ИСПДн и уровни защищенности персональных данных

Если сказать просто, ИСПДн — это любая система, в которой хранятся или обрабатываются персональные данные. Это может быть кадровая база в 1С, облачная CRM, сайт с формой обратной связи или даже база клиентов, хранящаяся на локальном сервере в офисе.
В законе (ФЗ-152) ИСПДн определяется как «совокупность баз данных и обеспечивающих их обработку информационных технологий и технических средств».

То есть, ИСПДн — это не только сама база данных, но и всё, что её окружает: серверы, программное обеспечение, сеть, политики безопасности и даже сотрудники, которые с ней работают.

Осознание того, что любая такая система становится объектом регулирования, — первый шаг к правильной организации защиты данных.

Один из главных критериев — есть ли у ИСПДн доступ к интернету.

Если система полностью изолирована — например, база кадрового отдела, стоящая на отдельном сервере без выхода наружу, — риски утечки минимальны.

Но если она связана с внешними сервисами, API, почтой, CRM или веб-интерфейсом, то автоматически повышается уровень угроз.

Поэтому ИСПДн делятся на:

• закрытые (изолированные) — без подключения к интернету;
• открытые (сетевые) — взаимодействующие с внешними системами.

Этот фактор напрямую влияет на требования к защите. Чем больше точек входа, тем выше вероятность атак, а значит — тем строже уровень защищенности, который назначит оператор.

Чтобы понять, кто и за что отвечает, важно различать две роли:

• Оператор — это организация, которая собирает, хранит и обрабатывает персональные данные. Именно она несёт ответственность за их сохранность и законность обработки.
• Субъект — человек, чьи данные обрабатываются: клиент, сотрудник, посетитель сайта.

Многие компании ошибочно считают, что если данные «только для внутреннего использования», требования можно не соблюдать. На деле это не так: обработка ПДн сотрудников также попадает под действие закона.
Именно оператор определяет, какие данные он собирает, с какой целью и какие угрозы для них актуальны — а значит, он же и определяет уровень защищенности своей ИСПДн.

Категории персональных данных влияют на сложность защиты. Закон выделяет четыре основные группы:

1. Общедоступные — опубликованы открыто самим субъектом (например, профиль на сайте компании).
2. Иные (общие) — базовые данные: ФИО, адрес, телефон, паспорт.
3. Специальные — сведения о здоровье, убеждениях, национальности, судимости.
4. Биометрические — уникальные физические признаки: фото, отпечатки, голос.

Категория ПДн — только один из факторов определения уровня. Например, наличие медицинских данных еще не означает автоматически УЗ1 или УЗ2: для специальных категорий уровень также зависит от типа угроз, числа субъектов и того, являются ли они сотрудниками оператора.

Например, если ИСПДн обрабатывает специальные данные менее 100 000 клиентов и для нее актуальны угрозы третьего типа, требуется УЗ3. Если в системе обрабатываются иные данные менее 100 000 клиентов при угрозах третьего типа — УЗ4.

Поэтому уровень нельзя определять только по отрасли или размеру компании: одинаковые организации могут иметь несколько ИСПДн с разными уровнями защищенности.

Для определения уровня защищенности Постановление №1119 выделяет три типа актуальных угроз:

1. Угрозы первого типа — актуальны угрозы, связанные в том числе с недекларированными возможностями системного программного обеспечения.
2. Угрозы второго типа — актуальны угрозы, связанные в том числе с недекларированными возможностями прикладного программного обеспечения.
3. Угрозы третьего типа — актуальны угрозы, не связанные с недекларированными возможностями системного и прикладного ПО.

Фишинг, вредоносное ПО, подбор паролей, ошибки конфигурации и действия сотрудников могут учитываться в модели угроз, но сами по себе не являются нормативным определением «третьего типа».

Тип актуальных угроз оператор определяет для конкретной ИСПДн с учетом возможного вреда субъектам, архитектуры системы, используемых технологий и применимых методических документов.

Многие компании работают сразу с несколькими категориями субъектов: сотрудники, клиенты, подрядчики, партнёры.

Каждая из этих групп может находиться в отдельной ИСПДн, и уровень защиты для них будет разным.

Для расчета УЗ важно не просто разделять группы субъектов, а понимать правило Постановления №1119: система считается ИСПДн сотрудников только тогда, когда в ней обрабатываются исключительно данные сотрудников оператора. Если та же система содержит данные кандидатов, клиентов, подрядчиков или других лиц, для расчета она относится к ИСПДн, обрабатывающей данные субъектов, не являющихся сотрудниками.

Если оператор неправильно определит уровень и не внедрит нужные меры, он рискует попасть под административные санкции (ст. 13.11 КоАП), не говоря уже про такие последствия, как потеря клиентов и репутации.

Требования определяются тремя ключевыми документами:

• ФЗ №152-ФЗ — общие принципы;
• ПП №1119 — уровни защищенности;
• Приказ ФСТЭК №21 — конкретные меры защиты.

Приказ №21 делит меры на организационные и технические.

Это:

• идентификация, разграничение и управление доступом,
• регистрация действий пользователей (и вообще событий, связанных с безопасностью),
• антивирусная защита и обнаружение вторжений,
• ограничения программной среды и защита самих технических средств (включая системы виртуализации),
• использование сертифицированных СЗИ,
• криптографическая защита систем связи и передаваемой информации,
• контроль защищенности и целостности,
• обучение сотрудников,
• выявление и реагирование на инциденты,
• аудит и внутренние проверки.

Важно помнить: обеспечение безопасности ПДн — это не установка антивируса, а комплекс мер, где задействованы и технологии, и организационные процессы (а также регулярная проверка эффективности этой связки - не реже 1 раза в 3 года).

Для обычной коммерческой ИСПДн Федеральный закон №152-ФЗ требует провести оценку эффективности принимаемых мер по обеспечению безопасности ПДн до ввода системы в эксплуатацию. Универсального требования получать аттестат соответствия для каждой коммерческой ИСПДн законодательство не устанавливает.

Необходимость аттестации может возникать в случаях, когда она предусмотрена требованиями к конкретной информационной системе, условиями подключения к защищаемым государственным ресурсам, отраслевым регулированием или требованиями заказчика.

Для государственных информационных систем нормативная база изменилась: с 1 марта 2026 года приказ ФСТЭК №17 утратил силу, а требования к защите соответствующих информационных систем устанавливает приказ ФСТЭК №117. В сентябре 2026 года в него также были внесены изменения приказом №137. Порядок организации и проведения аттестации объектов информатизации установлен приказом ФСТЭК №77 в действующей редакции.

Поэтому перед началом аттестации необходимо определить правовой статус системы и понять, требуется ли именно аттестат или для конкретной ИСПДн достаточно оценки эффективности реализованных мер защиты.

ИСПДн — это не просто база данных с именами. Это информационная система, от которой напрямую зависит безопасность персональных данных и доверие клиентов.

Понимание, что это, какие классы и уровни защищенности существуют и как правильно аттестовать систему, позволяет избежать ошибок, утечек и штрафов.

Команда «Гладиаторы ИБ» помогает операторам ПДн пройти весь путь — от определения уровня защищенности до подготовки системы к аттестации ФСТЭК. Мы не просто знаем, как должно быть по закону — мы делаем, чтобы это действительно работало.