Какие существуют уровни защищённости персональных данных

Если компания обрабатывает персональные данные в информационной системе, для такой обработки предусмотрены четыре уровня защищённости. Это число закреплено в п. 8 Требований, утверждённых постановлением Правительства РФ № 1119. Речь идёт о защите данных внутри информационной системы: например, о предотвращении доступа к сведениям тех, кому он не разрешён. Обязанность обеспечить безопасность лежит на операторе, который обрабатывает данные, — ч. 1 ст. 19 Закона № 152-ФЗ.

Уровень защищённости показывает, какие требования нужно выполнить для нейтрализации определённых угроз. Под угрозой понимается сочетание условий и факторов, при которых возможен несанкционированный доступ, в том числе случайный. Последствиями могут стать утрата сведений, их изменение, блокирование, копирование или распространение. Поэтому вопрос об уровне защиты связан с тем, что именно может произойти с данными в конкретной системе, — ч. 11 ст. 19 Закона № 152-ФЗ.

Для организации работы нужно определить угрозы безопасности при обработке сведений. Затем подбираются организационные и технические меры, позволяющие выполнить требования к защите. Такая связь между угрозами, требованиями и мерами предусмотрена ч. 2 ст. 19 Закона № 152-ФЗ. Уровни устанавливает Правительство Российской Федерации в зависимости от угроз. При этом учитываются возможный вред человеку, объём и содержание данных, вид деятельности и актуальность угроз — ч. 3 той же статьи.

На практике защита касается не только оборудования или программ. Нужно установить правила доступа к данным и обеспечить регистрацию и учёт всех действий с ними в системе. Отдельная задача — учитывать машинные носители персональных данных. Оператор также применяет средства защиты информации, прошедшие установленную процедуру оценки соответствия. Эти меры входят в обеспечение безопасности по ч. 2 ст. 19 Закона № 152-ФЗ и позволяют организовать работу со сведениями в рамках требований к защите.

До ввода информационной системы в эксплуатацию оценивают эффективность принятых мер. После запуска продолжают контролировать и меры безопасности, и уровень защищённости системы. Если обнаружен несанкционированный доступ, нужны меры реагирования; изменённые или уничтоженные вследствие такого доступа персональные данные подлежат восстановлению. Все эти направления работы предусмотрены ч. 2 ст. 19 Закона № 152-ФЗ. Защита сопровождает обработку данных, а не заканчивается подготовкой системы к запуску.

При распределении задач внутри компании стоит учитывать, что обязанность оператора охватывает правовые, организационные и технические меры. Он может принимать их либо обеспечивать их принятие. Цель — защитить сведения как от умышленных неправомерных действий, так и от случайного доступа, уничтожения или изменения. Именно эту обязанность закрепляет ч. 1 ст. 19 Закона № 152-ФЗ; выполнение требований выбранного уровня служит частью её исполнения.