Информационная система персональных данных (ИСПДн): что это, классификация, угрозы и уровни защиты

В современном цифровом пространстве практически каждая организация сталкивается с необходимостью обработки личной информации. Но что именно подразумевается под этим сложным определением? Информационная система персональных данных  (ИСПДн) — это совокупность содержащихся в базах данных сведений о физлицах и обеспечивающих их обработку информационных технологиях и технических средствах.

Если объяснять доступным языком, информационная система — это комплекс, в котором хранится и обрабатывается личная информация граждан. Чтобы детальнее разобраться в его устройстве, выделим ключевые компоненты:

• Базы данных. Это хранилища, с содержащихся в них сведениями: таблицами, файлами, сложными СУБД. Здесь фиксируются ФИО, адреса проживания, контактные номера, паспортные реквизиты и прочая информация.
• Информационные технологии. Это приемы и методы работы с персональными данными в виде сбора, систематизации, накопления, уточнения данных, их передачи, блокировки, удаления и уничтожения.
• Технические средства. Материальное оборудование: серверные стойки, компьютеры сотрудников, сетевая аппаратура, кабельные системы. Все эти устройства гарантируют функциональность системы персональных данных.
• Средства защиты. Антивирусы, межсетевые экраны, криптографические модули для обеспечения информационной безопасности.

Обработку данных производится организацией или физическим лицом- оператором персональных данных. Именно он несет полную ответственность за сохранность личных сведений и обязан соблюдать нормы законодательства. Граждане, чьи данные обрабатываются, являются субъектами персональных данных.

Классификация ИСПДн: виды и типы систем

Для того чтобы корректно определить необходимые меры защиты, применяется классификация информационная система персональных данных по нескольким критериям:

По принадлежности оператору

• Собственная ИСПДн — система с персональными данными сотрудников, полностью контролируемая вашей компанией. Вы самостоятельно задаете архитектуру, локацию хранения, правила доступа к персональным данным. Например, внутренний модуль кадрового учета, развернутый на мощностях компании.
• Сторонняя ИСПДн — внешний комплекс, принадлежащий иной организации, но применяемый вами для обработки. Обязательства распределяются между вами и владельцем. Примеры: облачные сервисы, бухгалтерское ПО, CRM от сторонних провайдеров.

По территориальному размещению их делят:

• На локальные — все элементы расположены в рамках одного строения. Характерны для небольших фирм.
• Кампусные — компоненты систем персональных данных размещены в нескольких соседних зданиях (территория промышленного объекта или вуза).
• Корпоративные распределенные — части принадлежат одной компании, но могут дислоцироваться в различных городах (филиальная сеть, представительства).
• Городские — комплекс покрывает территорию одного населенного пункта.
• Распределенные — компоненты находятся в разных регионах, принадлежат крупным провайдерам.

Категории персональных данных — ключевой параметр при классификации. По этому признаку выделяют следующие группы:

Категория	Что включает	Примеры
Специальные	Состояние здоровья, политические взгляды, философские убеждения,	Медицинские заключения, членство в партиях
Биометрические	Физиологические и биологические особенности человека для идентификации	Отпечатки, радужная оболочка, ДНК
Общедоступные	Данные из открытых источников при наличии согласия на обработку	Справочники, адресные книги
Иные	Вся остальная информация	ФИО, адрес, телефон, место работы

Другие параметры:

• Наличие подключения к сетям: комплексы с многоточечным доступом в интернет, с единой точкой выхода или полностью автономные.
• Режим доступа: разграничение прав для разных групп пользователей.
• Разграничение доступа: предоставлен всем сотрудникам или только уполномоченным лицам
• Обезличивание данных: передаются ли сведения вовне в обезличенном формате.

Знание того, к каким группам причислена ваша информационная система персональных данных, дает возможность выполнить предварительную оценку рисков и приступить к установлению уровня защищенности.

Типы актуальных угроз ИСПДн

Это обстоятельства, способные спровоцировать нарушение безопасности персональных данных.

Специалисты выделяют три главных типа угроз:

1. 1-го типа — сопряжены с присутствием недекларированных возможностей («закладок») в системном программном обеспечении. Это наиболее опасные угрозы, поскольку они присутствуют на уровне операционных систем, драйверов, фундаментального ПО. Выявить их без специальных экспертиз крайне проблематично.
2. 2-го типа — связаны с проблемами в прикладном программном обеспечении. Сюда относятся уязвимости в СУБД, бухгалтерских программах, CRM-системах, конфигурациях 1С и прочих приложениях, задействованных непосредственно для обработки данных.
3. 3-го типа — прочие угрозы, не имеющие отношения к программным закладкам. Это самый распространенный тип для основной массы коммерческих структур.

Они включают:

• Несанкционированные проникновения (физическим способом или сетевое).
• Поступки сотрудников (преднамеренные или случайные).
• Атаки с применением социальной инженерии (фишинг).
• Сбои софта и техники.
• Вредоносное программное обеспечение (вирусы, трояны).
• Перехват информации в процессе передачи.

Методика определения актуальных угроз

Для выявления потенциальных угроз, которые могут быть актуальны в разных видах деятельности, применяются следующие подходы:

• Исследование используемого ПО (типовое или разработанное индивидуально).
• Анализ наличия выхода в интернет.
• Изучение физической охраны помещений.
• Оценка вероятных действий злоумышленников.

