СЗИ ПДН – совокупность технических, программных и организационных мер, направленных на обеспечение конфиденциальности, целостности и доступности персональных данных (ПДн) в информационных системах (ИСПДн). В России их применение регулируется рядом федеральных законов, подзаконных актов и государственных стандартов.

Нормативно‑правовая база

Ключевые документы, определяющие порядок защиты ПДн в России:

1. Федеральный закон № 152‑ФЗ «О персональных данных» (от ) – основной акт, устанавливающий права субъектов ПДн и обязанности операторов.
2. Федеральный закон № 184‑ФЗ «О техническом регулировании» (от ) – определяет порядок проведения оценки соответствия (сертификации) средств защиты информации.
3. Федеральный закон № 120‑ФЗ «Об основах системы профилактики безнадзорности» – в контексте обработки ПДн несовершеннолетних.
4. Приказы ФСТЭК России (например, Приказ № 33 от ) и ФСБ РФ, регламентирующие перечень сертифицированных средств защиты информации (СЗИ) и средств криптографической защиты информации (СКЗИ).
5. ГОСТы и технические регламенты, такие как ГОСТ Р 57580‑2017 (уровни защиты информации) и ГОСТ Р 51583‑2002 (классификация средств защиты).

Все перечисленные акты требуют от операторов ПДн применения средств защиты, прошедших в установленном порядке процедуру оценки соответствия (сертификации).

Что считается персональными данными?

Субъектом ПДн является любой физический человек, которого можно идентифицировать по сведениям, содержащимся в базе данных. К ПДн относятся:

• ФИО, дата и место рождения;
• Адрес места жительства и регистрации;
• Контактные данные (телефон, e‑mail);
• СНИЛС, ИНН, паспортные данные;
• Социальный статус, образование, профессиональная деятельность, доходы;
• Биометрические характеристики (отпечатки пальцев, голос, лицо).

Исключения из категории ПДн (например, публично доступные сведения) определяются отдельными пунктами закона, однако в большинстве случаев любые сведения, позволяющие установить личность физического лица, подпадают под действие 152‑ФЗ.

Классификация уровней защищённости ПДн

Согласно ГОСТ Р 57580, ИСПДн делятся на три уровня защиты:

Для большинства коммерческих организаций применим уровень 2, однако при работе с биометрией, медицинскими или финансовыми данными рекомендуется переходить к уровню 3.

Средства защиты информации (СЗИ) и криптографические средства (СКЗИ)

4.1 Что такое СЗИ?

СЗИ – это любые технические и программные средства, обеспечивающие:

• Контроль доступа (контрольные списки, RBAC, LDAP);
• Шифрование данных (симметричное, асимметричное);
• Защиту от несанкционированного копирования (DRM, DLP);
• Обнаружение и предотвращение вторжений (IDS/IPS);
• Резервное копирование и восстановление.

4.2 Что такое СКЗИ?

СКЗИ – криптографические средства, прошедшие обязательную сертификацию в соответствии с требованиями ФСБ РФ. К ним относятся:

• Аппаратные криптографические модули (HSM);
• Программные библиотеки, реализующие ГОСТ‑алгоритмы (ГОСТ 28147‑89, ГОСТ 34.10‑2012 и др.);
• Системы электронной подписи, защищённые каналом связи (VPN, TLS с ГОСТ‑шифрами).

4.3 Сертифицированные vs. несертифицированные СЗИ

Для большинства организаций рекомендуется использовать сертифицированные СЗИ и СКЗИ, особенно если ИСПДн относится к уровню 2 или 3.

