Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles » (Recueil de la législation de la Fédération de Russie, 2007, N 48, partie II, article 6001), nous ordonnons :
Approuver la Procédure ci-jointe pour la classification des systèmes d'information sur les données personnelles.
Directeur
Service fédéral
sur la technique
et contrôles à l'exportation
S.I.GRIGOROV
Directeur
Service fédéral de sécurité
Fédération Russe
N.P. PATROCHEV
Ministre
technologies de l'information et des communications
Fédération Russe
L.D. REIMAN
APPROUVÉ
Par ordre
FSTEC de Russie,
FSB de Russie,
Ministère de l'Information et des Communications de Russie
du 13 février 2008 N 55/86/20
COMMANDE
CLASSIFICATION DES SYSTÈMES D'INFORMATION DES DONNÉES PERSONNELLES
1. Cette procédure détermine la classification des systèmes d'information sur les données personnelles, qui sont un ensemble de données personnelles contenues dans des bases de données, ainsi que les technologies de l'information et les moyens techniques permettant le traitement de ces données personnelles à l'aide d'outils d'automatisation (ci-après dénommés systèmes d'information). )<*>.
2. La classification des systèmes d'information est effectuée par les organes de l'État, les organismes municipaux, les personnes morales et les personnes physiques qui organisent et (ou) effectuent le traitement des données personnelles, ainsi que la détermination des finalités et du contenu du traitement des données personnelles ( ci-après dénommé l'opérateur)<*>.
<*>Paragraphe premier de l’article 6 du Règlement.
3. La classification des systèmes d'information est effectuée au stade de la création des systèmes d'information ou lors de leur exploitation (pour les systèmes d'information préalablement mis en service et (ou) modernisés) afin d'établir les méthodes et moyens de protection des informations nécessaires pour assurer la sécurité. de données personnelles.
4. La réalisation de la classification des systèmes d'information comprend les étapes suivantes :
collecte et analyse des premières données sur le système d'information ;
attribution de la classe appropriée au système d'information et à sa documentation.
5. Lors de la classification d'un système d'information, les données initiales suivantes sont prises en compte :
volume de données personnelles traitées (nombre de personnes concernées dont les données personnelles sont traitées dans le système d'information) - X_npd ;
caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifié par l'opérateur ;
structure du système d'information ;
disponibilité des connexions du système d'information aux réseaux publics de communication et (ou) aux réseaux internationaux d'échange d'informations ;
mode de traitement des données personnelles ;
mode de délimitation des droits d'accès des utilisateurs du système d'information ;
localisation des moyens techniques du système d'information.
6. Les catégories suivantes de données personnelles traitées dans le système d'information (X_PD) sont définies :
7. X_npd peut prendre les valeurs suivantes :
1 - le système d'information traite simultanément les données personnelles de plus de 100 000 personnes concernées ou les données personnelles de personnes concernées au sein d'une entité constitutive de la Fédération de Russie ou de la Fédération de Russie dans son ensemble ;
2 - le système d'information traite simultanément les données personnelles de 1 000 à 100 000 personnes concernées ou les données personnelles des personnes concernées travaillant dans le secteur économique de la Fédération de Russie, dans une agence gouvernementale, résidant dans une municipalité ;
3 - le système d'information traite simultanément les données de moins de 1000 personnes concernées ou les données personnelles de personnes concernées au sein d'une organisation spécifique.
8. Selon les caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifiées par l'opérateur, les systèmes d'information sont divisés en systèmes d'information standards et spéciaux.
Les systèmes d'information typiques sont des systèmes d'information qui nécessitent uniquement d'assurer la confidentialité des données personnelles.
Les systèmes d'information spéciaux devraient inclure :
systèmes d'information dans lesquels sont traitées des données personnelles relatives à l'état de santé des sujets de données personnelles ;
des systèmes d'information qui prévoient l'adoption, sur la seule base d'un traitement automatisé de données personnelles, de décisions qui entraînent des conséquences juridiques à l'égard du sujet des données personnelles ou affectent d'une autre manière ses droits et intérêts légitimes.
