Третий уровень защищённости (УЗ-3) персональных данных часто встречается у организаций с развитой ИТ-инфраструктурой. Уровень определяется сочетанием трех параметров: тип актуальных угроз, категории обрабатываемых персональных данных и числа субъектов.

ССогласно Постановлению Правительства № 1119 от 01.11.2012 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», к УЗ-3 относятся системы, для которых актуальны угрозы 2-го типа, и обрабатываются:

• • общедоступные персональные данные (ПДн) сотрудников оператора или менее чем 100 000 субъектов, не являющихся сотрудниками;
  • иные категории персональных данных сотрудников оператора или менее чем 100 000 субъектов, не являющихся сотрудниками.

Также УЗ-3 присваивают системам, для которых актуальны угрозы 3-го типа, и обрабатываются:

• • специальные категории персональных данных сотрудников оператора или менее чем 100 000 субъектов, не являющихся сотрудниками;
  • биометрические персональные данные;
  • отдельные категории персональных данных более чем 100 000 субъектов персональных данных, не являющихся сотрудниками оператора.

Примечание. Статья построена на действующем приказе ФСТЭК России № 21 от 18.02.2013 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных». Проект приказа, который должен его заменить, пока не вступил в силу, но заметно расширяет состав мер. Самые существенные различия мы будем отмечать по ходу текста в таких же примечаниях.

Требования к защите

В отличие от УЗ-4, где достаточно закрыть первичные риски минимальным набором мер, требования УЗ-3 обязывают оператора обеспечить управляемость и контролируемость всей системой защиты информации. Здесь приоритет смещается с разовой установки средств защиты на постоянный контроль защищенности и отслеживание изменений в системе.

На третьем уровне значительно усиливаются требования регуляторов к контролю ИТ-среды. Регистрация событий безопасности требуется уже на УЗ-4, поэтому главное отличие УЗ-3 в другом: добавляется контроль изменений в системе защиты информации, расширяется контроль защищённости, а также увеличивается набор мер по управлению доступом и защите среды виртуализации.

Вместе с этим, оператор обязан управлять конфигурацией системы защиты информации. На практике это означает не только проведение аудита текущих настроек, но и анализ влияния планируемых изменений на безопасность, а также определение лиц, которым разрешено вносить изменения в конфигурации информационной системы и системы защиты информации. Более того, с УЗ-3 требуется документировать все изменения в конфигурации информационной системы и системы защиты информации. Такой подход исключает появление случайных уязвимостей или несанкционированных действий со стороны администраторов информационной системы.

Контроль и учет машинных носителей информацией становятся ещё одним объектом внимания, поскольку они традиционно используются как канал утечки данных. Наряду с этим вводится регулярный контроль уязвимостей и непрерывная проверка состояния всей инфраструктуры. На УЗ-3 обеспечение безопасности требует перехода от периодического контроля к непрерывному мониторингу. В противном случае защита рискует остаться формальностью, когда внушительный пакет внутренних регламентов никак не влияет на реальную устойчивость ИТ-инфраструктуры к атакам.

Примечание. В проекте нового приказа готовая таблица «мера – уровень защищенности» исчезает, но уровень защищенности остаётся отправной точкой: оператор определяет базовый набор мер для своего уровня, адаптирует его под архитектуру и угрозы, затем верифицирует с учётом актуальных угроз и возможностей нарушителя, а состав мер закрепляет в политике в отношении обработки персональных данных. Требования к классам и уровням доверия СЗИ для УЗ-3 (не ниже 6 класса и 6 уровня доверия) остаются прежними. Остальные изменения собраны в отдельном разделе в конце статьи.

Средства защиты информации

Для построения контура УЗ-3 применяются специализированные наложенные средства защиты от несанкционированного доступа, такие как Secret Net Studio или Dallas Lock. С их помощью технически реализуется строгое разграничение прав доступа и контроль действий пользователей, а также, как правило, контроль подключения съемных носителей. Если используется сертифицированная операционная система (Astra Linux Special Edition или РЕД OC), часть требований закрывается ее встроенными механизмами.

Антивирусная защита обязательна для ИСПДн любого уровня. Требования не предусматривают централизованное управление, но на практике, для сетей с множеством узлов рекомендуется использовать решения корпоративного стандарта с единой консолью (например, Kaspersky Endpoint Security для бизнеса или Dr.Web Enterprise Security Suite), которые позволяют контролировать вирусную активность на всех узлах и оперативно реагировать на связанные с вредоносным ПО инциденты.

