Защита персональных данных: требования, документы, практика

Курс для специалистов, которые организуют обработку и защиту персональных данных в компании. На нём проходят весь цикл: от правовых оснований обработки и прав субъекта до документов оператора, технических мер защиты, реагирования на инциденты и подготовки к проверке надзорного органа.

Около 40 % времени занимают практикумы. Слушатели разрабатывают политику оператора и форму согласия, заполняют журналы и реестры, классифицируют информационную систему и строят модель угроз, разбирают инцидент и готовят уведомление о нарушении. Каждый блок заканчивается проверкой: тестом, кейсом или разбором подготовленного документа.

Аудитория:

• ответственные за организацию обработки персональных данных;

• специалисты служб информационной безопасности;

• юристы и комплаенс-специалисты;

• специалисты кадровых служб;

• руководители подразделений, работающих с данными клиентов: продаж, маркетинга, call-центров;

• ИТ-специалисты, сопровождающие системы с персональными данными.

По окончании курса слушатель сможет:

• определять правовое основание обработки и оформлять согласие субъекта без типовых ошибок;

• разрабатывать политику оператора и локальные акты по обработке ПДн;

• вести документооборот: приказы, журналы, акты, реестры;

• организовывать обработку ПДн работников, клиентов и контрагентов, в том числе при передаче третьим лицам и публикации на сайте;

• классифицировать информационную систему, определять уровень защищённости и строить модель угроз;

• подбирать организационные и технические меры защиты;

• выявлять инциденты, реагировать на них и уведомлять регулятора;

• проводить внутренний аудит и готовить организацию к проверке.

Что участник получает:

• проект политики оператора и формы согласия на обработку ПДн;

• модель угроз для типовой информационной системы;

• шаблон уведомления о нарушении;

• чек-листы подготовки к проверке и самооценки соответствия.

1. Цели и задачи курса. Понятие ПДн и их место в системе информации ограниченного доступа

2. Законодательство о персональных данных: подзаконные акты, международные нормы

3. Основные понятия: оператор, обработка, субъект ПДн, конфиденциальность, обезличивание

4. Принципы и условия обработки ПДн

5. Правовые основания обработки: согласие, договор, законные интересы, обязанности оператора

6. Специальные категории ПДн и биометрические ПДн: особенности обработки

7. Права субъекта ПДн: доступ, уточнение, блокирование, уничтожение, отзыв согласия

8. Обязанности оператора: политика оператора, локальные акты

9. Организационная структура системы защиты ПДн: ответственный, комиссия, роли

10. Политика оператора в отношении обработки ПДн: структура и содержание

11. Согласие на обработку ПДн: требования к форме и содержанию, типовые ошибки

12. Документооборот при работе с ПДн: приказы, журналы, акты, реестры

13. Обработка ПДн работников: кадровое делопроизводство и трудовое законодательство

14. Обработка ПДн клиентов и контрагентов: договоры, CRM, call-центры

15. Публикация ПДн на сайте и в СМИ: согласия, фото, отзывы

16. Передача ПДн третьим лицам: поручение обработки, трансграничная передача

17. Информационные системы персональных данных (ИСПДн): понятие и состав

18. Классификация ИСПДн и определение уровня защищенности

19. Модель угроз и модель нарушителя: методика построения

20. Нормативные требования к защите ПДн

21. Организационные меры защиты ПДн: режим, допуск, инструктажи

22. Управление доступом: идентификация, аутентификация, авторизация, парольная политика

23. Защита от вредоносного ПО и сетевые средства защиты (межсетевые экраны, IDS/IPS)

24. Криптографическая защита ПДн: СКЗИ, электронная подпись, защищенные каналы

25. Защита ПДн при удаленном доступе и мобильной работе

26. Резервное копирование, восстановление и уничтожение ПДн

27. Обезличивание ПДн: методы и требования

28. Инциденты информационной безопасности: выявление, реагирование, уведомление регуляторов

29. Государственный контроль и надзор

30. Подготовка к проверке: перечень документов и типовые нарушения

31. Внутренний аудит и самооценка соответствия требованиям

32. Юридическая ответственность за нарушения: административная, уголовная, дисциплинарная

33. Судебная практика и типовые споры по ПДн

34. Практикум: разработка политики оператора и согласия на обработку ПДн

35. Практикум: составление модели угроз для типовой ИСПДн

36. Практикум: разбор инцидента и подготовка уведомления о нарушении

37. Итоговое тестирование по всем модулям

38. Разбор результатов, рекомендации по дальнейшему обучению и итоговая аттестация