9. Selon leur structure, les systèmes d'information sont divisés en :
pour les complexes matériels et logiciels autonomes (non connectés à d'autres systèmes d'information) conçus pour le traitement des données personnelles (postes de travail automatisés) ;
aux complexes de postes de travail automatisés intégrés dans un système d'information unique par des moyens de communication sans recours à la technologie d'accès à distance (systèmes d'information locaux) ;
à des complexes de postes de travail automatisés et (ou) de systèmes d'information locaux, combinés en un seul système d'information au moyen de communications utilisant la technologie d'accès à distance (systèmes d'information distribués).
10. Sur la base de la présence de connexions aux réseaux de communication publics et (ou) aux réseaux internationaux d'échange d'informations, les systèmes d'information sont divisés en systèmes avec connexions et systèmes sans connexions.
11. Selon le mode de traitement des données personnelles dans le système d'information, les systèmes d'information sont divisés en mono-utilisateur et multi-utilisateur.
12. Sur la base de la délimitation des droits d'accès des utilisateurs, les systèmes d'information sont divisés en systèmes sans délimitation des droits d'accès et en systèmes avec délimitation des droits d'accès.
13. Les systèmes d'information, selon l'emplacement de leurs moyens techniques, sont divisés en systèmes dont tous les moyens techniques sont situés dans la Fédération de Russie et en systèmes dont les moyens techniques sont partiellement ou entièrement situés en dehors de la Fédération de Russie.
14. Sur la base des résultats de l'analyse des données sources, un système d'information typique se voit attribuer l'une des classes suivantes :
classe 1 (K1) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives importantes pour les sujets des données personnelles ;
classe 2 (K2) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives pour les sujets des données personnelles ;
classe 3 (K3) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives mineures pour les sujets des données personnelles ;
classe 4 (K4) - systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées n'entraîne pas de conséquences négatives pour les sujets des données personnelles. paragraphe 2 du décret du gouvernement de la Fédération de Russie du 17 novembre , 2007 N 781 "Sur l'approbation du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles"<*>.
<*>Recueil de la législation de la Fédération de Russie, 2007, N 48, partie II, art. 6001.
17. Si des sous-systèmes sont identifiés au sein d'un système d'information, dont chacun est un système d'information, le système d'information dans son ensemble se voit attribuer une classe correspondant à la classe la plus élevée de ses sous-systèmes.
18. Les résultats de la classification des systèmes d'information sont documentés dans l'acte correspondant de l'exploitant.
19. La classe du système d'information peut être révisée :
par décision de l'opérateur basée sur son analyse et son évaluation des menaces pour la sécurité des données personnelles, en tenant compte des caractéristiques et (ou) des évolutions d'un système d'information spécifique ;
sur la base des résultats des mesures visant à contrôler le respect des exigences visant à assurer la sécurité des données personnelles lors de leur traitement dans le système d'information.
SERVICE FÉDÉRAL DE CONTRÔLE TECHNIQUE ET À L'EXPORTATION
SERVICE FÉDÉRAL DE SÉCURITÉ DE LA FÉDÉRATION DE RUSSIE
MINISTÈRE DES COMMUNICATIONS ET DES COMMUNICATIONS DE MASSE DE LA FÉDÉRATION DE RUSSIE
COMMANDE
du 31 décembre 2013 N 151/786/461
SUR LA RECONNAISSANCE DE L'ORDRE DU SERVICE FÉDÉRAL DE CONTRÔLE TECHNIQUE ET DES EXPORTATIONS, DU SERVICE FÉDÉRAL DE SÉCURITÉ DE LA FÉDÉRATION DE RUSSIE ET DU MINISTÈRE DE L'TECHNOLOGIE DE L'INFORMATION ET DES COMMUNICATIONS DE LA FÉDÉRATION DE RUSSIE EN DATE DU 13 FÉVRIER 200 8 G. N 55/86/20 " SUR L'APPROBATION DE LA PROCÉDURE DE RÉALISATION DE LA CLASSIFICATION DES SYSTÈMES D'INFORMATION DE DONNÉES PERSONNELLES »
Dans le cadre de la reconnaissance du décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 comme invalide « Sur l'approbation du règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles » (Législation collective de Fédération de Russie, 2007, N 48, article 6001 ) NOUS COMMANDONS :
déclarer invalide l'arrêté du Service fédéral du contrôle technique et des exportations, du Service fédéral de sécurité de la Fédération de Russie et du ministère des Technologies de l'information et des communications de la Fédération de Russie du 13 février 2008 N 55/86/20 « Sur l'approbation du Procédure de classification des systèmes d'information sur les données personnelles » (enregistré auprès du Ministère de la Justice de la Fédération de Russie le 3 avril 2008, enregistrement N 11462).
