Классы защиты персональных данных

Информационная система персональных данных (ИСПДн) — это совокупность персональных данных в базах данных, а также информационных технологий и технических средств, с помощью которых они обрабатываются.

На практике ИСПДн может включать CRM, кадровую или учетную систему, серверы, рабочие станции, программное обеспечение и другие компоненты, участвующие в обработке персональных данных.

Для защиты ИСПДн оператор определяет актуальные угрозы, устанавливает необходимый уровень защищенности и подбирает организационные и технические меры. Поэтому одинаковое количество записей в двух системах еще не означает, что для них потребуется одинаковый уровень защиты.

Для определения уровня защищенности важна не отрасль, в которой работает организация, а категория персональных данных, обрабатываемых в конкретной ИСПДн. ПП РФ № 1119 выделяет четыре варианта:


Само наличие фотографии, изображения лица или записи голоса еще не означает, что оператор обрабатывает биометрические ПДн: имеет значение, используются ли соответствующие характеристики для установления личности субъекта.

Дополнительно учитывается, чьи данные обрабатывает система. По ПП № 1119 ИСПДн считается системой обработки данных сотрудников оператора только тогда, когда в ней находятся персональные данные исключительно этих сотрудников. В остальных случаях применяются условия для субъектов, не являющихся сотрудниками оператора.

ПП РФ № 1119 устанавливает четыре уровня защищенности персональных данных: УЗ-1, УЗ-2, УЗ-3 и УЗ-4. Уровень нельзя определить только по количеству записей в базе. Необходимо учитывать сразу несколько параметров:

категорию персональных данных, тип актуальных угроз, обработку данных сотрудников или иных субъектов и количество субъектов, если система содержит данные лиц, не являющихся сотрудниками оператора.

Чтобы определить требуемый уровень защищенности конкретной ИСПДн, последовательно анализируют четыре группы параметров.


После этого полученные параметры сопоставляют с условиями пунктов 9–12 ПП № 1119 и определяют УЗ-1, УЗ-2, УЗ-3 или УЗ-4. Результат и его обоснование целесообразно зафиксировать во внутренней документации оператора вместе с исходными данными, на основании которых был определен уровень.

В зависимости от уровня защищенности, на ИСПДн накладываются определенные требования:

• Физическая защита – контроль доступа, использование охраняемых помещений.
• Техническая защита – шифрование, антивирусные системы, межсетевые экраны.
• Организационные меры – назначение ответственного за обработку данных, обучение персонала.
• Программные средства – использование сертифицированных программных решений.

Аттестация ИСПДн подтверждает соответствие системы требованиям безопасности. Процесс аттестации включает:

1. Определение уровня защищенности и формирование требований.
2. Разработка системы защиты персональных данных.
3. Проведение тестирования и аудита на соответствие требованиям.
4. Получение сертификата соответствия от уполномоченного органа.
5. Постоянный контроль и обновление системы защиты.

Соблюдение требований по защите персональных данных не только обеспечивает безопасность информации, но и помогает избежать штрафов и юридических проблем. Компании и государственные структуры должны уделять особое внимание защите данных и регулярно обновлять меры безопасности в соответствии с актуальными угрозами.