Классификация ИСПДн: как определить категорию своей системы

Классификация ИСПДн - первый вопрос, с которым сталкивается почти каждый оператор персональных данных, когда пытается разобраться, что от него требует закон. Проблема в том, что большая часть материалов в сети описывает систему, которая перестала действовать больше десяти лет назад. Если вы ищете, как определить класс ИСПДн К1, К2 или К3, - короткий ответ: этих классов больше нет. С 2012 года действует другой механизм - уровни защищенности персональных данных по постановлению правительства. Разница не формальная: от того, по какой системе классификации вы работаете, зависит, какие меры защиты вам реально нужны и сколько на них придется потратить.

Ошибка в классификации редко всплывает сразу. Чаще всего она обнаруживается либо при проверке Роскомнадзора, либо после утечки, когда выясняется, что меры защиты подбирались не под тот уровень риска, а формальный документ вообще ссылается на отмененный приказ. Разобраться в актуальном порядке один раз - дешевле, чем потом пересобирать документы и технические решения задним числом, да еще и под давлением сроков, которые устанавливает инспектор.

Почему в интернете до сих пор ищут классы ИСПДн К1, К2, К3

До 2012 года классификация информационных систем персональных данных строилась на приказе трех ведомств - ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 года № 55/86/20. Он делил информационные системы на четыре класса - К1, К2, К3 и К4 - в зависимости от того, насколько серьезными будут последствия для субъекта персональных данных при нарушении конфиденциальности, целостности или доступности его данных. К1 присваивался системам с самыми тяжелыми последствиями, К4 - системам, где нарушение почти не задевает интересы субъекта.

Эта модель просуществовала недолго, но успела разойтись по десяткам методичек, шаблонов документов и презентаций консультантов. Многие из этих материалов до сих пор индексируются поисковиками и всплывают в выдаче по запросу про классификацию ИСПДн, хотя нормативная база под ними давно другая. Отсюда путаница: бизнес находит инструкцию, определяет себе класс К2 или К3, заказывает по этой классификации технические меры - а при проверке выясняется, что документ составлен по системе, которая уже не применяется.

Формально приказ № 55/86/20 не действует с момента вступления в силу новых правил: классификация по классам заменена постановлением № 1119, и все смежные разъяснения ФСТЭК с тех пор ссылаются именно на уровни защищенности, а не на классы. Но переходный период растянулся на годы - многие компании продолжали пользоваться старыми шаблонами просто потому, что никто не проверял актуальность документа при составлении, а поисковые системы годами ранжировали старые методички наравне с новыми.

Что действует сейчас: уровни защищенности по ПП-1119

Систему классов заменило постановление правительства РФ от 1 ноября 2012 года № 1119 - оно ввело понятие уровня защищенности персональных данных при их обработке в информационных системах. Вместо четырех классов появились четыре уровня - УЗ-1, УЗ-2, УЗ-3 и УЗ-4, где первый уровень требует самого строгого набора мер, а четвертый - самого мягкого. Иногда по старой памяти эти уровни тоже называют категориями ИСПДн - термин прижился, хотя формально в постановлении используется именно слово уровень.

Логика похожа на старую: чем выше риск для субъекта персональных данных, тем строже требования к защите. Но сам механизм расчета другой - он не привязан к абстрактной оценке тяжести последствий, а собирается из четырех конкретных факторов, которые можно проверить и зафиксировать документально. Подробно о том, как определить свой уровень защищенности и какие меры он требует, разобрано в отдельном материале про уровни защищенности персональных данных по ПП-1119. Здесь - именно о том, как к этому уровню прийти через классификацию самой информационной системы.

Классификация обязательна для любого оператора, который обрабатывает персональные данные с использованием средств автоматизации - бумажный журнал, который заполняется от руки, в это понятие не попадает, а вот CRM, сайт с формой, программа для расчета зарплаты или облачный сервис для рассылок подпадают. Размер компании и организационно-правовая форма на саму обязанность не влияют: индивидуальный предприниматель с одним сайтом обязан классифицировать свою систему так же, как сеть клиник с десятком филиалов, разница только в масштабе итоговых мер.

Четыре фактора, которые определяют уровень защищенности

Прежде чем присваивать системе какой-либо уровень, нужно понять, что вообще является информационной системой персональных данных в вашем случае. Если сомневаетесь, есть ли у вас ИСПДн вообще, - это отдельный вопрос, разобранный в материале ИСПДн: что это такое и есть ли она у вас. Обычно ответ да: сайт с формой заявки, CRM с базой клиентов, 1С с данными сотрудников - это все информационные системы персональных данных, и каждая из них подлежит классификации отдельно.

