Когда актуально

Особенно актуально, если:

• организация обрабатывает персональные данные в информационных системах, а уровень защищённости этих систем не определён или определён без документального обоснования;
• система защиты персональных данных отсутствует или построена без учёта актуальной модели угроз и присвоенного уровня защищённости;
• действующие меры защиты и документы не пересматривались давно, а состав систем, процессы обработки или число субъектов персональных данных изменились;
• готовится проверка Роскомнадзора или ФСТЭК России, и нужно привести систему защиты и документы в порядок заранее;
• система одновременно является государственной информационной системой или значимым объектом критической информационной инфраструктуры, и требования по 152-ФЗ нужно увязать с требованиями приказов №117 или №235/№239.

Что даёт эта услуга руководителю. Задача этой услуги — получить работающую систему защиты персональных данных, соответствующую присвоенному уровню защищённости и реальным процессам обработки, а не формальный набор закупленных средств и документов, не связанных друг с другом.

С чего обычно начинают

Не знаете, какой уровень защищённости у вашей ИСПДн? Уровень определяется по постановлению Правительства РФ №1119 — категория обрабатываемых данных, тип актуальных угроз, число субъектов и то, являются ли они сотрудниками оператора. Определяем это на первичной оценке.

Не уверены, какие угрозы актуальны именно для вашей системы? Модель угроз разрабатывается на основе банка данных угроз (БДУ) ФСТЭК России и действующей методики оценки угроз с учётом архитектуры конкретной системы, а не берётся из шаблона.

Опасаетесь, что проект превратится в закупку средств защиты без понимания, зачем они нужны? Состав средств защиты определяется базовым набором мер для установленного уровня защищённости и моделью угроз, а не общим каталогом — сначала проектируем систему защиты, потом подбираем средства под неё.

Что важно учитывать. Определение уровня защищённости и решения по организации обработки персональных данных — ответственность оператора персональных данных; мы готовим расчёты, модель угроз и техническую реализацию, но не подменяем эти решения.

Как это соотносится с соседними услугами

Несколько услуг связаны с защитой персональных данных и информационных систем, но решают разные задачи.

Разница по существу: эта услуга закрывает требования именно 152-ФЗ и приказа №21 к ИСПДн; если та же система относится ещё и к ГИС или к значимым объектам КИИ, требования этих режимов действуют дополнительно, а не вместо требований по защите персональных данных, — в таких случаях состав работ определяется совокупностью применимых режимов.

Из чего складывается внедрение СЗИ по приказу №21

Определение уровня защищённости. Расчёт уровня защищённости ИСПДн (УЗ-1 — УЗ-4) в соответствии с постановлением Правительства РФ №1119 — на основе категории обрабатываемых персональных данных, типа актуальных угроз, числа субъектов и их принадлежности к сотрудникам оператора; решение об уровне защищённости принимает оператор.

Модель угроз безопасности персональных данных. Разработка или актуализация модели угроз на основе банка данных угроз (БДУ) ФСТЭК России и действующей методики оценки угроз, с учётом архитектуры конкретной информационной системы.

Проектирование системы защиты. Выбор мер защиты для установленного уровня защищённости — базовый набор мер, адаптация под структурно-функциональные характеристики системы, уточнение под актуальные угрозы и дополнение мерами по иным применимым нормативным актам, в соответствии с приказом ФСТЭК №21.

Подбор и внедрение технических средств защиты. Средства защиты информации, прошедшие необходимую оценку соответствия требованиям безопасности; для сертифицированных средств — класс защиты и уровень доверия, соответствующие уровню защищённости системы.

Подключение средств криптографической защиты — при необходимости. Если персональные данные передаются по сетям связи общего пользования и это требует применения СКЗИ, — подбор и настройка средств в соответствии с требованиями приказа ФСБ России №378.

Организационно-распорядительная документация. Политика обработки и защиты персональных данных, положение об обеспечении безопасности, инструкции пользователей и администраторов, перечни лиц с доступом к персональным данным и другие документы, предусмотренные 152-ФЗ и приказом №21.

Эти элементы не заменяют друг друга: без определения уровня защищённости нельзя корректно выбрать базовый набор мер; без модели угроз меры не адаптированы под реальные риски системы; без документов меры защиты не закреплены организационно и не проверяемы.

Важно понимать границы этого механизма: система защиты, которую мы проектируем и внедряем, — необходимая основа для соответствия требованиям приказа №21, но не гарантия прохождения проверки Роскомнадзора или ФСТЭК России: соответствие определяется совокупностью выполняемых мер и корректностью их документального закрепления, а не только фактом внедрения средств защиты.

Как мы выстраиваем защиту персональных данных

Определяем уровень защищённости. На основе категории данных, типа угроз и числа субъектов — совместно с оператором, который принимает итоговое решение.

Разрабатываем модель угроз. На основе БДУ ФСТЭК и действующей методики оценки угроз, с учётом архитектуры системы.

Проектируем систему защиты. Базовый набор мер для установленного уровня защищённости, адаптированный под модель угроз.

