Постановление 1119: разбор требований по уровням защищенности

Постановление правительства 1119 - тот документ, на который ссылаются в разговоре про уровни защищенности персональных данных, а собеседник теряется, когда его просят объяснить, что это значит на практике. Номер 1119 всплывает в переписке с подрядчиками так часто, что от него отмахиваются как от формальности, хотя за ним стоит конкретный список того, что оператор обязан сделать. Дальше - разбор самого текста постановления: что означает каждый уровень, какие меры обязательны для УЗ-1, УЗ-2, УЗ-3 и УЗ-4, и кто в итоге проверяет, выполнены ли требования к защите ПДн по уровням. Читателю без юридического образования этого достаточно, чтобы понять, что конкретно проверять у себя на сайте и в документах, не углубляясь в общую теорию защиты информации.

Что за документ - постановление правительства № 1119

Полное название документа - постановление Правительства РФ от 01.11.2012 № 1119 Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных. Оно устанавливает не общие принципы работы с ПДн - этим занимается сам закон 152-ФЗ, - а конкретные требования к защите данных именно в информационных системах персональных данных, то есть там, где обработка идет автоматизированно: база данных на сервере, CRM, форма на сайте с сохранением заявок в таблицу.

Если оператор работает с персональными данными только на бумаге - анкеты в сейфе, без электронной базы - постановление 1119 к нему формально не относится, для неавтоматизированной обработки действуют другие требования 152-ФЗ. Но у подавляющего большинства сайтов и сервисов информационная система персональных данных уже есть в силу того, что заявки с форм падают в базу данных или в CRM, а значит, постановление применимо и к небольшому бизнесу, который никогда не думал о себе как об операторе с ИСПДн.

Рядом с 1119 почти всегда упоминается приказ ФСТЭК России от 18.02.2013 № 21. Он не заменяет постановление, а раскрывает состав конкретных технических и организационных мер для каждого уровня защищенности. Читать оба документа стоит вместе: 1119 отвечает на вопрос, какой у вас уровень, приказ № 21 - что именно делать на этом уровне. Если свой уровень защищенности еще не определен, это отдельный расчет, подробно разобранный в статье о том, как определить свой уровень защищенности по ПП-1119.

Четыре уровня защищенности - что стоит за цифрами УЗ-1-УЗ-4

Постановление вводит четыре уровня - от УЗ-1 до УЗ-4. Меньшая цифра не значит более слабый уровень: наоборот, УЗ-1 - самый строгий, с максимальным набором требований, УЗ-4 - минимальный. Путаница возникает именно из-за этого: интуитивно кажется, что первый уровень - это база, с которой все начинается, а на деле все ровно наоборот, и первый уровень достается тем, кому нужно защищаться серьезнее всего.

УЗ-4 - самый распространенный уровень среди малого и среднего бизнеса. Под него обычно попадают интернет-магазины, сайты услуг и блоги с формой обратной связи, где обрабатываются обычные данные вроде имени, телефона и почты, а угрозы для системы связаны с недекларированными возможностями в прикладном или системном программном обеспечении в наименее опасной их форме. УЗ-3 и УЗ-2 - промежуточные уровни, они возникают, когда данных и субъектов больше, либо когда обрабатываются специальные категории данных о части клиентов или сотрудников.

УЗ-1 достается компаниям, которые одновременно обрабатывают специальные категории данных или биометрию большого числа людей, не состоящих с оператором в трудовых отношениях, при серьезных актуальных угрозах - это скорее медицинские сети, крупные HR-платформы или биометрические сервисы, чем типовой корпоративный сайт. Сам расчет уровня зависит от нескольких факторов одновременно, и полная логика с таблицей вариантов уже разобрана в отдельной статье. Здесь интереснее другое - что происходит после того, как уровень определен, потому что именно тут начинаются практические обязанности оператора.

Важно и то, что уровень не присваивается разово навсегда каким-то внешним органом - оператор определяет его сам, своим приказом, опираясь на характеристики системы. Это удобно тем, что не нужно ждать чьего-то разрешения или сертификата, чтобы начать работать. Но это же и создает риск: если оператор занизил уровень, чтобы сэкономить на мерах защиты, ответственность за ошибку в расчете все равно ляжет на него, а не на постановление, которое просто описывает логику подсчета.

