Защита ПД и СЗПД

• Этап
• Вопрос
• Да
• Нет

• Ресурс
• I. Обрабатываются ли с помощью ресурса ПД: сбор, получение, передача, хранение?
• к вопросу II
• не ИСПД

• Ресурс
• II. Из ПД в ресурсе обрабатываются только логины и пароли пользователей?
• не ИСПД
• ИСПД, к этапу 2

• Лицо
• III. Признает ли себя лицо оператором или обработчиком ПД в этой ИСПД?
• к вопросу V
• к вопросу IV

• Лицо
• IV. Есть ли у лица технический доступ к ПД, даже зашифрованным без ключа?
• к вопросу V
• не оператор ИСПД

• Лицо
• V. Владеет ли лицо на вещном праве техническими средствами с базой ПД?
• к вопросу VI
• пользователь ИСПД

• Лицо
• VI. Лицо лишь предоставляет свои технические средства под чужие базы ПД?
• не оператор ИСПД
• к вопросу VII

• Лицо
• VII. Заключен ли лицом договор на всестороннюю эксплуатацию ИСПД?
• оператор - контрагент
• оператор ИСПД

Ресурс

ИС, в том числе облачная, почта, мессенджер, ВКС, сетевой диск, сайт, мобильное приложение

Эксплуатация ИС

сопровождение ПО, оборудования и СЗИ, обучение, обслуживание, закупка, модернизация, обновление

• УЗ-1
• + авторегистрация смены полномочий в журнале и подразделение по безопасности (п.16)

• УЗ-2
• + доступ к журналу сообщений только для тех, кому он нужен по службе (п.15)

• УЗ-3
• + ответственный за безопасность ПД в ИСПД (п.14)

• УЗ-4
• база (п.13): помещения, носители, перечень допущенных, СЗИ против актуальных угроз

• Уровень задают
• тип актуальных угроз
• категория ПД: специальные, биометрические, общедоступные, иные

• сотрудники оператора или иные лица
• больше или меньше 100 тыс. субъектов

Правило: уровень устанавливают для каждой ИСПД отдельно, а при нескольких сработавших условиях берут самый строгий. При любом уровне оператор ИСПД определяет угрозы, оценивает эффективность мер до ввода системы, устанавливает правила доступа, регистрирует действия с ПД и контролирует меры

П.14 ПП-1119

Назначение обязательно с 3 уровня защищенности

работник оператора ИСПД отвечает за обеспечение безопасности ПД в информационной системе; при СКЗИ приказ ФСБ № 378 требует достаточных навыков

Функции и задачи

организация и координация безопасности ПД в системах

определение актуальных угроз

организационные и технические меры защиты

восстановление ПД после несанкционированного доступа

правила доступа, регистрация и учет действий с ПД

контроль принятых мер

распорядительные документы по безопасности ПД

обнаружение, расследование и ликвидация последствий инцидентов с ПД

Кандидаты

Из профильных подразделений

CISO или CIO, их заместители и ведущие специалисты подразделений ИБ и ИТ, либо DPO

Санкция

Ч.6 ст.13.12 КоАП

за неназначение и иные нарушения защиты информации: юрлицу 50-100 тыс. ₽, должностному лицу 10-50 тыс. ₽. В госорганах и НКО риски выше

Выгода

Ответственность концентрируется

снижается риск привлечения ЕИО при компьютерном инциденте, но от контроля за подчиненными руководителя это не освобождает

• 1
• Модель угроз ПД

30 раб. дней

Исходные данные

реестр процессов и ИСПД

опросник о применяемых СЗИ

Работы

анализ угроз безопасности ПД

выявление актуальных угроз

модель угроз по документам ФСТЭК

Результат

модель угроз, при привлечении лицензиата ФСТЭК или ФСБ согласованная с ним

• 2
• Меры защиты ПД

30 раб. дней

Исходные данные

модель угроз

Работы

меры защиты ПД и устранения актуальных угроз

техническое задание на СЗПД

технический проект по документам ФСТЭК и ФСБ

Результат

техническое задание и проект СЗПД: спецификация СЗИ и пояснительная записка

• 3
• Закупка и внедрение СЗИ

60+ раб. дней

Исходные данные

спецификация СЗИ из технического проекта

Работы

закупка СЗИ по спецификации

внедрение и настройка, состав и сроки по договоренности

Результат

СЗПД по документам ФСТЭК и ФСБ

Учесть: лицензиата оператор привлекает по выбору, свои системы вправе защищать сам и сам выбирает форму документа об угрозах (письмо ФСТЭК от 10.04.2025). До нового приказа состав мер задает приказ № 21

• Акт
• Статус
• Что задает

• ПП № 1119
• действует
• четыре уровня защищенности ПД и требования к каждому из них

• Приказ ФСТЭК № 21
• под отмену
• состав и содержание мер, таблица базовых мер по уровням защищенности

• Проект ФСТЭК № 169583
• не принят
• 21 мероприятие и 17 групп технических мер без таблицы, состав мер в политике, показатель зрелости

• Документы ФСТЭК 2026 года
• ориентир
• меры в ИС (12.04.2026), методика зрелости (07.08.2026), разъяснение о внеплановой оценке (24.08.2026)

• Приказ ФСТЭК № 117
• госсистемы
• в ред. № 137 с 01.09.2026, новый порядок расчета К(зи) и У(зи) подрядчиков с 01.03.2027

• Приказы ФСБ № 378 и № 321
• СКЗИ
• № 378 для ИСПД, № 321 от 22.08.2026 для систем госорганов: четыре случая обязательной криптозащиты

Подготовка: пока проект не принят, меры ведут в двух колонках: код меры приложения к приказу № 21 и направление из перечней проекта. Тогда переход сведется к перемаркировке, а не к пересборке набора

Организационно-технические меры

резервное копирование

изоляция участков памяти

уничтожение остаточных данных

контроль целостности

смена паролей

ограничение сетевых служб и протоколов

Программные средства ОС

защита от исследования, модификации и запуска

предупреждение об опасных действиях

разграничение полномочий, регистрация, контроль

идентификация и аутентификация

резервное копирование

Дополнительные программные средства

Криптографические

абонентское и канальное шифрование, шифрование паролей, стеганография, электронная подпись, VPN

Защита от вредоносных программ

контроль целостности, обнаружение вредоносных программ, тестирование, утилиты восстановления

Сетевые

тестирование сетей и программ, обнаружение атак, межсетевые экраны

Порядок: сначала меры, затем средства с нужными функциями, штатные механизмы ОС не дублируют. Сертифицированные СЗИ нужны против актуальных угроз, СКЗИ - для незащищенных каналов и носителей. Эффективность оценивают до ввода ИСПД