Грамота ИБ

Протокол, акт и сведения по КИИ: как связать решение комиссии с формой во ФСТЭК России Категорирование объекта КИИ заканчивается тремя документами: протоколом комиссии, актом и сведениями во ФСТЭК России. Ошибка, которую делают чаще всего, — считать их тремя копиями одного решения. Протокол показывает, как комиссия пришла к решению. Акт фиксирует само решение: категорию объекта или вывод, что она не нужна. Сведения — то, что видит регулятор. И форма сведений шире акта: в ней есть сетевые адреса, программы, средства защиты, эксплуатирующая организация. Всё это собирают отдельно. ФСТЭК России…

Постановление № 211: что должен сделать государственный или муниципальный орган с персональными данными Министерство, администрация района или налоговая инспекция обрабатывают персональные данные граждан и своих служащих. Для таких операторов Правительство в 2012 году утвердило отдельный перечень мер — постановление № 211. Перечень требует назначить ответственного, утвердить актом руководителя набор документов, защищать информационные системы, проверять себя, знакомить служащих с правилами и уведомить Роскомнадзор. Документы о политике публикуют на сайте органа в течение 10 дней. Роскомнадз…

Приказ Роскомнадзора № 140 вместо № 996: что изменилось в обезличивании данных Вы убрали из таблицы фамилии и решили, что данные обезличены. Проверяющий спросит другое: по какому правилу вы это сделали, где лежит ключ и кто подтвердит, что человека по остаткам не узнать. С 1 сентября 2025 года обезличивание идёт по новому приказу Роскомнадзора, № 140. Старый, № 996, отменён. Методы почти те же. Но теперь оператору мало выбрать метод: нужно заранее решить, какие данные обезличиваем, описать правила в своём акте, хранить ключ отдельно от данных и вести записи о том, что сделано. В статье срав…

Обучение и тренировки сотрудников по приказу ФСТЭК № 117: что обязательно для ГИС, ИСПДн и КИИ Раньше обучение по информационной безопасности часто сводилось к подписи в журнале инструктажа. Для государственных систем это время прошло: приказ ФСТЭК № 117 прямо перечисляет, как учить сотрудников. Нужны памятки, лекции, учебные фишинговые письма и тренировки, а знания проверяют не реже раза в три года. У обучения появилась и цифра. ФСТЭК оценивает зрелость защиты по методике, где в каждом направлении отдельно смотрят, учат ли персонал. Без обучения по программе с проверкой знаний высший уровен…

Единые меры защиты ФСТЭК: что методический документ от 12.04.2026 меняет для ИСПДн и КИИ ФСТЭК постепенно сводит защиту всех информационных систем к одной методике. Сначала это сделали для государственных систем: с марта 2026 года для них действует новый приказ, а в апреле ФСТЭК утвердила методический документ, по которому выбирают меры. Теперь очередь систем с персональными данными. Проект приказа на замену приказа № 21 убирает таблицу мер по уровням защищённости и отправляет оператора к тем же методическим документам. Для объектов КИИ этот документ применяется уже сейчас, а требования к ни…

Приказы по 152-ФЗ и приказу ФСТЭК № 21: как не запутаться Приказов по персональным данным много, но они делятся на пять групп: назначения, утверждение правил, комиссии и процедуры, доступ к системам и учёт. Закон требует не приказов с определёнными названиями, а выполнения обязанностей. Приказ — удобный способ закрепить, кто назначен и какие правила действуют. Знакомить под подпись всех работников со всеми приказами не нужно. С правилами знакомят тех, кто работает с персональными данными, и каждого — с тем, что касается его работы. Всех работников — с порядком обработки их собственных данных…

Подключение к ГИС: что требует приказ ФСТЭК № 117, какие документы нужны и как это сделать Поликлиника отправляет документы в ЕГИСЗ, школа ведёт журнал в региональной системе, управляющая компания работает в ГИС ЖКХ. Кажется, что защищать информацию должен владелец государственной системы. Это не так. Если из госсистемы к вам приходят сведения ограниченного доступа, например медицинские документы, заявления граждан или данные учеников, ваша собственная система должна отвечать требованиям приказа ФСТЭК № 117. Без этого передавать вам такие сведения запрещено. На бумаге это около десятка доку…

Учёт машинных носителей в организации: как выполнить требования ЗНИ и не утонуть в бумагах Журнал учёта флешек в большинстве организаций заводят под проверку и забывают через месяц. А учёт машинных носителей с персональными данными закон требует всегда — независимо от уровня защищённости системы. Мы разобрали, как устроить его в клинике, где медицинская система, архив снимков, кадры и бухгалтерия работают в одном закрытом контуре. Главная мысль: учитывают носители, а не файлы. Неучтённую флешку проще не пустить в контур технически, чем каждый раз записывать в журнал. В статье — какие носите…

Матрица доступа к ИСПДн: пример для бухгалтерии, кадров и системного администратора Матрица доступа — это таблица «кто, к чему и с какими правами допущен». Её просят на проверке, её же обычно заполняют формально: одна строка, одна система, права «полные». Толку от такой таблицы нет. Смысл матрицы в том, чтобы показать: у каждого работника ровно те права, которые нужны для его обязанностей, и ни одним больше. В статье — заполненный пример для кадровой и расчётной системы с шестью ролями, включая системного администратора и приходящего подрядчика. Разбираем, что считать объектом доступа, каки…

Документы по 152-ФЗ для частной клиники: как собрать комплект по шагам Модель угроз для клиники готова. Следующий шаг — документы. И здесь почти все ошибаются одинаково: скачивают комплект из семидесяти шаблонов и считают дело сделанным. Закон перечня документов не даёт. Он требует принять меры и уметь это доказать. Поэтому комплект выводится из того, как устроена клиника: какие у неё цели, какие системы, кто к чему допущен, где лежат бумажные карты и кто из подрядчиков заходит на сервер. Разобрали по шагам на том же примере: кого назначить, что утвердить, какие документы названы в актах пр…