Защита персональных данных: организационные и технические меры
Защита персональных данных — это не «поставили антивирус и спим спокойно». Это система из организационных и технических мер, требования к которой задают два документа: постановление правительства № 1119 и приказ ФСТЭК № 21. Разберу, что это за меры и с чего начать, если вы оператор.
Что такое защита ПДн и от чего
Защита персональных данных — это действия, которые не дают данным утечь, потеряться, измениться или попасть не в те руки. 152-ФЗ задаёт общий принцип: оператор обязан принимать необходимые и достаточные меры.
Конкретику дают два подзаконных акта.
Постановление правительства № 1119 отвечает на вопрос «к какому уровню защищённости относится моя система». Уровней четыре — от УЗ-1 (самые жёсткие требования) до УЗ-4 (минимальные).
Приказ ФСТЭК № 21 отвечает на вопрос «какие конкретно меры мне внедрять». Для каждого уровня он фиксирует обязательный перечень организационных и технических мер.
Уровни защищённости: как определить свой
Уровень защищённости определяют по четырём параметрам.
- Тип данных. Специальные и биометрические — жёстче, чем общие и общедоступные.
- Тип угроз. Есть ли недокументированные возможности в системном или прикладном ПО.
- Число субъектов. До 100 000 или больше.
- Чьи данные. Сотрудников оператора или иных лиц.
На пересечении этих параметров и получается уровень. Логика простая: спецкатегории у сотен тысяч клиентов на системе с уязвимым ПО — это УЗ-1, максимум требований. Общедоступные данные пары десятков сотрудников — УЗ-4.
Алгоритм такой: зафиксировали состав данных → построили модель угроз → определили уровень по таблице 1119 → оформили акт классификации → собрали перечень мер по приказу 21.
Завышать уровень так же плохо, как занижать: завышенный — лишние деньги, заниженный — несоответствие требованиям и штраф при проверке.
Организационные меры
Это всё, что делается людьми и документами, а не железом.
- назначить ответственного за организацию обработки ПДн;
- издать политику обработки ПДн и внутренние регламенты;
- ограничить доступ к данным по должностям;
- обучить сотрудников;
- вести учёт носителей и контроль за ними;
- реагировать на инциденты по процедуре.
Технические меры
Это уже про системы и софт. По приказу ФСТЭК № 21 меры сгруппированы в блоки.
- идентификация и аутентификация пользователей;
- управление доступом;
- ограничение программной среды;
- защита машинных носителей;
- регистрация событий безопасности;
- антивирусная защита;
- обнаружение и предотвращение вторжений;
- контроль защищённости;
- обеспечение целостности и доступности данных;
- защита среды виртуализации и каналов связи.
Перечень обязателен для уровня, но оператор может дополнять его компенсирующими мерами. Исключать обязательные без обоснования нельзя.
Отдельный момент: с 2025 года вступил в силу приказ ФСТЭК № 117 от 11.04.2025, который заменил приказ № 17 и переработал требования для государственных информационных систем. Если ваша система ПДн одновременно ГИС — придётся соответствовать и ему.
Где здесь Mask Gate
Mask Gate не строит за вас всю систему защиты по 1119. Это было бы честным, но слабым заявлением. Он закрывает одну конкретную точку — передачу текста во внешние нейросети.
Что из этого вытекает для защиты ПДн. Во-первых, минимизация: текст обрабатывается в памяти, на диск в открытом виде не пишется, в аудит уходят только HMAC-токены. Меньше храните — меньше защищать. Во-вторых, локализация: self-hosted разворачивается в вашем контуре, данные не уезжают за рубеж. В-третьих, маскирование перед отправкой: нейросеть получает уже обезличенный текст, а не паспорта.
Это не замена комплекса мер, а его часть — фильтр на самой опасной трубе, через которую данные утекают в ИИ.
Коротко
Защита ПДн — процесс, а не разовая покупка. Определили уровень по 1119 → внедрили меры по 21 → назначили ответственного → и раз в год сверяетесь, не устарело ли. Нормативка меняется, и формальное соответствие без актуализации быстро превращается в реальное несоответствие.
Для развёртывания Mask Gate в своём контуре — условия и контакты на maskgate.ru/pricing.
Частые вопросы
Обязательно ли нанимать специалиста по защите? Зависит от уровня и масштаба. Назначить ответственного — обязанность, а вот отдельный штатный специалист нужен не всегда.
Что будет, если не выполнять требования 1119 и приказа 21? Штраф по ст. 13.11 КоАП за невыполнение требований к защите.
Чем отличается УЗ-1 от УЗ-4? Набором обязательных мер: чем выше уровень, тем больше мер и жёстче их содержание.
Нужен ли акт определения уровня защищённости? Да, это стартовая точка проекта системы защиты.
Помогает ли маскирование выполнить требования 1119? Маскирование закрывает точку передачи в нейросети, но не отменяет остальной комплекс мер по 1119 и 21.
Не является юридической консультацией. Проверяйте актуальные редакции 152-ФЗ, ПП 1119 и приказа ФСТЭК № 21.
Связанные статьи
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.