1.1.4 Основные принципы обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных

Основными принципами обеспечения безопасности ПДн, обрабатываемых в ИСПДн, должны быть принципы законности, превентивности, адекватности, непрерывности, адаптивности, самозащиты, многоуровневости, разделения полномочий, персональной ответственности и минимизации привилегий.

Принцип законности заключается в том, что деятельность по обеспечению безопасности ПДн, обрабатываемых в ИСПДн, должна осуществляться в строгом соответствии с действующим законодательством в области защиты информации.

Принцип превентивности заключается в том, что деятельность по обеспечению безопасности ПДн, обрабатываемых в ИСПДн, в первую очередь должна быть направлена на предотвращение (существенное затруднение) реализации угроз безопасности информации, а уже затем - на парирование реализуемых угроз и устранение последствий их проявления.

Принцип адекватности заключается в том, что организационные и технические меры обеспечения безопасности ПДн, должны быть дифференцированы в зависимости от категории (степени важности) ПДн, категории ИСПДн, частоты и вероятности возникновения угроз безопасности ПДн, и формироваться с учетом соотношения затрат на реализацию этих мер и ущерба, возникающего вследствие реализации угроз безопасности ПДн.

Принцип непрерывности заключается в том, что мероприятия по обеспечению безопасности ПДн в ИСПДн должно осуществляться на всех стадиях жизненного цикла ИСПДн и во всех режимах их работы.

Принцип адаптивности заключается в том, что должна быть обеспечена возможность непрерывного преемственного совершенствования методов (способов), приемов, систем и средств обеспечения безопасности ПДн, обрабатываемых в ИСПДн, с учетом динамики развития угроз безопасности ПДн, обрабатываемых в ИСПД и условий функционирования ИСПДн

Принцип самозащиты заключается в том, что реализованные механизмы (организационные и технические меры) обеспечения безопасности ПДн должны быть устойчивыми к внешним и внутренним угрозам их нарушения. Реализация данного принципа требует обеспечения конфиденциальности реализованных механизмов защиты информации, проведения объективного контроля эффективности принятых мер обеспечения безопасности, осуществления непрерывного управления обеспечением безопасности, наличия эффективных средств восстановления механизмов обеспечения безопасности ПДн при любых нарушениях их нормального функционирования.

Принцип многоуровневости заключается в том, что деятельность по обеспечению безопасности ПДн, обрабатываемых в ИСПДн, должна реализовывать защиту ПДн относительно всех режимов функционирования ИСПДн (технологического, пользовательского, локального, сетевого). При этом должно быть обеспечено разграничение требований по защите ПДн для ИСПДн, оперирующих с данными различных категорий (уровней важности)

Принцип разделения полномочий заключается в том, что при обеспечении безопасности ПДн, обрабатываемых в ИСПДн, должно обеспечиваться разделение прав и ответственности между пользователями (субъектами ПДн, организациями, имеющими доступ к ИСПДн) и операторами ИСПДн, исключающее возможность нарушения процессов нормального функционирования ИСПДн или используемых в ней механизмов защиты пользователем.

Принцип персональной ответственности и минимизации привилегий заключается в том, что деятельность по обеспечению безопасности ПДн, обрабатываемых в ИСПДн, должна предусматривать однозначное определение минимально необходимого уровня прав и конкретных положений об ответственности каждого конкретного лица (в пределах его полномочий) за обеспечение безопасности ПДн.