Работы по созданию системы защиты персональных данных можно разделить на несколько этапов:

Этап 1: Проведение предпроектного обследования и составление Технического задания на построение системы защиты персональных данных (включая Аналитическое обоснование);

Этап 2: Разработка пакета документов, определенного федеральными законами и руководящими документами ФСТЭК и ФСБ по защите персональных данных. Проведение классификации информационной системы персональных данных и составление Акта классификации;

Этап 3: Поставка, установка и настройка средств защиты информации;

Этап 4: Проведение аттестации информационной системы персональных данных.

Стоимость работ по предпроектному обследованию и разработке технического задания:

2. Разработка пакета документов включает разработку следующих документов:

1.        Уведомление о начале обработки персональных данных

2.        Согласие субъекта на обработку персональных данных

3.        Приказ об организации работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных

4.        Перечень сведений, содержащих персональные данные

5.        Перечень автоматизированных рабочих мест

6.        Перечень серверного, коммутационного и сетевого оборудования

7.        Перечень технических средств, позволяющих осуществлять обработку ПДн

8.        Перечень общесистемного и прикладного программного обеспечения, используемого в информационной системе персональных данных

9.        Перечень информационных систем персональных данных

10.    Список лиц, которым необходим доступ к персональным данным

11.    Акты проведения классификации информационной системы персональных данных

12.    Частные модели угроз (для каждой информационной системы)

13.    Положение о порядке организации и проведения работ по обеспечению безопасности персональных данных при их обработке в информационной системе персональных данных

14.    Положение об обработке персональных данных работников

15.    Положение о порядке обработки персональных данных без использования средств автоматизации

16.    Обязательство о неразглашении конфиденциальной информации

17.    Инструкция о порядке работы с персональными данными

18.    Инструкция пользователя информационной системы персональных данных

19.    Инструкция ответственного за обеспечение безопасности персональных данных

20.    Инструкция по организации антивирусной защиты

21.    Инструкция по организации парольной защиты

22.    Инструкция по разграничению доступа пользователя к средствам защиты и информационным ресурсам

23.    Инструкция по физической охране информационной системы персональных данных, контролю доступа в помещение

24.    Инструкция по учету машинных носителей, регистрации их выдачи

25.    Журнал учета паролей пользователя информационной системы

26.    Журнал учета средств защиты информации

27.    Журнал учета машинных носителей информации

28.    Журнал учета ключей от помещений

29.    Журнал учета ключей от сейфов

30.    Журнал учета лиц, допущенных к работе с персональными данными

31.    Журнал регистрации попыток несанкционированного доступа

32.    Письмо в ФСТЭК о приобретении комплекта документов по защите персональных данных

33.    Регламент резервного копирования данных

Стоимость разработки пакета документов составляет от 15 000 до 30 000 руб.

3.    Создание системы защиты персональных данных осуществляется и заключается в поставке и внедрении программно-технических средств защиты персональных данных, определении ответственных за защиту персональных данных в организации, разработке эксплуатационной документации на системы защиты персональных данных.

Стоимость необходимых средств и их количества станет известна после проведения предпроектного обследования и составления модели угроз безопасности.

4. Аттестация информационной системы персональных данных является ключевым этапом, по итогам которого организация получает аттестат соответствия информационной системы требованиям по безопасности. Аттестат является документом, подтверждающим, что организация выполнила все необходимые требования по защите персональных данных и может обрабатывать персональные данные.