Приказ ФСТЭК 21: требования к защите ПДн

О чём Приказ ФСТЭК России №21

Приказ ФСТЭК России от 18 февраля 2013 г. №21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» — ключевой нормативный акт, определяющий конкретные меры защиты персональных данных в ИСПДн.

Место Приказа 21 в правовой цепочке

Приказ ФСТЭК 21 не существует в вакууме. Он является третьим звеном в нормативной цепочке, которая выстраивает систему защиты персональных данных в России:

1. Федеральный закон №152-ФЗ «О персональных данных» — устанавливает общие требования к обработке ПДн, обязывает оператора обеспечивать безопасность данных и определяет ответственность за нарушения.
2. Постановление Правительства РФ №1119 от 01.11.2012 — устанавливает уровни защищённости персональных данных (УЗ-1 — УЗ-4) и требования к каждому из них в зависимости от категории данных, типа актуальных угроз и количества субъектов.
3. Приказ ФСТЭК России №21 от 18.02.2013 — определяет конкретный состав организационных и технических мер, которые оператор обязан реализовать для обеспечения каждого уровня защищённости.

Таким образом, логика применения выглядит так: сначала вы определяете, какие данные обрабатываете (152-ФЗ), затем определяете уровень защищённости своей ИСПДн (ПП 1119), и наконец — выбираете и реализуете конкретные меры защиты (Приказ 21).

Для кого обязателен Приказ ФСТЭК 21

Требования Приказа обязательны для всех операторов персональных данных, независимо от формы собственности и организационно-правовой формы:

• коммерческие организации любого размера;
• индивидуальные предприниматели;
• государственные и муниципальные органы;
• некоммерческие организации.

Если вы обрабатываете персональные данные в информационной системе — вы обязаны выполнять требования Приказа 21. Исключений по размеру компании или количеству сотрудников закон не предусматривает.

Структура документа

Приказ ФСТЭК 21 состоит из основного текста и приложения. Основной текст описывает общий порядок выбора и реализации мер. Приложение содержит перечень мер защиты, сгруппированных в 15 групп, с указанием их применимости для каждого уровня защищённости.

15 групп мер защиты

Приказ ФСТЭК 21 систематизирует все меры защиты в 15 функциональных групп. Каждая группа имеет условное обозначение и охватывает определённое направление обеспечения безопасности ПДн.

Каждая группа содержит от 2 до 20 конкретных мер, обозначаемых кодом группы и порядковым номером (например, ИАФ.1, ИАФ.2, УПД.1 и так далее). В общей сложности Приказ определяет более 100 мер защиты.

Меры защиты по уровням защищённости

Ключевая практическая ценность Приказа ФСТЭК 21 — чёткое распределение мер по уровням защищённости. Для каждого УЗ определён базовый набор мер, который оператор обязан реализовать.

Ниже приведена сводная таблица с распределением мер по группам и уровням защищённости. Знак + означает, что мера входит в базовый набор для данного УЗ, знак - — не входит (но может быть добавлена при адаптации).

Идентификация и аутентификация (ИАФ)

Управление доступом (УПД)

Ограничение программной среды (ОПС)

Защита машинных носителей (ЗНИ)

Регистрация событий безопасности (РСБ)

Антивирусная защита (АВЗ)

Обнаружение вторжений (СОВ)

Контроль защищённости (АНЗ)

Обеспечение целостности (ОЦЛ)

Обеспечение доступности (ОДТ)

Защита среды виртуализации (ЗСВ)

Защита технических средств (ЗТС)

Защита информационной системы (ЗИС)

Выявление инцидентов (ИНЦ)

Управление конфигурацией (УКФ)

Общая статистика по уровням

Как видно из таблицы, разница между УЗ-4 и УЗ-1 весьма существенна: при максимальном уровне защищённости необходимо реализовать в 2,5 раза больше мер, чем при минимальном. Поэтому корректное определение уровня защищённости — критически важный первый шаг.

Как применять Приказ 21 на практике

Реализация требований Приказа ФСТЭК 21 — это не разовое мероприятие, а последовательный процесс из пяти этапов. Рассмотрим каждый из них.

Этап 1. Определение уровня защищённости ПДн

Прежде чем выбирать меры защиты, необходимо определить уровень защищённости вашей ИСПДн в соответствии с Постановлением Правительства РФ №1119. Для этого нужно установить:

• категорию обрабатываемых ПДн: специальные, биометрические, общедоступные, иные;
• тип актуальных угроз: угрозы 1-го типа (НДВ в системном ПО), 2-го типа (НДВ в прикладном ПО), 3-го типа (не связанные с НДВ);
• количество субъектов ПДн: более или менее 100 000 человек;
• чьи данные обрабатываются: сотрудников оператора или иных лиц.

На основании этих параметров определяется один из четырёх уровней защищённости. Результат оформляется Актом определения уровня защищённости. Используйте наш калькулятор уровня защищённости для быстрого определения УЗ.

Этап 2. Определение базового набора мер

После определения УЗ из Приложения к Приказу 21 выбирается базовый набор мер — все меры, отмеченные для соответствующего уровня защищённости. Это минимальный обязательный перечень, от которого отталкивается дальнейшая работа.

