Классы защиты персональных данных на пальцах
Узнайте, как на самом деле нужно защищать ПДн в вашей компании за 3 минуты
Вступившие с 1 сентября 2025 в силу изменения в 152-ФЗ заставили многие компании еще раз обратить внимание на процессы обработки ПДн. Про согласия на сайте говорить не интересно, я хочу коротко рассказать о том, какие категории ПДн есть, и как их защищать.
Кто определяет класс ПДн?
Коротко — вы сами. Оператор персональных данных сам определяет класс защищённости ИСПДн, исходя из категории обрабатываемых данных, их количества и угроз. Для этого оператор обязан провести обследование — описать параметры данных, архитектуру системы, провести моделирование угроз, определить класс защищённости и зафиксировать это в документах.
Роскомнадзор или ФСТЭК могут проверить эту документацию, и если класс выбран неправильно (например, уровень занижен😉), компании грозит штраф.
Какие классы защищенности ПДн бывают?
Всего есть 4 класса защищенности (1 — самый высокий, 4 — минимальный).
1-й класс (К1) — ultimate уровень
Много данных – более 100 000 субъектов, и в системе обрабатываются специальные категории ПДн (биометрические, о здоровье, политических взглядах и т.д.).
Пример: портал Госуслуги
Технические меры: шифровать все базы и каналы связи, использовать только сертифицированные ФСТЭК и ФСБ программы/оборудование, контролировать каждый вход и действие сотрудников
Организационные меры: регулярные проверки, аттестация системы, строгие инструкции и обучение персонала, наличие отдела ИБ
2-й класс (К2) — то же, но меньше
Те же специальные категории ПДн, но меньше субъектов – от 1000 до 100 000
Пример: база пациентов клиники или стоматологии, где более тысячи клиентов (то есть, почти любая)
Технические меры: хранить данные защищенной базе внутри компании, шифровать все, что видите, разграничить доступ, вести журнал кто и когда заходил, подключаться через VPN/шифрованные каналы
Организационные меры: ответственный за ПДн и положение о защите ПДн, письменные согласия на обработку, регулярное обучение сотрудников
3-й класс (К3) – много обычных данных
От 1000 до 100 000 субъектов с обычными данными (ФИО, телефоны, e-mail, должность)
Пример: Битрикс24 — десятки тысяч записей с ФИО, телефонами, должностями и т.д.
Технические меры: защитить систему паролями и VPN, шифровать соединения (TLS), наличие антивируса и бэкапов, журналирование действий пользователей
Организационные меры: ответственный за ПДн и положение о защите ПДн, контроль прав доступа сотрудников
4-й класс (К4) — мало данных
До 1 000 записей любых данных
Пример: 1С:ЗУП в компании с 200 сотрудниками, excel-таблица с 300 номерами телефонов клиентов, 10 сканов паспортов сотрудников
Технические меры: пароль на файл или папку, наличие антивируса и бэкапов
Организационные меры: ответственный за ПДн и положение о защите ПДн, данные должны быть в РФ
Надеюсь, этот пост поможет вам содержать ваши ПДн в сухости и чистоте. И перешлите пост коллеге, у которого база клиентов лежит в Google Диске или знакомому владельцу клиники, пока за ними не пришли.