Какие средства обеспечения безопасности персональных данных указать в уведомлении Роскомнадзора

Если непонятно, что писать в поле про средства обеспечения безопасности, начните с того, как у вас защищены персональные данные. Роскомнадзор должен получить достоверные сведения об этой защите. Ст. 22 Закона № 152-ФЗ предусматривает описание мер и сведения о безопасности в соответствии с требованиями, установленными Правительством Российской Федерации. Поэтому укажите применяемые меры защиты, наличие шифровальных средств и их наименования.

Ст. 19 Закона № 152-ФЗ охватывает правовые, организационные и технические меры. Их задача — защищать данные в том числе от случайного доступа, уничтожения, изменения и неправомерного распространения. Для описания организационной стороны выясните, какие правила доступа установлены и как контролируется их выполнение. Для технической стороны уточните, какими средствами обеспечивается защита и как учитываются действия с данными в информационной системе — системе, в которой они обрабатываются.

Содержание описания соотнесите с конкретными мерами из ч. 2 ст. 19 Закона № 152-ФЗ. Она называет определение угроз, учет машинных носителей, восстановление данных после несанкционированного доступа, регистрацию действий и контроль защиты. Угрозы здесь означают условия, при которых возможен неправомерный или случайный доступ с неблагоприятными последствиями для данных. В уведомлении описывайте выполнение этих мер у себя, а не просто переносите весь законодательный перечень.

Сведения о шифровальных, то есть криптографических, средствах выделены в п. 7 ч. 3 ст. 22 Закона № 152-ФЗ. Укажите, имеются ли они, а при наличии приведите их наименования. Не добавляйте название средства только потому, что оно встречается в чужом образце. Если шифровальные средства отсутствуют, отразите отсутствие достоверно: описание остальных мер защиты все равно остается частью уведомления.

Не выбирайте уровень защищенности по удобству заполнения поля. По ч. 3 ст. 19 Закона № 152-ФЗ уровни и требования к защите устанавливает Правительство Российской Федерации с учетом угроз, содержания и объема данных, возможного вреда и вида деятельности. Часть 4 той же статьи связывает состав организационных и технических мер с соответствующим уровнем. Из этих положений нельзя вывести единый набор средств для любого оператора.

Перед отправкой сопоставьте текст с правилами доступа, учетом носителей и сведениями о применяемых средствах. Это способ избежать расхождений между описанием и фактической защитой. При неполных или недостоверных сведениях ч. 6 ст. 22 Закона № 152-ФЗ позволяет потребовать уточнения до внесения информации в реестр. Если сведения впоследствии меняются, ч. 7 этой статьи обязывает сообщить об изменениях. Первоначальное уведомление не заменяет поддержание актуального описания безопасности.