На сегодняшний день любая организация, обрабатывающая персональные данные, обязана пройти процедуру классификации информационных систем персональных данных (ИСПДн). Это требование закреплено в Федеральном законе от № 152-ФЗ «О персональных данных» и подзаконных актах.
Что такое комиссия по классификации ПДн?
Комиссия по классификации ИСПДн – это коллегиальный совещательный и консультативный орган, создаваемый приказом руководителя организации или уполномоченного лица. Её главная цель – определить, относится ли конкретная информационная система к категории ИСПДн, и установить уровень защищенности персональных данных, который должен быть реализован в системе.
Правовое основание создания комиссии
- Статья 19 152-ФЗ обязывает операторов проводить классификацию ИСПДн.
- Постановление Правительства РФ от № 1119 устанавливает требования к защите информации в ИСПДн.
- Приказы Роспатента, Министерств и ведомств (например, приказы № 51/о, № 202 и др.) конкретизируют порядок создания и работы комиссий.
Состав и порядок формирования
Комиссия формируется приказом руководителя из числа сотрудников отделов:
- ИТ/цифрового развития;
- Информационной безопасности (ИБ);
- Юридического отдела;
- Кадрового отдела;
- Отдела защиты информации (если имеется);
- Других заинтересованных специалистов.
Примерный состав комиссии
- Председатель – заместитель руководителя организации;
- Секретарь – специалист ИТ/ИБ;
- Члены – представители отделов, задействованных в обработке ПДн.
Этапы работы комиссии
Подготовительный этап
- Издаётся приказ о создании комиссии.
- Утверждается «Положение о комиссии по классификации ИСПДн», в котором фиксируются:
- цели и задачи;
- порядок формирования;
- права и обязанности членов;
- сроки и формат заседаний;
- порядок оформления результатов.
Инвентаризация и обследование
Комиссия проводит инвентаризацию всех информационных систем и традиционных хранилищ данных:
- составляется перечень ИС;
- выявляются системы, в которых обрабатываются персональные данные;
- определяются категории обрабатываемых ПДн и их объём;
- фиксируются способы обработки (автоматизированные или неавтоматизированные).
Классификация ИСПДн
На основе собранных данных комиссия применяет критерии, указанные в постановлении № 1119:
- По способу обработки – автоматизированные или неавтоматизированные.
- По категории субъектов ПДн – сотрудники, клиенты, контрагенты и т.д.
- По масштабу обработки – количество субъектов, объём данных.
- По уровню значимости – уровень защищенности (К1, К2, К3).
Определение уровня защищенности
Для каждой ИСПДн комиссия устанавливает:
- Категорию последствий при нарушении безопасности ПДн;
- Необходимый уровень защищенности (1-й, 2-й, 3-й, 4-й).
Фиксация результатов
- Акта классификации ИСПДн;
- Протокола заседания комиссии;
- Приказа о присвоении уровня защищенности;
- Перечня мероприятий по приведению ИСПДн в соответствие с требованиями.
Особенности и практические рекомендации
Когда комиссия прекращает работу?
Комиссия может быть:
- постоянно действующей – в крупных организациях, где регулярно появляются новые ИС;
- временной – в малых учреждениях, где классификация проводится разово.
По завершении всех мероприятий комиссия может быть упразднена приказом руководителя.
Распространённые ошибки
- Игнорирование неавтоматизированных систем – бумажные журналы, карточки учёта также могут считаться системами ПДн.
- Недооценка объёма ПДн – важно учитывать копии, резервные копии, тестовые базы.
- Отсутствие актуализации – классификацию следует пересматривать при изменении ИТ-ландшафта или нормативной базы.
Комиссия по классификации ИСПДн – ключевой орган, обеспечивающий соответствие законодательству о персональных данных. Чёткое выполнение положений и методических рекомендаций позволяет минимизировать риски штрафов и инцидентов утечки информации, а также повышает доверие клиентов и партнёров.
Дополнительно: образцы приказов, актов и положений можно найти в официальных методических письмах ФСТЭК, Роскомнадзора и на сайтах профильных ведомств;