От чего зависит номер уровня - четыре фактора коротко

Прежде чем переходить к мерам, стоит закрыть один частый пробел: постановление применяется не к компании вообще, а к конкретной информационной системе персональных данных. Если у бизнеса несколько систем - например, сайт с формой заявок и отдельная CRM для отдела продаж - уровень защищенности считается для каждой отдельно, и он может отличаться. Деление систем по видам обработки и по составу данных разобрано в статье про классификацию ИСПДн.

Уровень зависит от четырех факторов: какого рода данные обрабатываются - специальные категории, биометрические, общедоступные или обезличенные, либо иные; относятся ли субъекты к сотрудникам оператора или нет; какой тип угроз актуален для системы; сколько субъектов участвует в обработке - больше или меньше ста тысяч. Комбинация этих параметров дает конкретную цифру от 1 до 4.

К специальным категориям персональных данных закон относит сведения о состоянии здоровья, национальности, религиозных и политических взглядах, судимости и интимной жизни человека. Биометрические данные - это отдельная категория: сведения, которые характеризуют физиологические особенности человека и на основании которых можно установить его личность, например фотография лица или отпечаток пальца. Обычные данные вроде имени, телефона, электронной почты и адреса относятся к иным категориям - именно с ними работает большинство сайтов малого бизнеса.

Порог в сто тысяч субъектов кажется актуальным только для крупного бизнеса, но на практике до него легко дотянуться сайту с историей: за несколько лет работы интернет-магазина или сервиса заявок база подписчиков и разовых покупателей часто превышает эту цифру, даже если активных клиентов у компании в разы меньше. Для расчета считаются все субъекты, чьи данные когда-либо попали в систему и не были уничтожены, а не только текущая база.

Про типы угроз стоит сказать отдельно, потому что термин звучит абстрактно. Угрозы первого типа связаны с недокументированными возможностями в системном программном обеспечении - операционной системе, драйверах, средствах виртуализации. Угрозы второго типа - то же самое, но в прикладном программном обеспечении, то есть в самих программах и сайтах. Угрозы третьего типа не связаны с недокументированными возможностями ни там, ни там, и это самая распространенная ситуация для обычного сайта на популярной CMS без кастомного кода. Определять эту актуальность стоит один раз для системы и пересматривать при существенных изменениях: смене хостинга, добавлении новых форм на сайте, интеграции с внешними сервисами.

Что постановление требует от каждого уровня - таблица мер

Требования устроены по нарастающей: то, что обязательно для УЗ-4, остается обязательным и для более высоких уровней, к нему просто добавляются новые пункты. Ниже - обобщенная таблица того, что меняется от уровня к уровню. Точный состав мер для конкретной системы все равно зависит от модели угроз, поэтому таблицу стоит читать как общую логику, а не как готовый техпроект.

Мера	УЗ-4	УЗ-3	УЗ-2	УЗ-1
Перечень лиц, которым доступ к ПДн нужен по работе	обязателен	обязателен	обязателен	обязателен
Отдельное должностное лицо, ответственное за безопасность ПДн в системе	не требуется	обязательно	обязательно	обязательно
Контроль доступа в помещения с серверным и сетевым оборудованием	не требуется	не требуется	обязателен	обязателен
Автоматическая регистрация изменений прав доступа в электронном журнале	не требуется	не требуется	не требуется	обязательна
Структурное подразделение или сотрудник, отвечающий за информационную безопасность в целом	не требуется	не требуется	не требуется	обязательно
Антивирусная защита и межсетевой экран	базовый состав	базовый состав	расширенный состав	расширенный состав
Обнаружение вторжений и регулярный анализ защищенности	не требуется	по решению оператора	обязательны	обязательны
Резервное копирование данных и контроль их целостности	обязательны	обязательны	обязательны, чаще	обязательны, максимальная частота
Регистрация событий безопасности в системе	не требуется	по решению оператора	обязательна	обязательна

Стоит отдельно оговорить: сама по себе установка антивируса или межсетевого экрана не закрывает требование постановления. Мера считается выполненной, когда она не только работает технически, но и зафиксирована документально - в приказе, в инструкции, в акте о вводе средства защиты в эксплуатацию. На проверке инспектор Роскомнадзора смотрит именно на бумажный след, а не запрашивает доступ к серверу для технического аудита.

Из таблицы видно, где проходит основная граница затрат. Между УЗ-4 и УЗ-3 добавляется ответственный сотрудник и документооборот вокруг него. Между УЗ-2 и УЗ-1 - уже инфраструктурные вещи вроде электронного журнала регистрации изменений и отдельного подразделения по информационной безопасности. Для небольшого сайта на УЗ-4 это, как правило, посильно своими силами и без дополнительного бюджета на инфраструктуру. Для УЗ-1 обычно нужен подрядчик или выделенный специалист, потому что состав мер сопоставим с требованиями к государственным информационным системам.

