Numéro d'enregistrement 11462

Conformément au paragraphe 6 du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du Règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles "(Législation collective de la Fédération de Russie, 2007, n° 48, partie II, art. 6001), nous commandons:

Approuver la Procédure ci-jointe pour la classification des systèmes d'information sur les données personnelles.

Directeur

Service fédéral

sur le contrôle technique et à l'exportation

S. Grigorov

Directeur du Service fédéral de sécurité

Fédération Russe

N. Patrouchev

Ministre des technologies de l'information et des communications de la Fédération de Russie

L. Reiman

La procédure de classification des systèmes d'information sur les données personnelles

1. Cette procédure détermine la classification des systèmes d'information sur les données personnelles, qui sont un ensemble de données personnelles contenues dans des bases de données, ainsi que les technologies de l'information et les moyens techniques permettant le traitement de ces données personnelles à l'aide d'outils d'automatisation (ci-après dénommés systèmes d'information). )1.

2. La classification des systèmes d'information est effectuée par les organes de l'État, les organismes municipaux, les personnes morales et les personnes physiques qui organisent et (ou) effectuent le traitement des données personnelles, ainsi que la détermination des finalités et du contenu du traitement des données personnelles ( ci-après dénommé l’exploitant)2.

3. La classification des systèmes d'information est effectuée au stade de la création des systèmes d'information ou lors de leur exploitation (pour les systèmes d'information préalablement mis en service et (ou) modernisés) afin d'établir les méthodes et moyens de protection des informations nécessaires pour assurer la sécurité. de données personnelles.

4. La réalisation de la classification des systèmes d'information comprend les étapes suivantes :

collecte et analyse des premières données sur le système d’information :

attribution de la classe appropriée au système d'information et à sa documentation.

5. Lors de la classification d'un système d'information, les données initiales suivantes sont prises en compte :

volume de données personnelles traitées (nombre de personnes concernées dont les données personnelles sont traitées dans le système d'information) - X npd ;

caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifié par l'opérateur ;

structure du système d'information ;

disponibilité des connexions du système d'information aux réseaux publics de communication et (ou) aux réseaux internationaux d'échange d'informations ;

mode de traitement des données personnelles ;

mode de délimitation des droits d'accès des utilisateurs du système d'information ;

localisation des moyens techniques du système d'information.

6. Les catégories suivantes de données personnelles traitées dans le système d'information (XPD) sont définies :

7. X npd peut prendre les valeurs suivantes :

1 - le système d'information traite simultanément les données personnelles de plus de 100 000 personnes concernées ou les données personnelles de personnes concernées au sein d'une entité constitutive de la Fédération de Russie ou de la Fédération de Russie dans son ensemble ;

2 - le système d'information traite simultanément les données personnelles de 1 000 à 100 000 personnes concernées ou les données personnelles des personnes concernées travaillant dans le secteur économique de la Fédération de Russie, dans un organisme gouvernemental, résidant dans une municipalité ;

3 - le système d'information traite simultanément les données de moins de 1000 personnes concernées ou les données personnelles de personnes concernées au sein d'une organisation spécifique.

8. Selon les caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifiées par l'opérateur, les systèmes d'information sont divisés en systèmes d'information standards et spéciaux.

Les systèmes d'information typiques sont des systèmes d'information qui nécessitent uniquement d'assurer la confidentialité des données personnelles.

Les systèmes d'information particuliers sont des systèmes d'information dans lesquels, indépendamment de la nécessité d'assurer la confidentialité des données personnelles, il est nécessaire d'assurer au moins une des caractéristiques de sécurité des données personnelles autres que la confidentialité (sécurité contre la destruction, la modification, le blocage, ainsi que ainsi que d'autres actions non autorisées).

Les systèmes d'information spéciaux devraient inclure :

systèmes d'information dans lesquels sont traitées des données personnelles relatives à l'état de santé des sujets de données personnelles ;

des systèmes d'information qui prévoient l'adoption, sur la seule base d'un traitement automatisé de données personnelles, de décisions qui entraînent des conséquences juridiques à l'égard du sujet des données personnelles ou affectent d'une autre manière ses droits et intérêts légitimes.

9. Selon leur structure, les systèmes d'information sont divisés en :

pour les complexes matériels et logiciels autonomes (non connectés à d'autres systèmes d'information) conçus pour le traitement des données personnelles (postes de travail automatisés) ;

aux complexes de postes de travail automatisés intégrés dans un système d'information unique par des moyens de communication sans recours à la technologie d'accès à distance (systèmes d'information locaux) ;

à des complexes de postes de travail automatisés et (ou) de systèmes d'information locaux, combinés en un seul système d'information au moyen de communications utilisant la technologie d'accès à distance (systèmes d'information distribués).