Все четыре фактора фиксируются в одном документе - акте классификации - и должны быть согласованы между собой: если, например, категория данных специальная, а в акте указан четвертый уровень защищенности, при проверке это будет первым, на что обратят внимание.

Категория персональных данных

Первый фактор - какие данные обрабатывает система. Закон и подзаконные акты выделяют несколько категорий: специальные категории (о состоянии здоровья, судимости, национальности, религиозных и политических взглядах), биометрические данные, общедоступные данные и иные категории - это обычные email, телефон, ФИО, адрес, которые не попадают в первые три группы. Полный список того, что вообще считается персональными данными, с примерами по категориям - в материале что такое персональные данные: полный перечень. Чем чувствительнее категория, тем выше стартовая планка уровня защищенности.

Субъекты: сотрудники или посторонние

Второй фактор - являются ли субъекты персональных данных работниками оператора. Система, где обрабатываются данные только штатных сотрудников компании, при прочих равных получает менее строгий уровень, чем система, где обрабатываются данные клиентов, посетителей сайта или соискателей - то есть посторонних для оператора людей.

Количество субъектов

Третий фактор - число субъектов персональных данных в системе: больше или меньше 100 000 человек. Порог формальный, но именно он часто становится неожиданностью для интернет-магазинов и сервисов с большой базой подписчиков: компания годами считала себя небольшой, а база клиентов в CRM тем временем перевалила за сто тысяч строк, и уровень защищенности требуется пересчитать.

Тип актуальных угроз

Четвертый фактор - тип актуальных угроз безопасности, и он самый сложный для самостоятельного определения. Угрозы делятся на три типа в зависимости от того, связаны ли они с наличием недокументированных возможностей в системном или прикладном программном обеспечении, которое использует оператор. Тип угроз определяется через модель угроз - документ, где описывается, от чего именно защищается система. Как ее составлять, разобрано отдельно: модель угроз безопасности персональных данных. Ошибка в типе угроз - самая частая причина, по которой итоговый уровень защищенности оказывается заниженным: организации интуитивно выбирают третий тип, не проверяя, действительно ли в их системах нет недокументированных возможностей в использованном программном обеспечении.

Как понять, какой тип угроз актуален именно для вас

На практике для подавляющего большинства сайтов, интернет-магазинов, клиник и небольших компаний актуален третий тип угроз - тот, что не связан с недокументированными возможностями в системном и прикладном ПО. Первый и второй тип актуальны там, где используется нестандартное, самостоятельно написанное или не прошедшее сертификацию программное обеспечение, а это скорее случай крупных информационных систем с индивидуальной разработкой, чем стандартного сайта на популярной CMS.

Это не значит, что модель угроз можно пропустить. Даже вывод о том, что актуален третий тип угроз, должен быть зафиксирован документально, с обоснованием, а не просто предполагаться. При проверке РКН или ФСТЭК спрашивают именно документ, а не устное объяснение. Технические меры, которые вытекают из итогового уровня защищенности, описаны в приказе ФСТЭК России от 18 февраля 2013 года № 21 - там же расписаны требования к шифрованию каналов и хранению данных; конкретно о SSL и требованиях к сайтам с персональными данными есть отдельный разбор: SSL и шифрование: технические требования ФСТЭК и ФСБ. Самостоятельно оценить тип угроз способна практически любая компания, которая использует типовые CMS, готовые CRM и облачные сервисы без глубокой доработки кода: для них обоснование третьего типа состоит из перечисления используемого программного обеспечения и указания на то, что оно широко распространено и не содержит известных недокументированных возможностей. Сложнее там, где на сайте работает самописный модуль обработки данных - тогда обоснование стоит доверить тому, кто разбирается в архитектуре этого модуля.

Таблица: как факторы складываются в уровень защищенности

Полная матрица ПП-1119 громоздкая - в ней 16 сочетаний факторов. Вот упрощенная таблица для самых частых ситуаций у бизнеса, который просто ведет сайт, CRM и кадровый учет:

Категория данных	Субъекты	Количество субъектов	Тип угроз	Уровень защищенности
Иные (ФИО, телефон, email)	Не сотрудники	Менее 100 000	3 тип	УЗ-4
Иные (ФИО, телефон, email)	Не сотрудники	Более 100 000	3 тип	УЗ-3
Специальные категории	Не сотрудники	Любое	3 тип	УЗ-2 или УЗ-3
Биометрические	Не сотрудники	Любое	3 тип	УЗ-2 или УЗ-3
Иные, кадровый учет	Сотрудники	Менее 100 000	3 тип	УЗ-4

Это ориентир, а не готовое решение: точный уровень в вашем случае определяется актом классификации, который составляется на основе модели угроз и утверждается руководителем организации. Таблица показывает логику расчета, но не заменяет сам документ.

