिए। इन आयोगों में शामिल होना चाहिए: आयोग का अध्यक्ष और आयोग के कम से कम दो सदस्य। उनकी संरचना में दोनों आयोग समान रूप से 100% हो सकते हैं।

इसके अलावा, व्यक्तिगत डेटा के प्रसंस्करण के लिए अधिकृत व्यक्तियों को निर्धारित करना आवश्यक है। ये वे कर्मचारी हैं जो संगठन के कर्मचारियों के रूप में पीडी के साथ काम करते हैं, और ग्राहक, ग्राहक और संस्थाओं की अन्य श्रेणियां। इसके अलावा, दस्तावेज़ को यह इंगित करना चाहिए कि किस कर्मचारी के पास किस डेटा तक पहुंच है, वह इस डेटा को स्वचालन टूल का उपयोग करके संसाधित करता है या नहीं, और स्वचालित प्रसंस्करण के मामले में, सिस्टम (उपयोगकर्ता, व्यवस्थापक, आदि) में उसकी भूमिका। यहां यह ध्यान दिया जाना चाहिए कि व्यक्तिगत डेटा को संसाधित करने की अनुमति देने वाले प्रत्येक कर्मचारी को व्यक्तिगत डेटा के गैर-प्रकटीकरण पर एक समझौते पर हस्ताक्षर करना चाहिए।

अगला कदम व्यक्तिगत डेटा की श्रेणियों को निर्धारित करना है जो हम सुरक्षा के अधीन हैं। यह भी अलग-अलग आदेश द्वारा किया जाता है। यहां ऐसा क्षण भी है जिसे बहुत से लोग भूल जाते हैं, लेकिन रोस्कोम्नाडज़ोर निरीक्षण के दौरान पूछता है - व्यक्तिगत डेटा एक गोपनीय प्रकृति की जानकारी का एक विशेष मामला है, इसलिए इस तरह की सूची को एक अलग आदेश द्वारा भी अनुमोदित किया जाना चाहिए। गोपनीय जानकारी से संबंधित क्या 6 मार्च, 1997 के रूसी संघ के 188 नंबर के अध्यक्ष के निर्णय द्वारा निर्धारित किया जाता है। हम आपके आदेश में आपके संगठन से संबंधित वस्तुओं को फिर से लिखते हैं और आप तैयार हैं।

अंत में, आपको पीडी के संरक्षण को नियंत्रित करने वाले संगठन के मुख्य दस्तावेज को मंजूरी देनी चाहिए। आमतौर पर ऐसे दस्तावेज़ को "व्यक्तिगत डेटा के प्रसंस्करण और संरक्षण पर विनियमन" कहा जाता है। यहां आप कानून की मूल अवधारणाओं, व्यक्तिगत डेटा के प्रसंस्करण के लिए लक्ष्यों और कानूनी आधारों, ऑपरेटर के अधिकारों और दायित्वों, व्यक्तिगत डेटा के विषय के अधिकारों और दायित्वों का वर्णन करते हैं।

आपको कई पत्रिकाओं को भी विकसित करना होगा, आपको पीडी की सुरक्षा के लिए रोजकोमनाडज़ोर दिखाना होगा जो आप नियमित (और सिर्फ एक बार नहीं) गतिविधियों का संचालन करते हैं। उदाहरण के लिए, "सूचना सुरक्षा ब्रीफिंग जर्नल" और "व्यक्तिगत डेटा की सुरक्षा की निगरानी के लिए लेखांकन उपायों के जर्नल" द्वारा मदद की जाएगी। आवश्यक रूप से (रोसकोम्नाडज़ोर निश्चित रूप से पूछेगा) उनके कानूनी अधिकारों के प्रयोग पर व्यक्तिगत डेटा के नागरिकों-विषयों के अनुप्रयोगों के पंजीकरण की एक पत्रिका होनी चाहिए। इसके अलावा, जाँच से पहले नियामक अधिकारियों द्वारा कानूनी संस्थाओं के निरीक्षणों की एक चेकलिस्ट प्राप्त करना न भूलें।