10. Sur la base de la présence de connexions aux réseaux de communication publics et (ou) aux réseaux internationaux d'échange d'informations, les systèmes d'information sont divisés en systèmes avec connexions et systèmes sans connexions.

11. Selon le mode de traitement des données personnelles dans le système d'information, les systèmes d'information sont divisés en mono-utilisateur et multi-utilisateur.

12. Sur la base de la délimitation des droits d'accès des utilisateurs, les systèmes d'information sont divisés en systèmes sans délimitation des droits d'accès et en systèmes avec délimitation des droits d'accès.

13. Les systèmes d'information, selon l'emplacement de leurs moyens techniques, sont divisés en systèmes dont tous les moyens techniques sont situés dans la Fédération de Russie et en systèmes dont les moyens techniques sont partiellement ou entièrement situés en dehors de la Fédération de Russie.

14. Sur la base des résultats de l'analyse des données sources, un système d'information typique se voit attribuer l'une des classes suivantes :

classe 1 (K1) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives importantes pour les sujets des données personnelles ;

classe 2 (K2) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives pour les sujets des données personnelles ;

classe 3 (K3) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives mineures pour les sujets des données personnelles ;

classe 4 (K4) - systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées n'entraîne pas de conséquences négatives pour les sujets des données personnelles.

15. La classe d'un système d'information typique est déterminée conformément au tableau.

16. Sur la base des résultats de l'analyse des données sources, la classe d'un système d'information spécial est déterminée sur la base d'un modèle de menaces pour la sécurité des données personnelles conformément aux documents méthodologiques élaborés conformément au paragraphe 2 du décret. du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du règlement visant à assurer la sécurité des données personnelles lors du traitement dans les systèmes d'information sur les données personnelles »3.

17. Si des sous-systèmes sont identifiés au sein d'un système d'information, dont chacun est un système d'information, le système d'information dans son ensemble se voit attribuer une classe correspondant à la classe la plus élevée de ses sous-systèmes.

18. Les résultats de la classification des systèmes d'information sont documentés dans l'acte correspondant de l'exploitant.

19. La classe du système d'information peut être révisée :

par décision de l'opérateur basée sur son analyse et son évaluation des menaces pour la sécurité des données personnelles, en tenant compte des caractéristiques et (ou) des évolutions d'un système d'information spécifique ;

sur la base des résultats des mesures visant à contrôler le respect des exigences visant à assurer la sécurité des données personnelles lors de leur traitement dans le système d'information.

1Paragraphe premier du paragraphe 1 du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007.

N 781 (Recueil de la législation de la Fédération de Russie, 2007, N 48, partie II,

2Paragraphe premier de l’article 6 du Règlement.

3Législation collective de la Fédération de Russie 2007, N 48, partie II,Art. 6001.

Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles » (Recueil de la législation de la Fédération de Russie, 2007, N 48, partie II, article 6001), nous ordonnons :

Approuver la Procédure ci-jointe pour la classification des systèmes d'information sur les données personnelles.

Directeur
Service fédéral
sur la technique
et contrôles à l'exportation
S.I.GRIGOROV

Directeur
Service fédéral de sécurité
Fédération Russe
N.P. PATROCHEV

Ministre
technologies de l'information et des communications
Fédération Russe
L.D.REIMAN

APPROUVÉ
Par ordre
FSTEC de Russie,
FSB de Russie,
Ministère de l'Information et des Communications de Russie
du 13 février 2008 N 55/86/20

COMMANDE
CLASSIFICATION DES SYSTÈMES D'INFORMATION DES DONNÉES PERSONNELLES

1. Cette procédure détermine la classification des systèmes d'information sur les données personnelles, qui sont un ensemble de données personnelles contenues dans des bases de données, ainsi que les technologies de l'information et les moyens techniques permettant le traitement de ces données personnelles à l'aide d'outils d'automatisation (ci-après dénommés systèmes d'information). )<*>.

2. La classification des systèmes d'information est effectuée par les organes de l'État, les organismes municipaux, les personnes morales et les personnes physiques qui organisent et (ou) effectuent le traitement des données personnelles, ainsi que la détermination des finalités et du contenu du traitement des données personnelles ( ci-après dénommé l'opérateur)<*>.

