Уровень защищённости персональных данных: как онлайн-школе определить свой и что из этого следует
На многих сайтах про 152-ФЗ встречается фраза «определите уровень защищённости ваших персональных данных» — и дальше без объяснений. Как будто это что-то, что можно посмотреть в справочнике по названию организации. На деле уровень защищённости (УЗ) — расчётная величина, которая зависит от четырёх факторов одновременно, и для каждой школы она может быть своей, даже если школы похожи как две капли воды.
Разберём, из чего состоит расчёт, какой уровень типичен для онлайн-образования и что будет, если его выбрать неверно. Другие вопросы по 152-ФЗ для онлайн-школ собраны в разделе «Персональные данные».
В поисковых запросах чаще пишут «уровень защищенности персональных данных» без буквы ё — в этой статье оба варианта написания означают одно и то же.
Что такое уровень защищённости персональных данных и где это написано
Документ появился не как абстрактная бюрократическая надстройка. Он переводит общее требование ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «обеспечить безопасность персональных данных при их обработке» в конкретный технический язык: какие именно меры нужны для конкретной системы. Чем выше уровень, тем шире перечень обязательных мер — от простой парольной защиты до двухфакторной аутентификации и регулярного аудита безопасности.
Уровень защищённости касается не организации в целом, а конкретной информационной системы персональных данных (ИСПДн). У онлайн-школы их может быть несколько: CRM с данными учеников, платформа с видеозаписями уроков, бухгалтерская система с данными сотрудников. У каждой свой уровень, потому что состав обрабатываемых данных и число субъектов в них отличается.
Путаница часто начинается именно здесь: директор школы спрашивает юриста «какой у нас уровень защищённости», как будто ответ один на всю компанию. На деле правильная формулировка вопроса звучит иначе — «какой уровень защищённости у нашей ИСПДн с данными учеников» и отдельно «какой у ИСПДн с данными сотрудников отдела продаж». Это разные системы, разные наборы факторов и, скорее всего, разные ответы. Школа, которая считает уровень защищённости «вообще», а не по конкретной системе, на проверке рискует получить замечание уже на этом этапе — до разговора по существу о технических мерах.
Четыре фактора, от которых зависит уровень
Разберём каждый фактор на примере онлайн-школы.
Чек-лист: четыре параметра для расчёта уровня защищённости
- ✓ Категория персональных данных: специальные (о здоровье, религии, судимости), биометрические (фото- и видеоматериалы для идентификации), иные (ФИО, телефон, email, адрес) или общедоступные
- ✓ Субъекты данных — сотрудники оператора ПДн или другие лица (для школы ученики и их родители — «другие лица», не сотрудники)
- ✓ Количество субъектов, данные которых обрабатываются одновременно в этой информационной системе: больше 100 000 или меньше
- ✓ Тип актуальных угроз безопасности: 1-й, 2-й или 3-й тип — определяется по модели угроз для конкретной ИСПДн
Для большинства онлайн-школ категория данных — это «иные»: ФИО ученика, дата рождения, телефон и email родителя, адрес, иногда данные об оплате. Специальные категории появляются, только если школа собирает сведения о здоровье (например, для детских лагерей с медицинскими справками) или использует прокторинг с распознаванием лица при сдаче экзаменов — тогда добавляются биометрические данные, и расчёт уровня меняется.
Параметр «количество субъектов» тоже заслуживает отдельного внимания, потому что его легко посчитать неправильно. Речь не о том, сколько учеников пришло на курс за всё время существования школы, а о том, сколько записей одновременно хранится в конкретной ИСПДн на момент оценки. Если школа регулярно чистит базу от выпускников, которые завершили обучение два года назад и не дали согласия на дальнейшее хранение данных, число будет одно. Если база растёт без очистки годами, число может незаметно подойти к порогу в 100 000 человек, и уровень защищённости придётся пересчитывать — закон не делает исключений для школ, которые просто забыли актуализировать расчёт.
Какой уровень типичен для онлайн-школы
Почему «как правило», а не «точно»? Потому что даже у двух похожих онлайн-школ тип актуальных угроз может отличаться — он зависит не от размера бизнеса, а от архитектуры конкретной информационной системы: какое программное обеспечение использует школа, есть ли у него документированные уязвимости, насколько она изолирована от интернета. Школа на готовой SaaS-платформе (GetCourse, Bitrix24) и школа с собственной разработкой на сервере могут получить разные типы угроз при одинаковом наборе данных.