Организационные меры - что нужно оформить на бумаге

Формальная сторона постановления 1119 значит для рядового бизнеса больше, чем кажется на первый взгляд. При проверке инспектор Роскомнадзора с высокой вероятностью не будет разворачивать техническую экспертизу сервера - для этого нужны другие полномочия и специалисты. Зато он спросит документы, и их отсутствие - самая частая причина штрафа именно по формальным основаниям, а не из-за реальной утечки данных.

Базовый пакет документов

• акт определения уровня защищенности информационной системы персональных данных;
• модель угроз безопасности персональных данных - как ее составить, разобрано отдельно;
• приказ о назначении ответственного за обработку ПДн, а с УЗ-3 и выше - отдельного ответственного за безопасность системы;
• перечень лиц с допуском к ПДн, утвержденный руководителем;
• инструкции для сотрудников, которые работают с базой данных или CRM.

Отдельно стоит упомянуть журнал учета обращений субъектов персональных данных - документ, куда фиксируются запросы на доступ к данным, их изменение или удаление, и сроки, в которые оператор на них ответил. Формально постановление 1119 его прямо не требует, но на проверке этот журнал часто спрашивают вместе с остальным пакетом, потому что он показывает, что права субъектов на практике соблюдаются, а не существуют только в тексте политики обработки персональных данных.

На практике клиника прикладывает к этому списку правила доступа к электронным медицинским картам, школа - правила работы с электронным журналом, кадровая служба - порядок хранения сканов паспортов и трудовых книжек. Список у всех похож, различаются детали под конкретный процесс и объем данных, который реально проходит через систему.

Технические меры - что нужно на сайте и сервере

Что настроить на сервере

Техническая часть требований завязана на том, где физически живут данные. Для сайта на обычном хостинге это чаще всего означает шифрованное соединение при передаче данных с формы на сервер, ограничение доступа к панели администратора и базе данных по отдельному логину и паролю у каждого сотрудника, регулярные резервные копии базы с ограниченным доступом к самим копиям, и антивирусную защиту на стороне сервера там, где это не закрыто провайдером хостинга. Какое шифрование считается достаточным для сайта с ПДн - обычный SSL-сертификат или что-то более специфичное по требованиям ФСТЭК и ФСБ - разобрано в отдельной статье.

Сюда же стоит добавить регулярное обновление CMS, плагинов и серверного программного обеспечения - большая часть реальных утечек происходит не из-за отсутствия шифрования, а из-за уязвимости в устаревшей версии движка сайта, которую никто вовремя не закрыл. Формально это тоже часть мер по нейтрализации актуальных угроз, даже если в самом постановлении слово обновление не встречается.

Что настроить в панели администратора

Для интернет-магазина это обычно означает разграничение ролей: у сотрудника склада не должно быть доступа к полной базе клиентов с телефонами и адресами, если это не нужно для работы. Для сайта с записью на прием - то же самое: администратор ресепшена и врач видят разные объемы данных о пациенте. Настройка ролей закрывает сразу несколько пунктов из таблицы выше - и перечень лиц с допуском, и контроль доступа к системе, - причем стоит это обычно нескольких часов работы разработчика, а не отдельного проекта.

Кто проверяет исполнение постановления 1119

У постановления 1119 нет единого контролирующего органа - полномочия разделены между тремя ведомствами, и это разделение стоит иметь в виду, чтобы готовиться именно к той проверке, которая реально грозит бизнесу.

Поводом для внеплановой проверки обычно становится жалоба субъекта персональных данных, обращение из другого ведомства или информация об утечке. Плановые проверки проводятся по графику, который Роскомнадзор публикует заранее, и в него попадает лишь часть операторов. Из этого не следует, что можно откладывать документы до момента, когда придет запрос - готовить их стоит до того, как повод для проверки вообще появится.

Роскомнадзор - основной орган, с которым сталкивается подавляющее большинство операторов. При плановой или внеплановой проверке инспектор смотрит прежде всего на организационную сторону: определен ли уровень защищенности, есть ли модель угроз, назначен ли ответственный, оформлено ли согласие на обработку данных. Что именно смотрит инспектор на самом сайте, разобрано отдельно по пунктам.

