Паспорт ИСПДн

Прежде чем защищать систему, нужно точно знать, что именно защищается. На практике даже в небольшой компании информационная система персональных данных часто оказывается сложнее, чем кажется на первый взгляд: данные хранятся не в одном месте, а распределены между CRM, бухгалтерской программой, облачным сервисом и локальными файлами сотрудников.

Паспорт ИСПДн фиксирует это состояние на определённый момент времени в структурированном виде. Он нужен для нескольких практических целей: обосновать выбранный уровень защищённости и набор мер защиты, показать проверяющему органу целостную картину системы, а не разрозненные фрагменты, и дать самой компании инструмент контроля — при изменении системы видно, что именно изменилось по сравнению с зафиксированным состоянием.

Без паспорта другие документы по защите персональных данных — модель угроз, акт определения уровня защищённости, техническое задание на систему защиты — существуют как бы в вакууме, без ясной привязки к конкретной технической реализации.

Типовой паспорт информационной системы персональных данных включает следующие разделы:

Один из самых практически значимых разделов паспорта — где именно физически находятся данные. Это влияет и на оценку рисков, и на юридическую квалификацию отношений с теми, кто предоставляет инфраструктуру.

Если данные обрабатываются в облачном сервисе, паспорт должен отражать, кто выступает оператором, а кто — обработчиком по поручению, на каком основании оформлены эти отношения, и где физически расположены серверы облачного провайдера. Если система работает через подрядчика, обслуживающего ИТ-инфраструктуру компании, это также нужно зафиксировать — вместе со ссылкой на договор, определяющий условия обработки персональных данных таким подрядчиком.

Смешение локальной инфраструктуры, облачных сервисов и подрядных решений в одной системе — обычная ситуация для среднего бизнеса, и именно паспорт даёт возможность увидеть всю эту картину целиком, а не по частям.

Паспорт информационной системы разрабатывается и поддерживается в актуальном состоянии ответственным за организацию обработки персональных данных совместно со специалистом, отвечающим за информационную безопасность в компании, если такая роль выделена. Утверждается документ руководителем организации или уполномоченным лицом.

Паспорт — не документ разового составления. Его нужно актуализировать при любом значимом изменении системы: подключении нового сервиса, изменении состава обрабатываемых данных, переносе инфраструктуры к другому провайдеру, смене ответственных лиц. Разумная практика — сверять паспорт с фактическим состоянием системы не реже раза в год и обязательно при подготовке к проверке регулятора.

Паспорт ИСПДн - центральный технический документ, вокруг которого выстраивается остальной пакет: модель угроз и модель нарушителя анализируют угрозы именно применительно к тому составу системы, который описан в паспорте; акт определения уровня защищённости ссылается на характеристики системы из паспорта; техническое задание на систему защиты формулирует требования исходя из того, что реально нужно защищать.

Если паспорт устарел и не отражает текущее состояние системы, весь остальной пакет документов начинает описывать не ту систему, которая реально работает у оператора: на бумаге одна архитектура, в реальности другая. Это частая причина расхождений, которые выявляются при проверках, потому что паспорт не обновлялся вслед за изменениями в ИТ-инфраструктуре компании.

Поэтому обновление паспорта имеет смысл закрепить как обязательный шаг в регламенте внесения изменений в ИТ-инфраструктуру, а не оставлять на усмотрение отдельного сотрудника, который может просто забыть об этой формальности в текучке рабочих задач.