Ещё одна тонкость — статус субъектов данных в смешанных ИСПДн. Если в одной и той же CRM школа хранит и данные учеников (не сотрудники), и данные штатных методистов или кураторов (сотрудники), формально это две категории субъектов в одной системе. Приложение к ПП № 1119 в такой ситуации требует брать более строгий вариант расчёта — то есть считать систему так, будто в ней есть субъекты-сотрудники, даже если их доля в базе невелика. Разделить данные учеников и сотрудников по разным системам технически сложнее, но часто обходится дешевле, чем тянуть всю CRM по более строгому уровню защищённости.
| Фактор | Типичное значение для онлайн-школы | Когда меняется |
|---|---|---|
| Категория данных | Иные (ФИО, контакты, адрес) | Биометрия при прокторинге, данные о здоровье в анкетах |
| Статус субъектов | Не сотрудники (ученики, родители) | Отдельный расчёт для ИСПДн с данными сотрудников школы |
| Количество субъектов | До 100 000 — у большинства школ до нескольких десятков тысяч учеников | Крупные образовательные холдинги с базой от 100 000 человек |
| Тип угроз | Чаще 3-й тип (не связанные с недокументированными возможностями ПО) | Использование нелицензионного или кастомного ПО без аудита повышает тип угрозы |
Как определить тип актуальных угроз — и почему это не формальность
Модель угроз — не формальность для галочки, хотя многие школы относятся к ней именно так. Это документ, который описывает конкретную информационную систему: какое ПО используется, какие каналы передачи данных задействованы, кто имеет доступ. На основе этого документа и определяется тип угроз:
Чек-лист: как устроены три типа угроз
- ✓ 1-й тип — угрозы связаны с недекларированными возможностями в системном программном обеспечении (операционная система, системное ПО сервера)
- ✓ 2-й тип — угрозы связаны с недекларированными возможностями в прикладном программном обеспечении (конкретные приложения и сервисы, с которыми работает школа)
- ✓ 3-й тип — угрозы, не связанные с недекларированными возможностями ни в системном, ни в прикладном ПО — самый распространённый случай для лицензионного стандартного ПО без известных закладок
На практике для онлайн-школ, которые используют известные коммерческие платформы (CRM, конструкторы сайтов, облачные хостинги с сертификацией), актуальным обычно признаётся 3-й тип угроз — именно он даёт самый мягкий уровень защищённости при прочих равных факторах. Но подтвердить это нужно документально: моделью угроз, которую составляет либо штатный специалист по информационной безопасности, либо приглашённая лицензированная организация. Школа, которая просто написала в локальном акте «угрозы 3-го типа» без обоснования, рискует не пройти проверку — инспектор Роскомнадзора попросит именно модель угроз, а не декларацию.
Отдельно нужно сказать про облачные сервисы и аутсорс IT. Если школа хранит данные учеников в чужом облаке (например, на сервере подрядчика, который предоставляет хостинг для сайта и CRM), это не освобождает школу от необходимости знать тип угроз. Оператором персональных данных по 152-ФЗ остаётся школа, даже если техническую инфраструктуру обслуживает третье лицо. Поэтому в договоре с хостинг-провайдером или подрядчиком стоит отдельно прописывать обязанность предоставить информацию, нужную для модели угроз — иначе школа окажется в ситуации, когда закон требует от неё знать то, что физически знает только подрядчик.
Что конкретно требует каждый уровень защищённости
Для онлайн-школы на практике это выглядит так:
| Уровень | Что обычно требуется дополнительно |
|---|---|
| УЗ-4 | Антивирусная защита, разграничение прав доступа, парольная защита, резервное копирование, базовый журнал событий |
| УЗ-3 | Всё из УЗ-4 плюс более детальное протоколирование действий пользователей, контроль состава технических средств, регулярный анализ защищённости |
| УЗ-2 | Всё из УЗ-3 плюс двухфакторная аутентификация для доступа к системе, усиленный контроль съёмных носителей |
| УЗ-1 | Максимальный набор — включает регулярный внешний аудит, сертифицированные средства защиты, строгий контроль физического доступа к серверам |
Конкретный состав мер для своей системы школа фиксирует не абстрактно, а в модели угроз и в приказе о назначении ответственного за защиту персональных данных — эти документы проверяющий орган запрашивает первым делом вместе с подтверждением уровня защищённости.
