Акт определения уровня защищённости ПДн: образец и порядок составления
Формы акта определения уровня защищённости в законе нет. Что на самом деле требует постановление № 1119, как определить уровень по шагам, образец акта, кто подписывает и когда пересматривать.
Коротко: формы «акта определения уровня защищённости» ни в законе, ни в постановлении № 1119, ни в приказе ФСТЭК № 21 нет, это практика. Закон требует другого: определить угрозы (п. 1 ч. 2 ст. 19 закона № 152-ФЗ), а оператор по п. 7 Требований (постановление № 1119) определяет тип угроз, а уровень защищённости «устанавливается» по условиям п. 9–12, по нашему прочтению, оператором. Акт нужен, чтобы это было записано: кто, когда и на каких данных пришёл к уровню. Ниже образец с вымышленной организацией, порядок определения уровня и ответы на вопросы, кто подписывает и когда акт пересматривать.
Главное
- Тип угроз определяет оператор (п. 7), уровень «устанавливается» по условиям п. 9–12, по нашему прочтению, тоже оператором (постановление № 1119, пункты Требований). Форму результата закон не задаёт.
- Акт — наша рекомендация. Он помогает показать меры, если Роскомнадзор запросит подтверждение (ч. 4 ст. 18.1), но сам по себе закон его не называет.
- Уровень определяют для каждой системы отдельно, по нашему прочтению: условия в п. 9–12 сформулированы «для информационной системы».
- Самое спорное — тип угроз. Его, наша рекомендация, стоит обосновывать моделью угроз, а не выбирать «как у всех».
- Срок пересмотра закон не называет. Разумно пересматривать при изменении системы или данных.
Что именно требует закон
Обеспечение безопасности данных достигается, в частности, определением угроз безопасности в информационных системах и применением мер, исполнение которых обеспечивает установленные Правительством уровни защищённости (п. 1 и 2 ч. 2 ст. 19). Правительство уровни установило в постановлении № 1119. Дальше текст говорит о трёх действиях оператора.
- Определить тип угроз (1-й, 2-й или 3-й). Это делает оператор с учётом оценки возможного вреда по п. 5 ч. 1 ст. 18.1 (п. 7).
- Установить необходимость обеспечения уровня при наличии хотя бы одного из условий, названных для этого уровня (п. 9–12).
- Выполнить требования этого уровня (п. 13–16).
В каком виде записать результат, ни один из этих пунктов не сообщает. Поэтому акт, приказ, раздел в положении или таблица в перечне систем — всё это допустимые формы. Мы советуем отдельный акт по каждой системе, потому что его удобно приложить к положению о защите персональных данных и показать по запросу. Оператор обязан представить документы и (или) иным образом подтвердить принятие мер по ч. 1 ст. 18.1 по запросу Роскомнадзора (ч. 4 ст. 18.1); в числе этих мер названо применение мер защиты по ст. 19 (п. 3 ч. 1). По нашему прочтению, акт — один из способов такое подтверждение дать. Утверждать, что без акта «будет нарушение», мы не можем: такой нормы нет.
Как определить уровень шаг за шагом
| Шаг | Что установить | Опора |
|---|---|---|
| 1 | Какие системы у вас есть и что в каждой | Перечень: перечень ИСПДн |
| 2 | Категории данных в системе: специальные, биометрические, общедоступные, иные | П. 5 постановления № 1119 |
| 3 | Чьи это данные: только работников оператора или и других людей | П. 5 |
| 4 | Сколько субъектов, не являющихся работниками: меньше или больше 100 000 | П. 9–12 |
| 5 | Оценка возможного вреда | П. 7; п. 5 ч. 1 ст. 18.1 |
| 6 | Тип угроз: 1-й, 2-й или 3-й | П. 6–7 |
| 7 | Сверить с условиями уровней и записать вывод | П. 9–12 |
Разные категории данных в одной системе не создают пересечения уровней: п. 5 Требований сам выбирает категорию (если есть специальные данные, это система со специальными данными; биометрическая только при отсутствии специальных; общедоступная только если данные получены исключительно из общедоступных источников; иное относится к иным; данные работников учитывают, только если в системе исключительно данные работников). По условиям п. 9–12 для каждого сочетания выходит один уровень. Единственный пробел в тексте — ровно 100 000 субъектов (в норме «более чем» и «менее чем»); при сомнениях, по нашему прочтению, берут более высокий уровень. Для сравнения: обычные данные клиентов, менее 100 000 субъектов и угрозы 3-го типа дают 4-й уровень (п. 12 «б»); те же данные при угрозах 2-го типа дают 3-й (п. 11 «б»). Полная таблица условий: уровни защищённости персональных данных.
