Меры защиты персональных данных в ИСПДн
Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»
1 Что это и зачем
Если ПП № 1119 говорит, какой уровень защищённости нужен системе с персональными данными, то приказ № 21 отвечает на вопрос «что конкретно сделать». В приложении к нему — перечень организационных и технических мер, разбитых на группы, с отметками, какие меры входят в базовый набор для каждого уровня от УЗ-4 до УЗ-1.
2 Кого касается
Касается операторов, которые обрабатывают персональные данные в информационных системах, и лиц, которые обрабатывают данные по их поручению. Для реализации мер можно привлекать организации с лицензией ФСТЭК на техническую защиту конфиденциальной информации. Для государственных информационных систем с персональными данными, кроме этого приказа, применяются требования к защите ГИС (с 01.03.2026 — приказ ФСТЭК № 117). Если ИСПДн — ещё и значимый объект КИИ, добавляются меры по приказу № 239.
3 Что требует
- Выбрать меры по уровню защищённости. Взять базовый набор для своего УЗ, адаптировать его (исключить меры для технологий, которых в системе нет), уточнить с учётом актуальных угроз и дополнить мерами из других актов, если они обязательны.
- Компенсирующие меры. Если какую-то меру технически невозможно или экономически нецелесообразно реализовать, вместо неё применяют другую, нейтрализующую те же угрозы, и обосновывают замену в документации на систему защиты.
- Реализовать меры 15 групп: идентификация и аутентификация (ИАФ), управление доступом (УПД), ограничение программной среды (ОПС), защита машинных носителей (ЗНИ), регистрация событий безопасности (РСБ), антивирусная защита (АВЗ), обнаружение вторжений (СОВ), контроль защищённости (АНЗ), целостность (ОЦЛ), доступность (ОДТ), защита среды виртуализации (ЗСВ), защита технических средств (ЗТС), защита системы и каналов связи (ЗИС), выявление инцидентов и реагирование (ИНЦ), управление конфигурацией (УКФ).
- Средства защиты. Меры реализуются в том числе с помощью средств защиты информации; если используются сертифицированные средства, приказ задаёт для каждого уровня минимальные классы средств.
- Оценить эффективность принятых мер не реже 1 раза в 3 года — самостоятельно или с привлечением организации с лицензией ФСТЭК.
4 Статус и редакции
Приказ действует с 2013 года, изменялся приказами ФСТЭК от 23.03.2017 № 49 и от 14.05.2020 № 68. Работает в паре с ПП № 1119, принят во исполнение ч. 4 ст. 19 152-ФЗ. В июле 2026 года на regulation.gov.ru размещён проект приказа ФСТЭК, который должен его заменить: меры предлагается выбирать по результатам анализа угроз, появляются меры для новых технологий, в том числе ИИ и облаков. До утверждения и вступления в силу нового приказа применяется № 21. Перед работой сверяйтесь с действующей редакцией.