Оператор персональных данных должен осуществлять управление взаимодействием с внешними информационными системами персональных данных (ИСПДн), включая ИСПДн и вычислительные ресурсы (мощности) уполномоченных лиц. Это касается ИСПДн, с которыми заключены договоры или соглашения об информационном взаимодействии, а также любых других систем, необходимых для функционирования ИСПДн.
Управление взаимодействием с внешними ИСПДн включает в себя следующие аспекты:
- Предоставление доступа к ИСПДн только авторизованным (уполномоченным) пользователям в соответствии с УПД.2.
- Определение типов прикладного программного обеспечения ИСПДн, к которым разрешен доступ авторизованным пользователям из внешних систем.
- Установление системных учетных записей, используемых в рамках данного взаимодействия.
- Установление порядка предоставления доступа к ИСПДн не авторизованным пользователям из внешних систем.
- Определение правил обработки, хранения и передачи персональных данных с использованием внешних ИСПДн.
Для целей межведомственного электронного взаимодействия, исполнения государственных и муниципальных функций, а также формирования базовых государственных информационных ресурсов, управление взаимодействием с внешними ИСПДн осуществляется с использованием единой системы идентификации и аутентификации (ЕСИА), созданной в соответствии с постановлением Правительства Российской Федерации от 28 ноября 2011 года N977.
Правила и процедуры управления взаимодействием с внешними ИСПДн подробно регламентируются в организационно-распорядительных документах оператора персональных данных по защите персональных данных.
Требования к усилению УПД.16
- Оператор персональных данных должен предоставлять доступ к ИСПДн авторизованным пользователям внешних систем или разрешать обработку, хранение и передачу персональных данных с использованием внешней ИСПДн только при соблюдении следующих условий:
а) Наличие договора (соглашения) об информационном взаимодействии с оператором (обладателем, владельцем) внешней ИСПДн.
б) Подтверждение выполнения во внешней ИСПДн всех необходимых требований по защите персональных данных, включая наличие оценки эффективности (аттестата) соответствия требованиям по безопасности.