Образец акта
Образец, подставьте свои данные. Организация и система вымышленные. Тип угроз в образце принят 3-м только для иллюстрации: для вашей системы его нужно обосновать, см. модель угроз безопасности персональных данных. Образец не является утверждённой формой.
ООО «Образец»
Акт № __ от «__» ________ 20__ г.
определения типа угроз и уровня защищённости персональных данных при их обработке в информационной системе «CRM «Клиенты»»1. Основание. Акт составлен для фиксации результатов определения типа угроз безопасности персональных данных и уровня защищённости по п. 7–12 Требований, утверждённых постановлением Правительства РФ от 01.11.2012 № 1119, в целях исполнения ст. 19 Федерального закона № 152-ФЗ.
2. Система. «CRM «Клиенты»»: учёт заказов и обращений клиентов. Размещение: облачный сервис, серверы на территории РФ, договор от __.__.20__. Ответственный за систему: ________ (должность).
3. Исходные данные и вывод.
Показатель Значение Основание Категории данных Иные: ФИО, телефон, электронная почта, адрес доставки. Специальные и биометрические не обрабатываются п. 5 Чьи данные Клиентов и работников оператора с учётными записями п. 5 Число субъектов, не являющихся работниками около 4 500 (менее 100 000) п. 11, 12 Оценка возможного вреда Проведена, документ от __.__.20__ п. 7; п. 5 ч. 1 ст. 18.1 Тип актуальных угроз 3-й. Обоснование: в модели угроз от __.__.20__ не признаны актуальными угрозы, связанные с недокументированными возможностями системного и прикладного ПО п. 6, 7 Необходимый уровень защищённости 4-й п. 12 «б» 4. Требования уровня (п. 13).
Требование Как выполняется Ответственный Срок Режим помещений (п. 13 «а») Описание режима: ________ ________ __.__.20__ Сохранность носителей (п. 13 «б») Учёт носителей, место хранения: ________ ________ __.__.20__ Документ с перечнем лиц, имеющих доступ (п. 13 «в») Приказ руководителя от __.__.20__ ________ __.__.20__ Средства защиты с оценкой соответствия (п. 13 «г») Нужны / не нужны для нейтрализации актуальных угроз: ________ (обоснование) ________ __.__.20__ 5. Пересмотр. Акт пересматривается при изменении категорий данных, числа субъектов, состава системы, места размещения данных или типа актуальных угроз.
Подготовил: ________ / ________
Утверждаю: руководитель ________ / ________ «__» ________ 20__ г.
Формулировки строк «Как выполняется» подставьте под свою систему. Если требований не хватает, это не повод скрывать их: запишите срок исправления, а оставшееся закройте до утверждения акта. Структура акта выше наша рекомендация, закон её не задаёт.
Кто подписывает акт
Закон подписантов не называет. Единственное место, где постановление требует утверждения руководителем, это документ с перечнем лиц, доступ которых к данным необходим для работы (п. 13 «в»). Начиная с 3-го уровня нужно назначить ответственного за безопасность данных в системе (п. 14). Наша рекомендация: готовит ответственный за систему вместе с ИТ-специалистом, утверждает руководитель. Это тот же круг людей, что в приказе о назначении ответственного и инструкции ответственного.
Когда пересматривать
Ни закон, ни постановление № 1119 срока пересмотра не называют. Но уровень зависит от условий, которые меняются: категории данных, число субъектов, тип угроз (п. 9–12). По нашему прочтению, акт стоит пересмотреть, если:
- в систему стали вносить новые категории данных (например, данные о здоровье);
- число субъектов, не являющихся работниками, приблизилось к 100 000;
- сменился хостинг, облако или программа, которая обрабатывает данные;
- появились новые способы доступа, например удалённая работа сотрудников;
- изменилась модель угроз.
Не путайте с контролем: контроль выполнения требований проводится не реже 1 раза в 3 года (п. 17 постановления № 1119), и оценка эффективности мер тоже (п. 6 приказа ФСТЭК № 21). Это другие процедуры, акт их не заменяет.