Отдельная тонкость: для специальных категорий и биометрии число субъектов на итоговый уровень влияет не так прямо, как для иных категорий данных - там решающими становятся категория данных и тип угроз. Порог в 100 000 субъектов заметнее всего работает именно для систем с иными категориями персональных данных, которые обрабатывают данные не сотрудников, а клиентов или посетителей сайта.

На итоговый уровень также влияет то, использует ли оператор средства криптографической защиты информации: если такие средства применяются, схема расчета усложняется отдельными приложениями к ПП-1119. Для большинства сайтов и CRM без встроенного шифрования на уровне приложения этот случай не актуален, и расчет идет по базовой схеме из таблицы выше.

Кому вообще нужна классификация ИСПДн: примеры из практики

Классификация нужна каждому, кто обрабатывает персональные данные с использованием средств автоматизации - то есть практически любому бизнесу с сайтом, CRM или бухгалтерской программой. Несколько типичных ситуаций:

• Интернет-магазин с формой заказа и базой клиентов в CRM - классическая ИСПДн с иными категориями данных, скорее всего УЗ-4 или УЗ-3 в зависимости от размера базы.
• Клиника, которая ведет электронные карты пациентов, - система со специальными категориями данных о здоровье, здесь уровень строже почти всегда, независимо от количества пациентов.
• Стоматология или салон красоты с онлайн-записью - данные о состоянии здоровья в анамнезе пациента поднимают систему в специальную категорию, даже если внешне это просто форма записи на сайте.
• Школа с электронным дневником и личными делами учеников - субъекты здесь не являются работниками оператора, а среди данных нередко встречаются сведения о здоровье ребенка, медицинские справки и льготы, что поднимает требования.
• Кадровая служба со стандартной 1С - система с данными сотрудников, обычно более мягкий уровень, но со своими требованиями к защите, если сотрудников больше ста тысяч - для крупных сетевых компаний это не редкость.
• Строительная или производственная компания с внутренним порталом для заявок от подрядчиков и физлиц - на первый взгляд не про персональные данные, но если в форме есть ФИО и телефон контактного лица, портал уже подпадает под классификацию.
• Самозанятый или ИП без наемных сотрудников, который собирает заявки через форму на сайте, - тоже оператор персональных данных и тоже обязан классифицировать свою систему, просто масштаб мер будет меньше.

Общее правило простое: если на сайте или во внутренней системе так или иначе указывается фамилия, телефон, email или другой идентификатор конкретного человека - система обрабатывает персональные данные, и вопрос не в том, нужна ли классификация, а в том, какой уровень защищенности у нее получится.

Типичные ошибки при классификации ИСПДн

На практике классификацию чаще всего проваливают не из-за незнания закона, а из-за нескольких повторяющихся ошибок:

• Ищут класс К1-К4 вместо уровня защищенности и заказывают документы по отмененной системе - формально бесполезная работа.
• Составляют акт классификации один раз при запуске сайта и не пересматривают его, хотя данные о здоровье или биометрии появились в форме позже.
• Не учитывают, что несколько отдельных систем - сайт, CRM, бухгалтерия - могут требовать разного уровня защищенности, и присваивают всем одинаковый уровень по инерции.
• Определяют тип угроз на глаз, без модели угроз как отдельного документа, а при проверке не могут показать обоснование.
• Путают классификацию ИСПДн с уведомлением в РКН об обработке персональных данных - это разные документы с разными задачами, и один не заменяет другой.
• Оформляют акт классификации, но не хранят рядом с ним модель угроз - при проверке инспектор обычно запрашивает оба документа сразу.
• Забывают пересчитать уровень при росте базы клиентов выше 100 000 субъектов.

Большинство из этих ошибок не требует юридической экспертизы, чтобы их избежать - достаточно завести один документ, обновлять его при изменениях и не путать классификацию с другими обязанностями оператора, которые с ней пересекаются, но не заменяют ее.

