# Защита персональных данных: что требует закон от оператора

> Источник: https://ftex.pro/blog/zashchita-personalnyh-dannyh/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Что оператор обязан сделать для защиты ПДн: ст. 19 закона № 152-ФЗ, уровни защищённости по ПП № 1119, меры по приказу ФСТЭК № 21. Что можно сделать самому.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: защита персональных данных по закону — это правовые, организационные и технические меры, которые оператор обязан принять (ч. 1 ст. 19 закона № 152-ФЗ). Их объём зависит от информационной системы: для каждой оператор определяет угрозы, тип угроз и уровень защищённости, а затем меры под этот уровень (ч. 2 ст. 19, постановление Правительства № 1119, приказ ФСТЭК № 21).** Освобождения для малого бизнеса в законе нет, но и объём у типичной небольшой системы скромный. Ниже схема целиком, список того, что оператор делает сам, и граница, за которой нужен специалист.

 

Только документы · типичная система: сайт, CRM, 1С · цену называем до договора

 

Модель угроз и уровень защищённости — от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

**Главное о защите персональных данных**

 

- **Меры обязательны для любого оператора:** правовые, организационные и технические (ч. 1 ст. 19). Размер бизнеса исключением не назван.
- **Путь такой:** информационная система → тип угроз → уровень защищённости → меры → документы.
- **Тип угроз определяет сам оператор** (п. 7 Требований, утв. постановлением № 1119), уровень «устанавливается» по условиям п. 9–12, по нашему прочтению, тоже оператором. Уровней четыре.
- **Состав мер по уровням задаёт приказ ФСТЭК № 21** (ч. 4 ст. 19). Набор адаптируют под вашу систему.
- **Бумажные носители** защищают по постановлению № 687, а не по № 1119.
- **Документы мы делаем, лицензируемые работы не берём:** установку средств защиты и аттестацию выполняет лицензиат.

 

## Что закон называет защитой персональных данных

 

Оператор при обработке обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие. Защищают данные от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения (ч. 1 ст. 19).

 

Часть 2 той же статьи перечисляет, чем достигается безопасность. Это список «в частности», то есть не закрытый. В него входят девять пунктов (п. 1–9) и п. 3.1:

 

- определение угроз безопасности данных в информационных системах (п. 1);
- организационные и технические меры под уровни защищённости, которые устанавливает Правительство (п. 2);
- средства защиты информации, прошедшие оценку соответствия (п. 3), и такие же средства для уничтожения данных (п. 3.1);
- оценка эффективности мер до ввода системы в эксплуатацию (п. 4);
- учёт машинных носителей (п. 5);
- обнаружение несанкционированного доступа и реагирование на компьютерные инциденты (п. 6);
- восстановление данных, изменённых или уничтоженных из-за такого доступа (п. 7);
- правила доступа к данным, регистрация и учёт всех действий с ними в системе (п. 8);
- контроль за принимаемыми мерами и уровнем защищённости (п. 9).

 

Заметьте формулировку: «необходимые» меры. Слова «необходимые и достаточные» стоят в ст. 18.1, где речь о мерах по выполнению обязанностей закона в целом. Состав мер по статье 18.1 оператор определяет самостоятельно, а защита информационных систем идёт по правилам статьи 19 и подзаконных актов.

 

Угрозы безопасности закон определяет как совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к данным. Уровень защищённости — комплексный показатель, характеризующий требования, исполнение которых нейтрализует определённые угрозы (ч. 11 ст. 19).

 

## Правовые, организационные, технические меры: что к чему относится

 

Закон называет три вида мер, но не раскладывает по ним конкретные действия. Раскладка в таблице ниже — наше прочтение, чтобы было проще ориентироваться.

