ИСПДн — информационные системы персональных данных

Если вы храните персональные данные, то обязаны их защищать. Для защиты нужно знать, насколько система, в которой они хранятся, подвержена угрозам. Чтобы это понять, надо определить, к какому виду и классу относится она и сами данные. Разберем, что такое ИСПДн и что полезно знать про такие системы, если вы работаете с персональными данными.

Что такое ИСПДн

ИСПДн — это информационная система персональных данных. Она включает в себя сами персональные данные и средства, которые используют для их обработки и защиты.

Например, у вас интернет-магазин и вы собираете в базу персональные данные клиентов. В таком случае вы оператор персональных данных, а к вашей ИСПДн относят:

1. Сами персональные данные: имена, фамилии, почтовые адреса, номера телефонов, а также другую информацию, которую вы можете спрашивать у клиентов, чтобы предлагать им определенные товары и скидки, например, дату рождения или данные о семейном положении и наличии детей.
2. Базы данных, в которых эти данные записаны.
3. Серверы, то есть физическое оборудование, на котором хранятся базы.
4. Программы, где данные обрабатываются, например CRM менеджеров.
5. Компьютеры, на которых сотрудники работают с персональными данными.
6. Защитные программы: антивирусы, межсетевые экраны и другое подобное ПО.

ИСПДн делят на виды и классы, в зависимости от разных параметров. При этом сами данные — обязательная часть системы. Поэтому когда мы говорим о видах и классах ИСПДн, мы можем говорить о видах и классах самих персональных данных.

Какие бывают виды ИСПДн

Согласно документу ФСТЭК об определении угроз, ИСПДн делят на несколько групп по разными критериям. У каждой группы есть базовая защищенность, которую нужно знать, чтобы определить общий уровень защищенности системы.

Общий уровень защищенности считается так:

1. Если у 70% критериев системы высокий уровень защищенности, а у остальных — средний, то уровень защищенности всей ИСПДн высокий.
2. Если у 70% критериев системы высокий или средний уровень защищенности, а у остальных низкий — уровень защищенности всей системы средний.
3. В остальных случаях уровень защищенности системы низкий.

Ниже расскажем, на какие группы ИСПДн делят, а также как оценить общий уровень защищенности системы с учетом базовой защищенности групп, к которым ее относят.

Группы ИСПДн по территориальному размещению:

1. Распределенные, которые находятся в разных регионах и городах России. Например, ИСПДн облачного провайдера распределенная, так как серверы и клиенты находятся по всей стране.
2. Городские, все части которых находятся в пределах одного города.
3. Корпоративные распределенные, все части которой принадлежат одной компании. Они могут находиться как в одном, так и в нескольких городах. Например, если у компании много филиалов по всей стране, ее ИСПДн считается корпоративной распределенной.
4. Кампусные, все части которых находятся в пределах близко расположенных зданий. Так, ИСПДн завода будет кампусной.
5. Локальные, все части которых находятся в одном здании. Обычно это ИСПДн небольших локальных фирм.

Тип системы	Уровень защищенности
Распределенная	Низкий
Городская	Низкий
Корпоративная распределенная	Средний
Кампусная	Средний
Локальная	Высокий

Низкий уровень защищенности по какому-либо параметру не означает, что система всегда будет уязвима и данные в ней хранить опасно — это всего лишь накладывает на владельца системы дополнительные обязанности по защите данных.

Группы ИСПДн по наличию выхода в интернет:

1. Многоточечный выход в сеть, когда выход в интернет есть у нескольких компьютеров и серверов.
2. Одноточечный выход в интернет, когда все компьютеры и серверы выходят в интернет через один общий шлюз.
3. Выхода в интернет нет, например, если на заводе построена закрытая сеть.

Тип системы	Уровень защищенности
С многоточечным выходом в интернет	Низкий
С одноточечным выходом в интернет	Средний
Без выхода в интернет	Высокий

Группы ИСПДн по доступным операциям с данными:

1. Разрешены только чтение и поиск — база сформирована, дополнять и изменять ее нельзя.
2. Дополнительно разрешена запись данных, их удаление и сортировка.
3. Дополнительно разрешена модификация и передача данных — так работают практически все системы.

Тип системы	Уровень защищенности
Модификация и передача данных	Низкий
Запись, удаление и сортировка данных	Средний
Только чтение и поиск	Высокий

Группы ИСПДн по разграничению доступа к персональным данным:

1. Доступ к персональным данным есть только у их субъекта и у отдельных сотрудников оператора персональных данных.
2. Доступ к персональным данным есть у всех сотрудников оператора.

