Защита персональных данных в информационной системе строится из двух групп мер: организационных и технических, и начинать нужно именно с организационных, потому что они определяют, какие технические меры вообще понадобятся. Сначала назначается ответственный за организацию обработки ПДн, определяется перечень лиц с доступом к системе и утверждается уровень защищенности ИСПДн по постановлению N 1119 - от него зависит набор дальнейших требований.
Из организационных мер обязательны: политика обработки персональных данных, приказ о допуске конкретных сотрудников к системе, инструкция для пользователей ИСПДн и журнал учета машинных носителей, если данные хранятся на съемных дисках. Без этого технические средства защиты сами по себе проверку не закроют - Роскомнадзор и ФСТЭК смотрят именно на документальное подтверждение, что доступ ограничен осознанно, а не случайно.
Из технических мер для типовой системы среднего уровня защищенности понадобятся: разграничение прав доступа с индивидуальными учетными записями, антивирусная защита, регулярное резервное копирование, защита от несанкционированного доступа при подключении к интернету и, для более высоких уровней, сертифицированные средства защиты информации и шифрование каналов передачи. Конкретный состав мер зависит от определенного заранее уровня защищенности - для этого и делается расчет по 1119.
В бюджетном учреждении такую работу часто проводят своими силами вместе с системным администратором, но акт определения угроз и модель нарушителя разумно поручить специалисту со стороны, если своей квалификации в информационной безопасности не хватает - ошибка в этом документе снимает смысл со всех последующих технических мер.