Реализация таких угроз способна обернуться серьезными негативными последствиями:

• Нарушением конфиденциальности с утечкой личных сведений и их попаданием к третьим лицам.
• Нарушением целостности с несанкционированной корректировкой или уничтожением информации.
• Нарушением доступности с невозможностью получения доступу к данным в нужные моменты.

Каждое из этих событий влечет не только репутационные издержки, но и серьезные санкции со стороны контролирующих инстанций.

Комплексным индикатором, определяющим, какие меры безопасности должны быть реализованы в разных условиях, является уровень защищенности. Он устанавливается на законодательном уровне и зависит от ряда факторов. Чтобы его установить, оператор персональных данных обязан последовательно проанализировать свою информационную систему по следующим позициям:

1. Категория персональных сведений.
2. Субъекты персональных данных (трудовой коллектив или сторонние лица).
3. Количество субъектов (превышает 100 000 человек или нет).
4. Тип актуальных угроз (1-й, 2-й или 3-й).

Уровни угроз:

• УЗ-1 (высокий уровень) — необходима максимальная защита. Применяется в государственных информационных системах и организациях.
• УЗ-2 — усиленные требования, предполагающие использование криптографических средств, двухфакторной аутентификации, строгого разграничения доступа. Актуален для медучреждений, страховых компаний.
• УЗ-3 — средний. Характеризуется базовым разграничением прав, антивирусной защитой, регулярным обновлением ПО (интернет-магазины, сервисные фирмы).
• УЗ-4 (базовый) — минимальные требования. Включает фундаментальные организационные процедуры и простую идентификацию. Оптимален для небольших организаций, работающих исключительно со сведениями о персонале.

Важно осознавать: уровень защищенности — не формальность. Именно от него зависит, какие конкретные мероприятия внедрять, какие средства защиты эксплуатировать и требуется ли проводить аттестацию.

Требования к защите персональных данных

Их соблюдение регламентируются целым комплексом нормативных актов:

• Федеральным законом №152-ФЗ «О персональных данных».
• Постановлением правительства РФ №1119, фиксирующим порядок определения уровня защищенности.
• Приказом ФСТЭК России №21 — детализирующим состав и содержание организационных и технических мер для обеспечения информационной безопасности.
• Приказом ФСБ России №378, регулирующим вопросы криптографической защиты информации.
• Методикой выявления актуальных угроз (ФСТЭК) — для верификации их типа.

К организационным мерам относятся:

• Назначение ответственных лиц за организацию обработки.
• Подготовка внутренней документации: регламентов, инструкций, распоряжений.
• Информирование персонала о требованиях и обучении.
• Получение согласия на обработку от субъектов по установленной форме.
• Фиксация мест хранения сведений на материальных носителях.
• Мониторинг исполнения принятых мер.

Технические меры защиты

В зависимости от присвоенного уровня, внедряют:

• Идентификацию и аутентификацию — проверка подлинности лиц перед наделением правами доступа к персональным.
• Управление доступом — разграничение полномочий на просмотр, редактирование, уничтожение.
• Регистрацию событий — протоколирование всех операций с информацией.
• Антивирусный контроль — защита от вредоносного ПО.
• Межсетевые экраны — фильтрация сетевого трафика.
• Системы обнаружения вторжений — выявление попыток НСД.
• Контроль целостности — проверка неизменности ПО и сведений.
• Шифрование — защита информации при хранении и пересылке.
• Резервирование — формирование бэкапов для оперативного восстановления.

Игнорирование предписаний чревато серьезными последствиями:

• Административной ответственностью — штрафные санкции в отношении должностных лиц и организаций (согласно КоАП РФ), размеры которых неуклонно растут.
• Уголовной ответственностью — при наступлении крупного урона или наличии корыстного умысла.
• Репутационными потерями — утрата доверия потребителей, негативный информационный фон.

Практические рекомендации для операторов

Эксперты советуют придерживаться следующего алгоритма:

• Инициировать аудит текущих процедур. Выявить, какие сведения аккумулируются, где размещаются, кто обладает доступом.
• Назначить ответственное лицо.
• Разработать необходимую документацию (с учетом отраслевой специфики).
• Установить точный уровень защищенности вашей ИС.
• Подобрать и инсталлировать средства защиты нужного уровня.
• Систематически обучать персонал.
• Отслеживать актуальные изменения в правовом поле.

В России вопросам сохранности личной информации уделяется пристальное внимание, штрафные санкции ужесточаются, а проверки становятся регулярнее. Профильные блоги и аналитику по тематике безопасности целесообразно изучать на специализированных площадках, подписаться на рассылки авторитетных экспертов, знакомиться с кейсами внедрения. Критически важно понимать: обеспечение защиты — это непрерывный динамический процесс, а не одноразовая акция. Глубокое понимание структуры, виды, характера актуальных угроз, градаций защищенности ИСПДн и предъявляемых требований к защите позволяет не только минимизировать риски санкций, но и выстроить прочные, доверительные связи с контрагентами, гарантируя надежную сохранность их конфиденциальной информации.