УЗ (уровень защищённости персональных данных) – комплексный показатель, который определяет набор обязательных мер защиты персональных данных в информационной системе. Установлено четыре уровня: УЗ-1 – самый высокий, УЗ-4 – самый низкий. Порядок определения уровня утверждён постановлением Правительства РФ от 01.11.2012 № 1119.
От чего зависит уровень
- Тип актуальных угроз: 1-й тип – связанные с недокументированными возможностями системного ПО, 2-й тип – прикладного ПО, 3-й тип – угрозы, не связанные с такими возможностями.
- Категория данных: специальные, биометрические, общедоступные, иные.
- Чьи данные и в каком объёме: сотрудников оператора или иных лиц, менее или более 100 000 субъектов.
Что требуется для каждого уровня
Состав и содержание мер защиты для каждого уровня определены приказом ФСТЭК России от 18.02.2013 № 21: управление доступом, регистрация событий, антивирусная защита, обнаружение вторжений, контроль защищённости и другие. Чем выше уровень, тем больше мер и тем выше требования к средствам защиты информации, в том числе к их уровню доверия. Для криптографической защиты применяются требования ФСБ России к классам СКЗИ.
Что важно при выборе ПО
- Определите УЗ до закупки: от него зависят требования к ОС, СУБД и средствам защиты.
- Для УЗ-1 и УЗ-2 обычно требуются сертифицированные средства защиты более высокого уровня доверия.
- Проверьте, поддерживает ли прикладное ПО требуемые механизмы: разграничение прав, журналирование, интеграцию с SIEM.
- При размещении системы в облаке уточните, на какой УЗ аттестована инфраструктура провайдера.
Уровень защищённости фиксируется в акте и пересматривается при изменении состава данных, числа субъектов или актуальных угроз.