Directeur
Service fédéral technique
et contrôles à l'exportation
Directeur
Service fédéral de sécurité
Fédération Russe
A. BORTNIKOV
communications et communications de masse
Fédération Russe
Numéro d'enregistrement 11462
Conformément au paragraphe 6 du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du Règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles "(Législation collective de la Fédération de Russie, 2007, n° 48, partie II, art. 6001), nous commandons:
Approuver la Procédure ci-jointe pour la classification des systèmes d'information sur les données personnelles.
Directeur
Service fédéral
sur le contrôle technique et à l'exportation
S. Grigorov
Directeur du Service fédéral de sécurité
Fédération Russe
N. Patrouchev
Ministre des technologies de l'information et des communications de la Fédération de Russie
L. Reiman
La procédure de classification des systèmes d'information sur les données personnelles
1. Cette procédure détermine la classification des systèmes d'information sur les données personnelles, qui sont un ensemble de données personnelles contenues dans des bases de données, ainsi que les technologies de l'information et les moyens techniques permettant le traitement de ces données personnelles à l'aide d'outils d'automatisation (ci-après dénommés systèmes d'information). )1.
2. La classification des systèmes d'information est effectuée par les organes de l'État, les organismes municipaux, les personnes morales et les personnes physiques qui organisent et (ou) effectuent le traitement des données personnelles, ainsi que déterminent les finalités et le contenu du traitement des données personnelles ( ci-après dénommé l’exploitant)2.
3. La classification des systèmes d'information est effectuée au stade de la création des systèmes d'information ou lors de leur exploitation (pour les systèmes d'information préalablement mis en service et (ou) modernisés) afin d'établir les méthodes et moyens de protection des informations nécessaires pour assurer la sécurité. de données personnelles.
4. La réalisation de la classification des systèmes d'information comprend les étapes suivantes :
collecte et analyse des premières données sur le système d’information :
attribution de la classe appropriée au système d'information et à sa documentation.
5. Lors de la classification d'un système d'information, les données initiales suivantes sont prises en compte :
volume de données personnelles traitées (nombre de personnes concernées dont les données personnelles sont traitées dans le système d'information) - X npd ;
caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifié par l'opérateur ;
structure du système d'information ;
disponibilité des connexions du système d'information aux réseaux publics de communication et (ou) aux réseaux internationaux d'échange d'informations ;
mode de traitement des données personnelles ;
mode de délimitation des droits d'accès des utilisateurs du système d'information ;
localisation des moyens techniques du système d'information.
6. Les catégories suivantes de données personnelles traitées dans le système d'information (XPD) sont définies :
7. X npd peut prendre les valeurs suivantes :
1 - le système d'information traite simultanément les données personnelles de plus de 100 000 personnes concernées ou les données personnelles de personnes concernées au sein d'une entité constitutive de la Fédération de Russie ou de la Fédération de Russie dans son ensemble ;
2 - le système d'information traite simultanément les données personnelles de 1 000 à 100 000 personnes concernées ou les données personnelles des personnes concernées travaillant dans le secteur économique de la Fédération de Russie, dans un organisme gouvernemental, résidant dans une municipalité ;
3 - le système d'information traite simultanément les données de moins de 1000 personnes concernées ou les données personnelles de personnes concernées au sein d'une organisation spécifique.
8. Selon les caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifiées par l'opérateur, les systèmes d'information sont divisés en systèmes d'information standards et spéciaux.