 

| Вид мер | Что сюда относим (наше прочтение) | На чём основано |
|---|---|---|
| Правовые | Политика и локальные акты, согласия, договоры с теми, кому поручена обработка, ознакомление работников с правилами | ст. 18.1 (ч. 1 п. 2, 6); п. 3 постановления № 1119 — договор с уполномоченным лицом должен обязывать его обеспечить безопасность |
| Организационные | Режим помещений, сохранность носителей, список лиц с доступом, ответственный за безопасность в системе, учёт носителей | п. 13–14 постановления № 1119; п. 5 ч. 2 ст. 19 |
| Технические | Учётные записи и права, антивирусная защита, регистрация событий, резервные копии, средства защиты информации там, где они нужны для нейтрализации угроз | приказ ФСТЭК № 21 (группы мер); п. 13 «г» постановления № 1119 |

 

Подробнее о каждом виде и о перечне документов смотрите в наших статьях: [положение о защите персональных данных](https://ftex.pro/blog/polozhenie-o-zashchite-personalnyh-dannyh/), [комплект документов оператора](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/), [регламент реагирования на инциденты](https://ftex.pro/blog/reglament-reagirovaniya-na-incidenty-pdn/).

 

## Кто что устанавливает: закон, Правительство, ФСТЭК

 

Ответственность между актами разделена по статье 19:

 

- **Правительство** устанавливает уровни защищённости и требования к защите данных в информационных системах (ч. 3). Это постановление № 1119.
- **ФСБ и ФСТЭК** в пределах своих полномочий устанавливают состав и содержание организационных и технических мер для каждого уровня (ч. 4). Для ФСТЭК это приказ № 21. Он прямо оговаривает, что не рассматривает меры, связанные с шифровальными (криптографическими) средствами (п. 1 приказа).
- **Государственные органы** в пределах полномочий определяют актуальные угрозы для информационных систем своих видов деятельности (ч. 5); ассоциации и союзы операторов вправе определить дополнительные (ч. 6).
- **Сам оператор** определяет тип угроз и выбирает средства защиты в рамках этих актов (п. 4 и 7 постановления № 1119).

 

Кроме того, ч. 12 ст. 19 обязывает оператора обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак в порядке, который определяет ФСБ. Сам порядок, который определяет ФСБ, в статье мы не разбираем.

 

## Схема: от системы к документам

 

| Шаг | Что делаем | Кто решает | Подробнее |
|---|---|---|---|
| 1 | Находим информационные системы: 1С, CRM, сайт с базой заявок, облако (п. 10 ст. 3) | Оператор | [что такое ИСПДн](https://ftex.pro/blog/ispdn-chto-eto-i-klassifikaciya/), [перечень ИСПДн](https://ftex.pro/blog/perechen-ispdn/) |
| 2 | Определяем категории данных и число субъектов (п. 5 постановления № 1119) | Оператор | [классификация ИСПДн](https://ftex.pro/blog/ispdn-chto-eto-i-klassifikaciya/) |
| 3 | Определяем актуальные угрозы и их тип: 1, 2 или 3 (п. 6–7) | Оператор | [модель угроз](https://ftex.pro/blog/model-ugroz-bezopasnosti-pdn/) |
| 4 | Устанавливаем уровень защищённости: от 4-го до 1-го (п. 8–12) | Оператор | [уровни защищённости](https://ftex.pro/blog/urovni-zashchishchennosti-pdn/) |
| 5 | Выбираем меры: базовый набор по уровню, адаптация, уточнение, дополнение (п. 9 приказа № 21) | Оператор, при необходимости со специалистом | [приказ ФСТЭК № 21](https://ftex.pro/blog/prikaz-fstek-21-mery-zashchity-pdn/) |
| 6 | Оформляем результат документами (форму закон не задаёт) | Оператор | [акт определения уровня](https://ftex.pro/blog/akt-opredeleniya-urovnya-zashchishchennosti/) |
| 7 | Проверяем: оценка эффективности и контроль не реже одного раза в 3 года (п. 6 приказа № 21, п. 17 постановления № 1119) | Оператор сам или с лицензиатом | [постановление № 1119](https://ftex.pro/blog/postanovlenie-1119-trebovaniya-k-zashchite-pdn/) |

 

Шаг 4 зависит от шага 3, а шаг 5 от шага 4. Поэтому уровень нельзя «взять у соседа»: он зависит от ваших данных и вашей системы.