Акт, модель угроз и аттестация: не одно и то же
| Что | Что это | Требует ли закон |
|---|---|---|
| Акт определения уровня | Запись результата: тип угроз, категории, уровень | Форму не задаёт; определить уровень нужно (п. 7–12) |
| Модель угроз | Описание актуальных угроз для системы, из которого следует тип угроз | Определять угрозы нужно (п. 1 ч. 2 ст. 19); название документа закон не задаёт |
| Аттестация | Лицензируемая услуга (п. 4 Положения, ПП № 79) | В постановлении № 1119 не названа; мы её не оказываем |
Общую картину защиты собирает хаб защита персональных данных, а требования по пунктам разобраны в статье о постановлении № 1119.
Как мы помогаем
Акт у нас не отдельный продукт, а часть услуги «Модель угроз персональных данных». Мы описываем вашу систему, определяем тип угроз и уровень защищённости по постановлению № 1119, оформляем это документом, готовим модель угроз и перечень мер, соответствующих уровню, без внедрения. Цена от 12 900 ₽ для типичной малой системы (сайт, CRM, 1С), называем её после разбора и до договора; правки вносим до вашего «принимаю». Мы делаем только документы: аттестацию, установку и настройку средств защиты, мониторинг не берём. Критическую информационную инфраструктуру, государственные системы и криптографию тоже. Если нужен весь комплект бумаг по 152-ФЗ, это документы по 152-ФЗ за 9 900 ₽.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Постановление Правительства РФ от 01.11.2012 № 1119 — тип угроз (п. 6, 7), уровни защищённости (п. 8–12), требования (п. 13–16)
- Закон № 152-ФЗ, ст. 19 — меры по обеспечению безопасности персональных данных
- Закон № 152-ФЗ, ст. 18.1 — меры оператора, оценка вреда, подтверждение мер по запросу
- Приказ ФСТЭК России от 18.02.2013 № 21 — состав и содержание мер по обеспечению безопасности персональных данных
- Постановление Правительства РФ от 03.02.2012 № 79 — лицензирование деятельности по технической защите конфиденциальной информации
Частые вопросы
Обязателен ли акт определения уровня защищённости?
Форма акта нигде не установлена, и названия «акт» закон не знает. Обязательно другое: определить тип угроз и уровень защищённости (п. 7–12 постановления № 1119). Акт — удобный способ записать результат, это наша рекомендация.
Кто определяет уровень защищённости персональных данных?
Тип угроз определяет оператор (п. 7 Требований, постановление № 1119), а необходимость обеспечения уровня устанавливается по условиям п. 9–12; кто именно устанавливает, прямо не сказано, по нашему прочтению, оператор. Подготовить документы может внешний специалист, ответственность остаётся на операторе.
Стоит ли составлять акт для каждой информационной системы?
По нашему прочтению, да: условия уровней в п. 9–12 сформулированы «для информационной системы», то есть оценивать нужно каждую. Одинаковые системы можно описать в одном акте, если все исходные данные совпадают.
Какой уровень защищённости у небольшой организации?
Для обычных данных клиентов и работников, менее 100 000 субъектов и угроз 3-го типа это 4-й уровень (п. 12 «б»). При угрозах 2-го типа те же данные дают 3-й (п. 11 «б»). Данные о здоровье и биометрия меняют картину.
Кто должен подписывать акт определения уровня защищённости?
Закон подписантов не называет. Наша рекомендация: готовит ответственный за систему с ИТ-специалистом, утверждает руководитель. Начиная с 3-го уровня необходим назначенный ответственный за безопасность данных в системе (п. 14).
Как часто нужно пересматривать акт?
Срок закон не задаёт. Пересматривайте при изменении категорий данных, числа субъектов, состава или места размещения системы, типа угроз. Контроль требований по п. 17 постановления № 1119 проводится не реже раза в 3 года.
Нужен ли акт при проверке Роскомнадзора?
Закон такого акта не называет. Но по запросу оператор обязан представить документы и (или) иным образом подтвердить принятие мер (ч. 4 ст. 18.1). По нашему прочтению, акт помогает показать, как определён уровень.
Заменяет ли акт модель угроз?
Нет. Акт фиксирует результат, а модель угроз описывает угрозы, из которых следует тип угроз. Разные документы, но связанные: обоснование типа угроз в акте берётся из модели.
Сколько стоит определить уровень защищённости и оформить акт?
Определение типа угроз и уровня по постановлению № 1119 вместе с моделью угроз и перечнем мер для типичной малой системы стоит от 12 900 ₽. Цену называем до договора, правки до «принимаю». Внедрение средств защиты не входит.