Roskomnadzor के निरीक्षण के लिए तैयारी: बहादुर के लिए कठोर अभ्यास

13 वर्षों से, रूसी कानूनी क्षेत्र में संघीय कानून "ऑन पर्सनल डेटा" नंबर 152-एफजेड लागू है।

ऐसा लगता है कि वर्षों से, पीडी ऑपरेटिंग कंपनियों ने सब कुछ कर लिया है: दोनों व्यक्तिगत डेटा की रक्षा की आवश्यकता की प्राप्ति, और यह स्वीकार भी कि केवल एक पूर्ण नाम भी पीडी है, और बीस से अधिक संगठनात्मक और प्रशासनिक दस्तावेजों को लिखने की अनिवार्यता, और यहां तक ​​कि निर्माण के साथ विनम्र समझौता भी। कागज सुरक्षा के साथ एक पूर्ण सुरक्षा प्रणाली।

152--न केवल पीडी ऑपरेटरों के बारे में जागरूकता बढ़ गई, खुद संस्थाओं को भी यह एहसास होने लगा कि वे गोपनीय जानकारी के मालिक हैं और इसकी प्रभावी सुरक्षा की मांग करते हैं।

हालांकि, पीडी के साथ दैनिक अनुभव के बावजूद, ऑडिट से पहले सबसे जरूरी सवाल हमेशा होगा: "क्या वास्तव में रोसकोम्नज़ोज़िंग देख रहा है?"


सौभाग्य से, हमारे पास पहले से ही एक उत्तर है जो ILV निरीक्षण की तैयारी के व्यापक अभ्यास पर आधारित है: यह पीडी की संगठनात्मक रक्षा से संबंधित सभी चीजों को देखता है।
दुर्भाग्य से, इसका मतलब है कि यह प्रक्रिया आसान और बड़े पैमाने पर नहीं है, लेकिन इसके फायदे हैं: इस तरह की परियोजना हमेशा सूचना प्रवाह और प्रणालियों की एक सूची लेने के लिए एक उत्कृष्ट अवसर है, जो व्यावसायिक प्रक्रियाओं को अधिक पारदर्शी बना देगा और उन्हें अनुकूलित करना संभव बना देगा। लेकिन यह बाद है। यह आलेख वर्णन करेगा कि जब आप अपनी कंपनी को ऑडिट के संदर्भ में पाते हैं तो क्या करें।

सत्यापन की तैयारी

वैसे, आपको कंपनी को यथाशीघ्र योजना में देखने की आवश्यकता है: इसके लिए, अभी आप रोसकोमनाडज़ोर की वेबसाइट पर जा सकते हैं और वहां "2019 में केंद्रीय संघीय जिले में दूरसंचार, सूचना प्रौद्योगिकी और जनसंचार के क्षेत्र में पर्यवेक्षण के लिए संघीय सेवा के कार्यालय की योजना" दस्तावेज़ पा सकते हैं। यदि आपका कानूनी पता किसी अन्य संघीय जिले में स्थित है (या, इस लेख को पढ़ने के समय, 2019 पहले से ही अतीत है), इन मापदंडों को आवश्यक लोगों के साथ बदलें। यदि आप वर्तमान वर्ष के लिए योजना में शामिल नहीं हुए हैं, तो लगभग दिसंबर में आपके पास पहले से ही अगले वर्ष की योजना का उपयोग होगा।

चूंकि ऑडिट की तैयारी में सिफारिशों को लागू करने का एक अनिवार्य चरण शामिल है, आपको आधिकारिक लॉन्च की तारीख से कम से कम 6 महीने पहले प्रक्रिया शुरू करने की आवश्यकता है - यह आपको समय के दबाव से बचने में मदद करेगा और इसके परिणामस्वरूप, कर्मचारियों को उनके वर्तमान कार्यों से सक्रिय रूप से विचलित करेगा (सहकर्मियों की संभावना नहीं होने से) आवश्यक रूप से स्वीकार किया जाएगा) और आवश्यक कार्य में महत्वपूर्ण पहलुओं की चूक (और यह निरीक्षक द्वारा अनुमोदित नहीं किया जाएगा)।

तैयार हो जाइए: आप खुद को दो आग के बीच पाएंगे जब आपको आम अच्छे के लिए अस्थायी असुविधाएं पैदा करनी होंगी, लेकिन एक कड़वा गोली कभी-कभी महत्वपूर्ण होती है, मुख्य बात यह है कि यह सब एक साथ लेने की इच्छा है। सहयोग से संबंधित स्वागत करने के लिए निरीक्षण संबंधी कार्य आवश्यक रूप से होने चाहिए। आपका काम किसी को दंडित करना नहीं है, बल्कि कंपनी को स्व-मूल्यांकन करने और उल्लंघन और कमियों को खत्म करने में मदद करना है।

