Определение уровня защищенности персональных данных

Коротко

Определение уровня защищённости персональных данных — это решение оператора о том, к какому из четырёх уровней относится его информационная система персональных данных. Уровни установлены постановлением Правительства от 01.11.2012 № 1119, и от выбранного уровня зависит, какие меры защиты оператор обязан применить. Итог оформляют актом определения уровня защищённости.

Зачем определять уровень

Уровень защищённости — не строчка для отчёта, а отправная точка всей системы защиты. Сначала оператор выясняет, какие данные лежат в системе, кто их субъекты и какие угрозы для них реальны, и только потом выбирает меры. Если уровень занизить, часть обязательных мер не внедрят, и это видно на проверке. Если завысить — заплатите за защиту, которая системе не нужна.

Обязанность определить угрозы и подобрать меры защиты закреплена в статье 19 Федерального закона от 27.07.2006 № 152-ФЗ. Там же сказано, что уровни защищённости и требования к защите устанавливает Правительство. Часть 2 статьи 19 перечисляет меры безопасности, в том числе определение угроз и применение организационных и технических мер. Условия выбора уровня защищённости установлены постановлением Правительства № 1119.

Что нужно выяснить до выбора уровня

Категории данных в системе: специальные (статья 10 закона № 152-ФЗ), биометрические (статья 11), общедоступные (статья 8) или иные.
Кто субъекты данных: только работники оператора или ещё клиенты, контрагенты и другие граждане.
Сколько субъектов: больше 100 тысяч человек или меньше.
Какой тип угроз актуален: I тип — недекларированные возможности в системном программном обеспечении, II тип — в прикладном, III тип — остальные факторы.
Какие ещё условия есть в системе: удалённый доступ, подключение к сетям связи общего пользования, взаимодействие с иными системами.

Четыре уровня

Постановление № 1119 вводит четыре уровня защищённости. Первый — самый строгий, четвёртый — самый мягкий. Комбинация «тип угроз + категория данных + число субъектов» задаёт уровень: например, угрозы I типа при обработке специальных, биометрических или иных категорий данных дают первый уровень, а угрозы III типа при иных категориях и меньше 100 тысяч субъектов — четвёртый.

В самом постановлении таблица условий разложена по пунктам 9–12: каждый пункт — один уровень и перечень сочетаний, при которых он устанавливается. Читать её нужно целиком: одно и то же сочетание категории и числа субъектов при разных типах угроз даёт разные уровни. Поэтому определение уровня — не выбор «на глаз», а разбор всех трёх параметров вместе.

Как оформить результат

Итог оформляют актом определения уровня защищённости информационной системы персональных данных. В нём фиксируют саму систему, категории данных, субъектов и их число, тип актуальных угроз и выбранный уровень. Акт подписывает комиссия, созданная приказом руководителя оператора; в неё входят председатель и не меньше двух членов.

Дальше по выбранному уровню оператор подбирает организационные и технические меры из требований к защите персональных данных, которые утверждены тем же постановлением № 1119. Перечень мер по каждому уровню — в пунктах 13–16 документа. Когда состав мер определён, его закрепляют в приказах и инструкциях, а выполнение проверяют внутренним контролем.

Частые вопросы

Кто определяет уровень защищённости?

Оператор персональных данных. Он создаёт комиссию приказом руководителя и оформляет результат актом. Согласовывать уровень с Роскомнадзором или ФСТЭК России до начала обработки не требуется: ведомства проверяют, как оператор выполнил требования.

Можно ли взять уровень «с запасом», чтобы точно не ошибиться?

Формально можно, но это ваши деньги: чем выше уровень, тем больше обязательных мер. Разумнее определить уровень по фактическим данным и угрозам и зафиксировать обоснование в акте — тогда на проверке видно, из чего вы исходили.

Что будет, если уровень определён неверно?

Если из-за неверного уровня не внедрены обязательные меры, это нарушение требований к защите персональных данных. Роскомнадзор проверяет соблюдение закона о персональных данных, в том числе наличие акта об определении уровня и соответствие принятых мер выбранному уровню.

Нужно ли пересматривать уровень?

Да, если меняются данные, субъекты, состав системы или угрозы. Например, в системе появились биометрические данные или число субъектов перевалило за 100 тысяч — прежний акт уже не описывает систему, и определение уровня проводят заново.

Где посмотреть условия для каждого уровня?

В постановлении Правительства от 01.11.2012 № 1119: пункты 9–12 — условия уровней, пункты 13–16 — требования к защите для каждого из них. Это первоисточник, на который ссылаются и проверяющие, и консультанты.

Проверка актуальности

Проверьте ответ на сегодняшний день

Нормы меняются каждый год, а ответы в интернете за ними не успевают. Чтобы вы опирались на действующий закон, мы настроили ИИ для проверки актуальности: он сверит эту справку с действующей редакцией законов и подскажет, что изменилось.

Разберитесь с данными до проверки

Покажу, где в вашей компании данные и кто за них отвечает

Персональные данные лежат в CRM, в 1С, в почте и в мессенджерах менеджеров, и никто в компании не видит картину целиком. Я прохожу по отделам и собираю, какие данные там реально обрабатываются и какие программы к ним подключены.

Это для собственников, у которых данные клиентов и сотрудников разбросаны по десятку сервисов и нет ответа, что с этим делать. Вы получаете карту данных и порядок, что закрывать первым.

Читать об услуге «Внедрение ИИ в бизнес»