Политика безопасности не защищает данные сама по себе. Закон требует необходимых правовых, организационных и технических мер; их выбор должен соответствовать системе, угрозам и последствиям для людей. Ни покупка антивируса, ни сертификат облачного провайдера не доказывают выполнение обязанностей заказчика во всех его процессах.
От фактов системы к требованиям
Статья 19 Закона № 152-ФЗ требует выявлять угрозы, устанавливать доступ, учитывать носители, регистрировать действия, обнаруживать несанкционированный доступ, восстанавливать данные, контролировать меры и оценивать их эффективность до ввода системы. В актуальной норме присутствует также положение о прошедших оценку соответствия средствах защиты с функцией уничтожения. Применимость конкретного средства и требований нельзя выводить из одной цитаты без системного технического анализа. Статья 18.1 отдельно требует внутреннего контроля, оценки вреда и обучения. Закон.
Постановление Правительства № 1119 предусматривает четыре уровня защищённости. Выбор зависит от категории данных, типа актуальных угроз, количества субъектов и обработки сведений работников. Тип угроз нельзя назначать по цене желаемого решения: его обосновывают моделью и реальными характеристиками. Для соответствующего уровня выбирают и адаптируют меры по приказу ФСТЭК № 21; при использовании криптографической защиты дополнительно исследуются требования ФСБ, а для государственных систем, КИИ, банков и иных специальных операторов — их режимы. Глава задаёт юридическую последовательность; она не является проектом ИБ или актом аттестации. Постановление № 1119, приказ ФСТЭК № 21, прочитанный нормативный фрагмент.
При обработке без автоматизации применяется постановление № 687: раздельное хранение несовместимых целей, информирование допущенных лиц, определение места, сохранность и исключение доступа посторонних. Бумажные анкеты на общей стойке остаются проблемой, даже если сервер защищён. Постановление № 687.
Контроль, который можно проверить
Составьте реестр систем и носителей, модель угроз, документ об уровне, перечень мер с исполнителями и доказательствами. Установите минимальные права, пересмотр доступа при смене роли и увольнении, защиту административных учётных записей, обновления, резервирование и восстановление, регистрацию операций, реагирование на инциденты. Конкретная технология выбирается специалистом; эти меры не объявляются универсальным техническим стандартом для любого контура.
До запуска проверьте фактическое выполнение выбранных мер и эффективность; после изменений повторно оцените затронутые угрозы. Постановление № 1119 требует контроля не реже одного раза в три года; это внешний предел периодического контроля по нему, а не разрешение три года игнорировать смену CRM или открытую выгрузку. При привлечении внешнего исполнителя для контроля учитывается требование лицензии на техническую защиту конфиденциальной информации в предусмотренном постановлением случае. Отчёт должен указывать проверенную систему, версию, дату, метод, найденное и исправленное.
Оценку возможного вреда по приказу РКН № 178 оформляют с учётом содержания, операций и последствий для субъектов; она не совпадает с технической моделью угроз. Утечка адреса укрытия или сведений о здоровье может иметь иной вред, чем раскрытие обычного делового контакта. Приказ № 178.
Что требовать от облака и агентства
До передачи изучите поручение, границы ответственности, перечень систем и субподрядчиков, географию, доступ поддержки, процедуры инцидента и запросов, доказательства мер и уничтожения. Статья 6 требует включать обязанность предоставлять подтверждения по запросу в течение поручения, в том числе до начала обработки. Свяжите требования с вашей системой: сертификат на один сервис не доказывает защиту выгрузки, которую агентство держит на личном ноутбуке.
В договоре нужны исполнимые сроки содействия, контроль изменений, возврат, удаление и возможность проверки в согласованном безопасном объёме. Проверки чужой системы проводятся только с полномочиями её владельца. Если поставщик не раскрывает существенную географию или не способен подтвердить удаление, это конкретное препятствие выбору его для соответствующих данных. Альтернативой может быть иной объём, другая архитектура или поставщик, а не фиктивное согласие клиента на неизвестный риск.
Практика, спор и предел вывода
При выявленном нарушении установите, какая мера требовалась, была ли реализована, кто отвечал и как недостаток связан с событием. Сохраните договоры, настройки, отчёты, журналы, обучение и хронологию исправления. Контрольный орган исследует законность обработки и выполнения требований; гражданский суд отдельно оценивает конкретного ответчика, нарушение и последствия. Добровольное исправление полезно, но не уничтожает факт уже совершённого нарушения.
В доступном фрагменте дела Яндекс.Еды № 33-42777/2024 приведена оценка первой инстанции, что необходимый уровень защищённости не был обеспечен, и описано взыскание морального вреда с оператора, а не с любой компании бренда. Полная резолютивная часть апелляции в копии не доступна; фрагмент не используется для утверждения её окончательного исхода. Судебный материал. Требование к конкретному уровню и мерам здесь основано на законе и нормативных актах, а не на экстраполяции этого дела.
Сильное возражение оператора — реализованы все необходимые меры, а событие не было обусловлено его виновным действием. Оно требует содержательной проверки и не опровергается одним наличием атаки. Обратная крайность также неверна: статус жертвы преступления не доказывает выполнение собственных обязанностей. Прямого высшего судебного решения, удостоверяющего достаточность типового комплекта документов для любых систем, в проверенной выборке нет.
Связанные материалы: организация обработки, инцидент, поручения.