इसके लिए, सबसे पहले, कंपनी प्रबंधन को घटना के महत्व से अवगत कराना आवश्यक है, और इसकी सक्रिय भागीदारी के लिए पूछना चाहिए। सोने के लिए एक नियम है कि व्यवसाय के साथ पैसे की भाषा बोलना आवश्यक है जिसे वह समझता है। खैर: हमारे लिए संघीय कानून के उल्लंघन के लिए जुर्माना रूसी संघ के आपराधिक संहिता के लेख 137, 140, 272, 274 और रूसी संघ के प्रशासनिक संहिता के अनुच्छेद 13.11, 13.12, 13.25, 19.5 में इंगित किए गए हैं और अब उल्लंघन के प्रत्येक तथ्य के लिए रोजकोमनादोजर द्वारा जारी किए जाते हैं। यदि आपके व्यवसाय को कई सौ या लाखों रूबल के नुकसान का संदेह है, तो आपके ट्रम्प कार्ड में प्रतिष्ठित जोखिमों का उल्लेख है: नाराज कर्मचारी और ग्राहक इंटरनेट पर पूरी तरह से सुलभ हैं, समाचार साइटें किसी भी छोटे रिसाव को पकड़ने और इसे एक सनसनी की सीमा तक बढ़ाने के लिए तैयार हैं, और प्रतियोगियों इससे उनकी मदद करके खुशी होगी।

लेकिन आपका काम कंपनी के प्रबंधन को डराना नहीं है, बल्कि उसे समस्या का समाधान प्रदान करना और समर्थन प्राप्त करना है। इस स्तर पर, आपको अपनी ताकत का मूल्यांकन करने और यह समझने की आवश्यकता है कि क्या राज्य में ऐसे कर्मचारी हैं जो परियोजना के लिए आकर्षित हो सकते हैं। यह ध्यान दिया जाना चाहिए कि ये कर्मचारी काम के घंटे का कम से कम 80% कार्य को सौंपे जाने में सक्षम होना चाहिए - अर्थात्। कर्मियों / लेखा / कानूनी गतिविधियों के साथ समानांतर में सत्यापन के लिए पूरी कंपनी को तैयार न करें, लेकिन इसके लगभग सभी समय को समर्पित करें। और यहां हम सफल प्रशिक्षण के लिए एक महत्वपूर्ण शर्त पर आते हैं - व्यक्तिगत डेटा के प्रसंस्करण और संरक्षण के लिए जिम्मेदार एक अलग कर्मचारी की स्थिति में उपस्थिति, जो सूचना सुरक्षा प्रभाग का हिस्सा है। इस प्रक्रिया के प्रबंधन के लिए यह सबसे प्रभावी मॉडल है, और हमारे विचार में यहां बचत अनुचित है।

इस मॉडल को लागू करने के लिए दो विकल्प हैं: राज्य में एक कर्मचारी को काम पर रखना (या एक ही समय में बेहतर) रोजकोमनाडज़ोर के निरीक्षण की तैयारी और समर्थन में विशेषज्ञता वाले बाहरी संगठन को आमंत्रित करना।

ऐसी कंपनी चुनने के लिए मुख्य मानदंड - एक सिस्टम इंटीग्रेटर - इस क्षेत्र में इसी तरह की पूर्ण परियोजनाओं की उपस्थिति है, सेवा पेश करने की क्षमता और काम के चरणों और उनमें से प्रत्येक के परिणामों के बारे में विस्तार से बताने की क्षमता, लागत को सही ठहराने की क्षमता। यह उम्मीद की जानी चाहिए कि गुणवत्ता के काम में कभी भी सस्ते में खर्च नहीं होगा और अप्रत्याशित रूप से कम होगा।

एक अच्छा इंटीग्रेटर निश्चित रूप से आपको काम का एक पूरा चक्र प्रदान करेगा: ऑडिट के दौरान प्रोजेक्ट की आवश्यकता के लिए कंपनी प्रबंधन को तत्परता से समर्थन करने के लिए समझाने के लिए और इसके बाद उल्लंघन को खत्म करने के निर्देशों के उत्तर तैयार करने में मदद करने के लिए।