Тип системы	Уровень защищенности
Доступ есть у всех сотрудников оператора	Низкий
Доступ есть у некоторых сотрудников оператора	Средний

Формально может существовать система, в которой доступ к персональным данным есть у любого постороннего человека. Но это запрещено законом — персональные данные не должны находиться в открытом доступе.

Группы ИСПДн по уровню обезличивания данных:

1. Пользователи ИСПДн получают только обезличенные данные, их нельзя связать с конкретным человеком. При этом в самой системе данные хранятся в необезличенном виде, поэтому остаются персональными.
2. Данные обезличивают при передаче в другие организации, но сотрудники внутри организации могут получить их не обезличенными.
3. Данные не обезличивают даже для передачи.

Тип системы	Уровень защищенности
Данные не обезличивают даже для передачи	Низкий
Данные обезличивают при передаче, но сотрудники оператора могут получить их не обезличенными	Средний
Система выдает только обезличенные данные	Высокий

Группы ИСПДн по объему предоставления базы данных другим компаниям:

1. По запросу оператор предоставляет другой компании полный доступ к базе персональных данных.
2. По запросу оператор выдает доступ только к части данных, например, к информации об отдельных пользователях.
3. Оператор не предоставляет никакой информации, хранит базу только для себя и не передает ее третьим лицам.

Тип системы	Уровень защищенности
По запросу оператор предоставляет полный доступ к данным	Низкий
По запросу оператор выдает доступ только к части данных	Средний
Оператор не передает никакие данные, хранит базу только для себя	Высокий

Предположим, у вашей компании филиалы в разных городах, доступ к интернету многоточечный, доступ к данным разрешен только некоторым сотрудникам, разрешены только чтение и поиск данных, система выдает обезличенные данные и компания хранит данные только для себя. Получается, что по одному критерию у вас низкий уровень защищенности, по двум средний, а по остальным трем — высокий. И у вашей ИСПДн будет средний общий уровень защищенности.

Когда общий уровень защищенности подсчитан, его используют для оценки угроз, актуальных для ИСПДн. Это нужно сделать, чтобы понять, как защищать персональные данные. Оценка угроз — сложная процедура со множеством технических тонкостей, которая подробно описана в двух документах ФСТЭК: «Методике определения актуальных угроз» и «Базовой модели угроз безопасности». Оценку проводит IT-специалист компании: штатный или на аутсорсе.

Но мало знать уровень защищенности ИСПДн и актуальные угрозы — конкретные технические требования к защите системы зависят еще и от уровня защищенности персональных данных.

Уровни защищенности персональных данных и классы защищенности ИСПДн

До 11 марта 2013 года все, кто работал с персональными данными, обязаны были провести классификацию своей ИСПДн. Для этого нужно было собрать специальную комиссию и тщательно проанализировать систему. Теперь приказ, который обязывал это делать, отменен. Соответственно, классификация ИСПДн по защищенности тоже больше не действует.

Зато теперь уровни защищенности появились у персональных данных. Всего их четыре — чем выше уровень, тем более серьезная защита нужна данным. Уровни защищенности описаны в 1119 постановлении Правительства, меры защиты — в 21 приказе ФСТЭК.

Как определить уровень защищенности персональных данных в зависимости от того, какие данные вы храните и какие угрозы актуальны для вашей ИСПДн

Если вам нужно хранить данные третьего уровня защищенности и выше, необходимо провести аттестацию ИСПДн во ФСТЭК. В ходе аттестации ФСТЭК проверяет вашу систему: смотрит, правильно ли вы оценили угрозы, используете ли подходящие технические средства защиты, обеспечили ли достаточную безопасность персональным данным. По итогам проверки выдается аттестат, который подтверждает, что ваша ИСПДн достаточно надежна.

Что нужно знать про ИСПДн

1. ИСПДн — это информационные системы персональных данных. В ИСПДн входят как сами персональные данные, так и ПО для их обработки и защиты.
2. ИСПДн делят на группы по нескольким критериям: территориальному, наличию выхода в интернет и другим.
3. У разных групп разная базовая защищенность — она нужна, чтобы определить актуальные для системы угрозы и понять, как именно защищать персональные данные.
4. Классы защищенности ИСПДн упразднены с 2013 года. Теперь есть уровни защищенности самих персональных данных — они зависят от типа данных и актуальных угроз.