ФСТЭК России выступает скорее методологом: этот орган выпускает разъясняющие приказы вроде № 21, сертифицирует средства защиты информации и проверяет государственные информационные системы и своих лицензиатов - организации, которые сами оказывают услуги по защите информации. Обычный интернет-магазин или сайт услуг в поле прямых проверок ФСТЭК почти никогда не попадает, если только сам не выступает в роли лицензиата.

ФСБ подключается там, где используется криптографическая защита информации по ГОСТ - это актуально для банков, части медицинских систем и государственных сервисов, но не для сайта с обычным SSL-сертификатом от стандартного удостоверяющего центра.

На практике для большинства операторов, к которым относится этот текст, реальная проверка - это проверка Роскомнадзора. Готовиться нужно в первую очередь к ней: документы, соответствие уровня защищенности реальной системе, согласия на сайте и корректный ответ на запрос, если он придет. Если инспектор находит, что уровень защищенности определен неверно - например, компания отнесла себя к УЗ-4, хотя фактически обрабатывает специальные категории данных о клиентах, - это не всегда означает штраф в моменте. Чаще выдается предписание устранить нарушение в установленный срок, и уже невыполнение предписания или повторное нарушение создает более серьезные риски. Но пересчитывать уровень задним числом, когда проверка уже началась, всегда сложнее, чем сделать это заранее.

Типичные ошибки при выполнении требований 1119

Несколько ситуаций встречаются у операторов регулярно, независимо от отрасли и размера бизнеса.

Интернет-магазин определяет уровень защищенности один раз при запуске сайта и не пересматривает его, хотя за два года добавил программу лояльности с датами рождения покупателей и интеграцию с сервисом рассылок - формально это уже другой объем данных и, возможно, другой уровень защищенности. Пересмотр занимает час на пересчет и обновление акта, но его откладывают годами, потому что формально ничего не сломалось.

Клиника хранит фотографии до и после процедур в общей папке на диске, доступной всем сотрудникам ресепшена, хотя это специальные категории данных о здоровье и допуск к ним должен быть у меньшего круга лиц, а не у всех, кто сидит за стойкой.

Школа держит электронный журнал с оценками и данными учеников на общей учетной записи компьютерного класса без индивидуальных паролей у учителей - формально это нарушает требование к разграничению доступа даже на самом базовом уровне защищенности. Исправляется это без бюджета - учетные записи для каждого учителя есть в любой современной информационной системе для школ, вопрос только в том, чтобы их действительно завести и не пользоваться общим логином по привычке.

Кадровая служба сканирует паспорта и пересылает их в мессенджере вместо защищенного хранилища, потому что так быстрее передать документы бухгалтеру - при проверке это квалифицируется как обработка без надлежащей защиты, независимо от того, какой уровень определен на бумаге.

Самозанятый специалист - репетитор, психолог, консультант - часто не считает себя оператором персональных данных в смысле постановления 1119, потому что работает один, без сервера и CRM. Но если запись на консультации идет через форму на сайте с сохранением заявок, информационная система персональных данных у него формально уже есть, просто размером в одну табличку с именами и телефонами клиентов. Уровень защищенности у такой системы почти всегда УЗ-4, и весь пакет требований сводится к паре документов и паролю на доступ к таблице - но без них формально нарушение то же самое, что и у крупной компании.

Что делать, чтобы соответствовать постановлению 1119 - порядок действий

Порядок действий один и тот же независимо от того, начинаете вы с нуля или наводите порядок в уже работающей системе:

1. Проверить, есть ли у бизнеса информационная система персональных данных вообще - формы на сайте, CRM, база в облаке.
2. Определить уровень защищенности для каждой такой системы отдельно.
3. Составить модель угроз под конкретную систему, а не скопировать чужую.
4. Оформить организационные документы: акт об уровне защищенности, назначение ответственных, перечень лиц с допуском.
5. Реализовать технические меры, которые соответствуют определенному уровню - от разграничения доступа до резервного копирования.
6. Пересматривать уровень при значимых изменениях в системе: новые формы, новые интеграции, рост числа субъектов.

Ни один из этих пунктов не требует лицензий ФСТЭК или аттестации ИСПДн для типового бизнеса на УЗ-4 или УЗ-3 - это уровень документов и настроек, а не сертифицированных средств защиты. Обычно на то, чтобы привести сайт уровня УЗ-4 в порядок с нуля - документы плюс базовые технические настройки, - уходит одна-две недели работы, а не месяцы. Если разбираться со всем этим самостоятельно нет времени, 152fzpro.ru делает документы и техническую доработку сайта под требования 152-ФЗ, в том числе приведение мер защиты в соответствие с уровнем, который определен для вашей системы.