Как определить уровень защиты системы с данными только работников?

Для системы с параметрами из вопроса консультация определяет четвёртый уровень защищённости персональных данных. Речь идёт о данных только работников оператора, отсутствии специальных и биометрических категорий и актуальных угрозах третьего типа.

Civius, юридическая компания Дарина Алексеева, юрист; правовая позиция на 2024-09-04

Короткий ответ

Но то, что работники разрешили включить сведения в открытый справочник, ещё не делает всю кадровую систему системой обработки общедоступных данных. Нужно учитывать источник получения и реальный состав сведений.

Какие параметры определяют уровень

Постановление Правительства РФ № 1119 связывает его с категориями данных, отношением людей к оператору, количеством субъектов и типом актуальных угроз.

ИСПДн в примере содержит данные менее 100 000 работников. Других субъектов и иных категорий не установлено. Для этих описанных условий применяется вывод о четвёртом уровне.

Не переносите его на систему с тем же количеством записей, если в ней также есть клиенты, специальные данные или другие угрозы.

Почему доступность сведений не решает классификацию

Для соответствующей категории постановление рассматривает получение данных только из общедоступных источников, созданных по статье 8 закона № 152-ФЗ.

Работодатель обычно получает кадровые данные от самого работника. То, что часть из них позднее опубликована с согласия, не меняет автоматически происхождение всего массива.

В рассматриваемом случае консультация относит систему к обработке иных категорий. При указанных параметрах это не меняет итоговый уровень по пункту 12 требований.

Что означает третий тип угроз

Угрозы третьего типа в вопросе не связаны с недокументированными возможностями системного или прикладного программного обеспечения. Тип должен быть установлен для конкретной системы, а не выбран для удобства снижения требований.

Какие меры нужны даже при четвёртом уровне

Пункт 13 предусматривает безопасность помещений, сохранность носителей, утверждённый перечень лиц с необходимым доступом и предусмотренные средства защиты для нейтрализации угроз.

Четвёртый уровень не означает отсутствие защиты. Состав мер также соотносится с применимыми требованиями ФСТЭК и ФСБ.

Описание системы и доступов полезно согласовать с документами по персональным данным.

Если нужно применить ответ к Вашей ситуации или документам, Заказать подготовку комплекта документов: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.