 

## Что оператор делает сам, а что требует специалиста

 

Освобождения от определения угроз для малого бизнеса ни в законе, ни в постановлении № 1119 нет (п. 1 ч. 2 ст. 19; п. 2 и 7 Требований). Но большая часть работы доступна без технической подготовки. Распределение ниже — наша рекомендация по прочтению норм.

 

| Можно сделать самому | Лучше с профильным специалистом |
|---|---|
| Составить перечень систем, где лежат данные людей | Обосновать тип угроз: решить, актуальны ли угрозы с недокументированными возможностями ПО |
| Утвердить список лиц с доступом (п. 13 «в» постановления № 1119) | Адаптировать базовый набор мер приказа № 21 под вашу систему и обосновать компенсирующие меры |
| Назначить ответственного за безопасность в системе (для 3-го уровня и выше, п. 14) | Выбрать и настроить средства защиты информации, когда они нужны |
| Организовать режим помещений и сохранность носителей | Провести оценку эффективности мер и контроль, если нет своих специалистов |
| Ознакомить работников с правилами и закрепить договорами обязанность подрядчиков | Решить вопросы 1-го и 2-го уровней защищённости |

 

Если подрядчик обрабатывает данные по вашему поручению, договор с ним должен предусматривать его обязанность обеспечить безопасность (п. 3 постановления № 1119). Работников, которые обрабатывают данные, знакомят с законодательством о персональных данных, требованиями к защите и локальными актами и (или) обучают (п. 6 ч. 1 ст. 18.1). Закон говорит «ознакомление и (или) обучение», так что формат выбираете вы. Если нужен курс, есть [программа повышения квалификации «Защита персональных данных»](https://ftex.pro/kursy/zashchita-personalnyh-dannyh/): 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. На программу принимают с образованием не ниже среднего профессионального. Курс не выдаёт готовых документов и не подаёт уведомление.

 

## Разграничение доступа к персональным данным

 

Доступ к данным — самая «живая» часть защиты: она касается каждого работника. Закон требует установить правила доступа к данным в информационной системе и обеспечить регистрацию и учёт всех действий с ними (п. 8 ч. 2 ст. 19).

 

Постановление № 1119 добавляет конкретику по ступеням:

 

- **Любой уровень, п. 13 «в»:** руководитель оператора утверждает документ с перечнем лиц, доступ которых к данным в системе необходим для служебных (трудовых) обязанностей.
- **2-й уровень и выше, п. 15 Требований:** к содержанию электронного журнала сообщений доступ только у тех работников, которым это нужно для работы.
- **1-й уровень, п. 16 «а» Требований:** автоматическая регистрация изменения полномочий работника по доступу в электронном журнале безопасности.

 

Приказ ФСТЭК № 21 раскрывает это группой мер «Управление доступом» (УПД). В приложении к приказу для всех четырёх уровней защищённости отмечены, в частности:

 

- УПД.1 — управление учётными записями: заведение, активация, блокирование и уничтожение;
- УПД.2 — методы и правила разграничения доступа (дискреционный, мандатный, ролевой или иной) и типы доступа: чтение, запись, выполнение;
- УПД.4 — разделение полномочий пользователей, администраторов и лиц, обеспечивающих работу системы;
- УПД.5 — назначение минимально необходимых прав и привилегий;
- УПД.6 — ограничение неуспешных попыток входа.

 

Как это выглядит в малой организации (наша рекомендация): личные учётные записи вместо общей, права по должности, при увольнении и переводе доступ закрывают в день приказа, список лиц и права сверяют при каждой смене состава. Матрицу «должность — система — права» и инструкцию пользователя мы разобрали в статье [про перечень ИСПДн, инструкцию и матрицу доступа](https://ftex.pro/blog/perechen-ispdn/). Что подписывает работник, смотрите в [обязательстве о неразглашении](https://ftex.pro/blog/obyazatelstvo-o-nerazglashenii-pdn/), правила работы — в [инструкции ответственного](https://ftex.pro/blog/instrukciya-otvetstvennogo-za-obrabotku-pdn/). Отдельно о защите на домашних компьютерах: [защита ПДн при удалённой работе](https://ftex.pro/blog/zashchita-pdn-pri-udalennoj-rabote/).

