Содержание
Уровень защищённости персональных данных — главный параметр информационной системы персональных данных (ИСПДн): от него зависят обязательные организационные требования, набор мер защиты по приказу ФСТЭК и класс средств защиты, которые придётся купить. Уровней четыре, от УЗ-1 (самого строгого) до УЗ-4, и устанавливаются они по постановлению Правительства РФ от 1 ноября 2012 г. № 1119. Ниже — как определить уровень защищённости персональных данных по трём признакам, что требуется на каждом уровне и чем эти требования закрывают.
Статья — разбор открытых норм на 28 октября 2026 года, а не юридическое заключение. Персональные данные в государственных информационных системах защищают по требованиям к ГИС (п. 7 приказа ФСТЭК № 21) — для них есть статья о классе защищённости ГИС.
Что такое уровень защищённости персональных данных
Постановление № 1119 устанавливает требования к защите персональных данных в информационных системах и четыре уровня защищённости таких данных (пункты 1 и 8). Уровень определяют не для организации целиком, а для каждой информационной системы: кадровая база в 1С, CRM с клиентами, система записи пациентов могут получить разные уровни.
Определяет уровень сам оператор — организация, которая обрабатывает персональные данные. Он же отвечает за безопасность данных в системе, а если обработку по поручению ведёт другая компания, договор с ней должен обязывать её обеспечить эту безопасность (пункт 3). Для работ по защите оператор вправе привлечь организацию с лицензией ФСТЭК на техническую защиту конфиденциальной информации.
Три признака, из которых выводится уровень
Чтобы определить уровень защищённости ИСПДн, нужно ответить на три вопроса.
1. Какие категории персональных данных обрабатывает система (пункт 5 постановления):
- специальные — расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь;
- биометрические — физиологические и биологические особенности человека, по которым оператор устанавливает его личность (если специальных категорий в системе нет);
- общедоступные — данные, полученные только из общедоступных источников персональных данных;
- иные — всё остальное: ФИО, телефоны, паспортные данные, адреса. Обычная кадровая или клиентская база относится именно сюда.
2. Чьи это данные и сколько их. Постановление различает системы, где обрабатываются данные только сотрудников оператора, и системы с данными других людей — клиентов, пациентов, покупателей. Для вторых важен порог: больше или меньше 100 000 субъектов.
3. Какой тип угроз актуален (пункт 6):
- угрозы 1-го типа — связанные с недокументированными (недекларированными) возможностями в системном ПО;
- угрозы 2-го типа — с такими же возможностями в прикладном ПО;
- угрозы 3-го типа — не связанные с недекларированными возможностями ни в системном, ни в прикладном ПО.
Тип угроз оператор определяет с учётом оценки вреда, который может быть причинён субъектам персональных данных (пункт 7), — на практике это результат модели угроз.
Таблица уровней защищённости персональных данных
Пункты 9–12 постановления № 1119, сведённые в одну таблицу. «Сотрудники» — система обрабатывает данные только сотрудников оператора; «менее 100 000» и «более 100 000» — число субъектов, которые сотрудниками оператора не являются (в постановлении — «менее чем» и «более чем 100000»).
| Категория персональных данных | Угрозы 1-го типа | Угрозы 2-го типа | Угрозы 3-го типа |
|---|---|---|---|
| Специальные, более 100 000 | УЗ-1 | УЗ-1 | УЗ-2 |
| Специальные, сотрудники или менее 100 000 | УЗ-1 | УЗ-2 | УЗ-3 |
| Биометрические | УЗ-1 | УЗ-2 | УЗ-3 |
| Иные, более 100 000 | УЗ-1 | УЗ-2 | УЗ-3 |
| Иные, сотрудники или менее 100 000 | УЗ-1 | УЗ-3 | УЗ-4 |
| Общедоступные, более 100 000 | УЗ-2 | УЗ-2 | УЗ-4 |
| Общедоступные, сотрудники или менее 100 000 | УЗ-2 | УЗ-3 | УЗ-4 |
Как пользоваться таблицей на примерах:
- кадровая система с данными только сотрудников, иные категории, угрозы 3-го типа — УЗ-4;
- интернет-магазин с базой более 100 000 покупателей, иные категории, угрозы 3-го типа — УЗ-3;
- медицинская система с данными о здоровье пациентов, менее 100 000 человек, угрозы 3-го типа — УЗ-3, а при базе более 100 000 — уже УЗ-2;
- система с биометрией для пропуска по лицу, угрозы 3-го типа — УЗ-3.
Если для системы актуальны угрозы 1-го типа, уровень выходит УЗ-1 почти при любых данных — поэтому вывод о типе угроз стоит обосновывать в модели угроз, а не ставить по умолчанию.
Акт определения уровня защищённости
Ни постановление № 1119, ни приказ ФСТЭК № 21 не устанавливают форму документа, которым фиксируется уровень. На практике его оформляют актом определения уровня защищённости ИСПДн: в нём записывают систему, категории и объём данных, тип актуальных угроз и итоговый уровень со ссылкой на пункт постановления. Акт входит в комплект организационно-распорядительных документов вместе с перечнем ИСПДн, перечнем лиц с доступом к данным, моделью угроз и приказом о назначении ответственного.
