#### Что такое конфиденциальная информация, в том числе персональные данные (ПДн)?

 

Конфиденциальная информация — любая информация, охраняемая законом, к которой имеет доступ ограниченный круг лиц. К ней причисляют банковскую, коммерческую и служебную тайны, ноу-хау и персональные данные.

Существует 4 категории персональных данных:

* специальные касаются информации о состоянии здоровья, расовой принадлежности, национальности человека, о его политических и религиозных взглядах, информации о его вероисповедании;
* биометрические — физиологические и биологические отличительные черты, которые используются для идентификации: фото, отпечатки пальцев, цвет волос, образцы голоса и т. д.;
* общедоступные — данные, которые открыты неограниченному кругу лиц с согласия человека (например, информация об авторе материала в СМИ) либо на основании федерального закона (например, данные из выписки ЕГРЮЛ, ЕГРИП);
* иные — самая популярная категория персональных данных, включает все остальные данные: полное имя, адрес человека, дата и место его рождения, номер телефона, e-mail, стаж работы, геолокация и т. д.



#### Кто является оператором персональных данных?

 

Оператором персональных данных могут выступать компании (юридические лица), государственные или муниципальные организации (например, в области здравоохранения, налогообложения и т. д.), а также физические лица.

Если соблюдены все критерии, описанные ниже, то компания может называть себя оператором персональных данных:

* вы получаете персональные данные от клиентов, сотрудников или другой категории пользователей;
* вы храните и обрабатываете полученную информацию;
* вы определяете цели, ради которых собираются данные: продажа товаров, рассылка маркетинговых предложений, покупка билетов, найм сотрудников и т. д.



#### Как правильно организовать сбор и обработку персональных данных?

 

До того, как оператор начнет собирать и обрабатывать персональные данные, он должен передать информацию об этом в Роскомнадзор. Сделать это можно, заполнив [заявку](https://pd.rkn.gov.ru/operators-registry/notification/form/) на официальном сайте. Она отправляется в ведомство в бумажном варианте или онлайн. В заявке, помимо прочего, нужно указать:

* данные оператора (название компании, ее локацию, телефон, e-mail, филиалы, их расположение и т. д.);
* цели, для которых оператор ведет обработку данных (обычно они прописаны в учредительных документах организации);
* все категории персональных данных, которые обрабатывает оператор (о них говорили выше);
* данные сотрудника, который отвечает за обработку ПДн внутри компании-оператора.

После заполнения заявки информация о компании заносится в общий [реестр](http://pd.rkn.gov.ru/operators-registry/operators-list/). При этом существует несколько исключений, когда уведомлять Роскомнадзор не нужно. О них можно узнать подробнее из нашей [статьи](https://selectel.ru/blog/rkn-152-fz/).

Оператор может запустить сбор и обработку ПДн только после того, как получил на это согласие людей, чьи данные собираются (субъектов персональных данных). 

Чтобы собирать данные пользователей в онлайне, нужно опубликовать на сайте «Политику конфиденциальности». В ней следует описать порядок обработки ПДн. В формах с информацией о пользователях (например, имя или адрес электронной почты) нужно написать, что отправкой этих ПДн человек дает согласие на их обработку. Подробнее о сборе данных в онлайне можно почитать в нашей [статье](https://selectel.ru/blog/personal-data/).

В некоторых случаях оператору нужно получить согласие именно в письменной форме. Например, это касается обработки специальной категории персональных данных. [Шаблон](https://54.rkn.gov.ru/protection/docsamples/) документа можно скачать на сайте Роскомнадзора.

Когда оператор передает ПДн провайдеру, важно соблюсти ряд условий:

* оператор должен иметь согласие субъекта не только на получение и обработку, но и на передачу данных;
* оператор должен удостовериться, что инфраструктура выбранного им провайдера полностью соответствует 152-ФЗ по уровню защищенности;
* оператор обязан заключить с провайдером поручение на обработку.



#### Зачем оператору подписывать поручение на обработку ПДн с провайдером?

 

Провайдер отвечает перед оператором за соблюдение закона в своей зоне ответственности. Подписать поручение необходимо, чтобы выполнить требования 152-ФЗ. В этом случае ответственность за защиту персональных данных человека все равно лежит на операторе. Но он должен следить за тем, как провайдер защищает инфраструктуру, соответствует ли это законодательству.

Selectel может подписать поручение на обработку ПДн, если клиенты размещаются в «[Аттестованном сегменте ЦОД](/services/is/dswes/)», в «[Облачной платформе Selectel](/services/cloud/servers/)» или «[Облаке на базе VMware](/services/cloud/vmware/152-fz/)».



