Уровень защищённости персональных данных по ПП № 1119: как определить УЗ-1 — УЗ-4 в Самаре

«Какой у нас уровень защищённости?» — вопрос, с которого начинается техническая часть защиты персональных данных. От ответа зависит всё остальное: сколько мер потребуется, нужны ли отдельное подразделение и электронные журналы, сколько будет стоить система защиты и контроль. Уровней четыре, от УЗ-4 (самый низкий) до УЗ-1 (самый высокий), а определяются они по Постановлению Правительства № 1119 от 01.11.2012.

Разберём, как устроена матрица: что такое типы угроз 1–3, как учитываются категории данных и число субъектов, какие требования закреплены за каждым уровнем, как оформить акт и кто вообще вправе принять решение. Материал рассчитан на операторов в Самаре и других регионах: нормы федеральные и от региона не зависят. Ссылки на пункты — по тексту ПП 1119 и приказа ФСТЭК № 21.

Что такое уровень защищённости ПДн

Закон не требует защищать «все персональные данные одинаково». Ст. 19 152-ФЗ обязывает оператора принять правовые, организационные и технические меры и среди них назвать определение угроз безопасности ПДн в ИСПДн и применение организационных и технических мер для обеспечения установленных уровней защищённости. Чем тоньше последствия и чем больше данных, тем выше уровень. Конкретную шкалу устанавливает ПП 1119.

Результат определения УЗ — не формальность, а входные данные для всего следующего. Состав мер по приказу ФСТЭК № 21 привязан к уровню: в приказе 15 групп мер (идентификация и аутентификация, управление доступом, ограничение программной среды, защита машинных носителей, регистрация событий безопасности, антивирусная защита, обнаружение вторжений, контроль защищённости, целостность, доступность, защита среды виртуализации, технических средств, информационной системы, реагирование на инциденты, управление конфигурацией), а базовый набор по уровням — в приложении к приказу. Его потом адаптируют и уточняют для нейтрализации всех актуальных угроз (п. 9 приказа 21).

Определение УЗ нужно отличать от смежных понятий: класс защищённости ГИС, категория значимости объекта КИИ и уровень доверия к средствам защиты — это другие режимы. УЗ по ПП 1119 относится только к ИСПДн.

Типы угроз: 1-й, 2-й и 3-й

Первая вводная — тип актуальных угроз. Он называется «тип» не случайно: речь не об уровне опасности в целом, а о том, где именно в системе актуальны недекларированные возможности (НДВ) — функции программного обеспечения, не описанные в документации и способные нарушить безопасность данных. Классификация закреплена в п. 6 ПП 1119.

Кто определяет тип. Определяет оператор (п. 7 ПП 1119), и делает это с учётом оценки вреда субъектам (п. 5 ч. 1 ст. 18.1 152-ФЗ) и отраслевых актов с перечнями актуальных угроз, которые по ч. 5 ст. 19 вправе принимать органы власти (например, для школ и колледжей действует акт Минпросвещения № 576, для вузов — Минобрнауки № 840, для медицины — приказ Минздрава № 340н). Фактически тип — вывод, который делается в документе об угрозах; поэтому УЗ и модель угроз связаны напрямую. Слов «модель угроз» в самом 152-ФЗ нет, закон требует «определения угроз» (ч. 2 ст. 19), и модель — способ это оформить. О том, как её составить, мы писали отдельно: модель угроз ПДн.

Практическая оговорка. Для большинства коммерческих ИСПДн общего назначения (CRM, 1С, сайт, учёт клиентов) оператор нередко приходит к выводу, что актуальны угрозы 3-го типа. Это именно результат оценки, а не готовая подстановка: если в системе используется ПО, в котором оператор считает актуальной угрозу НДВ, тип будет 2-й или 1-й, и УЗ вырастет.

Категории данных и число субъектов

Вторая и третья вводные описывают сами данные. Категории в ПП 1119 такие.

• Специальные категории — раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь (ст. 10 152-ФЗ).
• Биометрические — сведения, характеризующие физиологические и биологические особенности человека и используемые для установления личности (ст. 11).
• Общедоступные — данные, отнесённые к общедоступным в соответствии с законом (точное определение сверьте по тексту ПП 1119 и 152-ФЗ).
• Иные — все остальные: ФИО, телефоны, адреса, договоры, данные клиентов и сотрудников, не попадающие в предыдущие группы.

Число субъектов считается относительно порога в 100 тыс. Отдельно выделяются сотрудники самого оператора: в матрице они идут вместе с группой «менее 100 тыс.». Поэтому число клиентов и контрагентов нужно считать честно, а сотрудников выделять отдельно. Точную формулировку пп. 9–12 ПП 1119 проверьте по тексту при составлении акта.

