В современных условиях обеспечение безопасности информации, в т.ч. персональных данных, является одной из ключевых задач государственных органов. Федеральная служба безопасности (ФСБ) России разработала и утвердила ряд нормативно‑методических документов, регламентирующих требования к защите информации в информационных системах персональных данных (ИСПДн) и государственных информационных системах (ГИС). Ниже представлен обзор основных руководящих актов ФСБ, их содержание и практическое применение.

Нормативно‑методические документы ФСБ по защите персональных данных

Согласно информации, актуальной на , в области обеспечения безопасности персональных данных действуют следующие документы ФСБ России:

1. Приказ ФСБ от 10 июля 2014 года № 378 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищённости».
2. Приказ ФСБ России от 9 февраля 2005 года № 66 «Об утверждении положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ‑2005)».
3. Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утверждённая приказом ФАПСИ от 13 июня 2001 года № 152.
4. Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, утверждённые руководством 8 Центра ФСБ России (№ 149/7/2/6‑432 от ).

Подробное содержание ключевых документов

Приказ ФСБ № 378 от

Этот приказ устанавливает комплекс организационных и технических мер, необходимых для обеспечения безопасности персональных данных в зависимости от уровня защищённости ИСПДн. В документе приведена таблица соответствия уровней защищённости и классов средств криптографической защиты информации (СКЗИ) с учётом типов угроз:

• Угрозы I‑го типа – связаны с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении.
• Угрозы II‑го типа – связаны с наличием недокументированных возможностей в прикладном программном обеспечении.
• Угрозы III‑го типа – не связаны с наличием недокументированных возможностей в системном и прикладном ПО.

Для каждого уровня защищённости (например, первый, второй, третий) указан обязательный класс СКЗИ, который должен применяться при обработке персональных данных.

Приказ ФСБ № 66 от (Положение ПКЗ‑2005)

Документ регламентирует весь жизненный цикл криптографических средств защиты информации:

• разработка – требования к техническому заданию, этапы проектирования и тестирования;
• производство – контроль качества, сертификация, маркировка;
• реализация (распространение) – порядок лицензирования, учёт передачи СКЗИ;
• эксплуатация – правила ввода в эксплуатацию, обслуживание, обновление, вывод из эксплуатации.

Положение также содержит требования к управлению криптоключами: генерация, хранение, распределение, rotation и процедуры при компрометации ключей.

Инструкция ФАПСИ № 152 от

Инструкция определяет порядок организации и обеспечения безопасности при хранении, обработке и передаче конфиденциальной информации с использованием СКЗИ ограниченного доступа. Основные положения:

• требования к помещениям, где установлены СКЗИ или хранятся ключевые документы (специальное оборудование, охрана, режим доступа);
• порядок обращения с СКЗИ и криптоключами, включая ведение журналов учёта;
• мероприятия при компрометации криптоключей (блокировка, замена, уведомление);
• контроль за соблюдением требований инструкции (периодические проверки, аудиты).

Методические рекомендации № 149/7/2/6‑432 от

Документ предназначен для помощи в разработке нормативных правовых актов, которые определяют актуальные угрозы безопасности персональных данных. В рекомендациях изложены:

1. общее описание информационных систем персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности;
2. методы определения актуальности угроз (анализ угроз I‑III типов, учёт изменений в законодательстве и технологической среды);
3. примеры формулировок требований к защите данных в зависимости от уровня критичности информации;
4. рекомендации по включению в нормативные акты положений о применении СКЗИ, организации контроля и ответственности за нарушения.

Практическое значение руководящих документов ФСБ

Перечисленные нормативно‑методические акты формируют единую систему требований к защите информации, которая используется:

• при проектировании и внедрении информационных систем, обрабатывающих персональные данные;
• при сертификации и лицензировании криптографических средств защиты информации;
• в ходе внутренних проверок и аудитов соответствия организациям государственным стандартам безопасности;
• при разработке внутренних нормативов компаний (политики безопасности, инструкции по работе с СКЗИ).

Соблюдение положений данных документов позволяет минимизировать риски несанкционированного доступа, утечки и искажения персональных данных, а также обеспечивает соответствие требованиям законодательства РФ в области защиты информации.

Руководящие документы ФСБ в области защиты информации представляют собой комплексный нормативный базис, охватывающий все этапы жизненного цикла криптографических средств и организационных мер по обеспечению безопасности персональных данных. Их правильное применение является обязательным для государственных органов, операторов важной инфраструктуры и всех организаций, обрабатывающих конфиденциальную информацию. Актуальность и обязательность этих актов подтверждаются регулярными обновлениями и дополнениями, отражающими изменения в угрозной среде и технологическом прогрессе.