Положение о разграничении прав доступа к обрабатываемым ПДн

Положение о разграничении прав доступа к обрабатываемым персональным данным определяет список лиц ответственных за обработку ПДн и уровень их доступа к обрабатываемым персональным данным.

Разграничение прав осуществляется на основании акта о проведения проверки ИСПДн, а так же исходя из характера и режима обработки персональных данных в ИСПДн.

Положение должно быть утверждено руководителем организации, на основании отчета о результатах проведения внутренней проверки и должно быть оформлено в соответствии с внутренним порядком документооборота организации. Дата введения Положения должна быть последующей после проведения внутренней проверки и принятия отчета о проведении внутренней проверки.

В приложениях к Положению для каждой ИСПДн должен быть представлен список групп пользователей участвующих в обработке. Список групп пользователей берется из отчета о результатах проведения внутренней проверки.

Список лиц ответственных за обработку персональных данных в информационных системах персональных данных, а так же их уровень прав доступа для каждой ИСПДн должен быть представлен в таблице, в которой указываются группа/должность сотрудника, уровень доступа к ПДн, разрешенные действия и ФИО сотрудника.

Данные, которые могут содержаться в Положении о разграничении прав доступа к обрабатываемым персональным данным:

• Группа/должность сотрудника: администратор ИСПДн-программист, администратор безопасности-программист, операторы ИСПДн с правами записи, операторы ИСПДн с правами чтения и т.д.
• Уровень доступа к ПДн: обладает полной информацией о системном и прикладном программном обеспечении ИСПДн; обладает полной информацией о технических средствах и конфигурации ИСПДн; имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн; обладает правами конфигурирования и административной настройки технических средств ИСПДн; обладает всеми необходимыми атрибутами и правами, обеспечивающими доступ к подмножеству ПДн; имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн; не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных) и т.д.
• Разрешенные действия: сбор информации, систематизация, накопление, хранение, уточнение, использование, уничтожение и т.д.