Подбираем и внедряем технические средства. С учётом требований к сертификации, совместимости с существующей инфраструктурой и, при необходимости, требований к СКЗИ.

Готовим документацию. Политику обработки персональных данных, положение о безопасности, инструкции и иные предусмотренные документы.

Передаём в сопровождение. С рекомендациями по периодической оценке эффективности мер и актуализации при изменении системы или нормативных требований.

Что вы получаете

• Определённый и обоснованный уровень защищённости ИСПДн
• Актуальную модель угроз безопасности персональных данных
• Спроектированную и внедрённую систему технических и организационных мер защиты
• Комплект организационно-распорядительной документации по защите персональных данных
• При необходимости — настроенные средства криптографической защиты в соответствии с требованиями ФСБ России

Особенности и ограничения

• Определение уровня защищённости и решения об организации обработки персональных данных остаются ответственностью оператора — эта услуга готовит обоснование и реализацию, но не подменяет эти решения.
• Внедрение системы защиты не гарантирует автоматического прохождения проверки Роскомнадзора или ФСТЭК России — соответствие определяется совокупностью выполняемых мер и документов, а не только фактом внедрения средств защиты.
• Если информационная система одновременно является государственной информационной системой или значимым объектом критической информационной инфраструктуры, дополнительно применяются требования приказа №117 либо приказов №235 и №239 — в таких случаях состав работ шире, чем только требования приказа №21.
• Оценка эффективности принятых мер защиты персональных данных проводится не реже одного раза в 3 года — самим оператором или с привлечением организации, имеющей лицензию на техническую защиту конфиденциальной информации.
• Регуляторная база в этой области готовится к существенному обновлению (см. регуляторный блок) — часть решений, актуальных на дату проекта, может потребовать пересмотра при вступлении в силу новых требований.

Эскалация при критической находке

Порядок согласуется на установочной сессии и фиксируется в договоре:

• назначенные представители заказчика, ответственные за решения по уровню защищённости и составу мер защиты;
• порядок уведомления заказчика, если в ходе проекта обнаруживается критическая уязвимость или пробел в защите персональных данных, требующий немедленного внимания;
• порядок действий, если ответственный представитель заказчика недоступен;
• порядок действий при инциденте, связанном с неправомерной или случайной передачей, предоставлением, распространением либо доступом к персональным данным с нарушением прав субъектов, — с учётом сроков уведомления Роскомнадзора по 152-ФЗ.

Границы ответственности фиксируем заранее. Проектирование, подбор, внедрение и настройка мер защиты, подготовка документации входят в услугу в согласованном объёме. Решения об организации обработки персональных данных и уровне защищённости принимает оператор.

Метрики

Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.

• доля мер из базового набора для установленного уровня защищённости, реализованных и подтверждённых документально;
• полнота и актуальность модели угроз относительно реальной архитектуры системы;
• готовность организационно-распорядительной документации к проверке — полнота и соответствие фактическим процессам обработки на момент завершения проекта;
• своевременность последующей оценки эффективности мер защиты относительно установленной периодичности.

Чего мы не используем как показатель эффективности. Объём закупленных и установленных средств защиты сам по себе: он отражает инвестиции, а не то, насколько состав средств соответствует уровню защищённости и модели угроз конкретной системы.

Конфиденциальность

Проектирование и внедрение системы защиты подразумевает доступ к сведениям об инфраструктуре, процессах обработки персональных данных и уязвимостях заказчика — чувствительной информации, которая при неправильном обращении может создать риск для заказчика. Порядок фиксируется до начала работ: NDA, защищённые каналы передачи данных и отчётности, ограничение доступа внутри команды, согласованное место обработки и хранения материалов, ограниченный срок хранения с возвратом или уничтожением по окончании работ.

Регуляторный контекст

Обработка и защита персональных данных регулируются 152-ФЗ «О персональных данных» от 27.07.2006. Постановление Правительства РФ от 01.11.2012 №1119 устанавливает четыре уровня защищённости персональных данных при их обработке в информационных системах (УЗ-1 — УЗ-4), определяемых исходя из категории обрабатываемых данных, типа актуальных угроз, числа субъектов персональных данных и их принадлежности к сотрудникам оператора. Действующий на дату подготовки этого документа приказ ФСТЭК России №21 от 18.02.2013 в редакции от 14.05.2020 устанавливает состав и содержание организационных и технических мер по обеспечению безопасности персональных данных для каждого уровня защищённости, включая порядок выбора мер: базовый набор для установленного уровня защищённости, адаптация под структурно-функциональные характеристики системы, уточнение под актуальные угрозы и дополнение мерами, предусмотренными иными нормативными правовыми актами.

ФСТЭК России 24.07.2026 опубликовала на портале regulation.gov.ru проект приказа (проект №169583), который должен полностью заменить приказ №21 и ввести новый, риск-ориентированный подход к защите персональных данных, включая оценку зрелости мер защиты, требования к безопасности искусственного интеллекта и облачных сервисов и иные изменения. Общественное обсуждение проекта продолжалось до 08.08.2026, далее проект проходит независимую антикоррупционную экспертизу. Планируемая дата вступления в силу, указанная разработчиком проекта, — 1 сентября 2026 года; однако по состоянию на дату подготовки этого документа проект не зарегистрирован Минюстом России и официально не опубликован как принятый нормативный правовой акт — действующим остаётся приказ №21. Планируемая дата вступления в силу проекта не гарантирует его фактического принятия к этой дате: статус проекта необходимо проверять непосредственно перед началом и в ходе каждого проекта услуги.

