Акт определения уровня защищенности ИСПДн: когда нужен и как заполнить
Об этом документе обычно вспоминают перед проверкой и часто заполняют его неправильно. Одни завышают уровень «на всякий случай», другие ставят базовый там, где данные о здоровье требуют более высокого. Завышенный уровень только добавляет обязательства, которые потом приходится выполнять.
Что это за документ и кому он нужен
Акт определения уровня защищенности фиксирует, к какому из четырех уровней относится ваша информационная система персональных данных. От уровня зависит набор организационных и технических мер, которые оператор обязан применять. Уровни установлены постановлением Правительства РФ от 01.11.2012 № 1119.
Документ нужен, если персональные данные обрабатываются в информационной системе. Это почти любой случай, где есть CRM, база клиентов, сайт с формами или кадровый учет в программе. Бумажная картотека без автоматизации под ПП 1119 не подпадает.
Кроме акта, у оператора есть и другие обязанности. Если вы еще не разбирались с уведомлением в Роскомнадзор, политикой и согласиями, их перечень под ваш случай даст самопроверка за пять вопросов.
УЗ-1 самый высокий уровень с максимальными требованиями, УЗ-4 базовый. Чем меньше номер, тем строже меры, хотя интуитивно хочется считать первый уровень начальным.
От чего зависит уровень
- Категория данных. Специальные (здоровье, интимная жизнь, расовая и национальная принадлежность, религиозные и политические взгляды), биометрические (отпечатки пальцев, фото для идентификации), общедоступные или иные (ФИО, телефон, почта, адрес, паспортные и платежные данные).
- Кто субъекты. Работники оператора или посторонние, например клиенты, пациенты, ученики.
- Сколько субъектов. Порог 100 000, и считаются все записи, включая архивные, пока их не уничтожили.
- Тип актуальных угроз. Первый связан с недекларированными возможностями в системном ПО, второй в прикладном, третий охватывает остальные угрозы, не связанные с такими возможностями.
При смешанной обработке берут более строгий вариант. Если в системе есть данные и работников, и клиентов, считают по клиентам. Если есть и иные, и специальные категории, считают по специальным.
Почему у малого бизнеса почти всегда третий тип угроз
На этом параметре чаще всего ошибаются и завышают себе уровень. Первый и второй типы означают, что оператор считает актуальными угрозы недекларированных возможностей, то есть скрытых функций в операционной системе или в прикладном ПО. Такое обоснование нужно, если вы работаете с ПО неизвестного происхождения или ваша модель угроз включает разработчика как нарушителя.
Обычному бизнесу на лицензионных операционных системах и коммерческом ПО подходит третий тип. Это угрозы, не связанные с такими возможностями, например внешние нарушители, вредоносный код, ошибки и злоупотребления собственных сотрудников. Тип угроз оператор определяет сам и фиксирует в модели угроз, на которую ссылается акт.
Какой уровень получается при угрозах 3-го типа
Таблица построена для третьего типа, он встречается у большинства операторов малого бизнеса. Условия взяты из п. 9-12 ПП 1119.
| Категория данных | Субъекты | Уровень |
|---|---|---|
| Специальные здоровье, взгляды, национальность | работники или менее 100 000 посторонних | УЗ-3 |
| более 100 000 посторонних | УЗ-2 | |
| Биометрические | любые | УЗ-3 |
| Иные ФИО, телефон, email, паспорт, платежные | работники или менее 100 000 посторонних | УЗ-4 |
| более 100 000 посторонних | УЗ-3 | |
| Общедоступные | любые | УЗ-4 |
У обычного сайта с формой заявки и CRM иные категории данных, меньше 100 000 субъектов и третий тип угроз. Это УЗ-4, базовый уровень. Паспортные и платежные данные относятся к иным категориям и уровень не повышают.
Медицинский центр, стоматология и психолог обрабатывают данные о здоровье, а они относятся к специальным категориям. У них УЗ-3 даже при небольшой базе пациентов.
