Уровни защищённости персональных данных: как определить
Четыре уровня защищённости персональных данных по постановлению № 1119: от чего зависит уровень, таблицы условий по пунктам 9–12, примеры для магазина, клиники и школы, кто определяет уровень и как это оформить.
Коротко: постановление Правительства № 1119 устанавливает четыре уровня защищённости персональных данных (п. 8). Уровень зависит от трёх вещей: какие данные обрабатываются, какой тип угроз актуален для информационной системы и сколько в ней людей, не являющихся работниками оператора (порог 100 000). Уровень «устанавливается» по этим условиям, по нашему прочтению, оператором. Для небольшой системы с обычными данными и угрозами 3-го типа условия п. 12 дают 4-й уровень.
Главное об уровнях защищённости
- Уровней четыре: 4-й требует меньше всего, 1-й больше всего (п. 13–16 наслаиваются).
- Условия в п. 9–12: тип угроз, категория данных, работники или нет, число субъектов.
- Порог — 100 000 субъектов, не считая работников оператора. Случай «ровно 100 000» в тексте не назван.
- Определяет оператор, оформление актом — практика, не норма.
- Уровень относится к системе, а не к организации: в одной организации могут быть разные уровни.
Что значит «уровень защищённости»
Закон определяет уровень защищённости как комплексный показатель, характеризующий требования, исполнение которых нейтрализует определённые угрозы безопасности при обработке данных в информационных системах (ч. 11 ст. 19 закона № 152-ФЗ). Сами уровни устанавливает Правительство в зависимости от угроз (п. 1 ч. 3 ст. 19), а требования к каждому уровню — тоже Правительство (п. 2 ч. 3), составом мер занимаются ФСБ и ФСТЭК (ч. 4).
Чем выше уровень, тем больше требований. Это следует из того, как построены п. 13–16 постановления:
| Уровень | Что требуется (п. 13–16 постановления № 1119) |
|---|---|
| 4-й | Режим помещений, сохранность носителей, документ руководителя с перечнем лиц, имеющих доступ, средства защиты с оценкой соответствия, когда они нужны для нейтрализации актуальных угроз (п. 13) |
| 3-й | Всё из 4-го плюс назначено должностное лицо (работник), ответственное за безопасность данных в системе (п. 14) |
| 2-й | Всё из 3-го плюс доступ к содержанию электронного журнала сообщений только у тех, кому это нужно для работы (п. 15) |
| 1-й | Всё из 2-го плюс автоматическая регистрация в электронном журнале безопасности изменения полномочий по доступу и подразделение, ответственное за безопасность, либо возложение таких функций на одно из подразделений (п. 16) |
Разбор самих требований смотрите в статье о постановлении № 1119 по пунктам. Контроль за выполнением требований проводят не реже одного раза в 3 года (п. 17).
От чего зависит уровень
Чтобы пользоваться таблицами, нужно ответить на четыре вопроса. Подробно о них в статье про ИСПДн и классификацию.
- Какой тип угроз актуален? 1-й, 2-й или 3-й (п. 6). Определяет оператор (п. 7).
- Какие категории данных в системе? Специальные, биометрические, общедоступные или иные (п. 5).
- Это данные работников оператора или не только? Если в системе есть не только данные работников, она считается системой с данными «не сотрудников».
- Сколько в системе людей, не являющихся работниками? Менее 100 000 или более 100 000.
Таблицы: условия и уровень
Таблицы собраны по тексту п. 9–12 постановления. В каждой ячейке указан пункт, откуда взят результат.