आपके संगठन में व्यक्तिगत डेटा की सुरक्षा के लिए संगठनात्मक दस्तावेज़ीकरण को लागू करना, मैं एक बार फिर से दोहराता हूं, दस्तावेजों की कोई सख्त सूची नहीं है। आप "व्यक्तिगत डेटा की सुरक्षा के बारे में नीति" नामक एक बड़ा दस्तावेज़ बना सकते हैं, जिसमें मैं ऊपर सूचीबद्ध सभी चीजों का वर्णन करता हूं, या आप इसे कई छोटे दस्तावेजों में तोड़ सकते हैं। आप कई अलग-अलग आदेश जारी कर सकते हैं, या आप सभी जिम्मेदार नियुक्त कर सकते हैं, एक एकल आदेश के साथ पीडी आदि की प्रक्रिया के लिए निर्धारित व्यक्तियों को निर्धारित कर सकते हैं।

लेकिन, फिर भी, उदाहरण के लिए मैं उन दस्तावेजों की एक मानक सूची दूंगा जिन्हें हम आमतौर पर अपने ग्राहकों के साथ लागू करते हैं:

• गोपनीय जानकारी की एक सूची;
• सूचना सुरक्षा प्रशासक के निर्देश;
• व्यक्तिगत डेटा की सुरक्षा और उपायों की एक सूची के आयोजन के लिए जिम्मेदार व्यक्तियों को नियुक्त करने का एक आदेश;
• संरक्षित करने के लिए व्यक्तिगत डेटा की एक सूची;
• व्यक्तिगत डेटा के भंडारण के स्थानों की मंजूरी पर एक आदेश;
• व्यक्तिगत डेटा सूचना प्रणाली के उपयोगकर्ताओं का निर्देश;
• व्यक्तिगत डेटा के विनाश के लिए एक आयोग नियुक्त करने का आदेश;
• हार्डवेयर और सॉफ्टवेयर, डेटाबेस और सूचना सुरक्षा उपकरणों की कार्य क्षमता को बहाल करने और बहाल करने की प्रक्रिया;
• व्यक्तिगत डेटा संरक्षण शासन के आंतरिक ऑडिट की योजना;
• व्यक्तिगत डेटा सूचना प्रणाली को चालू करने का आदेश;
• व्यक्तिगत डेटा की एक सूचना प्रणाली की रिकॉर्डिंग मीडिया के लिए एक पत्रिका;
• व्यक्तिगत डेटा की सुरक्षा को नियंत्रित करने के लिए उपायों की एक लॉगबुक;
• अपने कानूनी अधिकारों के प्रयोग पर व्यक्तिगत डेटा के नागरिकों-विषयों के अनुप्रयोगों का एक रजिस्टर;
• स्वचालन के उपयोग के बिना व्यक्तिगत डेटा के प्रसंस्करण के लिए नियम;
• संसाधित व्यक्तिगत डेटा तक पहुंच अधिकारों के परिसीमन पर प्रावधान;
• व्यक्तिगत डेटा की सूचना प्रणाली के वर्गीकरण का कार्य;
• व्यक्तिगत डेटा सूचना प्रणाली में एंटी-वायरस नियंत्रण के लिए निर्देश;
• पासवर्ड सुरक्षा के आयोजन के लिए निर्देश;
• सूचना सुरक्षा उपकरणों के आवधिक परीक्षण की पत्रिका;
• व्यक्तिगत डेटा वाले दस्तावेजों के विनाश के अधिनियम का रूप;
• व्यक्तिगत डेटा गैर-प्रकटीकरण समझौता;
• सूचना सुरक्षा लॉगबुक;
• सूचना सुरक्षा ब्रीफिंग जर्नल;
• आपातकाल के मामले में सुरक्षा सुनिश्चित करने के लिए उपयोगकर्ता के लिए निर्देश;
• व्यक्तिगत डेटा को संसाधित करने के लिए अधिकृत व्यक्तियों की सूची के लिए एक आदेश;
• व्यक्तिगत डेटा के प्रसंस्करण और संरक्षण पर विनियमन;
• व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए कार्य योजना;
• व्यक्तिगत डेटा सूचना प्रणाली में सुरक्षा खतरों का मॉडल।