Процедура оценки соответствия (сертификации) СЗИ

1. Выбор средства – исходя из уровня защиты, угроз и требований (ГОСТ, ФСТЭК, ФСБ).
2. Подготовка документации – техническое описание, схема интеграции, политика безопасности.
3. Обращение в аккредитованную лабораторию – ФСТЭК, ФСБ или их уполномоченные аккредитаторы.
4. Проведение испытаний – проверка на соответствие требованиям к защите, устойчивости к атакам, совместимости.
5. Получение сертификата – документ, подтверждающий, что средство прошло оценку соответствия и может использоваться в ИСПДн.
6. Регистрация в реестре – внесение в реестр сертифицированных средств (Реестр СЗИ ФСТЭК, Реестр СКЗИ ФСБ).
7. Поддержка и переаттестация – периодическое обновление сертификата (обычно раз в 3–5 лет).

Важно: отсутствие сертификата считается нарушением статьи 19, п. 3 ч. 2 152‑ФЗ и влечёт административную ответственность.

Организационно‑правовые меры защиты ПДн

• Назначение ответственного за ИСПДн (DPO – Data Protection Officer) с личной ответственностью за соблюдение мер безопасности.
• Утверждение перечня лиц, имеющих доступ к ПДн (внутренний приказ).
• Разработка локальных нормативных актов (политика паролей, регламент обработки инцидентов, инструкция по работе с СЗИ).
• Проведение аттестации ИСПДн (периодический аудит соответствия требованиям 152‑ФЗ).
• Обучение персонала – курсы по информационной безопасности, правила обращения с ПДн.
• Контроль физической безопасности – замки, сигнализация, видеонаблюдение в помещениях, где находятся серверы.

Технические меры защиты (примерный чек‑лист)

1. Шифрование данных в покое (AES‑256, ГОСТ 28147‑89) и при передаче (TLS 1.3 с ГОСТ‑шифрами).
2. Контроль доступа: многофакторная аутентификация (MFA), ролевая модель доступа.
3. Антивирус и анти‑мальваре, регулярные обновления сигнатур.
4. Системы обнаружения вторжений (IDS) и предотвращения (IPS) с поддержкой ГОСТ‑алгоритмов.
5. Резервное копирование: 3‑2‑1 правило (три копии, два разных носителя, один офлайн).
6. Мониторинг и аудит: журналирование действий с ПДн, интеграция с SIEM‑системой.
7. Защита от DDoS‑атак (веб‑аппликационный фаервол, CDN).
8. Обеспечение целостности файлов (хеш‑контроль, цифровая подпись).

Практические рекомендации для бизнеса

• Определите уровень защиты до начала проекта: проанализируйте типы ПДн и возможные последствия их утечки.
• Выбирайте только сертифицированные СЗИ/СКЗИ, проверяйте их наличие в реестре ФСТЭК/ФСБ.
• Проводите аттестацию ИСПДн каждый 2–3 года (или при значительных изменениях системы).
• Документируйте все процессы – от политики паролей до инструкций по реагированию на инциденты.
• Обучайте персонал минимум раз в год; используйте внутренние тесты фишинга для проверки готовности.
• Внедряйте принципы «Privacy by Design» – защита ПДн должна быть встроена в архитектуру с самого начала.
• Контролируйте подрядчиков – проверяйте их сертификаты и наличие договоров о конфиденциальности.
• Следите за изменениями законодательства – новые регламенты ФСТЭК и ФСБ публикуются ежегодно.

Типичные ошибки и как их избежать

Защита персональных данных в России – это комплексный процесс, сочетающий правовые, организационные и технические меры. Ключевыми элементами являются:

• Соблюдение требований 152‑ФЗ и 184‑ФЗ;
• Применение сертифицированных средств защиты информации (СЗИ) и криптографических средств (СКЗИ);
• Проведение оценки соответствия и регулярной аттестации ИСПДн;
• Разработка и поддержка внутренней нормативной базы;
• Обучение персонала и контроль доступа.

Только системный подход, основанный на актуальных стандартах ГОСТ и рекомендациях ФСТЭК/ФСБ, позволяет минимизировать риски утечки ПДн и избежать значительных финансовых санкций.

Дата публикации: 22 апреля 2026 г.