Нужен ли сертифицированный аудитор для классификации

Акт классификации - внутренний документ оператора, и закон не обязывает заказывать его исключительно у лицензированной организации. Лицензия ФСТЭК на техническую защиту конфиденциальной информации нужна тем, кто оказывает такие услуги другим компаниям на коммерческой основе; оператор, который защищает собственные данные - свой сайт, свою CRM, - вправе провести классификацию своими силами, если внутри компании есть человек, способный разобраться в архитектуре системы и корректно применить ПП-1119.

На практике для небольшого сайта с формой заявки и базой клиентов в CRM классификацию реально провести самостоятельно за несколько дней: перечислить системы, определить категории данных, посчитать субъектов, составить модель угроз по типовому шаблону. Для систем со специальными категориями данных, большой базой субъектов или нестандартной архитектурой стоит привлечь специалиста - не потому что это строго обязательно, а потому что цена ошибки выше: заниженный уровень защищенности означает недостаточные меры, и это обнаружится либо при проверке, либо, что хуже, при реальной утечке.

Ориентировочно у подрядчика классификация небольшого сайта вместе с моделью угроз занимает несколько рабочих дней и не требует остановки работы самого сайта: специалист работает с описанием системы, а не с кодом напрямую. Дороже и дольше обходится не сама классификация, а последующая доработка мер под получившийся уровень, если раньше их не было вообще.

Что дает правильно определенный уровень защищенности

Классификация - не бумага ради бумаги. От присвоенного уровня зависит конкретный набор организационных и технических мер: нужен ли межсетевой экран определенного класса, обязательна ли аттестация информационной системы, какие требования к паролям, журналированию действий пользователей и резервному копированию нужно выполнить. Для большинства сайтов на четвертом уровне защищенности набор мер компактный и посильный без отдельного ИТ-отдела. Для систем с более высоким уровнем - специальными категориями данных или большой базой - требования заметно шире, и без грамотной технической доработки сайта и документов их не закрыть.

С 30 мая 2025 года за нарушения в этой сфере, включая отсутствие или неверную классификацию, действуют оборотные штрафы, введенные федеральным законом № 420-ФЗ от 30 ноября 2024 года, а при утечке данных в крупном размере применяется статья 272.1 Уголовного кодекса. При проверке Роскомнадзора акт классификации и модель угроз - одни из первых документов, которые запрашивает инспектор, наравне с согласиями и политикой обработки персональных данных. Дешевле один раз правильно провести классификацию и подобрать меры под нее, чем потом объяснять инспектору, почему на сайте нет ни акта, ни модели угроз.

Конкретный список мер для каждого уровня закреплен в приказе ФСТЭК № 21: идентификация и аутентификация пользователей, управление доступом, регистрация событий безопасности, антивирусная защита, обнаружение вторжений и ряд других групп мер. Не все меры из каждой группы обязательны на каждом уровне - приказ допускает компенсировать одни меры другими, если это обосновано в документах.

Что делать: порядок действий

Если классификация ИСПДн на сайте или в компании не проводилась вообще или проводилась по старым классам К1-К4, порядок действий такой:

Сам акт классификации обычно состоит из паспорта системы (название, назначение, оператор), описания состава обрабатываемых персональных данных, сведений о категории и количестве субъектов, ссылки на модель угроз и вывода об итоговом уровне защищенности с датой и подписью руководителя. Отдельного унифицированного бланка закон не устанавливает, поэтому форму можно адаптировать под структуру конкретной компании, сохранив все перечисленные элементы. Хранить акт стоит там же, где лежат остальные документы по персональным данным - политика обработки, согласия, журналы, - чтобы при запросе не искать его отдельно среди переписки с подрядчиком, который когда-то составлял его на аутсорсе.

1. Составить перечень информационных систем, где обрабатываются персональные данные: сайт, CRM, бухгалтерская программа, кадровая система - каждая учитывается отдельно.
2. Для каждой системы определить категорию обрабатываемых данных - специальные, биометрические, общедоступные или иные.
3. Определить, являются субъекты работниками оператора или нет, и сколько их - больше или меньше 100 000.
4. Составить модель угроз и зафиксировать в ней тип актуальных угроз.
5. На основе этих четырех факторов определить уровень защищенности по ПП-1119 и оформить акт классификации, утвержденный руководителем.
6. Подобрать организационные и технические меры под получившийся уровень и внедрить их - от настроек на сайте до внутренних регламентов.
7. Пересматривать классификацию при изменении состава данных, росте базы субъектов или подключении новых систем.

Если непонятно, с чего начать, или нужна помощь с документами и технической частью - формой заявки, согласиями, актом классификации, - можно обратиться через 152fzpro.ru: сайт занимается доработкой сайтов и документов под требования 152-ФЗ.