Акт определения уровня защищённости ПДн

Постановление № 1119 устанавливает не сам перечень мер защиты, а правила, по которым для каждой информационной системы персональных данных вычисляется один из четырёх уровней защищённости. Дальше, уже в других требованиях к защите информации, каждому уровню соответствует свой набор обязательных мер — чем выше уровень, тем их больше.

Акт определения уровня защищённости — не просто формальная бумага с итоговой цифрой. В нём должно быть видно, из каких исходных параметров сложился вывод: какие данные обрабатываются, кому они принадлежат, сколько субъектов задействовано и какой тип угроз актуален для системы. Это нужно, чтобы при проверке можно было проследить логику расчёта, а не просто увидеть готовый ответ.

Документ утверждается руководителем организации или уполномоченным лицом и хранится вместе с остальным пакетом документов по защите персональных данных — моделью угроз, перечнем ИСПДн, техническим заданием на систему защиты.

Постановление № 1119 определяет уровень защищённости на основании сочетания четырёх параметров:

• тип персональных данных — специальные категории (о здоровье, судимости, национальности и т. п.), биометрические, общедоступные или иные;
• категория субъектов — являются ли субъекты сотрудниками оператора или сторонними лицами;
• количество субъектов персональных данных, чьи данные обрабатываются в системе;
• тип актуальных угроз безопасности — угрозы 1-го, 2-го или 3-го типа, связанные с наличием недекларированных возможностей в системном и прикладном программном обеспечении.

Тип актуальных угроз берётся из модели угроз, разработанной для конкретной информационной системы, — это единственный из четырёх параметров, который требует отдельного содержательного анализа, а не просто фиксации фактических данных о системе.

Постановление № 1119 закрепляет четыре уровня защищённости — от первого, самого строгого, до четвёртого, наименее требовательного. Общая логика такая: чем выше уровень, тем больше данных, тем чувствительнее их категория и тем более серьёзные угрозы актуальны — тем строже требования к защите.

Точное отнесение к уровню — это всегда расчёт по конкретным условиям, а не выбор «на глаз». Для двух похожих на первый взгляд компаний уровень может различаться из-за разницы в категории субъектов или типе актуальных угроз.

Типовая структура акта включает: наименование информационной системы, к которой он относится; ссылку на исходные документы — модель угроз, перечень обрабатываемых данных; описание каждого из четырёх параметров применительно к этой системе; итоговый вывод об уровне защищённости с обоснованием; подписи ответственных лиц и дату утверждения.

Акт составляется отдельно для каждой информационной системы персональных данных, если в компании их несколько и они отличаются по составу данных или архитектуре. Объединять разнородные системы в один акт с единым уровнем защищённости корректно только тогда, когда все параметры для них действительно совпадают.

Полезная практика — прикладывать к акту таблицу с расчётом, показывающую, какой конкретно параметр к какому итоговому уровню приводит. Это упрощает и внутренний контроль, и последующие проверки, поскольку логика вывода становится прозрачной для любого, кто откроет документ.

Уровень защищённости — не разовая оценка на старте, а параметр, который может измениться вместе с системой. Пересмотр акта требуется, если изменился состав обрабатываемых данных (например, добавились специальные категории), выросло число субъектов, изменилась категория субъектов (система, работавшая только с сотрудниками, начала обрабатывать данные клиентов) или обновилась модель угроз с изменением типа актуальных угроз.

Частая причина несоответствия при проверках: формально акт есть, но он описывает систему в том виде, в каком она была год или два назад, а не текущее состояние.

Разумная практика — пересматривать акт при любом значимом изменении информационной системы и, как минимум, сверяться с ним при плановом аудите документов по защите персональных данных.