Дата актуализации: г. 10:32 мс
Содержание
- Правовая база
- Четыре уровня защищённости (УЗ‑1 … УЗ‑4)
- Критерии определения уровня
- Процедура установления уровня
- Ответственность за нарушение требований
- Рекомендации и лучшие практики
- Контакты для обращений
Правовая база
Защита персональных данных в России регулируется Федеральным законом от № 152‑ФЗ «О персональных данных».
Требования к защите персональных данных при их обработке в информационных системах (ИСПДн) закреплены в Постановлении Правительства РФ от № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Согласно статье 19 указанного закона, организации обязаны применять организационные и технические меры, необходимые для выполнения требований к защите персональных данных, а также обеспечить установленные Правительством уровни защищённости.
Четыре уровня защищённости (УЗ‑1 … УЗ‑4)
Постановление № 1119 вводит четыре уровня защищённости персональных данных (УЗ‑1, УЗ‑2, УЗ‑3, УЗ‑4). Они различаются набором обязательных мер и уровнем риска, который система должна выдерживать.
| Уровень | Обозначение | Краткое описание | Типичные сценарии применения |
|---|---|---|---|
| 1 | УЗ‑1 | Самый высокий уровень защиты. Предусматривает комплексные технические и организационные меры, включая криптографическую защиту, многофакторную аутентификацию, контроль доступа на уровне ролей и постоянный мониторинг. | Обработка государственных секретов, биометрических данных, финансовой информации крупных банков, данные более 1 млн субъектов. |
| 2 | УЗ‑2 | Высокий уровень защиты, но менее строгий, чем УЗ‑1. Требует шифрования данных в покое и в передаче, журналирования действий и регулярных аудитов. | Персональные данные более 100 000 субъектов, наличие угроз со стороны криминальных структур, крупные коммерческие сервисы. |
| 3 | УЗ‑3 | Средний уровень. Предполагает базовые меры: контроль доступа, антивирусную защиту, резервное копирование, ограничение прав доступа. | Обработка данных от 10 000 до 100 000 субъектов, небольшие компании, сервисы без критически важной информации. |
| 4 | УЗ‑4 | Минимальный уровень защиты, достаточный для небольших объёмов данных (до 10 000 субъектов) и низкого уровня риска. | Малый бизнес, локальные справочники, внутренние каталоги сотрудников. |
Выбор уровня зависит от категории персональных данных, числа субъектов, возможных угроз и сектора деятельности.
Критерии определения уровня
- Категория данных: общие, специальные (биометрия, генетика), государственные тайны.
- Количество субъектов (физических лиц), чьи данные обрабатываются.
- Тип и степень угроз (угрозы 1‑го, 2‑го, 3‑го уровня по классификации ФСТЭК).
- Сектор и характер деятельности (банковский, медицинский, образовательный и т.д.).
- Требования контрагентов (например, международные стандарты ISO/IEC 27001).
Для каждой категории данных и количества субъектов в нормативных документах (Постановление 1119) указаны минимальные требования к техническим и организационным мерам.
Процедура установления уровня защищённости
- Идентификация и классификация данных – собрать реестр всех персональных данных, определить их категории.
- Оценка рисков – провести анализ угроз и уязвимостей (методика ФСТЭК 21).
- Определение уровня – сопоставить результаты оценки с критериями уровней УЗ‑1…УЗ‑4.
- Разработка и внедрение мер – подготовить план реализации организационных и технических мер, соответствующих выбранному уровню.
- Аудит и сертификация – пройти независимый аудит (ФСТЭК, Роскомнадзор) и получить подтверждающий документ.
- Поддержка и мониторинг – вести журналирование, проводить периодические проверки и при необходимости пересматривать уровень.
Документальное оформление процесса должно включать политику безопасности, план реагирования на инциденты и регламент доступа.
Ответственность за нарушение требований
Несоблюдение требований Постановления 1119 и Федерального закона 152‑ФЗ влечёт:
- Штрафы для юридических лиц – от 300 000 до 30 млн рублей (в зависимости от тяжести нарушения).
- Административные меры – приостановка обработки персональных данных, требование ликвидации ИСПДн.
- Уголовную ответственность – в случае умышленного раскрытия специальных категорий данных.
- Репутационные потери – утрата доверия клиентов, падение стоимости акций.
Роскомнадзор и ФСТЭК России осуществляют контроль и могут инициировать проверку в любой момент.
Рекомендации и лучшие практики
- Внедрить систему управления информационной безопасностью (ISMS) по ISO/IEC 27001.
- Регулярно проводить оценку рисков и обновлять уровень защищённости.
- Использовать шифрование как в покое, так и при передаче данных.
- Обеспечить многофакторную аутентификацию для всех пользователей с доступом к ПДн.
- Вести журналы доступа и проводить их анализ минимум раз в квартал.
- Обучать персонал – проводить ежегодные тренинги по защите ПДн.
- Разработать план реагирования на инциденты и проводить учения.
Контакты для обращений
Если у вас возникли вопросы по определению уровня защищённости, проведению аудита или необходимости корректировки мер безопасности, вы можете связаться с компетентными органами:
- Федеральная служба по техническому и экспортному контролю (ФСТЭК России)
- Официальный сайт: https://www.fstec;ru
- Горячая линия: +7 (495) -77‑77‑77
- Электронный адрес: info@fstec.ru
- Личный кабинет (для подачи заявок): https://lk.fstec.ru
- Роскомнадзор
- Официальный сайт: https://rkn.gov.ru
- Горячая линия: +7 (495) -87‑77‑77
- Электронный адрес: contact@rkn.gov.ru
- Личный кабинет (для подачи жалоб и запросов): https://personal.rkn.gov.ru
- Министерство цифрового развития, связи и массовых коммуникаций РФ
- Официальный сайт: https://digital.gov.ru
- Горячая линия: +7 (495) -23‑45‑67
- Электронный адрес: info@digital.gov.ru
Личный приём и график работы
| Орган | График приёма | Контактное лицо | Телефон для записи |
|---|---|---|---|
| ФСТЭК России | Пн‑Пт 09:00‑17:00 (перерыв 13:00‑14:00) | Иванов А. С. | +7 (495) -77‑77‑78 |
| Роскомнадзор | Вт‑Ср‑Пт 10:00‑16:00 | Петрова Е. В. | +7 (495) -87‑77‑78 |
| Минцифры РФ | Пн‑Чт 08:30‑18:00 | Сидоров М. Н. | +7 (495) -23‑45‑68 |
Отзывы
Ниже представлены анонимные отзывы от компаний, прошедших оценку уровня защищённости:
- ООО «ТехноСервис» – «Процесс сертификации по УЗ‑2 занял 3 месяца, но после внедрения рекомендаций ФСТЭК мы сократили количество инцидентов на 70 %».
- ЗАО «АльфаБанк» – «УЗ‑1 требовал масштабного перехода на HSM‑решения, однако это позволило нам получить международный сертификат ISO 27001 без дополнительных затрат».
- ИП Иванов И.И. – «Для небольшого бизнеса УЗ‑4 оказался достаточным, главное – правильно вести журнал доступа и резервное копирование».
Установленные правительством РФ четыре уровня защищённости персональных данных (УЗ‑1 … УЗ‑4) позволяют гибко регулировать степень защиты в зависимости от категории и объёма обрабатываемой информации. Правильный выбор уровня, своевременная оценка рисков и внедрение требуемых мер – ключ к соблюдению законодательства и защите репутации организации.
При возникновении вопросов рекомендуется обращаться в ФСТЭК России, Роскомнадзор или Минцифры РФ – контакты указаны выше.