Готовить такой комплект с нуля не обязательно. Облачный сервис 152DOC формирует пакет документов по 152-ФЗ, в который входят акт определения уровня защищённости ИСПДн, акт оценки вреда, модель угроз для ИСПДн, документы по СКЗИ и уведомление в Роскомнадзор. Полный комплект локальных актов в сервисе рассчитан на третий и четвёртый уровни защищённости.
Товар 152DOC для 1С от 30 000 ₽ Смотреть →Требования к каждому уровню по постановлению № 1119
На всех четырёх уровнях обязательны четыре вещи (пункт 13): режим безопасности помещений с информационной системой, сохранность носителей персональных данных, утверждённый руководителем перечень лиц, которым доступ к данным нужен по работе, и средства защиты информации, прошедшие оценку соответствия, — в случаях, когда без них не нейтрализовать актуальные угрозы. Дальше требования накапливаются: каждый уровень включает всё, что требуется для уровня ниже.
| Требование | УЗ-4 | УЗ-3 | УЗ-2 | УЗ-1 |
|---|---|---|---|---|
| Назначен работник, ответственный за безопасность персональных данных в системе | — | да | да | да |
| Доступ к электронному журналу сообщений — только у работников, которым он нужен по должности | — | — | да | да |
| Изменения полномочий сотрудников по доступу к данным автоматически регистрируются в журнале безопасности | — | — | — | да |
| Есть подразделение, отвечающее за безопасность персональных данных, или эти функции возложены на одно из подразделений | — | — | — | да |
Выполнение требований оператор контролирует сам или с привлечением лицензиата ФСТЭК не реже одного раза в три года (пункт 17).
Меры защиты по приказу ФСТЭК № 21 для каждого уровня
Технические меры задаёт приказ ФСТЭК от 18 февраля 2013 г. № 21 (действует в редакции приказа № 68 от 14 мая 2020 г.). В приложении к нему — базовый набор мер для каждого уровня. Оператор адаптирует набор под свою систему: исключает меры для технологий, которых в системе нет, и добавляет меры против актуальных угроз (пункт 9).
Часть мер входит в базовый набор всех четырёх уровней: антивирусная защита (АВЗ.1), управление учётными записями пользователей (УПД.1), определение событий безопасности, которые нужно регистрировать, и сроков их хранения (РСБ.1), контроль установки обновлений (АНЗ.2), защита передачи данных по каналам за пределами контролируемой зоны (ЗИС.3). Различаются уровни вот чем:
| Мера по приказу № 21 | УЗ-4 | УЗ-3 | УЗ-2 | УЗ-1 | Чем выполняют |
|---|---|---|---|---|---|
| АНЗ.1 — выявление и устранение уязвимостей | — | да | да | да | сканер уязвимостей |
| ЗНИ.8 — стирание или обезличивание данных на носителях при передаче между пользователями, в ремонт или на утилизацию и контроль стирания | — | да | да | да | средства гарантированного стирания, регламент |
| ЗИС.20 — защита беспроводных соединений | — | да | да | да | средства защиты сети |
| ИАФ.2 — идентификация и аутентификация устройств | — | — | да | да | СЗИ от несанкционированного доступа |
| ОПС.2 — управление установкой программ | — | — | да | да | СЗИ от несанкционированного доступа |
| СОВ.1, СОВ.2 — обнаружение вторжений и обновление его правил | — | — | да | да | система обнаружения вторжений |
| ОЦЛ.1 — контроль целостности ПО, включая средства защиты | — | — | да | да | СЗИ от несанкционированного доступа |
| ОДТ.4, ОДТ.5 — резервное копирование данных и восстановление из копий | — | — | да | да | система резервного копирования |
Отсюда практический вывод: при переходе с УЗ-3 на УЗ-2 в базовый набор добавляются обнаружение вторжений, контроль целостности и резервное копирование персональных данных — под них обычно нужны новые средства. Поэтому уровень стоит определить до закупки, а не после.
Сертифицированные средства приказ № 21 требует не всегда, а когда средства с оценкой соответствия нужны для нейтрализации актуальных угроз (пункт 4). Но если сертифицированное средство применяется, его класс должен соответствовать уровню защищённости (пункт 12).
Класс средств защиты для УЗ-1, УЗ-2, УЗ-3 и УЗ-4
Пункт 12 приказа № 21 связывает уровень защищённости с классом сертифицированных средств защиты информации, уровнем доверия и классом средств вычислительной техники:
| Уровень защищённости | Класс СЗИ и уровень доверия | Класс средств вычислительной техники |
|---|---|---|
| УЗ-1 | не ниже 4-го | не ниже 5-го |
| УЗ-2 | не ниже 5-го | не ниже 5-го |
| УЗ-3 | 6-й | не ниже 5-го |
| УЗ-4 | 6-й | не ниже 6-го |
Класс и уровень доверия записаны в сертификате ФСТЭК конкретного средства — как их читать, разобрано в статье сертификат ФСТЭК и ФСБ: реестр и классы защиты. Если персональные данные защищаются шифрованием, класс СКЗИ по приказу ФСБ № 378 тоже зависит от уровня защищённости и типа угроз — таблица есть в статье СКЗИ: классы КС1–КА.