भले ही आप किसी तीसरे पक्ष के संगठन को आकर्षित करेंगे या नहीं, सबसे बड़ी बात जो शीर्ष प्रबंधन आपकी मदद कर सकता है - बजट के अलावा - जिम्मेदार व्यक्ति को पूरी तरह से सहायता करने के अनुरोध के साथ काम की शुरुआत के बारे में एक कंपनी-व्यापी समाचार पत्र शुरू करना है। इस बात पर जोर देना बहुत जरूरी है कि यह एक स्व-मूल्यांकन है, अपराधियों की पहचान करने और उन्हें दंडित करने के लिए ऑडिट नहीं। दुर्भाग्य से, किसी विशेष प्रक्रिया के बारे में बहुत आवश्यक जानकारी प्रदान करने से इनकार करने पर कर्मचारियों की ओर से घबराहट और प्रतिरोध के मामले थे। याद रखें: सभी कर्मचारियों के काम के चमत्कार की ओर से एक अच्छे लक्ष्य की खातिर प्रबंधन और आम जागरूकता में भागीदारी के लिए एक विनम्र अनुरोध।

काम के मुख्य चरण

अब जब हरी बत्ती दी गई है, तो काम के आवश्यक चरणों से गुजरें।
एक ऑडिट के लिए तैयार करने का सबसे प्रभावी तरीका सब कुछ अधिकतम करने की कोशिश करना है: यह पहले से ज्ञात नहीं है कि नियामक किन विशिष्ट प्रक्रियाओं को देखेगा - यह सब Roskomnadzor द्वारा आवंटित समय और कार्मिक संसाधनों पर निर्भर करता है।

ऑडिट शुरू होने से पहले, कंपनी को इसकी शर्तों और योजना का संकेत देने वाला एक आधिकारिक पत्र प्राप्त होगा। परंपरागत रूप से, प्रक्रिया को दो भागों में विभाजित किया जा सकता है: प्रलेखन का अनुरोध और अध्ययन (हम शुरुआत में उल्लिखित बीस से अधिक संगठनात्मक और प्रशासनिक दस्तावेजों के बारे में बात कर रहे हैं) और प्रत्यक्ष निष्पादकों के आमने-सामने साक्षात्कार: निरीक्षक एक बैठक कक्ष में बैठने और एक महीने के लिए विभाग प्रमुखों के साथ संवाद करने के लिए पूरी तरह से उदासीन हैं। लगभग हमेशा, कर्मचारियों के कार्यस्थलों पर बातचीत होती है। निरीक्षक को सिस्टम / फ़ोल्डर / मेल दिखाने के साथ-साथ काम करने वाले कंप्यूटर पर कुछ खोजने के लिए कहने का अधिकार है: उसे कंपनी के नेटवर्क तक पहुंच प्रदान करने की आवश्यकता नहीं है, हालांकि, वह कुछ प्रक्रियाओं के स्क्रीनशॉट ले सकता है।

वे निश्चित रूप से सभी कंपनियों के लिए विशिष्ट प्रक्रियाओं की जांच करेंगे: पासिंग मोड ("जो आगंतुकों की पीडी को प्रबंधित करने की प्रक्रिया कैसे करता है?"), रिक्त पदों के लिए उम्मीदवारों की खोज करें ("नौकरी चाहने वालों के कब से शुरू?"), एचआर प्रबंधन ("आपको बर्खास्त करने की पीडी रखने की आवश्यकता क्यों है?" कर्मचारी? ”), लेखांकन (“ किस आधार पर पीडी को बैंक और बीमा में स्थानांतरित किया जाता है? ”), ठेकेदारों के साथ बातचीत (“ क्या उन्हें प्रसंस्करण के लिए निर्देश दिए गए हैं? क्या डेटा ट्रांसमिशन चैनल संरक्षित है? क्या हस्तांतरित सूचना का संरक्षण नियंत्रित है? ”), भंडारण दस्तावेजों की डिलीवरी संग्रह ( "एक फ़ाइल है कि क्या यह कानून के संदर्भ में है?")।
यदि आपकी मुख्य गतिविधि सेवाओं का प्रावधान है, तो सत्यापन के लिए क्षेत्र और भी अधिक व्यापक है: ग्राहक खोज, अनुबंध, सेवा, समाप्ति, विज्ञापन।

एक असामान्य से वे कंपनी की वेबसाइट पर देख सकते हैं ("व्यक्तिगत डेटा को संसाधित और संरक्षित करने के लिए एक नीति है? कुकीज़ और काउंटरों के बारे में एक संदेश?"), मोबाइल एप्लिकेशन ("जिनके पास डेटाबेस हैं?"), एक रहस्य दुकानदार के रूप में फ्रंट ऑफिस पर जाएं, काम की जांच करें। कॉल-सेंटर, एक धमकी मॉडल का अनुरोध करें और यहां तक ​​कि बिजनेस कार्ड के ऑर्डर करने की प्रक्रिया के बारे में भी पूछें।

प्रशिक्षण कहाँ से शुरू करें? हम एक समीक्षक (वास्तविक जांच से पहले एक महान पूर्वाभ्यास) के रूप में उसी तरह से कार्य करने का प्रस्ताव रखते हैं, केवल इस अंतर के साथ कि सभी कर्मचारी आपकी मदद करने के लिए तैयार हैं और यह सब कुछ बताएंगे, सभी कमियों के साथ - यही कारण है कि शीर्ष प्रबंधन और प्रारंभिक स्पष्टीकरण की भागीदारी इतनी महत्वपूर्ण है अचानक आंतरिक लेखापरीक्षा कार्य के कारण।

