Уровни защищённости персональных данных в ИСПДн
Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
1 Что это и зачем
Постановление задаёт «шкалу» защиты персональных данных в информационных системах. Оператор определяет, какие угрозы для его системы актуальны и какие данные в ней обрабатываются, и по этим двум признакам получает уровень защищённости — от УЗ-4 (самый мягкий) до УЗ-1 (самый строгий). От уровня зависят обязательные требования из самого постановления и набор мер защиты по приказу ФСТЭК № 21.
2 Кого касается
Касается всех операторов, которые обрабатывают персональные данные в информационных системах — от кадровой и бухгалтерской программы до CRM и сайта. Уровень определяют для каждой информационной системы персональных данных (ИСПДн) и оформляют актом. Если система одновременно является объектом КИИ или ГИС, требования этого постановления действуют наряду с требованиями других режимов.
3 Что требует
- Определить тип актуальных угроз. Тип 1 — в системном ПО есть недокументированные (недекларированные) возможности; тип 2 — такие возможности есть в прикладном ПО; тип 3 — ни в системном, ни в прикладном ПО их нет. Тип выбирает оператор с учётом оценки возможного вреда.
- Отнести данные к категории. Специальные категории (здоровье, убеждения и т. п.), биометрические, общедоступные и иные. Учитывается и чьи это данные — работников оператора или нет — и сколько людей: больше или меньше 100 000.
- Установить уровень защищённости. УЗ-1 — прежде всего угрозы 1-го типа (кроме общедоступных данных) и специальные категории более 100 000 человек — не работников при угрозах 2-го типа. УЗ-4 — угрозы 3-го типа с общедоступными данными или с иными данными только работников либо менее 100 000 человек. Остальные сочетания дают УЗ-2 или УЗ-3.
- Для любого уровня (УЗ-4 и выше): режим безопасности помещений с ИСПДн, сохранность носителей данных, утверждённый руководителем перечень лиц с доступом к данным, средства защиты, прошедшие оценку соответствия, если без них угрозы не нейтрализовать.
- Для УЗ-3 — дополнительно: назначить должностное лицо, ответственное за обеспечение безопасности ПДн в информационной системе.
- Для УЗ-2 — дополнительно: доступ к электронному журналу сообщений — только у должностных лиц, которым он нужен для работы.
- Для УЗ-1 — дополнительно: автоматическая регистрация в журнале безопасности изменений полномочий работников по доступу к данным; отдельное подразделение, отвечающее за безопасность ПДн, или эти функции у одного из существующих подразделений.
- Контролировать выполнение требований не реже 1 раза в 3 года — самостоятельно или с привлечением организации с лицензией ФСТЭК.
4 Статус и редакции
Постановление действует с 2012 года и заменило постановление Правительства № 781 от 17.11.2007. Работает в паре с приказом ФСТЭК № 21: постановление задаёт уровни и минимальные требования, приказ — конкретный состав мер для каждого уровня. Актуальные угрозы на практике определяют по Методике оценки угроз безопасности информации ФСТЭК (05.02.2021) и банку данных угроз ФСТЭК. Перед работой сверяйтесь с действующей редакцией.