यहां, कुछ इस तरह से, फिर से, सूची बहुत व्यापक या बहुत संकीर्ण हो सकती है, यह सब इस बात पर निर्भर करता है कि प्रत्येक दस्तावेज़ में क्या लिखा जाएगा, यह वह सामग्री है जो यहां महत्वपूर्ण है। सभी दस्तावेजों के नमूने गूगल के लिए काफी आसान हैं।

कई लोगों ने शायद देखा कि दस्तावेजों की सूची में बहुत सारे ऐसे हैं जो सूचना प्रणाली में पीडी के स्वचालित प्रसंस्करण और संरक्षण को नियंत्रित करते हैं। इस तथ्य के बावजूद कि निरीक्षण के दौरान Roskomnadzor पीडी सुरक्षा के दस्तावेजी समर्थन पर तकनीकी की तुलना में अधिक ध्यान देता है, वैसे भी - पीडी के संरक्षण के लिए आप जितने अधिक दस्तावेज प्रदान करते हैं, उतना ही अधिक आप नियामक के कर्म से हार जाएंगे।

दस्तावेजों पर अनुभाग को छोड़कर, मैं कुछ और बिंदुओं पर ध्यान दूंगा, जिन पर आपको ध्यान देने की आवश्यकता है। सबसे पहले, एक परिचित शीट को उपरोक्त सभी दस्तावेजों पर जाना चाहिए, और इस दस्तावेज़ से प्रभावित सभी व्यक्ति (चाहे यह एक निर्देश या एक आदेश है) को हस्ताक्षर करना चाहिए कि वे कागज से परिचित हैं। दूसरी बात, "व्यक्तिगत डेटा के साथ काम करते समय, व्यक्तिगत डेटा के प्रसंस्करण और संरक्षण पर विनियमन द्वारा निर्देशित" व्यक्तिगत डेटा को संसाधित करने के लिए अधिकृत सभी व्यक्तियों के नौकरी विवरण में दर्ज किया जाना चाहिए। और तीसरा, आंतरिक दस्तावेजों के अलावा, एक सार्वजनिक एक को विकसित करना आवश्यक है। आमतौर पर उन्हें "व्यक्तिगत डेटा के प्रसंस्करण से संबंधित नीति" कहा जाता है। इस तरह के एक दस्तावेज को पीडी ऑपरेटर की वेबसाइट पर पोस्ट किया जाना चाहिए, या, अगर कोई वेबसाइट नहीं है, तो कार्यालय में सूचना बोर्ड पर या किसी अन्य सार्वजनिक स्थान पर। नीतियों के उदाहरण भी एक महान कई गूगल कर सकते हैं।

मान्यता

इस तथ्य के बावजूद कि यह क्षण तकनीकी संरक्षण से संबंधित है (आखिरकार, प्रमाणन तब किया जाता है जब हमारी सूचना प्रणाली पूरी तरह से सूचना सुरक्षा उपकरणों से चार्ज हो जाती है), मैं अभी भी इसके बारे में कुछ शब्द कहना चाहता था। मुझे अभी बहुत बार नियमित ग्राहकों से यह सुनना पड़ता है कि उनका ब्रेनवॉश किया गया था कि व्यक्तिगत डेटा सूचना प्रणाली का प्रमाणन अनिवार्य है। एक बार और सभी के लिए याद रखें - यह सब खराब है! काले और सफेद में सूचना वस्तुओं के प्रमाणीकरण पर प्रावधान का कहना है कि केवल राज्य रहस्य और पर्यावरणीय खतरनाक वस्तुओं वाले ऑब्जेक्ट अनिवार्य प्रमाणीकरण के अधीन हैं। इसलिए, ISPDn के अनिवार्य प्रमाणीकरण के बारे में यह सब बकवास सिर्फ बेईमान इंटीग्रेटर्स की मशीने हैं जो एक बार फिर एक भरोसेमंद ग्राहक से आटा काटना चाहते हैं।

