Постановление 1119: что ждёт бизнес
Постановление Правительства РФ №1119 — нормативный документ, который определяет требования к защите персональных данных в информационных системах персональных данных (ИСПДн).
❗️ Если 152-ФЗ задает общие правовые рамки обработки персональных данных, то № 1119 отвечает на практический вопрос: какие именно меры информационной безопасности обязан реализовать оператор, чтобы защитить ИСПДн от актуальных угроз.
Как обеспечить соответствие №1119
✅ Защищать информационные системы в соответствии с уровнем защищённости
Самое главное — корректно определить уровень защищённости информационной системы, содержащей персональные данные. Их четыре и от уровня зависит то, насколько тщательно нужно защищать такую информационную систему. На практике именно здесь операторы персональных данных могут допускать ошибки: или завышать уровень «на всякий случай», получая избыточные требования и затраты, или занижать его, не учитывая реальные актуальные угрозы безопасности ПДн.
Проверка уровня защищённости строится на актуальной модели угроз ИСПДн. Если самостоятельно не получается выстроить модель угроз, стоит заказать независимый аудит системы защиты.
✅ Обновлять документы и политики
Речь идёт не о «пакете ради проверяющих», а о документах, которые реально используются в работе. В их числе — политика обработки ПДн, регламенты разграничения и контроля доступа, материалы по модели угроз по постановлению № 1119, порядок реагирования на инциденты и учёта событий безопасности.
При изменении архитектуры системы, состава персональных данных или способов обработки ПДн документы необходимо пересматривать.
Что будет, если этого не делать
Для юридических лиц ключевые санкции связаны со статьёй 13.11 КоАП РФ. В зависимости от состава нарушения штрафы могут составлять:
▪️от 30 000 до 60 000 рублей — за обработку ПДн с нарушением требований 152-ФЗ, например без соблюдения требований защиты;
▪️от 40 000 до 90 000 рублей — за нарушение обязанностей оператора, например, непредоставление информации субъекту ПДн или нарушение сроков блокирования / удаления данных;
▪️от 300 000 до 500 000 рублей — при повторных нарушениях или совокупности выявленных несоответствий.