Угрозы 1-го типа (недокументированные возможности в системном ПО)
| Категория данных | Данные работников оператора | Не работники, менее 100 000 | Не работники, более 100 000 |
|---|---|---|---|
| Специальные | УЗ-1 (п. 9 «а») | УЗ-1 (п. 9 «а») | УЗ-1 (п. 9 «а») |
| Биометрические | УЗ-1 (п. 9 «а») | УЗ-1 (п. 9 «а») | УЗ-1 (п. 9 «а») |
| Иные | УЗ-1 (п. 9 «а») | УЗ-1 (п. 9 «а») | УЗ-1 (п. 9 «а») |
| Общедоступные | УЗ-2 (п. 10 «а») | УЗ-2 (п. 10 «а») | УЗ-2 (п. 10 «а») |
Угрозы 2-го типа (недокументированные возможности в прикладном ПО)
| Категория данных | Данные работников оператора | Не работники, менее 100 000 | Не работники, более 100 000 |
|---|---|---|---|
| Специальные | УЗ-2 (п. 10 «б») | УЗ-2 (п. 10 «б») | УЗ-1 (п. 9 «б») |
| Биометрические | УЗ-2 (п. 10 «в») | УЗ-2 (п. 10 «в») | УЗ-2 (п. 10 «в») |
| Общедоступные | УЗ-3 (п. 11 «а») | УЗ-3 (п. 11 «а») | УЗ-2 (п. 10 «г») |
| Иные | УЗ-3 (п. 11 «б») | УЗ-3 (п. 11 «б») | УЗ-2 (п. 10 «д») |
Угрозы 3-го типа (угрозы не связаны с такими возможностями в системном и прикладном ПО)
| Категория данных | Данные работников оператора | Не работники, менее 100 000 | Не работники, более 100 000 |
|---|---|---|---|
| Специальные | УЗ-3 (п. 11 «в») | УЗ-3 (п. 11 «в») | УЗ-2 (п. 10 «е») |
| Биометрические | УЗ-3 (п. 11 «г») | УЗ-3 (п. 11 «г») | УЗ-3 (п. 11 «г») |
| Общедоступные | УЗ-4 (п. 12 «а») | УЗ-4 (п. 12 «а») | УЗ-4 (п. 12 «а») |
| Иные | УЗ-4 (п. 12 «б») | УЗ-4 (п. 12 «б») | УЗ-3 (п. 11 «д») |
Где число и принадлежность субъектов в условии не названы (биометрия, общедоступные данные при некоторых типах угроз, любые данные при угрозах 1-го типа), результат одинаков для всех трёх столбцов.
Как читать таблицы
- Выберите таблицу по типу угроз.
- Найдите строку со своей категорией данных. Если в системе разные категории, по нашему прочтению ориентируйтесь на более «тяжёлую»: п. 9–12 говорят об уровне «при наличии хотя бы одного» из условий, а требования уровней наслаиваются.
- Выберите столбец. Если в системе только данные ваших работников, это первый столбец. Если есть клиенты, кандидаты или контрагенты-физлица, смотрите второй или третий.
- Запишите уровень и пункт.
Две оговорки. Первая: в п. 9–12 написано «более чем 100000» и «менее чем 100000». Ровно 100 000 субъектов не относится ни к одному условию, разъяснения мы не нашли. Если вы близки к порогу, лучше обсудить расчёт со специалистом. Вторая: все таблицы начинаются с типа угроз, а он определяется не по таблице, а по оценке угроз (п. 7). Мы методику ФСТЭК 2021 года для этой статьи не разбирали и не пересказываем.
Три примера
Образцы. Организации вымышленные, тип угроз для примеров принят условно 3-м: в своём случае его определяете вы.
Магазин. ООО «Образец», интернет-магазин одежды. Система: CRM и личные кабинеты, 30 000 покупателей, иные категории данных. Таблица 3-го типа, строка «Иные», столбец «Не работники, менее 100 000»: 4-й уровень (п. 12 «б»). Если база вырастет до 150 000 покупателей, условие п. 11 «д» даст 3-й уровень и потребуется назначить ответственного за безопасность в системе. Подробности для этого бизнеса: персональные данные в интернет-магазине.
Клиника. Частная клиника, медицинская информационная система, 15 000 пациентов. Сведения о состоянии здоровья — специальные категории (п. 5). Таблица 3-го типа, «Специальные», менее 100 000: 3-й уровень (п. 11 «в»). Если для системы актуальны угрозы 2-го типа, при тех же данных п. 10 «б» назовёт 2-й уровень. Разбор отрасли: персональные данные в медицинской организации.
Школа. Электронный журнал на 900 учеников и родителей, данные об успеваемости и контактах. Это иные категории, субъекты не являются работниками школы, число менее 100 000. Таблица 3-го типа: 4-й уровень (п. 12 «б»). Если в той же системе хранят сведения о состоянии здоровья детей (группа здоровья, справки), система уже обрабатывает специальные категории: 3-й уровень (п. 11 «в»). Подробнее: персональные данные в школе.
Кто определяет уровень и как это зафиксировать
Тип угроз определяет оператор (п. 7 постановления № 1119), а необходимость обеспечения того или иного уровня устанавливается при наличии условий п. 9–12. В постановлении не сказано, что уровень кому-то присваивает или утверждает внешний орган. По нашему прочтению, это решение оператора.
