Приказ ФСТЭК № 21: какие меры защиты ПДн нужны и как их выбрать
Приказ ФСТЭК № 21 перечисляет 15 групп мер защиты персональных данных. Разбираем, как выбрать меры по пункту 9, сколько их в базовом наборе каждого уровня, что нужно малому оператору, а что нет.
Коротко: приказ ФСТЭК № 21 от 18.02.2013 — это перечень мер защиты персональных данных в информационных системах: 15 групп, в приложении 109 мер. Брать все не нужно. Сначала оператор определяет уровень защищённости по постановлению № 1119, потом берёт базовый набор для этого уровня, адаптирует его под свою систему, уточняет и дополняет (п. 9 Состава и содержания мер). Для 4-го уровня, который, по нашему опыту, чаще всего получается у малого бизнеса, в базовом наборе 27 мер (наш подсчёт по таблице приложения). Большая их часть — порядок, а не покупка оборудования: учётные записи, права, антивирус, журналы, обновления.
Главное о приказе № 21
- Приказ издан во исполнение ч. 4 ст. 19 ФЗ-152 и задаёт состав и содержание мер для каждого из четырёх уровней защищённости.
- Меры выбирают по шагам: базовый набор уровня, адаптация, уточнение, дополнение (п. 9).
- Не получается реализовать меру — разрабатывают компенсирующую и обосновывают её (п. 10).
- Средства защиты информации, прошедшие оценку соответствия, применяют там, где они нужны для нейтрализации актуальных угроз (п. 4 Состава и содержания мер, подп. «г» п. 13 ПП № 1119).
- Оценку эффективности мер проводят не реже раза в три года (п. 6).
- Шифрование в приказ не входит (п. 1), это отдельная тема.
Откуда взялся приказ и как он связан с постановлением № 1119
Закон требует от оператора принимать необходимые правовые, организационные и технические меры (ч. 1 ст. 19 ФЗ-152). Правительство устанавливает уровни защищённости и требования к защите (ч. 3 ст. 19; это постановление № 1119), а состав и содержание организационных и технических мер для каждого уровня задают ФСБ и ФСТЭК в пределах своих полномочий (ч. 4 ст. 19). Приказ ФСТЭК № 21 — как раз такой акт: он разработан по ч. 4 ст. 19 и привязан к уровням из постановления (п. 1 Состава и содержания мер). Как определить сам уровень, мы разобрали в статье об уровнях защищённости ПДн, структуру постановления — в материале о требованиях постановления № 1119, общую схему — в хабе о защите персональных данных.
Как выбирают меры: четыре шага по пункту 9
Приказ не говорит «внедрите всё из таблицы». Пункт 9 описывает порядок:
- Базовый набор. Берут меры, отмеченные знаком «+» в приложении для вашего уровня.
- Адаптация. Учитывают устройство системы и технологии. Меры, связанные с технологиями, которых в системе нет, исключают. Например, группу про среду виртуализации, если виртуализации нет.
- Уточнение. Добавляют ранее не выбранные меры из приложения так, чтобы закрыть все актуальные угрозы для конкретной системы. Здесь модель угроз влияет на результат напрямую.
- Дополнение. Добавляют меры, которых требуют другие акты о безопасности ПДн и защите информации.
Если выбранную меру технически не реализовать или она экономически нецелесообразна, на шагах адаптации и уточнения разрабатывают иные, компенсирующие меры, и применение таких мер нужно обосновать (п. 10). То же правило действует при новых технологиях и новых угрозах, для которых мер в приказе нет (п. 13). Если для системы актуальны угрозы 1-го и 2-го типов, к мерам могут добавляться проверка ПО на недекларированные возможности, тестирование на проникновение и защищённое программирование (п. 11).
Сколько мер в базовом наборе каждого уровня
В приложении к приказу 109 мер в 15 группах. Мы посчитали знаки «+» в таблицах приложения (редакция от 14.05.2020 на сайте КонсультантПлюс):
| Уровень защищённости | Мер в базовом наборе | Что появляется по сравнению с предыдущим |
|---|---|---|
| 4-й | 27 | Группы ИАФ, УПД, РСБ, АВЗ, АНЗ, ЗСВ, ЗТС, ЗИС (не все меры каждой группы) |
| 3-й | 41 | Группа УКФ целиком, блокировка сеанса, уничтожение данных на носителях при передаче и ремонте, поиск уязвимостей |
| 2-й | 66 | Группы ИНЦ, СОВ, ОЦЛ, ОДТ, ОПС, учёт носителей, резервное копирование, контроль целостности |
| 1-й | 69 | Ещё три меры: установка только разрешённого ПО, контроль отказов техники, разделение функций управления |
Цифры — наш подсчёт, а не норма приказа: пересчитайте их по актуальной редакции. Видно главное: самые сложные группы (обнаружение вторжений, контроль целостности, резервирование) входят в базовый набор только со 2-го уровня.