Матрица определения УЗ по ПП 1119

Ниже — матрица в компактном виде. В ячейках стоит уровень защищённости (1–4) для сочетания категории, числа субъектов и типа угроз. Собрана по пп. 8–12 ПП 1119.

Для проверки приведём ту же логику по уровням, как её формулирует постановление.

Примеры (при условии, что оператор пришёл к 3-му типу угроз): интернет-магазин с «иными» данными 20 тыс. клиентов — УЗ-4; тот же магазин со 150 тыс. клиентов — УЗ-3; кадровая база компании — УЗ-4; клиника с данными о здоровье 30 тыс. пациентов — УЗ-3, а с 150 тыс. — УЗ-2; система доступа по биометрии — УЗ-3. Если оператор обоснованно считает актуальными угрозы 2-го типа, те же системы окажутся на ступень-две выше.

Если ИСПДн несколько, УЗ определяют для каждой отдельно; при данных нескольких категорий, как правило, ориентируются на наиболее высокий результат.

Требования для каждого уровня: пп. 13–16 ПП 1119

Требования накопительные: каждый следующий уровень включает всё предыдущее и добавляет новое. Здесь важна точность формулировок, потому что «журналы» в пп. 15–16 — это именно электронные журналы информационной системы.

Контроль выполнения требований проводит оператор самостоятельно и (или) с привлечением лицензиатов ТЗКИ, не реже одного раза в 3 года (п. 17 ПП 1119). Для 1-го и 2-го типов угроз приказ ФСТЭК № 21 добавляет отдельные меры (п. 11), а при новых информационных технологиях и дополнительных угрозах допускаются компенсирующие меры (пп. 10 и 13 приказа). Если применяются средства криптографической защиты, их состав зависит от УЗ по приказу ФСБ № 378.

Как определить УЗ: пошагово и что за акт

Закон не устанавливает форму «акта определения уровня защищённости», но на практике именно этот документ показывает проверяющему, что оператор определил УЗ осознанно. Пересматривайте акт при каждом существенном изменении: новая подсистема, облачный сервис, выросшая база, начало обработки спецкатегорий или биометрии. И ещё одно: оператор может провести определение сам, а если привлекает исполнителя по договору для работ по безопасности ПДн в ИСПДн, то по п. 2 приказа ФСТЭК № 21 это должен быть лицензиат ТЗКИ.

Кто и как проверяет, и каковы риски

Госконтроль за обработкой ПДн у коммерческих операторов ведёт Роскомнадзор, который вправе запросить документы по ст. 18.1 (ч. 4). Контроль мер ст. 19 закреплён за ФСТЭК и ФСБ для государственных информационных систем персональных данных и ИСПДн госорганов (ч. 8 ст. 19). Отдельного состава «нет УЗ» или «нет модели угроз» в ст. 13.11 КоАП нет: ни одна из частей 1–11 напрямую не карает за отсутствие технических мер. Но риск при утечке реален: чч. 12–18 ст. 13.11 устанавливают для юрлиц штрафы от 3 до 20 млн ₽, а повторно — 1–3% выручки, и отсутствие оценки угроз и мер резко ухудшает позицию оператора.

Аттестация ИСПДн обязательна далеко не всем: она нужна для государственных информационных систем (п. 65 приказа ФСТЭК № 117). Для ИСПДн закон предусматривает оценку эффективности принятых мер до ввода системы в эксплуатацию (п. 4 ч. 2 ст. 19). Если вы государственная информационная система, субъект КИИ или банк, работы по ИБ ведёт лицензиат, и мы подключаем партнёра.

Типовые ошибки

Чем поможет МелданаСБ

Техническую часть — определение уровня защищённости, модель угроз, проект системы защиты — мы сопровождаем методически: даём шаблон акта и модели, письменные указания, консультации и проверку подготовленных документов; сам документ разрабатывает и утверждает специалист заказчика. Если нужны работы, которые по закону вправе вести только лицензиат ТЗКИ, подключаем партнёра-лицензиата ФСТЭК. Правовой пакет по персональным данным (политику, положение, приказы, согласия, уведомление) готовим под ключ. Работа дистанционная, для организаций в Самаре выезд не требуется.

Частые вопросы

Если нужно сразу перейти к делу, начните с модели угроз ПДн и полного комплекта документов по ПДн, а для смежных тем обратитесь к положению о защите ПДн. Нормы собраны в нормативной базе. Текст закона: 152-ФЗ, ПП 1119 — consultant.ru.