<*>Paragraphe premier de l’article 6 du Règlement.

3. La classification des systèmes d'information est effectuée au stade de la création des systèmes d'information ou lors de leur exploitation (pour les systèmes d'information préalablement mis en service et (ou) modernisés) afin d'établir les méthodes et moyens de protection des informations nécessaires pour assurer la sécurité. de données personnelles.

4. La réalisation de la classification des systèmes d'information comprend les étapes suivantes :

collecte et analyse des premières données sur le système d'information ;

attribution de la classe appropriée au système d'information et à sa documentation.

5. Lors de la classification d'un système d'information, les données initiales suivantes sont prises en compte :

volume de données personnelles traitées (nombre de personnes concernées dont les données personnelles sont traitées dans le système d'information) - X_npd ;

caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifié par l'opérateur ;

structure du système d'information ;

disponibilité des connexions du système d'information aux réseaux publics de communication et (ou) aux réseaux internationaux d'échange d'informations ;

mode de traitement des données personnelles ;

mode de délimitation des droits d'accès des utilisateurs du système d'information ;

localisation des moyens techniques du système d'information.

6. Les catégories suivantes de données personnelles traitées dans le système d'information (X_PD) sont définies :

7. X_npd peut prendre les valeurs suivantes :

1 - le système d'information traite simultanément les données personnelles de plus de 100 000 personnes concernées ou les données personnelles de personnes concernées au sein d'une entité constitutive de la Fédération de Russie ou de la Fédération de Russie dans son ensemble ;

2 - le système d'information traite simultanément les données personnelles de 1 000 à 100 000 personnes concernées ou les données personnelles des personnes concernées travaillant dans le secteur économique de la Fédération de Russie, dans une agence gouvernementale, résidant dans une municipalité ;

3 - le système d'information traite simultanément les données de moins de 1000 personnes concernées ou les données personnelles de personnes concernées au sein d'une organisation spécifique.

8. Selon les caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifiées par l'opérateur, les systèmes d'information sont divisés en systèmes d'information standards et spéciaux.

Les systèmes d'information typiques sont des systèmes d'information qui nécessitent uniquement d'assurer la confidentialité des données personnelles.

Les systèmes d'information spéciaux devraient inclure :

systèmes d'information dans lesquels sont traitées des données personnelles relatives à l'état de santé des sujets de données personnelles ;

des systèmes d'information qui prévoient l'adoption, sur la seule base d'un traitement automatisé de données personnelles, de décisions qui entraînent des conséquences juridiques à l'égard du sujet des données personnelles ou affectent d'une autre manière ses droits et intérêts légitimes.

9. Selon leur structure, les systèmes d'information sont divisés en :

pour les complexes matériels et logiciels autonomes (non connectés à d'autres systèmes d'information) conçus pour le traitement des données personnelles (postes de travail automatisés) ;

aux complexes de postes de travail automatisés intégrés dans un système d'information unique par des moyens de communication sans recours à la technologie d'accès à distance (systèmes d'information locaux) ;

à des complexes de postes de travail automatisés et (ou) de systèmes d'information locaux, combinés en un seul système d'information au moyen de communications utilisant la technologie d'accès à distance (systèmes d'information distribués).

10. Sur la base de la présence de connexions aux réseaux de communication publics et (ou) aux réseaux internationaux d'échange d'informations, les systèmes d'information sont divisés en systèmes avec connexions et systèmes sans connexions.

11. Selon le mode de traitement des données personnelles dans le système d'information, les systèmes d'information sont divisés en mono-utilisateur et multi-utilisateur.

12. Sur la base de la délimitation des droits d'accès des utilisateurs, les systèmes d'information sont divisés en systèmes sans délimitation des droits d'accès et en systèmes avec délimitation des droits d'accès.

13. Les systèmes d'information, selon l'emplacement de leurs moyens techniques, sont divisés en systèmes dont tous les moyens techniques sont situés dans la Fédération de Russie et en systèmes dont les moyens techniques sont partiellement ou entièrement situés en dehors de la Fédération de Russie.

14. Sur la base des résultats de l'analyse des données sources, un système d'information typique se voit attribuer l'une des classes suivantes :

classe 1 (K1) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives importantes pour les sujets des données personnelles ;

classe 2 (K2) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives pour les sujets des données personnelles ;

classe 3 (K3) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives mineures pour les sujets des données personnelles ;

classe 4 (K4) - systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées n'entraîne pas de conséquences négatives pour les sujets des données personnelles. paragraphe 2 du décret du gouvernement de la Fédération de Russie du 17 novembre , 2007 N 781 "Sur l'approbation du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles"<*>.