#### Что нужно сделать, чтобы система обработки ПДн полностью соответствовала 152-ФЗ?

 

1. Оператор обязан выявить уровень защищенности, которого будет достаточно для безопасности персональных данных (зависит от того, какие данные собираются, кому они принадлежат, какой тип угроз актуален для систем). В работе следует опираться на [постановление Правительства РФ от 1 ноября 2012 г. № 1119](http://government.ru/docs/6339/). Рассчитать уровень можно с помощью [калькулятора](#calculator) на этой странице.
2. Оператору нужно сформировать модель угроз, опираясь на [методику](https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/2170-metodicheskij-dokument-utverzhden-fstek-rossii-5-fevralya-2021-g), разработанную ФСТЭК.
3. Оператору нужно определить технические меры, которые помогут обезопасить персональные данные. В этом поможет [21 Приказ ФСТЭК России от 18.02.13](https://fstec.ru/normotvorcheskaya/akty/53-prikazy/691-prikaz-fstek-rossii-ot-18-fevralya-2013-g-n-21). А затем оценить эффективность этих мер. Это нужно сделать всем операторам в соответствии с п. 4 части 2 статьи 19 152-ФЗ. В решении этой задачи помогут [разъяснения](https://fstec.ru/normotvorcheskaya/informatsionnye-i-analiticheskie-materialy/64-deyatelnost/informatsionnye-i-analiticheskie-materialy/716-informatsionnoe-soobshchenie-fstek-rossii-1) ФСТЭК о форме оценки эффективности принимаемых мер обеспечения безопасности персональных данных.

Когда оператор размещает свои системы в центре обработки данных или облачной инфраструктуре, он должен вместе с поставщиком оценить угрозы безопасности информации и степень эффективности ее защиты. В нашей базе знаний описано, какая часть уже реализована, за что вы будете нести ответственность, размещая свою инфраструктуру в «[Аттестованном сегменте ЦОД](https://kb.selectel.ru/docs/servers-and-infrastructure/dedicated-servers/certified_data_center_segment/)», в «[Облачной платформе Selectel](https://kb.selectel.ru/docs/selectel-cloud-platform/main-services/cloud_server_152fz/)» или «[Облаке на базе VMware](https://kb.selectel.ru/docs/cloud-services/vmware/cloud_152-fz/)».

Selectel провел оценку угроз и эффективности используемых мер защиты в своей зоне ответственности — по запросу мы можем предоставить выписку из модели угроз, акт оценки эффективности или  аттестат соответствия.



#### Чтобы определить уровень защищенности, нужно указать тип актуальных угроз. Какими они могут быть?

 

Существует 3 типа угроз. Они отличаются друг от друга уровнем, на котором находится уязвимость.

1. К угрозам первого типа относят угрозы, при которых в используемом системном программном обеспечении информационной системы могут быть недокументированные возможности, так называемые закладки. К числу угроз первого типа относятся, например, закладки в операционной системе (ОС), с помощью которых мошенник может в любой момент получить к ней доступ.
2. К числу угроз второго типа относятся закладки в прикладном программном обеспечении, например, в 1С, web-приложении. Обычно они появляются в ситуациях, когда ПО разрабатывалось специально для заказчика.
3. К угрозам третьего типа принято относить все остальные угрозы, не связанные с системными или программными закладками.

Конкретный тип угроз безопасности ПДн, который будет актуален для информационной системы, определяется оператором с учетом оценки того вреда, который они могут причинить. На практике наиболее популярен третий тип угроз.



#### Когда нужно использовать сертифицированные средства защиты?

 

Чаще всего реализовать требования по безопасности персональных данных можно встроенными возможностями операционных систем и прикладного программного обеспечения, которые применяет оператор. 

Средства защиты с сертификатами ФСТЭК и ФСБ нужны в двух случаях:

1. когда система оператора является государственной ([Приказ № 17 ФСТЭК России от 11 февраля 2013 года](https://fstec.ru/normotvorcheskaya/akty/53-prikazy/702-prikaz-fstek-rossii-ot-11-fevralya-2013-g-n-17));
2. если оператору нужно аттестовать собственные информационные системы. Это необходимо, например, когда коммерческие организации подключаются к государственным системам.

В каждом из этих случаев вы можете разместить свои информационные системы в «[Аттестованном сегменте ЦОД](/services/is/dswes/)» от Selectel. В нем мы предоставляем аппаратные и программные средства, которые уже прошли необходимую сертификацию.



#### В каком случае может повыситься уровень защищенности ПДн?

 

Существуют 3 распространенных случая, при которых оператору придется повысить уровень защищенности ПДн:

1. в ситуации, когда количество пользователей, которые передают ему информацию, достигло и превысило 100 000 человек;
2. в случае, если оператор впервые начинает собирать информацию, которую можно отнести к спецкатегории ПДн;
3. если в работе информационной системы произошли изменения — в ней появились угрозы первого или второго типа.



#### Какие дополнительные сервисы информационной безопасности могут понадобиться при защите ПДн?

 

Selectel предоставляет разные сервисы безопасности с применением сертифицированных средств защиты информации по подписке в «[Аттестованном сегменте ЦОД](https://kb.selectel.ru/docs/servers-and-infrastructure/dedicated-servers/certified_data_center_segment/)». 

Например, такие как: 

* дополнительные средства, которые помогут защитить данные на сервере от доступа посторонних лиц (например, Secret Net Studio, Secret Net LSP);
* средство доверенной загрузки ViPNet SafeBoot;
* антивирусная защита (Kaspersky и аналогичное антивирусное ПО);
* анализ защищенности.