 

## Бумажные носители: постановление № 687

 

Постановление № 1119 про информационные системы. Если данные обрабатываются без средств автоматизации, действует Положение, утверждённое постановлением № 687. Оно говорит: данные обособляют от иной информации (п. 4), на одном носителе не фиксируют данные несовместимых целей (п. 5), по каждой категории данных должно быть можно определить места хранения и перечень лиц с доступом (п. 13), данные разных целей хранят раздельно (п. 14). Меры сохранности и ответственных за них оператор устанавливает сам (п. 15).

 

Внимание на границу: обработку нельзя признать автоматизированной только потому, что данные содержатся в информационной системе или извлечены из неё (п. 2 Положения), а неавтоматизированной считается обработка при непосредственном участии человека (п. 1). Распечатали список из 1С — бумага подчиняется постановлению № 687, а сама база в 1С остаётся информационной системой.

 

Невыполнение условий сохранности носителей при обработке без средств автоматизации, если это повлекло неправомерный или случайный доступ к данным, наказывается по ч. 6 ст. 13.11 КоАП. Для индивидуальных предпринимателей штраф от 20 000 до 40 000 ₽, для юридических лиц от 50 000 до 100 000 ₽. Как вести учёт, читайте в статьях [про журнал учёта носителей](https://ftex.pro/blog/zhurnal-ucheta-nositelej-pdn/) и [про акт уничтожения данных](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/).

 

## Нужна ли лицензия ФСТЭК на документы по защите ПДн

 

Лицензируется «техническая защита конфиденциальной информации» (постановление № 79). Перечень лицензируемых видов закрытый, в п. 4 Положения о лицензировании шесть групп:

 

- контроль защищённости от утечки по техническим каналам;
- контроль защищённости от несанкционированного доступа и модификации в средствах и системах информатизации;
- мониторинг информационной безопасности;
- аттестационные испытания и аттестация;
- проектирование в защищённом исполнении;
- установка, монтаж, наладка, испытания и ремонт средств защиты информации.

 

Подготовка документов, в которых описаны система, тип угроз, уровень защищённости и перечень мер, в этом перечне не названа. **По нашему прочтению, лицензия на такие документы не нужна.** Прямого разъяснения именно об этом мы не нашли, поэтому сразу оговорим границы: если в работу входит проверка защищённости самих систем, установка и настройка средств защиты, проектирование системы защиты в защищённом исполнении, аттестация или мониторинг, это лицензируемые работы (п. 4 Положения, постановление № 79).

 

Постановление № 1119 прямо допускает, что контроль выполнения требований проводит оператор самостоятельно и (или) с привлечением лицензированных организаций (п. 17). Приказ № 21 говорит о лицензиатах так: «могут привлекаться» (п. 2), а оценку эффективности оператор проводит самостоятельно или с их помощью, не реже одного раза в 3 года (п. 6).

 

## Что будет, если ничего не делать: коротко и без паники

 

Отдельной статьи о том, что «не определили уровень защищённости», в ст. 13.11 КоАП мы не нашли. Нарушение требований о защите информации, установленных федеральными законами и принятыми в соответствии с ними актами, может подпасть под ч. 6 ст. 13.12 КоАП (для юрлиц 50–100 тыс. ₽); как её применяют к операторам ПДн, мы не проверяли. В любом случае это не значит, что можно ничего не делать. Вот где вопрос возникает на практике:

 

- Оператор обязан по запросу Роскомнадзора представить документы и иным образом подтвердить принятие мер (ч. 4 ст. 18.1).
- Сведения о реализуемых требованиях к защите публикуют вместе с политикой (ч. 2 ст. 18.1). За неопубликованные сведения предусмотрена ответственность по ч. 3 ст. 13.11 КоАП.
- Утечка наказывается по ч. 12–14 ст. 13.11 КоАП (ступени от 1 000 субъектов или 10 000 идентификаторов), для специальных категорий и биометрии действуют ч. 16 и 17 без такого порога, за повтор ч. 15 и 18; подробно в статьях [о штрафах за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/) и [об утечке: 24 и 72 часа](https://ftex.pro/blog/utechka-personalnyh-dannyh-24-chasa/).
- О проверках, которые могут задавать такие вопросы: [проверка Роскомнадзора](https://ftex.pro/blog/proverka-roskomnadzora-personalnye-dannye/).