<*>Recueil de la législation de la Fédération de Russie, 2007, N 48, partie II, art. 6001.

17. Si des sous-systèmes sont identifiés au sein d'un système d'information, dont chacun est un système d'information, le système d'information dans son ensemble se voit attribuer une classe correspondant à la classe la plus élevée de ses sous-systèmes.

18. Les résultats de la classification des systèmes d'information sont documentés dans l'acte correspondant de l'exploitant.

19. La classe du système d'information peut être révisée :

par décision de l'opérateur basée sur son analyse et son évaluation des menaces pour la sécurité des données personnelles, en tenant compte des caractéristiques et (ou) des évolutions d'un système d'information spécifique ;

sur la base des résultats des mesures visant à contrôler le respect des exigences visant à assurer la sécurité des données personnelles lors de leur traitement dans le système d'information.

SERVICE FÉDÉRAL DE CONTRÔLE TECHNIQUE ET À L'EXPORTATION

SERVICE FÉDÉRAL DE SÉCURITÉ DE LA FÉDÉRATION DE RUSSIE

MINISTÈRE DE LA TECHNOLOGIE DE L'INFORMATION ET DES COMMUNICATIONS
FÉDÉRATION RUSSE

Sur approbation de la Procédure de classification des systèmes d'information sur les données personnelles

Force perdue le 11 mars 2014 sur la base
arrêté conjoint du FSTEC de Russie, du FSB de Russie et du ministère des Télécommunications et des Communications de masse de Russie
du 31 décembre 2013 N 151/786/461
____________________________________________________________________

Conformément au paragraphe 6 du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du Règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles » (Recueil de la législation de la Fédération de Russie, 2007, N 48, partie II, art. 6001),

nous commandons:

Approuver la Procédure ci-jointe pour la classification des systèmes d'information sur les données personnelles.

Directeur du Service Fédéral
sur les aspects techniques et
contrôles à l'exportation
S. Grigorov

Directeur du gouvernement fédéral
Services de sécurité
Fédération Russe
N. Patrushev

Ministre des technologies de l'information
et communications de la Fédération de Russie
L. Reiman

Inscrit
au Ministère de la Justice
Fédération Russe
3 avril 2008,
inscription N 11462

La procédure de classification des systèmes d'information sur les données personnelles

APPROUVÉ
sur ordre du FSTEC de Russie,
FSB de Russie,
Ministère de l'Information et des Communications de Russie
du 13 février 2008 N 55/86/20

1. Cette procédure détermine la classification des systèmes d'information sur les données personnelles, qui sont un ensemble de données personnelles contenues dans des bases de données, ainsi que les technologies de l'information et les moyens techniques permettant le traitement de ces données personnelles à l'aide d'outils d'automatisation (ci-après dénommés systèmes d'information). ).
________________
Paragraphe premier du paragraphe 1 du Règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 (Législation collective de la Fédération de Russie, 2007 , N 48, partie II, article 6001) ( ci-après - Règlement).

2. La classification des systèmes d'information est effectuée par les organes de l'État, les organismes municipaux, les personnes morales et les personnes physiques qui organisent et (ou) effectuent le traitement des données personnelles, ainsi que la détermination des finalités et du contenu du traitement des données personnelles ( ci-après dénommé l'exploitant).
________________
Premier paragraphe du paragraphe 6 du Règlement.

3. La classification des systèmes d'information est effectuée au stade de la création des systèmes d'information ou lors de leur exploitation (pour les systèmes d'information préalablement mis en service et (ou) modernisés) afin d'établir les méthodes et moyens de protection des informations nécessaires pour assurer la sécurité. de données personnelles. *3)

4. La réalisation de la classification des systèmes d'information comprend les étapes suivantes :

collecte et analyse des premières données sur le système d'information ;

attribution de la classe appropriée au système d'information et à sa documentation.

5. Lors de la classification d'un système d'information, les données initiales suivantes sont prises en compte :

catégorie de données personnelles traitées dans le système d'information - ;

volume de données personnelles traitées (nombre de personnes concernées dont les données personnelles sont traitées dans le système d'information) - ;

caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifié par l'opérateur ;

structure du système d'information ;

disponibilité des connexions du système d'information aux réseaux publics de communication et (ou) aux réseaux internationaux d'échange d'informations ;

mode de traitement des données personnelles ;

mode de délimitation des droits d'accès des utilisateurs du système d'information ;

localisation des moyens techniques du système d'information.