Если тип угроз определен как первый, получается УЗ-1, а для общедоступных данных УЗ-2 (п. 9 и 10 ПП 1119). При втором типе иные категории до 100 000 субъектов дают УЗ-3, свыше 100 000 УЗ-2, а специальные категории больше чем у 100 000 посторонних дают УЗ-1.
Как оформить акт
Жесткой формы у документа нет, но структура сложилась устойчивая:
- Реквизиты оператора и наименование информационной системы.
- Перечень обрабатываемых категорий персональных данных и категорий субъектов.
- Примерное количество субъектов.
- Принятый тип актуальных угроз со ссылкой на модель угроз.
- Уровень защищенности с обоснованием и ссылкой на конкретный пункт ПП 1119.
- Дата, подпись, утверждение.
Обоснование со ссылкой на пункт смотрят в первую очередь. Запись «установлен УЗ-3» без указания, из какого условия он следует, обесценивает документ.
Требования создавать комиссию для определения уровня защищенности в ПП 1119 нет. Организации обычно оформляют решение комиссией, потому что так проще защищать позицию при проверке. Индивидуальный предприниматель и самозанятый определяют уровень сами, комиссия из одного человека выглядит нелепо и ничего не добавляет.
Почему не стоит завышать уровень «на всякий случай»
Логика «поставлю УЗ-2, хуже не будет» кажется безопасной, но работает против оператора. Уровень определяет обязательный набор мер по приказу ФСТЭК России № 21, и чем выше уровень, тем мер больше. Записав себе УЗ-2 вместо положенного УЗ-4, вы сами берете обязательства, которые потом не выполняете. При проверке расхождение между заявленным и фактическим становится отдельной претензией. При честном УЗ-4 ее бы не было.
Бывает и обратная ошибка. Медицинская или образовательная организация ставит себе УЗ-4, потому что «база маленькая». Но для специальных категорий маленькая база уровень не снижает, до 100 000 субъектов это все равно УЗ-3.
Место акта в комплекте документов
Акт относится к внутренним документам. На сайте его не публикуют, но запрашивают при проверке. По логике он идет после модели угроз, на которую ссылается, и перед документами о конкретных мерах защиты. Политика конфиденциальности и согласие относятся к публичной части комплекта и от уровня защищенности не зависят. Их состав описан в статьях «Политика конфиденциальности для сайта» и «Согласие на обработку персональных данных».
Акт уровня защищенности в составе тарифа «Про»
В тариф «Про» входят акт определения уровня защищенности ИСПДн, журнал учета обращений, инструкции ответственного и по неавтоматизированной обработке. Это внутренние документы, которые запрашивает Роскомнадзор. Тариф стоит от 1990 ₽.
Посмотреть тариф «Про»Часто задаваемые вопросы
Любому оператору, который обрабатывает персональные данные в информационной системе, например в CRM, базе клиентов, на сайте с формами или в программе кадрового учета. Обработка только на бумаге без средств автоматизации под требования ПП 1119 не подпадает.
При угрозах 3-го типа, иных категориях данных и менее 100 000 субъектов это УЗ-4, базовый уровень. Паспортные и платежные данные относятся к иным категориям и уровень не повышают. Если субъектов больше 100 000, получается УЗ-3.
Данные о состоянии здоровья относятся к специальным категориям, поэтому при угрозах 3-го типа получается УЗ-3, даже если база пациентов маленькая. УЗ-2 будет, только если пациентов больше 100 000.
Первый и второй типы означают, что оператор считает актуальными недекларированные возможности в системном или прикладном программном обеспечении. Для бизнеса на лицензионных ОС и коммерческом ПО обоснован третий тип, то есть угрозы, не связанные с такими возможностями. Тип оператор определяет сам и фиксирует в модели угроз.
Требования создавать комиссию в ПП 1119 нет. Организации обычно оформляют решение комиссией, так проще защищать позицию при проверке. Индивидуальный предприниматель и самозанятый определяют уровень сами.
Не стоит. Уровень определяет обязательный набор мер по приказу ФСТЭК России № 21, и чем выше уровень, тем мер больше. Указав УЗ-2 вместо положенного УЗ-4, оператор берет на себя обязательства, которые не выполняет, и при проверке это станет отдельной претензией.