 

Срок давности привлечения к ответственности по делам о нарушении законодательства о персональных данных — один год (ч. 1 ст. 4.5 КоАП). Лучшая защита от вопросов — документ, из которого видно, как вы определили уровень и какие меры приняли.

 

## Карта раздела: что читать дальше

 

- [Что такое ИСПДн и как её классифицировать](https://ftex.pro/blog/ispdn-chto-eto-i-klassifikaciya/)
- [Уровни защищённости: четыре уровня и условия для каждого](https://ftex.pro/blog/urovni-zashchishchennosti-pdn/)
- [Постановление № 1119: требования к защите по пунктам](https://ftex.pro/blog/postanovlenie-1119-trebovaniya-k-zashchite-pdn/)
- [Акт определения уровня защищённости: образец](https://ftex.pro/blog/akt-opredeleniya-urovnya-zashchishchennosti/)
- [Модель угроз безопасности ПДн](https://ftex.pro/blog/model-ugroz-bezopasnosti-pdn/)
- [Приказ ФСТЭК № 21: меры защиты](https://ftex.pro/blog/prikaz-fstek-21-mery-zashchity-pdn/)
- [Защита ПДн при удалённой работе](https://ftex.pro/blog/zashchita-pdn-pri-udalennoj-rabote/)
- [Облачные сервисы и персональные данные](https://ftex.pro/blog/oblachnye-servisy-i-pdn/)

 

Смежные разделы: [согласие на обработку](https://ftex.pro/blog/soglasie-na-obrabotku-personalnyh-dannyh/), [политика обработки](https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/), [ответственный за обработку](https://ftex.pro/blog/otvetstvennyj-za-obrabotku-personalnyh-dannyh/), [данные работников](https://ftex.pro/blog/personalnye-dannye-rabotnikov/), [что такое персональные данные](https://ftex.pro/blog/chto-takoe-personalnye-dannye/).

 

## Как мы помогаем

 

Мы готовим документы: определяем тип угроз и уровень защищённости по постановлению № 1119 и описываем перечень мер, соответствующих уровню. В работе используем методику ФСТЭК 2021 года (её текст в этой статье мы не разбирали). Цена **от 12 900 ₽** для типичной системы: сайт, CRM, 1С. Цену называем до договора и фиксируем.

 

В цену входит:

 

- описание системы: какие информационные системы, какие данные, где хранятся и кто имеет доступ;
- тип угроз и уровень защищённости, оформленные документом;
- модель угроз по методике ФСТЭК 2021 года: актуальные угрозы и нарушители для вашей системы;
- перечень мер защиты, соответствующих уровню, без внедрения: внедрять можно силами вашего ИТ.

 

**Граница услуги.** Только документы. Проектирование и внедрение средств защиты мы не берём. Аттестацию, установку и настройку средств защиты, мониторинг и контроль защищённости не продаём: на них нужна лицензия ФСТЭК. Критическую информационную инфраструктуру, государственные информационные системы и системы с криптографией не берём. Если вашей ситуации нужен лицензиат, скажем об этом до договора.

 

Описание системы, уровень по № 1119, модель угроз и перечень мер · без внедрения · цена до договора

 

Определим тип угроз и уровень защищённости — от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

Внутренние документы (положение об обработке, приказ об ответственном, перечни, инструкции, журналы по вашей ситуации) входят в [документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽; нужно ли отдельное положение о защите, решаем на разборе: состав называем до оплаты, правки до вашего «принимаю». Чтобы документы оставались актуальными при смене программ и хостинга, есть [сопровождение по персональным данным](https://ftex.pro/soprovozhdenie-po-pdn/): 1 990 ₽ в месяц или 19 900 ₽ в год. Весь набор услуг, включая пакет «Старт» за 14 900 ₽ вместо 18 700 ₽, собран на странице [услуги ФТИ](https://ftex.pro/uslugi/).