6. Sont définies les catégories suivantes de données personnelles traitées dans le système d'information :

catégorie 1 - données personnelles relatives à la race, à la nationalité, aux opinions politiques, aux convictions religieuses et philosophiques, à l'état de santé, à la vie intime ;

catégorie 2 - données personnelles qui permettent d'identifier le sujet des données personnelles et d'obtenir des informations complémentaires le concernant, à l'exception des données personnelles liées à la catégorie 1 ;

catégorie 3 - données personnelles permettant l'identification du sujet des données personnelles ;

catégorie 4 - données personnelles anonymisées et (ou) accessibles au public.

7. peut prendre les valeurs suivantes :

1 - le système d'information traite simultanément les données personnelles de plus de 100 000 personnes concernées ou les données personnelles de personnes concernées au sein d'une entité constitutive de la Fédération de Russie ou de la Fédération de Russie dans son ensemble ;

2 - le système d'information traite simultanément les données personnelles de 1 000 à 100 000 personnes concernées ou les données personnelles des personnes concernées travaillant dans le secteur économique de la Fédération de Russie, dans une agence gouvernementale, résidant dans une municipalité ;

3 - le système d'information traite simultanément les données de moins de 1000 personnes concernées ou les données personnelles de personnes concernées au sein d'une organisation spécifique.

8. Selon les caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifiées par l'opérateur, les systèmes d'information sont divisés en systèmes d'information standards et spéciaux.

Les systèmes d'information typiques sont des systèmes d'information qui nécessitent uniquement d'assurer la confidentialité des données personnelles.

Les systèmes d'information particuliers sont des systèmes d'information dans lesquels, indépendamment de la nécessité d'assurer la confidentialité des données personnelles, il est nécessaire d'assurer au moins une des caractéristiques de sécurité des données personnelles autres que la confidentialité (sécurité contre la destruction, la modification, le blocage, ainsi que ainsi que d'autres actions non autorisées).

Les systèmes d'information spéciaux devraient inclure :

systèmes d'information dans lesquels sont traitées des données personnelles relatives à l'état de santé des sujets de données personnelles ;

des systèmes d'information qui prévoient l'adoption, sur la seule base d'un traitement automatisé de données personnelles, de décisions qui entraînent des conséquences juridiques à l'égard du sujet des données personnelles ou affectent d'une autre manière ses droits et intérêts légitimes.

9. Selon leur structure, les systèmes d'information sont divisés en :

pour les complexes matériels et logiciels autonomes (non connectés à d'autres systèmes d'information) conçus pour le traitement des données personnelles (postes de travail automatisés) ;

aux complexes de postes de travail automatisés intégrés dans un système d'information unique par des moyens de communication sans recours à la technologie d'accès à distance (systèmes d'information locaux) ;

à des complexes de postes de travail automatisés et (ou) de systèmes d'information locaux, combinés en un seul système d'information au moyen de communications utilisant la technologie d'accès à distance (systèmes d'information distribués).

10. Sur la base de la présence de connexions aux réseaux de communication publics et (ou) aux réseaux internationaux d'échange d'informations, les systèmes d'information sont divisés en systèmes avec connexions et systèmes sans connexions.

11. Selon le mode de traitement des données personnelles dans le système d'information, les systèmes d'information sont divisés en mono-utilisateur et multi-utilisateur.

12. Sur la base de la délimitation des droits d'accès des utilisateurs, les systèmes d'information sont divisés en systèmes sans délimitation des droits d'accès et en systèmes avec délimitation des droits d'accès.

13. Les systèmes d'information, selon l'emplacement de leurs moyens techniques, sont divisés en systèmes dont tous les moyens techniques sont situés dans la Fédération de Russie et en systèmes dont les moyens techniques sont partiellement ou entièrement situés en dehors de la Fédération de Russie.

14. Sur la base des résultats de l'analyse des données sources, un système d'information typique se voit attribuer l'une des classes suivantes :

classe 1 (K1) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives importantes pour les sujets des données personnelles ;

classe 2 (K2) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives pour les sujets des données personnelles ;

classe 3 (K3) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives mineures pour les sujets des données personnelles ;

classe 4 (K4) - systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées n'entraîne pas de conséquences négatives pour les sujets des données personnelles.

