Сколько уровней защищённости ИСПДн и как по ним выбирают меры безопасности?
Уровень защищённости задаёт требования к системе; конкретные организационные и технические меры выбирают и адаптируют к реальным условиям обработки.
Короткий ответ
Предусмотрены четыре уровня защищённости ИСПДн. Их устанавливает постановление Правительства РФ № 1119. После определения применимого уровня выбирают организационные и технические меры по приказу ФСТЭК России № 21, учитывая угрозы и особенности обработки.
Уровень – не произвольная отметка, которую компания выбирает по бюджету. Он зависит от предусмотренных нормативными правилами условий: характера данных, субъектов, объёма обработки и актуальных угроз. Поэтому две внешне похожие базы могут требовать разных решений, если отличаются эти обстоятельства.
Нужно также различать уровень защищённости, тип угроз и категорию надзорного риска. Эти понятия используются для разных задач и не заменяют друг друга. Например, номер уровня сам по себе не сообщает, есть ли в системе конкретная уязвимость или как часто организацию будут проверять.
Выбор мер – следующий этап. Недостаточно записать название уровня в акте и считать защиту созданной. Нужно определить применимый набор мер, адаптировать его к системе и обеспечить фактическое выполнение: управление доступом, учёт действий и другие необходимые для соответствующего процесса решения. Нельзя переносить один одинаковый список на все системы без оценки условий.
Практически полезно иметь понятную связь между описанием системы, определёнными угрозами, выбранным уровнем и реализованными мерами. Если меняются данные, круг пользователей или архитектура, эта связь может потребовать пересмотра. Самый низкий из предусмотренных уровней тоже не означает отсутствия требований. Рассмотренные Готовые решения 2026 года объясняют именно последовательность определения и реализации защиты, а не дают универсальный комплект настроек для любой базы.
Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Какой документ об уровне защищённости данных может запросить Роскомнадзор?
- Может ли Роскомнадзор запросить модель угроз безопасности персональных данных?
- Как проект ФСТЭК 2026 года предлагает адаптировать меры к информационной системе?
- Почему нельзя просто скопировать меры безопасности из примера уведомления Роскомнадзора?
- Почему суд не приравнял аудит информационной безопасности скорой помощи к контролю защиты данных?
