Постановление Правительства РФ № 1119 от 1 декабря 2012 г․ вводит четыре уровня защищённости (УЗ‑1…УЗ‑4) для информационных систем персональных данных (ИСПДн)․ Эти уровни определяют набор технических и организационных мер‚ которые обязаны применять операторы ПДн‚ а также провайдеры облачных и ИТ‑услуг․

Содержание статьи

1. Законодательная база
2. Что такое ИСПДн?
3. Классификация уровней защищённости
4. Критерии определения уровня
5. Требования к каждому уровню
6. Аттестация и контроль
7. Практические рекомендации
8. Контактные данные для обращений

Законодательная база

Основные нормативные акты‚ регулирующие защиту ПДн в РФ:

• Федеральный закон № 152‑ФЗ «О персональных данных» (от )․
• Постановление Правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» ․
• Приказы ФСТЭК России № 21 «Об установлении требований к уровню защищённости ПДн» (в частности‚ УЗ‑1…УЗ‑4)․
• Регулятивные акты Роскомнадзора‚ в т․ч․ методические рекомендации по проведению проверок․

Что такое информационная система персональных данных (ИСПДн)?

ИСПДн – это совокупность технических средств‚ программного обеспечения‚ процедур и персонала‚ обеспечивающих сбор‚ хранение‚ обработку‚ передачу и уничтожение персональных данных․ Ключевые характеристики ИСПДн:

• Типы обрабатываемых ПДн (общедоступные‚ специальные‚ биометрические и т․д․)․
• Объём и частота обработки․
• Критичность бизнес‑процессов‚ зависящих от данных․
• Уровень угроз (технические‚ организационные‚ человеческие)․

Классификация уровней защищённости

Согласно Постановлению № 1119‚ выделяются четыре уровня защищённости (УЗ‑1 … УЗ‑4)․ Чем ниже номер‚ тем выше требуемый уровень защиты․

Критерии определения уровня защищённости

Определение УЗ производится на основе следующих факторов:

• Категория персональных данных (общедоступные‚ специальные‚ биометрические)․
• Объём и характер обработки (массовый сбор‚ обработка в реальном времени)․
• Последствия утечки (финансовый ущерб‚ угроза жизни‚ национальная безопасность)․
• Уровень угроз (вероятность целенаправленной атаки‚ наличие конкурирующих интересов)․

Для каждой ИСПДн оператор обязан оформить «Отчёт о классификации уровня защищённости» и‚ при необходимости‚ пройти аттестацию в ФСТЭК․

Требования к каждому уровню

УЗ‑1 (самый высокий)

• Аттестация ФСТЭК (полный набор требований к криптографической защите‚ физической защите‚ управлению доступом)․
• Разделение сети (DMZ‚ отдельные подсети‚ строгий контроль межсетевого трафика)․
• Многофакторная аутентификация для всех администраторов․
• Регулярный аудит безопасности (не реже 1 раза в квартал)․
• Шифрование данных в покое и в передаче по ГОСТ 34․10‑2012‚ 34․11‑2012․

УЗ‑2

• Аттестация в упрощённой форме (может быть проведена аккредитованным органом)․
• Контроль доступа с использованием ролей (RBAC)․
• Журналирование всех операций с ПДн‚ хранение журналов минимум 12 месяцев․
• Резервное копирование с проверкой целостности․
• Защита от DDoS‑атак и внедрение IDS/IPS․

УЗ‑3

• Обязательное шифрование канала связи (TLS 1․3‚ VPN)․
• Антивирусная защита и система управления уязвимостями (patch‑management)․
• Контроль доступа на уровне приложений (логин/пароль‚ ограничение по IP)․
• Регулярные (не реже 2 раз в год) тесты на проникновение․

УЗ‑4

• Базовая защита от случайного раскрытия (ограничение публичного доступа)․
• Антивирус и базовый фаервол․
• Минимальное журналирование (вход/выход в систему)․

Аттестация и контроль

Процедура аттестации ИСПДн включает:

1. Подготовку Технического задания и Документации по защите ПДн․
2. Проведение независимого аудита (аккредитованным органом ФСТЭК или уполномоченной организацией)․
3. Получение Сертификата соответствия (для УЗ‑1 и УЗ‑2) либо Заключения (для УЗ‑3‚ УЗ‑4)․
4. Регулярный мониторинг и переаттестация (не реже 3 лет)․

Контроль со стороны Роскомнадзора может включать плановые и внеплановые проверки‚ а также запросы о предоставлении журналов и отчётов․

Практические рекомендации операторам ПДн

• Проведите инвентаризацию всех персональных данных и классифицируйте их․
• Определите уровень угроз с помощью методик NIST CSF или ISO 27001․
• Сформируйте политику доступа и внедрите систему управления идентификацией (IAM)․
• Регулярно тестируйте уязвимости (penetration testing‚ red‑team)․
• Обеспечьте резервное копирование и план восстановления после катастроф (DRP)․
• Обучайте персонал – информационная безопасность должна стать частью корпоративной культуры․

Контактные данные для обращений

Дата актуализации статьи: 22 июня 2026 г․