सबसे पहले, कंपनी की संगठनात्मक संरचना का सावधानीपूर्वक अध्ययन करें (और, यदि उपलब्ध हो तो, आईएसपीडी की सूची), साहसपूर्वक ठेठ पीडी प्रसंस्करण प्रक्रियाओं को उजागर करें, सुझाव दें कि वे इन क्षेत्रों के अलावा कहां हो सकते हैं, एक साक्षात्कार अनुसूची। अनुभव से: आईटी और सूचना सुरक्षा विभाग बाद के लिए सबसे अच्छा है, जब आपके पास पहले से ही सभी पीडी प्रसंस्करण प्रक्रियाओं का विचार है। व्यक्तिगत डेटा के प्रसंस्करण और संरक्षण के लिए कंपनी में सभी उपलब्ध दस्तावेज खोजें।

प्रत्येक साक्षात्कार को 30 से 60 मिनट तक लेना चाहिए: इस समय के दौरान आप लंबे समय तक अपने कार्य कार्यों से अपने वार्ताकार को लेने के बिना सभी आवश्यक जानकारी एकत्र कर सकते हैं। साक्षात्कार यह पता लगाने का एक शानदार मौका है कि आपके सहयोगियों को काम को और अधिक आरामदायक बनाने के लिए क्या कमी है: बहुत बार हम श्रेडर या लॉक करने योग्य अलमारियाँ की कमी पर प्रतिबिंबित करने के लिए अनुरोध सुनते हैं, साथ ही पीडीएस को इकट्ठा करने और सुरक्षा के लिए अनिवार्य प्रक्रियाओं के विवरण की कमी - यह भविष्य में बजट की रक्षा करने में मदद करेगा। सुरक्षा प्रणाली का निर्माण या उन्नयन।

संचार के दौरान साक्षात्कार के मिनटों को आकर्षित करना सुनिश्चित करें और इसके बाद अपने वार्ताकार के साथ समन्वय करें। इसमें उन सभी दस्तावेजों को प्रतिबिंबित करें, जिनमें पीडी हो सकता है या उनकी रसीद / भेजना शामिल है, और बातचीत के दौरान चर्चा की गई थी - भविष्य में आपको उनसे अनुरोध करने और उनका विश्लेषण करने की आवश्यकता है।
इस प्रकार, परीक्षा चरण के अंत में आपके पास होना चाहिए:

• सहमत साक्षात्कार प्रोटोकॉल
• पीडी के प्रसंस्करण और संरक्षण पर सभी उपलब्ध वैध दस्तावेज
• सभी दस्तावेजों में पीडी के प्रवेश, उनकी रसीद या स्थानांतरण शामिल हो सकते हैं

अंत में

सबसे दिलचस्प बात बनी रही: एक सर्वेक्षण रिपोर्ट संकलित करने के लिए, जहां सभी प्रोटोकॉल, प्रत्येक दस्तावेज़ के विश्लेषिकी, प्रत्येक प्रक्रिया के विश्लेषण को शामिल करना आवश्यक है। और आपके काम के परिणामस्वरूप - उल्लंघन की एक सूची मिली, उनके उन्मूलन के लिए सिफारिशें, समय और जिम्मेदारी का संकेत।

यही है: अब आप राहत की सांस ले सकते हैं और ... तुरंत इन सिफारिशों के कार्यान्वयन के साथ आगे बढ़ें।

क्या किया गया काम एक सही परीक्षा की गारंटी देगा? कोई भी आपको यह वादा नहीं कर सकता है कि यह प्रक्रिया एक भी टिप्पणी के बिना जाएगी (किसी भी मामले में, एक भी बोना व्यक्ति अनुभवी विशेषज्ञ नहीं है - निश्चित रूप से), लेकिन आप बहुत अच्छी तरह से कम से कम ऐसी टिप्पणियों की संख्या को प्रभावित कर सकते हैं और उनका उन्मूलन आवंटित में न्यूनतम रूप से दर्दनाक हो सकता है (काफी लोकतांत्रिक अब 3-6 महीने) की शर्तें।

जाँच करने के बाद, पीडी सुरक्षा के तकनीकी पहलुओं के बारे में सोचना सुनिश्चित करें, कार्यान्वित प्रक्रियाओं और दस्तावेजों का समर्थन करें, कर्मचारी प्रशिक्षण का संचालन करें, और अगली बार जब आप निश्चित रूप से थोड़ा आसान हो जाएंगे।