Как определить уровень защищенности персональных данных

08/12/25

Б-152

Статья объясняет, как и зачем определять уровень защищенности информационной системы персональных данных, показывая, что от этого выбора зависит правильность реализации требований законодательства, эффективность защиты и готовность к проверкам регуляторов.

Уровень защищенности (УЗ) информационной системы персональных данных (ИСПДн) — это не только классификация для отчетности. От него зависит, какие именно требования к защите необходимо реализовать оператору, какие документы разработать, какие технические меры внедрить и какие проверки пройти. Фактически определение уровня защищенности является отправной точкой для построения всей системы защиты персональных данных.

Первое, что необходимо определить — это какие именно категории персональных данных обрабатываются в системе. Закон устанавливает четыре группы:

Специальные категории (ст. 10 152‑ФЗ). Это сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья и интимной жизни. С такими данными работают, например, медицинские учреждения, образовательные организации, религиозные объединения.

Биометрические данные (ст. 11 152‑ФЗ). Это физиологические характеристики (отпечатки пальцев, изображение лица, сетчатка глаза, голос), которые используются для установления личности. Примеры: системы контроля доступа по лицу или отпечатку.

Общедоступные данные (ст. 8 152‑ФЗ). Это информация, полученная исключительно из общедоступных источников: справочники, публикации в СМИ, официально размещенные открытые данные.

Иные персональные данные. Сюда относятся все остальные сведения: паспортные данные, контактные телефоны, адреса проживания, сведения о трудовой деятельности и образовании, платежные реквизиты.

Определение категории крайне важно: для специальных и биометрических данных устанавливаются наиболее строгие требования, а ошибки классификации могут привести к неверному выбору уровня защищенности.

Методика также требует разделения субъектов ПДн на две группы:

Если в системе обрабатываются данные и сотрудников, и клиентов, уровень устанавливается исходя из категории «иные субъекты». Это правило связано с тем, что работа с внешними пользователями всегда несет больший риск — данные могут распространяться шире и подвергаться большему количеству угроз.

Следующий показатель — численность обрабатываемых данных. Учитывается два значения:

Если организация обрабатывает данные более 100 000 человек, требования к защите будут значительно выше, чем для небольших систем. Логика проста: чем больше данных, тем выше масштаб возможного ущерба при инциденте.

Если нужно понять, какие поведенческие метрики вы реально собираете и на каком основании, удобнее начать с экспресс-аудита трекинга и политики

Чтобы не разбираться в этом вслепую, можно запросить консультацию по инвентаризации трекинга и проверке оснований обработки данных. 

Третий фактор — актуальные угрозы безопасности. Постановление Правительства Р Ф № 1119 (пп. 9−12) закрепляет три типа. Их задача показать, есть ли риск скрытых (неописанных производителем) функций в используемом ПО и где этот риск выше: в системном слое, в прикладном или он не подтвержден моделированием.

Угрозы 1‑го типа. Риск недекларированных возможностей (НДВ) в системном ПО: операционная система, гипервизор, драйверы, системные службы, средства виртуализации и администрирования. Признаки, указывающие на актуальность первого типа:

Угрозы 2‑го типа. Риск НДВ в прикладном ПО: СЭД/CRM/ERP, медицинские системы, ЛК, мобильные приложения, веб‑сервисы обработки ПДн. Признаки:

Угрозы 3‑го типа. Все иные подтвержденные угрозы, когда НДВ в системном и прикладном ПО не признаются актуальными по результатам моделирования. Сюда попадают сетевые атаки, ошибки конфигурирования, социальная инженерия, эксплуатация известных уязвимостей, утечки через внешние носители, компрометация учетных записей и т. п.

Как определять тип правильно. Тип угроз фиксируется в «Модели угроз безопасности ПДн в ИСПДн», которую готовит оператор. На практике используют: описание архитектуры, перечень ПО с версиями, результаты обследования, инвентаризацию интеграций, данные об уязвимостях и отчетность тестов на проникновение. Итог — обоснованное решение о наличии/отсутствии НДВ на системном и прикладном уровнях. Эта модель — обязательный артефакт и опора для выбора уровня защищенности (ПП № 1119) и подбора мер по приказу ФСТЭК России № 21 от 18.02.2013.

Все показатели сводятся в таблицу из ПП № 1119: категория ПДн, тип субъектов, численность базы и тип угроз. Логика простая: чем чувствительнее категория, внешне «шире» субъект, больше объем и «выше» уровень угроз, тем строже уровень защищенности.

Решение закрепляются Актом установления уровня защищенности ИСПДн. В акте указывают исходные данные (категории, тип субъектов, объем, тип угроз), итоговый УЗ, используемую таблицу ПП № 1119 и связь с моделью угроз. Акт становится входом для техпроектирования и реализации мер.

После выбора уровня меры берутся из приказа ФСТЭК № 21. Список детализируется под архитектуру, но общий профиль по уровням выглядит так.

Для всех уровней обязательны: актуальная Политика ПДн (ст. 18.1 152‑ФЗ), модель угроз, акт УЗ, реестр ИСПДн, порядок реагирования на инциденты, а также оформление уничтожения ПДн актами по приказу Роскомнадзора № 179. Если используется публикация ПДн в открытом доступе — отдельное согласие на распространение (ст. 10.1 152‑ФЗ; приказ РКН № 18).

Определение уровня защищенности — это фундамент всей системы защиты персональных данных. Она позволяет выстроить систему в строгом соответствии с законом, минимизировать риски инцидентов и претензий со стороны регуляторов. 

Для оператора это гарантия предсказуемости и управляемости процессов, для субъекта ПДн — уверенность в сохранности его данных. Ошибки в определении уровня обходятся дорого: их исправление требует не только доработки документов, но и зачастую изменения инфраструктуры и процессов работы. Поэтому определять УЗ нужно тщательно, опираясь на реальную модель угроз и точные характеристики обрабатываемых данных. 

На практике это означает, что уже на этапе проектирования стоит привлекать специалистов по ИБ и учитывать требования регуляторов, чтобы избежать пересборки систем. Для бизнеса правильное определение уровня защищенности — это инвестиция в предсказуемость и снижение рисков.

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Если интересно, какие данные о вас видят алгоритмы и как это выглядит с точки зрения закона, за такими разборами и кейсами удобно следить в нашем TГ-канале.

Материалы по теме