Для защиты информации применяются средства защиты, прошедшие необходимую оценку соответствия требованиям безопасности; для сертифицированных средств класс защиты и уровень доверия определяются уровнем защищённости обрабатываемых персональных данных. Если для защиты персональных данных при их передаче по сетям связи общего пользования используются средства криптографической защиты информации (СКЗИ), применяется приказ ФСБ России №378 от 10.07.2014, устанавливающий состав организационных и технических мер при использовании СКЗИ для каждого уровня защищённости персональных данных.

Если информационная система персональных данных одновременно является государственной информационной системой, дополнительно применяются требования приказа ФСТЭК России №117 от 11.04.2025; если система является значимым объектом критической информационной инфраструктуры — требования приказов ФСТЭК России №235 от 21.12.2017 и №239 от 25.12.2017. Оценка эффективности принятых мер защиты персональных данных проводится не реже одного раза в 3 года самим оператором либо с привлечением организации, имеющей лицензию ФСТЭК России на деятельность по технической защите конфиденциальной информации.

Если инцидент связан с неправомерной или случайной передачей, предоставлением, распространением либо доступом к персональным данным с нарушением прав субъектов, действуют сроки по 152-ФЗ: первичное уведомление Роскомнадзора в течение 24 часов, результаты внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21). Материалы работ могут использоваться как документы, подтверждающие принятые меры защиты, если их состав и оформление соответствуют применимым требованиям. Само по себе внедрение средств защиты не подтверждает полного соответствия требованиям — соответствие определяется совокупностью выполняемых мер.

Порядок работы, сроки, стоимость и приёмка

Как начинается работа: бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → определение уровня защищённости ИСПДн → договор и NDA → разработка модели угроз → проектирование системы защиты → подбор, поставка и внедрение технических средств → подготовка организационно-распорядительной документации → передача в сопровождение.

Объём услуги определяется уровнем защищённости системы, масштабом и сложностью инфраструктуры, состоянием уже реализованных мер защиты на момент начала работ и необходимостью применения средств криптографической защиты. В договоре фиксируются состав работ, критерии приёмки и порядок эскалации при выявлении критических пробелов.

Ориентировочные сроки: определение уровня защищённости и разработка модели угроз — 2–3 недели; проектирование системы защиты и подготовка документации — 2–4 недели; подбор, поставка и внедрение технических средств — от 3 до 8 недель в зависимости от состава и доступности средств.

Стоимость зависит от уровня защищённости и масштаба системы, состояния готовности на момент начала работ, состава технических средств защиты и необходимости применения СКЗИ. Фиксируется до начала работ.

Почему IST

• В сфере информационной безопасности с 2011 года
• Более 80 специалистов; офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве
• Лицензии ФСТЭК и ФСБ
• Отслеживаем переход на новые требования ФСТЭК к защите персональных данных и заранее предупреждаем, если проект нужно будет скорректировать
• Подбираем состав мер и средств защиты под модель угроз конкретной системы, а не продаём типовой комплект
• Полный цикл: от определения уровня защищённости и проектирования до внедрения и периодической оценки эффективности мер

Частые вопросы

Как определить уровень защищённости нашей ИСПДн? Уровень определяется по постановлению Правительства №1119 на основе категории обрабатываемых данных, типа актуальных угроз, числа субъектов и их принадлежности к сотрудникам оператора. Решение принимает оператор; мы помогаем провести расчёт и подготовить обоснование.

Приказ №21 скоро отменят — есть ли смысл внедрять систему защиты по нему сейчас? Приказ №21 на сегодняшний день продолжает действовать, и требования по защите персональных данных актуальны уже сейчас. Проект замены проходит стадии согласования, и до его официального принятия и вступления в силу нужно руководствоваться действующими требованиями. Мы отслеживаем статус проекта и, если он будет принят, поможем актуализировать систему защиты под новые требования.

Нужны ли сертифицированные средства защиты для любой ИСПДн? Не обязательно все средства должны быть сертифицированы — это зависит от применимых требований и решения оператора. Там, где сертификация применяется, класс защиты и уровень доверия определяются уровнем защищённости системы.

Когда нужны средства криптографической защиты (СКЗИ)? Если персональные данные передаются по сетям связи общего пользования и это подпадает под требования приказа ФСБ №378, требуется сертифицированное средство криптографической защиты информации соответствующего класса.

Что если наша ИСПДн — это ещё и государственная информационная система или объект КИИ? Тогда дополнительно применяются требования приказа №117 (для ГИС) или приказов №235 и №239 (для значимых объектов КИИ) — состав работ определяется совокупностью применимых режимов, а не только приказом №21.