Les systèmes d'information typiques sont des systèmes d'information qui nécessitent uniquement d'assurer la confidentialité des données personnelles.
Les systèmes d'information particuliers sont des systèmes d'information dans lesquels, indépendamment de la nécessité d'assurer la confidentialité des données personnelles, il est nécessaire d'assurer au moins une des caractéristiques de sécurité des données personnelles autres que la confidentialité (sécurité contre la destruction, la modification, le blocage, ainsi que ainsi que d'autres actions non autorisées).
Les systèmes d'information spéciaux devraient inclure :
systèmes d'information dans lesquels sont traitées des données personnelles relatives à l'état de santé des sujets de données personnelles ;
des systèmes d'information qui prévoient l'adoption, sur la seule base d'un traitement automatisé de données personnelles, de décisions qui entraînent des conséquences juridiques à l'égard du sujet des données personnelles ou affectent d'une autre manière ses droits et intérêts légitimes.
9. Selon leur structure, les systèmes d'information sont divisés en :
pour les complexes matériels et logiciels autonomes (non connectés à d'autres systèmes d'information) conçus pour le traitement des données personnelles (postes de travail automatisés) ;
aux complexes de postes de travail automatisés intégrés dans un système d'information unique par des moyens de communication sans recours à la technologie d'accès à distance (systèmes d'information locaux) ;
à des complexes de postes de travail automatisés et (ou) de systèmes d'information locaux, combinés en un seul système d'information au moyen de communications utilisant la technologie d'accès à distance (systèmes d'information distribués).
10. Sur la base de la présence de connexions aux réseaux de communication publics et (ou) aux réseaux internationaux d'échange d'informations, les systèmes d'information sont divisés en systèmes avec connexions et systèmes sans connexions.
11. Selon le mode de traitement des données personnelles dans le système d'information, les systèmes d'information sont divisés en mono-utilisateur et multi-utilisateur.
12. Sur la base de la délimitation des droits d'accès des utilisateurs, les systèmes d'information sont divisés en systèmes sans délimitation des droits d'accès et en systèmes avec délimitation des droits d'accès.
13. Les systèmes d'information, selon l'emplacement de leurs moyens techniques, sont divisés en systèmes dont tous les moyens techniques sont situés dans la Fédération de Russie et en systèmes dont les moyens techniques sont partiellement ou entièrement situés en dehors de la Fédération de Russie.
14. Sur la base des résultats de l'analyse des données sources, un système d'information typique se voit attribuer l'une des classes suivantes :
classe 1 (K1) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives importantes pour les sujets des données personnelles ;
classe 2 (K2) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives pour les sujets des données personnelles ;
classe 3 (K3) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives mineures pour les sujets des données personnelles ;
classe 4 (K4) - systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées n'entraîne pas de conséquences négatives pour les sujets des données personnelles.
15. La classe d'un système d'information typique est déterminée conformément au tableau.
16. Sur la base des résultats de l'analyse des données sources, la classe d'un système d'information spécial est déterminée sur la base d'un modèle de menaces pour la sécurité des données personnelles conformément aux documents méthodologiques élaborés conformément au paragraphe 2 du décret. du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du règlement visant à assurer la sécurité des données personnelles lors du traitement dans les systèmes d'information sur les données personnelles »3.
17. Si des sous-systèmes sont identifiés au sein d'un système d'information, dont chacun est un système d'information, le système d'information dans son ensemble se voit attribuer une classe correspondant à la classe la plus élevée de ses sous-systèmes.
18. Les résultats de la classification des systèmes d'information sont documentés dans l'acte correspondant de l'exploitant.
19. La classe du système d'information peut être révisée :
par décision de l'opérateur basée sur son analyse et son évaluation des menaces pour la sécurité des données personnelles, en tenant compte des caractéristiques et (ou) des évolutions d'un système d'information spécifique ;
sur la base des résultats des mesures visant à contrôler le respect des exigences visant à assurer la sécurité des données personnelles lors de leur traitement dans le système d'information.
1Paragraphe premier du paragraphe 1 du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007.