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, статья 19 — меры по обеспечению безопасности персональных данных при их обработке](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Закон № 152-ФЗ, статья 18.1 — меры, направленные на обеспечение выполнения обязанностей оператора](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Закон № 152-ФЗ, статья 3 — основные понятия, в том числе информационная система персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных в информационных системах, уровни защищённости](https://base.garant.ru/70252506/)
- [Приказ ФСТЭК России от 18.02.2013 № 21 — состав и содержание организационных и технических мер по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_146520/)
- [Постановление Правительства РФ от 15.09.2008 № 687 — Положение об особенностях обработки персональных данных без использования средств автоматизации](https://base.garant.ru/193875/)
- [Постановление Правительства РФ от 03.02.2012 № 79 — Положение о лицензировании деятельности по технической защите конфиденциальной информации](https://www.consultant.ru/document/cons_doc_LAW_125798/)
- [КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)

## Частые вопросы

### Что входит в защиту персональных данных?

Правовые, организационные и технические меры, которые оператор обязан принимать (ч. 1 ст. 19 закона № 152-ФЗ). Среди них определение угроз, меры под установленный уровень защищённости, учёт носителей, правила доступа, регистрация действий с данными и контроль мер (ч. 2 ст. 19). Конкретный состав зависит от уровня защищённости вашей информационной системы.

### Обязан ли малый бизнес определять угрозы и уровень защищённости?

Освобождения для малого бизнеса мы в законе не нашли: обязанность определить угрозы стоит в п. 1 ч. 2 ст. 19, а требования постановления № 1119 относятся к информационным системам любого оператора. Меняется только объём: у типичной небольшой системы документ компактный.

### Кто определяет уровень защищённости?

Оператор. Тип угроз определяет он с учётом оценки возможного вреда (п. 7 постановления № 1119), уровень устанавливается по условиям п. 8–12. Закон не требует специальной формы документа, оформление актом — практика.

### Сколько уровней защищённости и какой у обычной небольшой системы?

Четыре (п. 8 постановления № 1119). Для системы с иными категориями данных (не специальными и не биометрическими), угрозами 3-го типа и менее чем 100 000 субъектов, не являющихся работниками оператора, п. 12 называет 4-й уровень. Но тип угроз определяет оператор, поэтому проверяйте свою систему.

### Нужна ли лицензия ФСТЭК на документы по защите ПДн?

По нашему прочтению, нет: в п. 4 Положения о лицензировании (постановление № 79) документы об определении угроз и уровня защищённости не названы. Прямого разъяснения мы не нашли. Лицензируются контроль защищённости, мониторинг, аттестация, проектирование в защищённом исполнении, установка и наладка средств защиты. Эти работы мы не берём.

### Чем постановление № 1119 отличается от приказа ФСТЭК № 21?

Постановление Правительства устанавливает уровни защищённости и требования для каждого из них (ч. 3 ст. 19). Приказ ФСТЭК устанавливает состав и содержание мер по уровням (ч. 4 ст. 19). Сначала определяют уровень по постановлению, затем выбирают меры по приказу.

### Как защищать бумажные документы с персональными данными?

По постановлению № 687: обособлять данные от иной информации, не фиксировать на одном носителе данные несовместимых целей, определить места хранения и перечень лиц с доступом по каждой категории данных, хранить носители разных целей раздельно. Меры сохранности оператор устанавливает сам.

### Что нужно сделать, чтобы разграничить доступ к данным?

Утвердить документ с перечнем лиц, которым доступ необходим для работы (п. 13 «в» постановления № 1119), завести личные учётные записи и назначить права по должности. Приказ ФСТЭК № 21 в группе УПД называет управление учётными записями, правила разграничения и минимально необходимые права. Всё это для малой организации — практика на основании этих норм.

### Берёте ли вы установку и настройку средств защиты?

Нет. Мы делаем только документы: описание системы, тип угроз и уровень защищённости, модель угроз и перечень мер. Внедрять меры можно силами вашего ИТ или у лицензиата. Модель угроз и уровень защищённости: от 12 900 ₽ для типичной системы, цену называем до договора.