Как классифицировать ИСПДн, выбрать уровень защищённости УЗ-1-УЗ-4 и защитить персональные данные по 152-ФЗ, чтобы избежать оборотных штрафов.
Система защиты персональных данных - это информационная система (ИСПДн) с данными клиентов и сотрудников плюс организационные и технические меры, которые закрывают её от утечек. Чтобы соблюсти 152-ФЗ, оператор классифицирует данные, по постановлению № 1119 выбирает для системы уровень защищённости от УЗ-4 до УЗ-1, а меры под этот уровень берёт из приказа ФСТЭК № 21. Дальше в статье - как отнести систему к ИСПДн, во сколько обходится защита каждого уровня и какие штрафы грозят за ошибку в классификации.
Любая организация, которая хранит данные сотрудников, клиентов или партнеров, является оператором персональных данных. Информационная система персональных данных (ИСПДн) - это автоматизированная система компании, работающая с персональной информацией. Это CRM, базы данных, кадровые программы и любое другое ПО, которое собирает, хранит или обрабатывает личную информацию. Проще говоря, если ваш бизнес использует компьютеры и программы для работы с данными клиентов или сотрудников - у вас есть ИСПДн.
Обрабатывают данные разных категорий людей - например, клиентов, сотрудников и партнеров. Крупные компании создают их, чтобы оптимизировать бизнес-процессы и сократить издержки. К примеру, банк может использовать единую платформу для скоринга заемщиков и расчета зарплат.
Решают конкретные задачи в отдельных подразделениях компании. Это CRM-платформы для отдела продаж, кадровые системы в HR-подразделении или маркетинговые платформы для аналитики.
Автоматизируют внутренние процессы - ведут учет рабочего времени, рассчитывают отпуска и больничные, управляют доступом в помещения.
Предоставляют сведения ограниченному кругу пользователей. Например, система проверки контрагентов в юридическом отделе или база лояльности в розничной сети.
Чтобы не переплачивать за безопасность и не нарушать закон, бизнесу важно правильно классифицировать систему ПДн. Оператор отвечает за безопасность персональных данных постоянно - от момента их получения до удаления. Бизнес обязан внедрить систему защиты, способную эффективно противостоять актуальным угрозам.
Конкретные требования к построению такой системы устанавливают _152-ФЗ и Постановление Правительства №1119._ Закон 152-ФЗ отвечает за базовые правила: что можно, что нельзя и кто за это отвечает. Постановление №1119 подсказывает, какие меры безопасности нужно использовать и в какой ситуации. Именно оно устанавливает _4 уровня защищенности (УЗ)_ для системы, в зависимости от того, какие данные вы обрабатываете и сколько у вас клиентов или сотрудников.
Что необходимо сделать на практике: 1. Определите уровень защищенности (УЗ) - какие именно данные вы храните (стандартные или чувствительные). От этого зависит, какие средства защиты вам потребуются. 2. Выберите лицензированные средства защиты (СЗИ) - ФСТЭК и ФСБ утверждают перечень допустимых программ и аппаратных решений. Нельзя использовать любые понравившиеся инструменты - они должны быть одобрены регуляторами.
3. Сформируйте пакет внутренних документов - политику обработки данных, регламенты для сотрудников и реестр процессов, чтобы пройти проверку без вопросов. 4. Уведомите Роскомнадзор - как только начали собирать персональные данные вы обязаны сообщить об этом в контролирующий орган. 5. Заключите правильные договоры с подрядчиками - если вы передаете сведения на аутсорсинг (например, в облако), договор должен обязывать подрядчика защищать данные так же, как это делаете вы.
За соблюдением этих требований следят: - Роскомнадзор - проверяет, как вы собираете данные и реагируете на запросы граждан. - ФСТЭК - оценивает, как вы организовали техническую защиту информации. - ФСБ - контролирует использование шифрования (криптографии). Закон требует от бизнеса не просто наличия документов, но и активной, непрерывнойзащиты информации.
Ошиблись с категорией данных или не учли требования - рискуете получить штраф до 15 млн рублей.