N 781 (Recueil de la législation de la Fédération de Russie, 2007, N 48, partie II,
2Paragraphe premier de l’article 6 du Règlement.
3Législation collective de la Fédération de Russie 2007, N 48, partie II,Art. 6001.
Arrêté du Service fédéral du contrôle technique et des exportations, du FSB de la Fédération de Russie et du ministère des Technologies de l'information et des communications de la Fédération de Russie
du 13 février 2008 N 55/86/20
"Sur l'approbation de la Procédure de classification des systèmes d'information sur les données personnelles"
Conformément au paragraphe 6 du Règlement visant à assurer la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du Règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles » (Législation collective de la Fédération de Russie, 2007, n° 48, partie II, art. 6001), nous ordonnons :
Approuver le ci-joint Commande effectuer une classification des systèmes d'information sur les données personnelles.
Numéro d'enregistrement 11462
Commande
effectuer la classification des systèmes d'information sur les données personnelles
1. Cette procédure détermine la classification des systèmes d'information sur les données personnelles, qui sont un ensemble de données personnelles contenues dans des bases de données, ainsi que les technologies de l'information et les moyens techniques permettant le traitement de ces données personnelles à l'aide d'outils d'automatisation (ci-après dénommés systèmes d'information). ) * .
2. La classification des systèmes d'information est effectuée par les organes de l'État, les organismes municipaux, les personnes morales et les personnes physiques qui organisent et (ou) effectuent le traitement des données personnelles, ainsi que déterminent les finalités et le contenu du traitement des données personnelles ( ci-après dénommé l'opérateur) ** .
3. La classification des systèmes d'information est effectuée au stade de la création des systèmes d'information ou lors de leur exploitation (pour les systèmes d'information préalablement mis en service et (ou) modernisés) afin d'établir les méthodes et moyens de protection des informations nécessaires pour assurer la sécurité. de données personnelles.
4. La réalisation de la classification des systèmes d'information comprend les étapes suivantes :
collecte et analyse des premières données sur le système d’information :
attribution de la classe appropriée au système d'information et à sa documentation.
5. Lors de la classification d'un système d'information, les données initiales suivantes sont prises en compte :
volume de données personnelles traitées (nombre de personnes concernées dont les données personnelles sont traitées dans le système d'information) - ;
caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifié par l'opérateur ;
structure du système d'information ;
disponibilité des connexions du système d'information aux réseaux publics de communication et (ou) aux réseaux internationaux d'échange d'informations ;
mode de traitement des données personnelles ;
mode de délimitation des droits d'accès des utilisateurs du système d'information ;
localisation des moyens techniques du système d'information.
6. Sont définies les catégories suivantes de données personnelles traitées dans le système d'information :
7. peut prendre les valeurs suivantes :
1 - le système d'information traite simultanément les données personnelles de plus de 100 000 personnes concernées ou les données personnelles de personnes concernées au sein d'une entité constitutive de la Fédération de Russie ou de la Fédération de Russie dans son ensemble ;
2 - le système d'information traite simultanément les données personnelles de 1 000 à 100 000 personnes concernées ou les données personnelles des personnes concernées travaillant dans le secteur économique de la Fédération de Russie, dans une agence gouvernementale, résidant dans une municipalité ;
3 - le système d'information traite simultanément les données de moins de 1000 personnes concernées ou les données personnelles de personnes concernées au sein d'une organisation spécifique.
8. Selon les caractéristiques de sécurité des données personnelles traitées dans le système d'information spécifiées par l'opérateur, les systèmes d'information sont divisés en systèmes d'information standards et spéciaux.
Les systèmes d'information typiques sont des systèmes d'information qui nécessitent uniquement d'assurer la confidentialité des données personnelles.
Les systèmes d'information particuliers sont des systèmes d'information dans lesquels, indépendamment de la nécessité d'assurer la confidentialité des données personnelles, il est nécessaire d'assurer au moins une des caractéristiques de sécurité des données personnelles autres que la confidentialité (sécurité contre la destruction, la modification, le blocage, ainsi que ainsi que d'autres actions non autorisées).