Защита сетевого уровня обеспечивается межсетевыми экранами, такими как UserGate или Ideco. При необходимости организации безопасного взаимодействия между удаленными подразделениями дополнительно используются защищённые каналы связи, построение которых возможно на базе платформ VipNet или «Континент». Использование шифровальных средств влечет дополнительные требования Федеральной Службы Безопасности Российской Федерации.

Дополнительно в контур безопасности внедряются средства контроля защищённости. В предыдущей части цикла статей мы упоминали бесплатный инструмент ScanOVAL, которого вполне достаточно для начального уровня. Однако масштабы инфраструктур с УЗ-3 требуют автоматизации процесса. Утилита от ФСТЭК России технически способна закрыть нормативное требование, однако она сканирует лишь одно рабочее место за сессию, поэтому аудит сети из сотен компьютеров окажется трудоемкой задачей.

Для полноты поиска уязвимостей в объемных инфраструктурах рекомендуется использовать коммерческие сертифицированные сканеры, такие как «Сканер-ВС» или RedCheck. Они позволяют проводить комплексный аудит сети (в зависимости от типа приобретенной лицензии) и централизованно собирать отчёты.

В отдельных случаях подключаются DLP-системы, которые предотвращают утечки конфиденциальной информации за счёт контроля действий сотрудников при работе с ней, например при отправке файлов по почте, копировании на съёмные носители или печати.

Вывод

Переход на третий уровень защищенности качественно меняет подход к безопасности. Вместо простой установки отдельных средств защиты, оператору необходимо создать единую и управляемую систему защиты информации. Для систем с УЗ-3 важно не только наличие средств защиты, но и регулярный контроль конфигурации и защищённости всей инфраструктуры. Реагирование на ИБ-инциденты не входит в базовый набор УЗ-3 по приказу № 21, но требуется законом о персональных данных, поэтому процесс реагирования стоит выстроить заранее.

Что нужно знать о проекте нового приказа ФСТЭК

На момент подготовки этой статьи приказ ФСТЭК России № 21 от 18.02.2013 года продолжает действовать, именно на него нужно ориентироваться при построении системы защиты.

24 июля 2026 года ФСТЭК России опубликовала на портале проектов нормативных правовых актов проект нового приказа, который должен полностью заменить приказ № 21.

Вступить в силу он должен был с 1 сентября 2026 года, но эта дата уже прошла. Общественное обсуждение завершилось 8 августа 2026 года; по имеющимся данным на конец сентября 2026 года документ не подписан и не зарегистрирован в Минюсте России, то есть формально остаётся проектом.

Если проект примут в опубликованной редакции, изменится следующее:

• • Состав мер расширится: вместо 15 групп приказа № 21 проект предлагает перечень из 21 мероприятия и отдельный перечень из 17 групп технических мер. Среди новых тем – защита контейнерных сред и их оркестрации, веб-технологий, почтовых сервисов, API, интернета вещей, защита от DDoS-атак и защита при использовании искусственного интеллекта. Меры для виртуализации, мобильных устройств и удалённого доступа были и в приказе № 21, но в проекте выделены в самостоятельные направления;
  • Готовая таблица соответствия «мера – уровень защищенности» исчезает: состав мер определяется по методическому документу ФСТЭК России от 12.04.2026. Оператор выбирает один из трёх базовых наборов (К1, К2, К3), адаптирует его под архитектуру системы, верифицирует с учётом актуальных угроз и возможностей нарушителя, а итоговый состав мер закрепляет в политике в отношении обработки персональных данных. Свободы в выборе мер становится больше, но больше и ответственности за их обоснование;
  • Появляется показатель уровня зрелости системы защиты (Узи): оценивать его нужно до начала обработки персональных данных, не реже одного раза в 3 года и после каждого компьютерного инцидента; такое же требование оператор должен установить для подрядчиков, обрабатывающих персональные данные по его поручению;
  • Требования к классам и уровням доверия сертифицированных СЗИ для УЗ-32 при этом по-прежнему не ниже 65 класса и 65 уровня доверия.

Рекомендация: систему защиты УЗ-3 нужно строить сейчас по требованиям действующего приказа № 21, но с запасом проектировать архитектуру так, чтобы расширение состава мер при принятии нового приказа потребовало доработки, а не пересборки системы защиты с нуля. Перед подготовкой окончательной документации стоит проверить, принят ли новый указ, и если это так, то свериться с его итоговым текстом.