Правильный выбор уровня защищенности определяет, сколько вы потратите на системы безопасности и какие меры внедрите. Ошибка ведет _к двум рискам:_ вы переплатите за ненужную защиту или оставите данные уязвимыми, что грозит утечками и штрафами.
| УЗ | Тип угроз | Что нужно сделать | Практическая польза для бизнеса |
|---|---|---|---|
| УЗ-1 | Угрозы 1-го типа (уязвимости ОС и СУБД) | Внедрить максимальный набор средств защиты, включая системы против утечек информации (DLP) и строгое шифрование. Получить аттестат соответствия. | Гарантированно проходите проверки Роскомнадзора и ФСТЭК. Повышаете доверие крупных партнеров. |
| УЗ-2 | Угрозы 2-го типа (уязвимости прикладного ПО) | Установить межсетевой экран, антивирусную защиту, программы контроля доступа. | Эффективно защищаете самые уязвимые данные, минимизируя репутационные риски. |
| УЗ-3 | Угрозы 3-го типа (человеческий фактор, инсайдеры) | Внедрить парольную политику, разграничить права доступа сотрудников, вести журналы действий. | Соблюдаете закон с минимальными затратами, фокусируясь на базовой, но надежной защите. |
| УЗ-4 | Угрозы 3-го типа в ограниченном проявлении | Принять внутреннюю политику обработки данных и получить согласия от субъектов. | Легально ведете маркетинг, не неся избыточных затрат на сложные системы безопасности. |
Приведем пример. Завод со штатом 5000 сотрудников обрабатывает паспортные данные, медицинские справки для допуска к работе и использует систему контроля доступа с идентификацией по отпечаткам пальцев. - _Какие данные есть_ - иные (паспорта), специальные (медсправки) и биометрические (отпечатки). - _Уровень защищенности_ - наличие биометрии и специальных данных автоматически требует УЗ-2 для этих систем. - _Тип угроз_ - для системы, хранящей паспорта и медсправки, характерен 2-й тип угроз (уязвимости в кадровом ПО), а для системы с отпечатками пальцев - угрозы 1-го типа (атаки на операционную систему сервера).
После того, как вы определили УЗ, можно приступать к проектированию системы защиты. Конкретные требования к защите ПДн устанавливает _Приказ ФСТЭК № 21._ Организационные меры - это основа, по которой вас будут проверять в случае жалобы или аудита. Они подразумевают разработку и утверждение обязательных документов, регламентирующих порядок взаимодействия с данными, права доступа, процедуры реагирования на инциденты и персональную ответственность сотрудников.
Компании, которые внедрили защищённые ИСПДн, не только избегают штрафов, но и демонстрируют клиентам и партнёрам свою надёжность.
Компании, которые внедрили защищенные ИСПДн, не только избегают штрафов, но и получают реальное конкурентное преимущество, демонстрируя клиентам и партнерам свою надежность. Следуйте плану - четкий алгоритм действий поможет минимизировать издержки и выстроить систему безопасности последовательно и обоснованно. ###
Составьте полный реестр всех процессов и мест хранения персональной информации. Фиксируете, где и как обрабатываете данные: в CRM, отделах кадров, бухгалтерии. Точно определите категории данных - стандартные (ФИО, телефоны) или специальные (состояние здоровья). На основе этой информации классифицируете ИСПДн по уровням защищенности. ###
Вам нужно создать пакет локальных актов, который станет основой для всех процессов (о них мы писали выше). Такие документы доказывают проверяющему органу: у вас порядок, а не хаос. ###
Определив уровень защищенности, выберите и внедрите сертифицированные СЗИ. Вам поможет подрядчик - системный интегратор, который подберет сертифицированные СЗИ в соответствии с уровнем защищенности, протестирует и внедрит решения на пилотных зонах перед полномасштабным запуском. Подрядчик также настроит интеграцию средств защиты с вашей IT-инфраструктурой и разработает техническую документацию на систему защиты. ###
Обучите команду: проведите инструктажи по использованию защитных механизмов и соблюдению регламентов. Введите в действие все разработанные документы и получите _аттестат соответствия_ (выдается на 3 года и служит весомым доказательством вашей добросовестности).
