Приказ об определении уровня защищенности

На что обратить внимание

Юрист отметил в этом документе:

• Требования по уровням накапливаются: для четвёртого уровня обязательны режим безопасности помещений, сохранность носителей, утверждённый перечень лиц с необходимым доступом и средства защиты информации, прошедшие оценку соответствия (пункт 13); для третьего — дополнительно назначение должностного лица, ответственного за обеспечение безопасности персональных данных в информационной системе (пункт 14); для второго — дополнительно ограничение доступа к содержанию электронного журнала сообщений (пункт 15); для первого — дополнительно автоматическая регистрация в электронном журнале безопасности изменения полномочий работника по доступу к персональным данным и создание отдельного подразделения, ответственного за обеспечение безопасности персональных данных, либо возложение его функций на существующее подразделение (пункт 16).
• Ответственность за нарушения в области персональных данных ужесточена с 30 мая 2025 года Федеральным законом от 30.11.2024 № 420-ФЗ. Для юридического лица по статье 13.11 КоАП РФ: неуведомление Роскомнадзора об инциденте (часть 11) — от 1 до 3 млн рублей; утечка данных от 1 000 до 10 000 субъектов (часть 12) — от 3 до 5 млн рублей; от 10 000 до 100 000 субъектов (часть 13) — от 5 до 10 млн рублей; свыше 100 000 субъектов (часть 14) — от 10 до 15 млн рублей; специальные категории персональных данных (часть 16) — от 10 до 15 млн рублей; биометрические персональные данные (часть 17) — от 15 до 20 млн рублей. Повторная утечка после частей 12–14 (часть 15) и повторная утечка специальных категорий или биометрии после частей 16 и 17 (часть 18) влекут оборотный штраф от 1 до 3 процентов совокупного размера выручки за предшествующий год, но не менее 20 млн и не более 500 млн рублей.
• Уголовная ответственность по статье 272.1 Уголовного кодекса Российской Федерации введена Федеральным законом от 30.11.2024 № 421-ФЗ: от четырёх лет лишения свободы по части 1 до десяти лет по части 5; трансграничная передача персональных данных — до восьми лет по части 4.
• Документально подтверждённые расходы на защиту информации не менее 0,1 процента совокупного годового размера выручки три года подряд и подтверждение соответствия требованиям проверкой не ранее чем за двенадцать месяцев до инцидента образуют смягчающее обстоятельство по части 3.4-2 статьи 4.1 КоАП РФ. Акт определения уровня защищённости и план мероприятий — часть этого доказательственного набора.
• Уровень защищённости определяется по совокупности четырёх характеристик (пункты 5–7 Требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119): категория персональных данных (специальные, биометрические, общедоступные, иные), принадлежность субъектов к работникам оператора, число субъектов (более или менее 100 000) и тип актуальных угроз. Произвольно «назначить» уровень нельзя: при проверке сопоставляют фактические характеристики системы с заявленным уровнем, и заниженный уровень означает невыполнение обязательных мер.
• Тип актуальных угроз — первый (недокументированные возможности в системном программном обеспечении), второй (недокументированные возможности в прикладном программном обеспечении), третий (угрозы, не связанные с недокументированными возможностями). Вывод о типе делается на основании модели угроз, разработанной по Методике оценки угроз безопасности информации ФСТЭК России от 05.02.2021 с использованием банка данных угроз. Приказ, в котором тип угроз указан без модели угроз, обосновывает уровень защищённости только формально.
• Уровень защищённости подлежит пересмотру при изменении состава обрабатываемых персональных данных, числа субъектов, архитектуры информационной системы или модели угроз. Приказ об уровне защищённости, изданный однажды и не пересматриваемый, в проверке работает против оператора: он подтверждает, что изменения оператору были известны.