ISPDn का प्रमाणन केवल तभी अनिवार्य हो सकता है जब आपका संगठन किसी उच्च अधिकारी के अधीनस्थ हो, और यह बहुत ही कुलीन वर्ग ने आपको अपने सभी ISPDn को प्रमाणित करने के लिए निर्देश भेजा हो।

हालाँकि, संगठन के प्रमुख स्वयं को प्रमाणित करने की इच्छा कर सकते हैं, क्योंकि अनुरूपता का प्रमाण पत्र स्पष्ट रूप से पुष्टि करता है कि आपकी सूचना प्रणाली दस्तावेजी सहायता और तकनीकी संरक्षण के संदर्भ में कानून के अनुरूप है। इस मामले में, यह याद रखना चाहिए कि प्रमाण पत्र की वैधता के लिए शर्तों में से एक आईएसपीडी की परिचालन स्थितियों की अपरिहार्यता है। यानी मोटे तौर पर, आप कार्यस्थल पर निगरानी को बदल नहीं सकते हैं या प्रमाणन निकाय की सहमति के बिना अतिरिक्त सॉफ़्टवेयर स्थापित नहीं कर सकते हैं, और यह अतिरिक्त लागतों की आवश्यकता है। यह भी याद रखने योग्य है कि अनुरूपता का प्रमाण पत्र अधिकतम तीन वर्षों के लिए जारी किया जा सकता है, और फिर - फिर से।
हमारे मुख्य विषय पर लौटना - रोसकोम्नाज़डोर के निरीक्षण की तैयारी, मैं यह कहना चाहता हूं कि इस क्षेत्र में सभी पाँच वर्षों के काम के लिए, निरीक्षकों को कभी भी प्रमाण पत्र की आवश्यकता नहीं होती है।

एक निष्कर्ष के बजाय

यह बहुत सारे पत्र निकला और मुझे लगता है कि इसे बंद करने का समय आ गया है, विशेष रूप से ऊपर वर्णित उपायों को पूरा करने के बाद से, हम कह सकते हैं कि आप Roskomnadzor की जांच करने के लिए लगभग तैयार हैं। लेकिन फिर भी मैं मुख्य चरणों को संक्षेप में तैयार करने की कोशिश करूंगा, जिसके कार्यान्वयन से आपको ऑडिट के परिणामों और लेख में शामिल नहीं किए गए कुछ अन्य बिंदुओं के आधार पर सकारात्मक निष्कर्ष निकालने में बहुत अधिक संभावना होगी।

• ऑपरेटर की अधिसूचना। नोटिस की उपलब्धता, साथ ही इसमें निहित जानकारी की सत्यता की जांच करना आवश्यक है।
• Roskomnadzor आपके व्यक्तिगत डेटा सूचना प्रणालियों की जांच नहीं करेगा, ये कार्य रूस के FSTEC और रूस के FSB (एन्क्रिप्शन उपकरणों का उपयोग करने के मामले में) को सौंपा गया है, इसलिए अपने कर्मचारियों को सूचित करते हुए दस्तावेज़ समर्थन पर ध्यान दें।
• मुझे लगता है कि यह कहना एक बार फिर से सार्थक नहीं होगा कि अगर रोसकोमनाडोज़र का एक चेक आपके पास आया, और टेबल पर किसी के कार्मिक विभाग में, किसी के पासपोर्ट की फोटोकॉपी का एक नायाब बंडल होगा, यह एक महाकाव्य फ़ाइल होगी।
• अगर सभी रीडिंग के बाद और सभी घटनाओं के बाद भी आपके पास सवाल हैं, तो भी आलसी मत बनो (और इससे भी अधिक डरो मत और शर्मीली मत बनो) रोजकोमनादज़ोर के क्षेत्रीय विभाग को कॉल करें। . , ( ) , . , , - , – .
• . , , , , . , , , . , . , . , , , , , .
• , . , - . , , 20 . , .

, , . , . - , .

UPD: : habr.com/ru/company/ic-dv/blog/451708