15. La classe d'un système d'information typique est déterminée conformément au tableau.

16. Sur la base des résultats de l'analyse des données sources, la classe d'un système d'information spécial est déterminée sur la base d'un modèle de menaces pour la sécurité des données personnelles conformément aux documents méthodologiques élaborés conformément au paragraphe 2 du décret. du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « sur l'approbation du règlement visant à garantir la sécurité des données personnelles lors du traitement dans les systèmes d'information sur les données personnelles. »
________________
Recueil de la législation de la Fédération de Russie, 2007, N 48, partie II, article 6001.

17. Si des sous-systèmes sont identifiés au sein d'un système d'information, dont chacun est un système d'information, le système d'information dans son ensemble se voit attribuer une classe correspondant à la classe la plus élevée de ses sous-systèmes.

18. Les résultats de la classification des systèmes d'information sont documentés dans l'acte correspondant de l'exploitant.

19. La classe du système d'information peut être révisée :

par décision de l'opérateur basée sur son analyse et son évaluation des menaces pour la sécurité des données personnelles, en tenant compte des caractéristiques et (ou) des évolutions d'un système d'information spécifique ;

sur la base des résultats des mesures visant à contrôler le respect des exigences visant à assurer la sécurité des données personnelles lors de leur traitement dans le système d'information.



Texte du document électronique
préparé par Kodeks JSC et vérifié.

SERVICE FÉDÉRAL DE CONTRÔLE TECHNIQUE ET À L'EXPORTATION

SERVICE FÉDÉRAL DE SÉCURITÉ DE LA FÉDÉRATION DE RUSSIE

MINISTÈRE DES COMMUNICATIONS ET DES COMMUNICATIONS DE MASSE DE LA FÉDÉRATION DE RUSSIE

COMMANDE

du 31 décembre 2013 N 151/786/461

SUR LA RECONNAISSANCE DE L'ORDRE DU SERVICE FÉDÉRAL DE CONTRÔLE TECHNIQUE ET DES EXPORTATIONS, DU SERVICE FÉDÉRAL DE SÉCURITÉ DE LA FÉDÉRATION DE RUSSIE ET ​​DU MINISTÈRE DE L'TECHNOLOGIE DE L'INFORMATION ET DES COMMUNICATIONS DE LA FÉDÉRATION DE RUSSIE EN DATE DU 13 FÉVRIER 200 8 G. N 55/86/20 " SUR L'APPROBATION DE LA PROCÉDURE DE RÉALISATION DE LA CLASSIFICATION DES SYSTÈMES D'INFORMATION DE DONNÉES PERSONNELLES »

Dans le cadre de la reconnaissance du décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 comme invalide « Sur l'approbation du règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles » (Législation collective de Fédération de Russie, 2007, N 48, article 6001 ) NOUS COMMANDONS :

déclarer invalide l'arrêté du Service fédéral du contrôle technique et des exportations, du Service fédéral de sécurité de la Fédération de Russie et du ministère des Technologies de l'information et des communications de la Fédération de Russie du 13 février 2008 N 55/86/20 « Sur l'approbation du Procédure de classification des systèmes d'information sur les données personnelles » (enregistré auprès du Ministère de la Justice de la Fédération de Russie le 3 avril 2008, enregistrement N 11462).

Directeur

Service fédéral technique

et contrôles à l'exportation

Directeur

Service fédéral de sécurité

Fédération Russe

A. BORTNIKOV

communications et communications de masse

Fédération Russe

Dans le cadre de l'invalidation du décret du gouvernement de la Fédération de Russie du 17 novembre 2007 n° 781 « sur l'approbation du règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles » (législation collective de la Fédération de Russie, 2007, n° 48, article 6001 ), nous ordonnons :

invalider l'arrêté du Service fédéral du contrôle technique et des exportations, du Service fédéral de sécurité de la Fédération de Russie et du ministère des Technologies de l'information et des communications de la Fédération de Russie du 13 février 2008 n° 55/86/20 « Sur l'approbation du Procédure de classification des systèmes d'information sur les données personnelles » (enregistré auprès du ministère de la Justice de la Fédération de Russie le 3 avril 2008, numéro d'enregistrement 11462).

Ministre communications et communications de masse Fédération Russe

N. Nikiforov

Aperçu des documents

L'arrêté conjoint du FSTEC de Russie, du FSB de Russie et du ministère de l'Information et des Communications de Russie, qui a approuvé la procédure de classification des systèmes d'information des données personnelles, est déclaré invalide.

Le fait est que le règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781. La nouvelle procédure est définie dans le décret de novembre 1, 2012 N 1119.