15 групп мер простыми словами
Перечень групп дан в п. 8 Состава и содержания мер, коды (ИАФ, УПД и другие) — в приложении. Колонка справа — наше прочтение, а не норма.
| Группа | Что это по-человечески | С какого уровня в базовом наборе | Что с этим малому оператору (наше прочтение) |
|---|---|---|---|
| ИАФ | У каждого свой логин, пароли и их выдача под контролем | 4-й | Основа любой системы. Общие пароли на всех не подходят |
| УПД | Права доступа, роли, минимальные права, удалённый доступ, мобильные устройства, внешние системы | 4-й | Больше всего мер в базовом наборе 4-го уровня: 10 из 17 |
| ОПС | Запуск и установка только разрешённых программ | 2-й (ОПС.2); ОПС.3 с 1-го | На 4-м и 3-м уровне в базовом наборе нет |
| ЗНИ | Учёт и защита флешек, дисков, переносных носителей | 3-й (ЗНИ.8); учёт и доступ с 2-го | Журнал носителей удобен и ниже 2-го уровня: образец журнала. Это наша рекомендация |
| РСБ | Журналы событий безопасности и срок их хранения | 4-й | Решите, какие события пишутся и сколько хранятся |
| АВЗ | Антивирус и обновление его баз | 4-й | На каждом компьютере, где есть данные |
| СОВ | Обнаружение вторжений | 2-й | На 4-м и 3-м уровне в базовом наборе нет |
| АНЗ | Обновления ПО, поиск уязвимостей, контроль настроек | АНЗ.2 с 4-го; АНЗ.1, 3, 4 с 3-го; АНЗ.5 со 2-го | Своевременные обновления — первое, что стоит наладить |
| ОЦЛ | Контроль целостности ПО и данных, реакция на спам | 2-й | В базовом наборе 4-го и 3-го уровней нет |
| ОДТ | Резервные копии и восстановление | 2-й (ОДТ.4, ОДТ.5) | Закон говорит о восстановлении данных (п. 7 ч. 2 ст. 19). Копии разумны и на 4-м уровне, это наша рекомендация |
| ЗСВ | Защита виртуальной инфраструктуры | 4-й | Если виртуализации нет, меры исключают при адаптации (п. 9) |
| ЗТС | Физический доступ к технике, экраны не на виду у посторонних | 4-й | Замок, пропуск, расположение мониторов |
| ЗИС | Защита системы и каналов связи | 4-й (ЗИС.3) | ЗИС.3 касается передачи по каналам за пределами контролируемой зоны |
| ИНЦ | Кто и как выявляет и разбирает инциденты | 2-й | Срок уведомления РКН при утечке закон ставит всем (ч. 3.1 ст. 21): регламент реагирования |
| УКФ | Кто вправе менять настройки и как это фиксируется | 3-й | Список лиц и запись об изменениях |
Что это значит для малого оператора
По постановлению № 1119 небольшая система с обычными данными, угрозами 3-го типа и менее чем 100 000 субъектов, не являющихся работниками, получает 4-й уровень (п. 12). Для него базовый набор самый короткий. По нашему прочтению, на практике это простые вещи: у каждого своя учётная запись, права по ролям, антивирус и обновления, журнал входов, закрытое помещение, правила для удалённого доступа и мобильных устройств. Как закрепить права, мы показали в статье о перечне ИСПДн и матрице доступа, а как собрать это в одном документе — в положении о защите ПДн.
Постановление требует для 4-го уровня и отдельные вещи вне таблицы приказа: режим помещений, сохранность носителей, документ с перечнем допущенных лиц (п. 13). Они дополняют меры приказа, а не заменяют их. Для 3-го уровня и выше добавляется ответственный за безопасность данных в системе (п. 14).
Средства защиты и сертификация
Технические меры реализуются через средства защиты информации (п. 12 Состава и содержания мер). Применять такие средства, прошедшие оценку соответствия, нужно в случаях, когда это необходимо для нейтрализации актуальных угроз (п. 4 Состава и содержания мер; подп. «г» п. 13 ПП № 1119). Решение зависит от модели угроз. Если вы используете сертифицированные средства, классы привязаны к уровню (п. 12):
| Уровень | Средства защиты информации | Средства вычислительной техники |
|---|---|---|
| 1-й | не ниже 4 класса и 4 уровня доверия | не ниже 5 класса |
| 2-й | не ниже 5 класса и 5 уровня доверия | не ниже 5 класса |
| 3-й | 6 класса и 6 уровня доверия | не ниже 5 класса |
| 4-й | 6 класса и 6 уровня доверия | не ниже 6 класса |
Меры, связанные с шифровальными (криптографическими) средствами, приказ не рассматривает (п. 1). Это другие акты, и мы их здесь не разбираем.
Кто выполняет работы и проверяет результат
Привлекать для работ по защите лицензиата, то есть организацию или ИП с лицензией на техническую защиту конфиденциальной информации, можно (п. 2 Состава и содержания мер), но обязанности привлекать, по нашему прочтению, нет. Оценку эффективности реализованных мер оператор проводит сам или с лицензиатом, не реже одного раза в три года (п. 6). Такой же срок в постановлении № 1119 установлен для контроля выполнения требований (п. 17). Кроме того, ст. 19 называет оценку эффективности мер до ввода системы в эксплуатацию (п. 4 ч. 2). Лицензия ФСТЭК нужна на отдельные виды деятельности, и мы их не оказываем.