Например, для УЗ-3 базовый набор включает около 55 мер из 15 групп. Для УЗ-4 — около 32 мер, преимущественно из групп ИАФ, УПД, ЗНИ, РСБ, АВЗ, АНЗ, ЗТС, ЗИС.

Этап 3. Адаптация базового набора по модели угроз

Базовый набор мер адаптируется с учётом актуальных угроз безопасности, определённых в Модели угроз для конкретной ИСПДн. На этом этапе происходит:

• исключение мер, не связанных с актуальными угрозами (например, меры по защите среды виртуализации можно исключить, если виртуализация не используется);
• добавление мер, необходимых для нейтрализации актуальных угроз, но не вошедших в базовый набор;
• уточнение мер с учётом структурно-функциональных характеристик ИСПДн, применяемых технологий и особенностей функционирования.

Модель угроз — ключевой документ для этого этапа. Без неё адаптация невозможна, а применение только базового набора может оказаться как избыточным, так и недостаточным.

Этап 4. Применение компенсирующих мер

Если какие-либо меры из адаптированного набора невозможно реализовать по техническим или экономическим причинам, оператор вправе заменить их компенсирующими мерами. При этом необходимо:

• обосновать невозможность реализации исходной меры;
• доказать, что компенсирующая мера обеспечивает эквивалентный уровень защищённости;
• документально оформить обоснование замены.

Важно: компенсирующие меры не могут снижать общий уровень защищённости ИСПДн. Это инструмент гибкости, а не способ уклонения от требований.

Этап 5. Документирование

Финальный этап — оформление всех принятых решений в документах. По итогам реализации Приказа 21 у оператора должен быть сформирован комплект организационно-распорядительной документации, подтверждающий выбор, адаптацию и внедрение мер защиты.

Какие документы нужны

Для выполнения требований Приказа ФСТЭК 21 оператору персональных данных необходимо разработать и утвердить комплект документов. Ниже — основные документы, прямо или косвенно требуемые Приказом.

Обязательные документы

1. Модель угроз безопасности ПДн — определяет актуальные угрозы для конкретной ИСПДн. Без модели угроз невозможно корректно адаптировать базовый набор мер. Должна разрабатываться для каждой ИСПДн или для группы однотипных систем.

2. Акт определения уровня защищённости ПДн — фиксирует результат классификации ИСПДн по ПП 1119. Подписывается комиссией, содержит обоснование выбранного уровня.

3. Техническое задание на создание системы защиты ПДн — определяет требования к системе защиты на основе адаптированного набора мер. Описывает объект защиты, требования к мерам, условия эксплуатации.

4. Проектная документация на систему защиты — описывает архитектуру системы защиты, выбранные средства защиты, порядок их настройки и взаимодействия. Для небольших ИСПДн может быть совмещена с техническим заданием.

5. Паспорт ИСПДн — содержит основные характеристики информационной системы: состав обрабатываемых данных, категории субъектов, структура системы, используемые средства защиты.

Организационно-распорядительные документы

• Приказ о назначении ответственного за обеспечение безопасности ПДн;
• Политика обработки и защиты персональных данных;
• Инструкция пользователя ИСПДн;
• Инструкция администратора безопасности ИСПДн;
• План мероприятий по обеспечению безопасности ПДн;
• Порядок реагирования на инциденты безопасности;
• Журнал учёта машинных носителей ПДн;
• Журнал учёта мероприятий по контролю обеспечения безопасности ПДн.

Документы по результатам оценки эффективности

• Акт оценки эффективности реализованных мер защиты;
• Протоколы испытаний средств защиты информации;
• Заключение о соответствии ИСПДн требованиям безопасности.

Подготовка полного комплекта документов вручную — трудоёмкий процесс, требующий специализированных знаний. Конструктор документов по 152-ФЗ автоматизирует создание большинства перечисленных документов: вы отвечаете на вопросы о вашей ИСПДн, а сервис формирует готовые документы с учётом требований Приказа ФСТЭК 21 и других нормативных актов.

Практические рекомендации

Для малого бизнеса

Если вы представитель малого бизнеса и обрабатываете персональные данные клиентов и сотрудников (что, скорее всего, так), начните с определения уровня защищённости. В большинстве случаев для малого бизнеса актуален УЗ-3 или УЗ-4, что означает реализацию 32-55 мер. Многие из этих мер можно закрыть организационными решениями, не требующими дорогостоящего оборудования или ПО.

Для среднего и крупного бизнеса

При наличии нескольких ИСПДн рекомендуется разработать единый комплект организационно-распорядительной документации с учётом максимального УЗ и дополнить его частными документами для отдельных систем. Это сократит объём документации и упростит управление.

Типичные ошибки

1. Формальный подход — копирование типовых документов без привязки к реальной инфраструктуре. Проверяющие органы это выявляют.
2. Игнорирование модели угроз — реализация базового набора мер без адаптации приводит либо к избыточным затратам, либо к незащищённым направлениям.
3. Отсутствие документирования — меры фактически реализованы, но не задокументированы. При проверке это равносильно их отсутствию.
4. Разовая реализация — защита ПДн требует непрерывного процесса: мониторинга, обновления, реагирования на инциденты.

Не откладывайте приведение ИСПДн в соответствие с требованиями Приказа ФСТЭК 21. Начните с определения уровня защищённости и создания необходимых документов — это первые и самые важные шаги к выполнению требований закона.