Уровни защищённости персональных данных: как выбрать сервер по 152-ФЗ

Уровень защищённости персональных данных — это официальная категория, которая показывает, насколько серьёзные меры безопасности должна применять компания при хранении и обработке данных на сервере. Чем выше риск для людей, чьи данные обрабатываются, тем строже требования к технике, программам и организационным процедурам.

Что такое уровень защищённости персональных данных и зачем он нужен?

Закон «О персональных данных» — 152-ФЗ, принятый ещё в 2006 году, — обязывает любую компанию, которая обрабатывает данные людей (клиентов, сотрудников, посетителей сайта), защищать эти данные. Но требования не одинаковы для всех: интернет-магазин с именами и телефонами покупателей и медицинская клиника с диагнозами пациентов — это совершенно разные уровни риска. Чтобы не заставлять всех подряд строить крепость, ввели систему уровней защищённости — от самого высокого (УЗ-1) до самого низкого (УЗ-4). Уровень определяет, какой набор технических и организационных мер обязателен именно для вашей информационной системы.

Как определяется, какой уровень защищённости нужен компании?

Уровень зависит от нескольких факторов: какие именно данные обрабатываются (обычные — имя, телефон, или специальные — здоровье, вероисповедание, судимость), сколько людей затрагивают эти данные, и какие угрозы актуальны для конкретной информационной системы. Определение уровня — это не формальность «для галочки», а реальная оценка риска: чем чувствительнее данные и чем больше людей они касаются, тем выше требования. На практике компания либо проводит эту оценку самостоятельно с привлечением специалиста по информационной безопасности, либо заказывает аудит у профильной организации.

Чем отличаются требования к серверу для разных уровней?

Разница — в глубине защиты. Для младших уровней достаточно базовых мер: антивирус, разграничение доступа по паролям, регулярное обновление ПО, журналирование действий пользователей. Для старших уровней добавляются более серьёзные требования:

• сертифицированные средства защиты информации (СЗИ), прошедшие оценку ФСТЭК России;
• межсетевые экраны и системы обнаружения вторжений;
• шифрование данных при хранении и передаче;
• физическая защита оборудования — контроль доступа в серверное помещение;
• регулярный аудит и тестирование системы защиты.

Проще говоря, если для одного уровня хватит грамотно настроенного сервера с антивирусом и бэкапами, то для другого потребуется целый комплекс сертифицированного оборудования и процедур, зафиксированных документально.

Нужно ли аттестовывать сервер, если данные хранятся в облаке?

Аттестация информационной системы — процедура, при которой независимые эксперты подтверждают, что все нужные меры защиты реализованы правильно. Она обязательна не для всех случаев, но для систем с высокими уровнями защищённости часто требуется. Важный нюанс: если данные хранятся в облаке или на арендованном сервере, ответственность за соответствие требованиям всё равно лежит на компании-операторе персональных данных, а не только на провайдере инфраструктуры. Поэтому при выборе облачного сервера стоит уточнять, какие меры защиты уже встроены в инфраструктуру провайдера, а какие нужно настраивать самостоятельно.

Кто отвечает за соответствие требованиям — компания или хостинг-провайдер?

Здесь важно разделять роли. Компания, которая собирает и использует персональные данные (например, интернет-магазин или медицинский центр), считается оператором персональных данных и несёт основную юридическую ответственность. Хостинг-провайдер или облачный сервис в этой схеме чаще выступает как обработчик — он предоставляет техническую инфраструктуру и обеспечивает часть мер защиты, но окончательная ответственность за то, что данные защищены на нужном уровне, остаётся за оператором. Поэтому договор с провайдером должен чётко фиксировать, какие обязательства по защите данных берёт на себя каждая сторона.

Какие организационные меры нужны помимо технических?

Технику без организации не построить. Компании нужно назначить ответственного за обработку персональных данных, разработать внутренние регламенты, определить, кто и как получает доступ к данным, вести журнал инцидентов и обучать сотрудников базовым правилам информационной безопасности. Многие утечки данных происходят не из-за взлома сервера, а из-за человеческого фактора — слабого пароля, случайной отправки файла не тому адресату или использования личной флешки. Поэтому организационные меры так же важны, как настройка сервера.

Что грозит компании при несоответствии требованиям?

За нарушение требований к защите персональных данных предусмотрена административная ответственность, а в случае утечки данных компания рискует не только штрафом, но и репутационными потерями — доверие клиентов восстановить куда сложнее, чем заплатить штраф. Кроме того, надзорные органы вправе проверять компании по жалобам граждан или в рамках плановых проверок, и отсутствие документов, подтверждающих определённый уровень защищённости, само по себе становится основанием для претензий.

Как «Клауд АйСи» помогает бизнесу соблюдать требования к уровням защищённости?

Подбор сервера под нужный уровень защищённости персональных данных — задача, которая требует и технических знаний, и понимания законодательства. «Клауд АйСи» предлагает серверы и облачную инфраструктуру, размещённые на территории России, с настройками безопасности, которые можно адаптировать под разные уровни защищённости — от базовых мер до более комплексных решений для чувствительных данных. Это снимает с бизнеса часть технической нагрузки и позволяет сосредоточиться на самой работе, а не на настройке инфраструктуры с нуля.

С чего начать компании, которая ещё не определила свой уровень защищённости?

Первый шаг — провести инвентаризацию: понять, какие персональные данные вообще обрабатывает компания, где они хранятся и кто имеет к ним доступ. Без этой картины невозможно правильно определить уровень защищённости и, соответственно, требования к серверу. После инвентаризации имеет смысл проконсультироваться со специалистом по защите информации или профильным провайдером — это поможет избежать как избыточных затрат на защиту там, где она не нужна, так и рисков штрафов из-за недостаточных мер там, где они обязательны.