За утечки персональных данных для юрлиц действуют повышенные штрафы, а за повторные нарушения введены _оборотные санкции_ - процент от годовой выручки компании, а не фиксированная сумма (поправки в КоАП по 420-ФЗ). Отдельно закон ввёл уголовную ответственность за незаконный оборот персональных данных (ст. 272.1 УК РФ) - риск ошибки в защите ИСПДн теперь измеряется десятками миллионов рублей и уголовной статьёй.
Штрафы в размере 1-3% от выручки могут «поглотить» значительную часть квартальной прибыли среднего бизнеса.
Средства, запланированные на маркетинг, закупки или модернизацию, придется направлять на оплату санкций.
Компания с репутацией «нарушителя» и риском приостановки деятельности становится менее интересна инвесторам и партнерам.
| Нарушение | Штраф |
|---|---|
| Компрометация данных 1 000-10 000 человек | 3-5 млн рублей |
| Разглашение информации 10 000-100 000 физических лиц | 5-10 млн рублей |
| Нарушение при обработке свыше 100 000 записей | 10-15 млн рублей |
| Раскрытие специальных категорий сведений (состояние здоровья, убеждения) | 10-15 млн рублей |
| Компрометация биометрических данных | 15-20 млн рублей |
| Повторный случай нарушения требований защиты | Оборотный штраф 1-3% от годового объема выручки (нижний порог - 20-25 млн рублей, верхний лимит - 500 млн рублей) |
### Сценарий: модернизация защиты ИСПДн в страховой компании под УЗ-2
Страховая организация обрабатывает специальные категории данных - сведения о здоровье клиентов по полисам ДМС, а это специальные ПДн большого числа субъектов, поэтому система должна соответствовать _УЗ-2._
Правильная последовательность работ начинается с аудита ИТ-инфраструктуры, который выявляет зоны риска, а по его результатам разворачивается комплексная защита: - настраивается DLP-система против утечек; - шифруются каналы передачи данных между филиалами; - разграничивается доступ к медицинской информации между страховыми агентами, медучреждениями и бухгалтерией.
После подключения системы мониторинга инцидентов реакция на угрозы сокращается с часов до минут - инцидент виден в момент возникновения, а не постфактум.
Обратный сценарий - как слабая система безопасности и идентификации приводит к прямым финансовым и репутационным потерям. Микрофинансовая организация получила иск от гражданина, который утверждал, что не подписывал договор займа и не давал согласия на обработку своих персональных данных: договор оформили дистанционно через сайт по SMS-коду, отправленному на чужой номер, а надёжной системы идентификации клиентов в компании не было.
По решению суда компанию обязали удалить данные истца и прекратить обработку - слабое место в защите прямо конвертировалось в судебные и репутационные издержки.
FAQ
ИСПДн - это любые программы и базы, где вы храните и обрабатываете данные клиентов, сотрудников или партнёров: CRM, кадровые системы и даже Excel-таблицы с телефонами и email. Система защиты персональных данных - это ИСПДн вместе с организационными документами и техническими средствами, которые закрывают её от утечек.
Всем. Если вы храните данные сотрудников, клиентов или контрагентов, вы являетесь оператором ПДн. Это относится даже к небольшим компаниям с базой клиентов в Excel.
Уровень защищённости УЗ-1…УЗ-4 задаёт Постановление №1119 по трём факторам: категория данных, число субъектов и тип актуальных угроз. Специальные и биометрические данные автоматически поднимают уровень независимо от количества записей. От уровня зависят и меры защиты, и затраты.
Регистрируется не сама система, а факт обработки конфиденциальных сведений: закон обязывает уведомить Роскомнадзор до начала работы с персональными данными. Перечень исключений с 2025 года заметно сократился, поэтому проверяйте актуальные основания для конкретного случая.
Бизнесу грозят штрафы от 3 до 20 млн ₽, а за повторную утечку - оборотные 1-3% от выручки. За незаконный оборот данных введена уголовная ответственность (ст. 272.1 УК РФ). Кроме денег вы теряете клиентов, партнёров и репутацию.
{{cta}}