Изменится ли порядок с новым приказом ФСТЭК
24 июля 2026 года ФСТЭК разместила на портале regulation.gov.ru проект приказа «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (проект 169583) — он должен заменить приказ № 21. Пока новый приказ не принят и не вступил в силу, меры выбирают по приказу № 21. Сами уровни защищённости устанавливает не приказ ФСТЭК, а постановление Правительства № 1119, поэтому таблица уровней выше от смены приказа не зависит.
Что купить под уровень защищённости
Уровень защищённости определяет список закупки. Типовое соответствие мер и товаров нашего каталога:
- документы: акт определения уровня защищённости, модель угроз, приказы и перечни — 152DOC;
- антивирусная защита на всех уровнях — сертифицированные антивирусы и их классы разобраны в статье антивирус для ИСПДн, ГИС и КИИ;
- защита от несанкционированного доступа и обнаружение вторжений на рабочих местах — Secret Net Studio: сертификат ФСТЭК № 3745 охватывает защиту от несанкционированного доступа, контроль съёмных носителей, межсетевой экран и обнаружение вторжений уровня узла и антивирус; набор модулей зависит от редакции;
- анализ уязвимостей с УЗ-3 — сканеры XSpider PRO, RedCheck и Сканер-ВС, сравнение — в статье о сертифицированных сканерах уязвимостей;
- резервное копирование с УЗ-2 — Кибер Бэкап; требования ФСТЭК к резервному копированию и сертификаты систем — в статье о резервном копировании по ФСТЭК;
- защита каналов связи — СКЗИ с сертификатом ФСБ нужного класса.
Начать обычно стоит с документов: акт определения уровня защищённости показывает, какие меры и средства нужны именно вашей системе. Годовая лицензия 152DOC по тарифу «Расширенный» стоит 30 000 ₽; в ней вы сами заполняете комплект документов по подсказкам мастера, а консультации даёт онлайн-чат с документалистами.
Пришлите акт определения уровня защищённости или модель угроз — подберём средства защиты нужного класса, сверим сертификаты ФСТЭК и ФСБ и подготовим КП, счёт и договор на юридическое лицо. Если ещё не ясно, какие требования касаются организации кроме персональных данных, начните с навигатора требований ФСТЭК.
Частые вопросы
Сколько уровней защищённости персональных данных существует? +
Четыре — их устанавливает постановление Правительства РФ № 1119 (пункт 8). Самый строгий — первый (УЗ-1), самый мягкий — четвёртый (УЗ-4). Каждый следующий по строгости уровень включает все требования предыдущего.
Какой уровень защищённости у системы с данными только сотрудников? +
Если в системе только иные категории персональных данных сотрудников (ФИО, контакты, паспортные данные) и актуальны угрозы 3-го типа — УЗ-4. При угрозах 2-го типа — УЗ-3. Если в той же системе есть сведения о здоровье, это уже специальная категория: при угрозах 3-го типа — УЗ-3.
Кто определяет уровень защищённости ИСПДн? +
Оператор — организация, которая обрабатывает персональные данные. Тип актуальных угроз он определяет с учётом оценки вреда субъектам (пункт 7 постановления № 1119), а затем по категории данных и числу субъектов устанавливает уровень. Для работ по защите можно привлечь организацию с лицензией ФСТЭК на техническую защиту конфиденциальной информации.
Нужен ли акт определения уровня защищённости? +
Форму документа ни постановление № 1119, ни приказ ФСТЭК № 21 не устанавливают, но решение об уровне нужно чем-то подтвердить при проверке и при выборе мер защиты. Обычно это акт определения уровня защищённости ИСПДн в комплекте организационно-распорядительных документов. Сервис 152DOC формирует такой акт вместе с остальным комплектом документов по 152-ФЗ.
Нужны ли сертифицированные средства защиты на УЗ-4? +
Средства с оценкой соответствия нужны на любом уровне, если без них не нейтрализовать актуальные угрозы (пункт 13 постановления № 1119, пункт 4 приказа № 21). Если сертифицированное средство применяется на УЗ-4, оно должно быть 6-го класса и 6-го уровня доверия, а средства вычислительной техники — не ниже 6-го класса.
Как часто пересматривать уровень и проверять защиту? +
Постановление № 1119 требует контролировать выполнение требований не реже одного раза в три года (пункт 17), с той же периодичностью приказ № 21 требует оценивать эффективность принятых мер (пункт 6). Уровень стоит пересчитать и раньше — когда в системе появились новые категории данных, база перешла порог 100 000 субъектов или изменился тип актуальных угроз.