Часто спрашивают, обязательно ли привлекать внешнюю лицензированную организацию для внедрения всех этих мер или можно справиться своими силами. Закон прямо лицензию ФСТЭК на деятельность по защите конфиденциальной информации не требует от самого оператора персональных данных — она нужна тому, кто оказывает такие услуги третьим лицам на коммерческой основе. Школа может внедрить меры защиты своими силами, если у неё есть сотрудник с достаточной квалификацией, который способен обосновать выбранные решения документально. На практике для небольшой школы дешевле и надёжнее один раз заказать расчёт и настройку у специалиста, чем потом объяснять инспектору, почему «мы подумали, что этого хватит».
Что будет, если уровень выбран неправильно
На практике типичная ошибка выглядит так: школа скопировала политику безопасности у другой компании из интернета, в которой заявлен УЗ-4, не проверив, совпадают ли у неё факторы расчёта — количество учеников, тип угроз, наличие биометрии в прокторинге. Если у скопировавшей школы на самом деле больше 100 000 учеников в базе или используется видеоидентификация при тестировании, фактический уровень окажется выше заявленного — и меры защиты, которые описаны в документах, не будут соответствовать требованиям закона.
Обратная ошибка — когда школа добровольно выбирает завышенный уровень «на всякий случай», не желая разбираться в расчёте. Формально это не нарушение, но означает, что она тратит ресурсы на требования, которые закон к ней не предъявляет: лишние сертифицированные средства защиты, избыточные процедуры контроля доступа. Для небольшой онлайн-школы это может быть ощутимой и ненужной статьёй расходов.
Третий сценарий, который встречается реже, но бьёт болезненнее — школа вообще не проводила расчёт и не может ответить на вопрос инспектора, какой у неё уровень защищённости, даже приблизительно. Это воспринимается строже, чем ошибка в расчёте: ошибка говорит о том, что школа пыталась соблюсти закон и промахнулась, а отсутствие расчёта — о том, что требование не выполнялось вовсе. На практике разница между этими двумя ситуациями часто определяет, ограничится ли дело предписанием устранить нарушение или дойдёт до протокола и штрафа.
Самый надёжный путь — заказать расчёт уровня защищённости и модель угроз у специалиста, который видит конкретную архитектуру информационной системы школы, а не действовать по шаблону из открытых источников. Подробнее о том, как в целом устроена проверка Роскомнадзора онлайн-школы, читайте в статье «Проверка Роскомнадзора онлайн-школы: как пройти и что проверяют в 2026«.
Не уверены, какой у вас уровень защищённости персональных данных?
Проверим документы и подготовим вашу онлайн-школу к проверке Роскомнадзора.
Статья подготовлена на основе законодательства РФ на октябрь 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Что такое уровень защищённости персональных данных простыми словами?
Это категория из Постановления Правительства РФ № 1119, которая показывает, насколько строгие технические меры защиты обязана применить организация для конкретной информационной системы с персональными данными. Уровней четыре — от УЗ-1 (самый строгий) до УЗ-4 (самый мягкий).
Какой уровень защищённости обычно присваивают онлайн-школе?
Чаще всего УЗ-3 или УЗ-4, если школа обрабатывает только ‘иные’ персональные данные учеников и родителей без биометрии, а количество субъектов в системе не превышает 100 000 человек. Точный уровень подтверждается расчётом по конкретной информационной системе, а не берётся по аналогии с другими школами.
Нужно ли отдельно считать уровень защищённости для данных учеников и данных сотрудников школы?
Да, если это разные информационные системы. Если данные учеников (не сотрудники) и данные штатных сотрудников хранятся в одной системе, расчёт нужно вести по более строгому варианту — как для системы с субъектами-сотрудниками.
Кто должен составлять модель угроз для расчёта уровня защищённости?
Модель угроз может составить штатный специалист по информационной безопасности школы либо приглашённая организация. Главное — документ должен обосновывать тип актуальных угроз (1-й, 2-й или 3-й), а не содержать голословное утверждение без расчёта.
Что грозит школе, если уровень защищённости определён неверно в меньшую сторону?
Если фактически требуется более высокий уровень защищённости, а школа применяет меры для более низкого, при проверке Роскомнадзора это квалифицируется как нарушение ст. 19 152-ФЗ со штрафом по ст. 13.11 КоАП РФ.
