ИСПДн: что это такое, её границы, уровень защищённости по 152-ФЗ

Компания ITF помогает компаниям малого и среднего бизнеса выстраивать законную обработку персональных данных: разрабатываем правила обработки, формы согласий, готовим уведомления в Роскомнадзор, проводим аудит сайтов на соответствие 152-ФЗ.

Самая распространённая ошибка, с которой мы сталкиваемся, — попытка решить задачу с помощью «готового пакета документов» из интернета. Шаблонные документы не работают. Они не учитывают вашу реальную ИТ-инфраструктуру. Чтобы Политика, согласия и модель угроз имели юридическую силу, они должны соответствовать фактической конфигурации вашей информационной системы персональных данных. Именно поэтому мы подробно разъясняем, что такое ИСПДн и как она устроена. Понимание данного материала поможет защитить бизнес от существенных штрафов и предписаний регулятора.

Согласно п. 6 ст. 3 152-ФЗ, информационная система персональных данных (ИСПДн) — это совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Если перевести это определение на практический язык, ИСПДн — это не только «база с данными», а вся среда, в которой персональные данные собираются, хранятся, обрабатываются, передаются и уничтожаются. В неё входят люди, процессы, программы, оборудование и каналы связи.

Согласно Разделу II Приказа ФСТЭК России от 18.02.2013 № 21, ИСПДн структурно включает четыре обязательных элемента:

1. Персональные данные — информация, относящаяся к прямо или косвенно определённому физическому лицу. 
2. Субъекты ПДн — физические лица: сотрудники, клиенты, кандидаты, контрагенты-физлица.
3. Инфраструктура ИСПДн — технические и программные средства: серверы, системы хранения данных, рабочие станции, облачные сервисы, CRM, программы бухгалтерского и кадрового учёта (например, 1С), а также помещения, в которых эти средства размещены.
4. Персонал — лица, допущенные к обработке ПДн на основании трудовых или гражданско-правовых договоров.

• Физический периметр — границы помещений (серверных, офисов) с контролем доступа и средствами физической защиты. Требования к нему заданы Постановлением Правительства РФ от 01.11.2012 № 1119.
• Логический (сетевой) периметр — границы сетевой инфраструктуры, разделяющие сегменты с ПДн и внешние сети, включая интернет. Обеспечивается межсетевым экранированием и сегментацией сети.

Выявление потоков выполняется на этапе описания ИСПДн. Это требование ст. 18.1 152-ФЗ, обязывающей оператора принимать меры, соразмерные угрозам.

Потоки выявляются через аудит бизнес-процессов:

1. Источники — откуда поступают ПДн: сайт, электронная почта, API, бумажные анкеты, мессенджеры.
2. Места хранения — где данные накапливаются: базы данных, файловые серверы, облака.
3. Каналы передачи — как данные перемещаются: локальная сеть, открытые каналы связи, внешние сервисы.
4. Точки вывода и уничтожения — кому данные передаются и как утилизируются.

Реестр третьих лиц — внутренний документ оператора, в котором перечислены контрагенты, получающие доступ к персональным данным.

Согласно ч. 5 ст. 6 152-ФЗ, если оператор поручает обработку ПДн третьему лицу (облачному провайдеру, аутсорсеру, подрядчику), это оформляется письменным соглашением.

Обязательные условия:

• цель и перечень передаваемых ПДн;
• перечень действий с ПДн;
• обязанность третьего лица соблюдать конфиденциальность и обеспечивать безопасность ПДн (ст. 7 152-ФЗ);
• обязанность уведомлять оператора об инцидентах.

Схема потоков данных — графическое приложение к Описанию ИСПДн. Она формируется в несколько шагов:

1. Инвентаризация активов — список всех систем и носителей с ПДн.
2. Матрица взаимодействий — определение связей между системами.
3. Графическое отображение — источники, процессы, хранилища, приёмники и каналы связи с указанием факта использования криптографии (Приказ ФСБ России от 10.07.2014 № 378).
4. Анализ уязвимостей — нанесение точек потенциального неправомерного доступа для обоснования выбора средств защиты информации. 

Краткая характеристика уровней защищённости согласно ПостановлениюПравительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных...»

После определения УЗ, Оператор формирует «Модель угроз» (п. 10 Приказа ФСТЭК № 21) и на ее основании, а также на основании Таблицы из Приказа ФСТЭК № 21, выбирает необходимый набор организационных и технических мер защиты (СЗИ НСД, криптография, антивирусы, межсетевое экранирование, средства анализа защищенности и т.д.).

Нам часто задают вопрос: «Почему в интернете предлагают готовые договоры и политики за 5 000 рублей, а вы называете сумму от 60 000 рублей?»

Ответ простой: приведение в соответствие с 152-ФЗ — это не заполнение бланков, а инженерно-юридический аудит.

Чтобы подготовить документы, которые выдержат проверку Роскомнадзора, необходимо:

1. Провести интервью с ключевыми сотрудниками.
2. Просканировать сеть и определить реальный состав ИСПДн — какие сервисы, базы данных и облака используются.
3. Построить фактическую схему потоков данных, а не абстрактную из шаблона.
4. Корректно определить уровень защищённости по матрице ФСТЭК Приказ № 21.
5. Адаптировать правила обработки, политику и формы согласий под конкретный сайт и бизнес-процессы.