Формы документа об определении уровня в законе и постановлении нет. На практике результат оформляют актом, и это наша рекомендация, а не норма: акт помогает показать, как вы пришли к выводу, ведь по запросу Роскомнадзора оператор обязан представить документы и иным образом подтвердить принятие мер (ч. 4 ст. 18.1). Образец акта и порядок подписания разобраны в статье про акт определения уровня защищённости.
Пересматривать уровень разумно при смене состава данных, росте базы, подключении нового сервиса. Срок пересмотра закон не называет, это наша рекомендация.
Что дальше после определения уровня
- Выбрать меры по приказу ФСТЭК № 21: состав мер по уровням.
- Подготовить модель угроз, на которой держится определение типа угроз.
- Свести всё в общую картину по защите персональных данных.
- Если поручаете обработку облаку или подрядчику, посмотрите про облачные сервисы.
Как мы помогаем
Мы определяем тип угроз и уровень защищённости по постановлению № 1119 и оформляем результат документом. Затем готовим модель угроз и перечень мер, соответствующих уровню. Цена от 12 900 ₽ для типичной системы: сайт, CRM, 1С. Цену называем до договора и фиксируем. Только документы: проектирование и внедрение средств защиты не берём, аттестацию и мониторинг не продаём, на них нужна лицензия ФСТЭК. Критическую информационную инфраструктуру, государственные информационные системы и системы с криптографией не берём. Если вашей ситуации нужен лицензиат, скажем об этом до договора.
Положение об обработке, приказ об ответственном, перечни, инструкции и журналы по вашей ситуации входят в документы по 152-ФЗ за 9 900 ₽. Чтобы документы оставались актуальными при росте базы, есть сопровождение по персональным данным.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных, пункты 5–17
- Закон № 152-ФЗ, статья 19 — меры по обеспечению безопасности персональных данных, уровни защищённости
- Закон № 152-ФЗ, статья 18.1 — меры оператора, подтверждение по запросу Роскомнадзора
- Приказ ФСТЭК России от 18.02.2013 № 21 — состав и содержание мер для каждого уровня защищённости
Частые вопросы
Сколько уровней защищённости персональных данных?
Четыре (п. 8 постановления № 1119). 4-й требует меньше всего, 1-й больше всего: требования уровней наслаиваются (п. 13–16).
Как определить уровень защищённости?
По условиям п. 9–12 постановления № 1119: смотрят на тип угроз, категорию данных, принадлежность субъектов (работники оператора или нет) и число субъектов с порогом 100 000. Мы собрали эти условия в таблицы выше.
Какой уровень защищённости у небольшого интернет-магазина или салона?
Если в системе иные категории данных (не специальные и не биометрические), актуальны угрозы 3-го типа и субъектов, не являющихся работниками, менее 100 000, п. 12 «б» называет 4-й уровень. Но тип угроз определяет оператор, и данные о здоровье сразу меняют картину.
Что даёт переход с 4-го уровня на 3-й?
К требованиям 4-го уровня добавляется назначение должностного лица (работника), ответственного за обеспечение безопасности данных в системе (п. 14 постановления № 1119).
Что значит порог 100 000 субъектов?
Это число людей, не являющихся работниками оператора. В условиях п. 9–12 записано «более чем» и «менее чем 100000». Ровно 100 000 в тексте не названо, разъяснения мы не нашли.
Нужен ли акт определения уровня защищённости?
Формы такого акта в постановлении № 1119 и приказе ФСТЭК № 21 нет. Обеспечить установленный уровень требуют п. 2 ч. 2 ст. 19 и п. 9–12 Требований, а оформление актом — сложившаяся практика. Он помогает подтвердить меры по запросу Роскомнадзора (ч. 4 ст. 18.1).
Можно ли иметь разные уровни в одной организации?
Да. Условия постановления сформулированы «для информационной системы», поэтому по нашему прочтению уровень определяют для каждой системы отдельно: у кадровой программы он может быть ниже, чем у системы с картотекой пациентов.
Кто проверяет правильность определённого уровня?
Отдельной процедуры согласования уровня с госорганом мы в законе и постановлении не нашли. Оператор обязан по запросу Роскомнадзора подтвердить принятие мер (ч. 4 ст. 18.1), а контроль выполнения требований проводит оператор самостоятельно и (или) с привлечением лицензиатов не реже одного раза в 3 года (п. 17 Требований, постановление № 1119).
Вы определяете уровень защищённости?
Да, документом: описываем систему, определяем тип угроз и уровень по постановлению № 1119, готовим модель угроз и перечень мер. От 12 900 ₽ для типичной системы, цену называем до договора. Установку средств защиты и аттестацию не берём.