#### Какие этапы должна выполнить моя компания при работе с Selectel для реализации всех требований 152-ФЗ?

 

**1. Разместите вашу информационную систему в Selectel**

Подберем соответствующую ей IT-инфраструктуру, руководствуясь требованиями безопасности. В качестве вариантов предлагаем выделенные серверы в «[Аттестованном сегменте ЦОД](/services/is/dswes/)», виртуальную машину (или несколько) в «[Облачной платформе Selectel](/services/cloud/servers/)» или «[Облаке на базе VMware](/services/cloud/vmware/152-fz/)».

Дата-центры Selectel находятся в России. Это базовое условие, которое нужно соблюсти, чтобы выполнить требование по локализации персональных данных. Для инфраструктуры, которую мы предлагаем клиентам, уже проведена нужная оценка эффективности безопасности ПДн.

**2. Проведите аудит вашей информационной системы ПДн. В итоге у вас на руках будут:**

* Результаты аудита, в которых описано, как вы собираете и обрабатываете информацию, и соответствуют ли эти процессы требованиям законодательства.
* Все необходимые документы, связанные с обработкой ПДн. Они могут разрабатываться как для отдельной информационной системы, размещаемой в Selectel, так и для всех ваших информационных систем. Это зависит от поставленных задач и уже внедренных мер.

**3. Опишите систему защиты персональных данных. В результате вы получите:**

* Технический проект, который будет включать в себя план реализации системы защиты.
* Список средств защиты, которые будут применяться.
* Перечень услуг, которые помогают обезопасить персональные данные.
* Стоимость внедрения и оценку эффективности системы защиты.

**4. Установите необходимые средства защиты самостоятельно или используйте сервисы информационной безопасности, предоставляемые Selectel**

Поможем настроить, а затем обслуживать и администрировать средства защиты информации. Если в вашей компании нет сотрудников, которые следят за информационной безопасностью, используйте сервисы от Selectel — наши специалисты работают круглосуточно.

**5. Оцените эффективность мер обеспечения безопасности ПДн или проведите аттестацию системы, если она нужна**

Проводить оценку эффективности стоит до того, как вы ввели в работу информационную систему. Повторять оценку предстоит всякий раз, когда вы внесете изменения в систему, но не реже, чем раз в 3 года.

Аттестация — необязательная процедура. Она требуется компаниям, которые работают с государственными информационными системами или подключаются к ним, а также компаниям, информационные системы которых обрабатывают государственную тайну или управляют экологически опасными объектами. Аттестация накладывает ограничения: с ней вы сможете использовать только сертифицированные средства защиты, вам придется проходить переаттестацию всякий раз, когда в информационной системе что-то меняется. Аттестацию может проводить только организация, у которой есть соответствующая лицензия.

В итоге вы получите: 

* Акт оценки эффективности или аттестат, который подтвердит, что ваша информационная система соответствует всем актуальным требованиям безопасности информации.



#### Делаете ли вы документы для Роскомнадзора за клиентов?

 

Нет, Selectel не делает документы для систем клиентов. Мы предоставляем:

* услуги по размещению систем оператора в нашей инфраструктуре с учетом разграничения зон ответственности;
* подтверждение того, что все требующиеся меры безопасности с нашей стороны реализованы;
* договор-поручение на обработку персональных данных.

Если оператору нужны документы, которые учитывают индивидуальные особенности его систем, он может разработать их сам или привлечь к разработке компанию с лицензией ФСТЭК и ФСБ.



#### Какой минимальный набор документов нужен для информационной системы, в которой обрабатываются ПДн?

 

Перечень документов, который нужно собрать для каждой информационной системы, четко не регламентирован. Но обычно требуются следующие:

* Протокол с описанием уровня ущерба.
* Акт, в рамках которого определен уровень защищенности ПДн.
* Документ с прописанной моделью угроз.
* Техническое задание.
* Инструкция для сотрудника, который отвечает за обеспечение безопасности персональных данных.
* Инструкция для администратора информационной системы.
* Акт оценки эффективности мер, которые реализованы оператором для обеспечения безопасности ПДн.
* Документы, регламентирующие выполнение мер 21 приказа ФСТЭК России.

Все эти документы должны дополнять общекорпоративные документы, в которых прописаны процессы работы с персональными данными, не связанные с конкретными информационными системами.



#### Моя компания хранит и обрабатывает данные в сервисе, который уже является клиентом Selectel. Что нужно сделать с нашей стороны, чтобы работать с данными по закону?

 

Чтобы выполнить требования 152-ФЗ, вам нужно обратиться напрямую к сервису, который является клиентом Selectel.

Вам необходимо:

* уточнить у него, можете ли вы проводить обработку персональных данных, используя этот сервис;
* оформить поручение на обработку ПДн. В согласии на обработку персональных данных для субъектов следует указать, что вы передаете их ПДн этому сервису. Ваш подрядчик, в свою очередь, обратится в Selectel, чтобы оформить поручение на обработку персональных данных с нашей компанией;
* контролировать выполнение сервисом мер, которые регламентируются 152-ФЗ.