Как приказ связан с вашими документами
Закон не требует отдельного документа под каждую группу мер. Как их оформлять, решает оператор, это наша рекомендация. Но связки полезно видеть:
- ЗНИ ведёт к журналу учёта носителей и к акту уничтожения.
- ИНЦ ведёт к регламенту реагирования на инциденты и срокам из статьи об утечках 24 и 72 часа.
- УПД и ИАФ ведут к инструкции и матрице доступа.
- Определение угроз ведёт к модели угроз и акту определения уровня.
Как мы помогаем
ФТИ делает документы. По странице услуги в модель угроз персональных данных от 12 900 ₽ входят: описание системы, тип угроз и уровень защищённости по постановлению № 1119, модель угроз по методике ФСТЭК 2021 года и перечень мер защиты, соответствующих уровню, — что должно быть, без внедрения. Внедрять можно силами вашего ИТ или у лицензиата. Цену называем до договора.
Чего мы не берём: проектирование и внедрение средств защиты, аттестацию, мониторинг, критическую информационную инфраструктуру, государственные информационные системы и криптографию. Для организации вокруг этого есть пакет документов по 152-ФЗ за 9 900 ₽: положение об обработке, приказ об ответственном, перечни, инструкции и журналы. Состав называем на разборе, до оплаты.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Приказ ФСТЭК России от 18.02.2013 N 21 — состав и содержание организационных и технических мер защиты ПДн в ИСПДн, пункты 1, 2, 4, 6, 8-13 и приложение
- Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите ПДн в ИСПДн, уровни защищённости, пункты 4, 8-17
- Статья 19 ФЗ-152 — меры по обеспечению безопасности персональных данных, части 1-4
- Статья 21 ФЗ-152 — обязанности оператора, часть 3.1: уведомление об инциденте в 24 и 72 часа
Частые вопросы
Что такое приказ ФСТЭК № 21?
Это приказ ФСТЭК России от 18.02.2013 № 21 об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных в информационных системах. Он издан по ч. 4 ст. 19 ФЗ-152 и привязан к четырём уровням защищённости из постановления № 1119.
Обязателен ли приказ № 21 для малого бизнеса?
Оператор, у которого есть информационная система персональных данных, обязан защищать данные по уровню защищённости. Приказ задаёт состав мер для каждого уровня. Освобождения малого бизнеса от определения угроз в законе нет (п. 1 ч. 2 ст. 19). Меняется только объём: у малой системы и набор мер короче.
Сколько мер нужно для 4-го уровня защищённости?
По нашему подсчёту по таблице приложения, в базовом наборе 4-го уровня 27 мер из 109. Это основа, дальше набор адаптируют, уточняют и дополняют под вашу систему (п. 9). Итоговое число зависит от модели угроз, и пересчитать его нужно по актуальной редакции.
Нужны ли сертифицированные средства защиты?
Средства защиты, прошедшие оценку соответствия, применяют в случаях, когда это необходимо для нейтрализации актуальных угроз (п. 4 Состава и содержания мер; подп. «г» п. 13 ПП № 1119). Какие угрозы актуальны, показывает модель угроз. Если сертифицированные средства используются, действуют классы из п. 12 Состава и содержания мер.
Что такое компенсирующие меры?
Это иные меры, которые разрабатывают, когда выбранную меру нельзя реализовать технически или она нецелесообразна экономически. Их применение нужно обосновать (п. 10). Так же поступают, если появились новые технологии и новые угрозы, для которых в приказе мер нет (п. 13).
Входит ли в приказ шифрование?
Нет. Пункт 1 приказа прямо исключает меры, связанные с применением шифровальных (криптографических) средств. Мы их в статье не разбираем и в услуги не включаем.
Как часто нужно проверять эффективность мер?
Оценку эффективности реализованных мер проводят не реже одного раза в три года, самостоятельно или с лицензиатом (п. 6 Состава и содержания мер). В постановлении № 1119 такой же срок назван для контроля выполнения требований (п. 17). Кроме того, оценка нужна до ввода системы в эксплуатацию (п. 4 ч. 2 ст. 19).
Относится ли приказ № 21 к бумажным документам?
Приказ про информационные системы, то есть про автоматизированную обработку. Для бумажных носителей действует постановление № 687: места хранения и список лиц с доступом по каждой категории данных (п. 13), раздельное хранение (п. 14), условия сохранности (п. 15).
Вы внедрите меры защиты за нас?
Нет. Мы готовим документы: определяем тип угроз и уровень защищённости, делаем модель угроз и перечень мер, который соответствует уровню. Это от 12 900 ₽ для типичной малой системы, цену называем до договора. Установку и настройку средств защиты, аттестацию и мониторинг мы не оказываем: на них нужна лицензия ФСТЭК.
Где прочитать текст приказа?
Полный текст приказа с приложением доступен на сайте КонсультантПлюс по ссылке в блоке нормативных документов ниже. Проверяйте редакцию: мы опирались на текст в редакции от 14.05.2020.