Les systèmes d'information spéciaux devraient inclure :
systèmes d'information dans lesquels sont traitées des données personnelles relatives à l'état de santé des sujets de données personnelles ;
des systèmes d'information qui prévoient l'adoption, sur la seule base d'un traitement automatisé de données personnelles, de décisions qui entraînent des conséquences juridiques à l'égard du sujet des données personnelles ou affectent d'une autre manière ses droits et intérêts légitimes.
9. Selon leur structure, les systèmes d'information sont divisés en :
pour les complexes matériels et logiciels autonomes (non connectés à d'autres systèmes d'information) conçus pour le traitement des données personnelles (postes de travail automatisés) ;
aux complexes de postes de travail automatisés intégrés dans un système d'information unique par des moyens de communication sans recours à la technologie d'accès à distance (systèmes d'information locaux) ;
à des complexes de postes de travail automatisés et (ou) de systèmes d'information locaux, combinés en un seul système d'information au moyen de communications utilisant la technologie d'accès à distance (systèmes d'information distribués).
10. Sur la base de la présence de connexions aux réseaux de communication publics et (ou) aux réseaux internationaux d'échange d'informations, les systèmes d'information sont divisés en systèmes avec connexions et systèmes sans connexions.
11. Selon le mode de traitement des données personnelles dans le système d'information, les systèmes d'information sont divisés en mono-utilisateur et multi-utilisateur.
12. Sur la base de la délimitation des droits d'accès des utilisateurs, les systèmes d'information sont divisés en systèmes sans délimitation des droits d'accès et en systèmes avec délimitation des droits d'accès.
13. Les systèmes d'information, selon l'emplacement de leurs moyens techniques, sont divisés en systèmes dont tous les moyens techniques sont situés dans la Fédération de Russie et en systèmes dont les moyens techniques sont partiellement ou entièrement situés en dehors de la Fédération de Russie.
14. Sur la base des résultats de l'analyse des données sources, un système d'information typique se voit attribuer l'une des classes suivantes :
classe 1 (K1) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives importantes pour les sujets des données personnelles ;
classe 2 (K2) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives pour les sujets des données personnelles ;
classe 3 (K3) - systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives mineures pour les sujets des données personnelles ;
classe 4 (K4) - systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées n'entraîne pas de conséquences négatives pour les sujets des données personnelles.
15. La classe d'un système d'information typique est déterminée conformément au tableau.
┌──────────────────────────┬──────────────┬──────────────┬──────────────┐
│ Х_нпд│ 3 │ 2 │ 1 │
│ \ │ │ │ │
│Х_пд │ │ │ │
├──────────────────────────┼──────────────┼──────────────┼──────────────┤
├──────────────────────────┼──────────────┼──────────────┼──────────────┤
├──────────────────────────┼──────────────┼──────────────┼──────────────┤
└──────────────────────────┴──────────────┴──────────────┴──────────────┘
16. Sur la base des résultats de l'analyse des données sources, la classe d'un système d'information spécial est déterminée sur la base d'un modèle de menaces pour la sécurité des données personnelles conformément aux documents méthodologiques élaborés conformément au paragraphe 2 du décret. du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 « Sur l'approbation du règlement visant à garantir la sécurité des données personnelles lors du traitement dans les systèmes d'information sur les données personnelles » *** .
17. Si des sous-systèmes sont identifiés au sein d'un système d'information, dont chacun est un système d'information, le système d'information dans son ensemble se voit attribuer une classe correspondant à la classe la plus élevée de ses sous-systèmes.
18. Les résultats de la classification des systèmes d'information sont documentés dans l'acte correspondant de l'exploitant.
19. La classe du système d'information peut être révisée :
par décision de l'opérateur basée sur son analyse et son évaluation des menaces pour la sécurité des données personnelles, en tenant compte des caractéristiques et (ou) des évolutions d'un système d'information spécifique ;
sur la base des résultats des mesures visant à contrôler le respect des exigences visant à assurer la sécurité des données personnelles lors de leur traitement dans le système d'information.
______________________________
* Paragraphe premier du paragraphe 1 du Règlement visant à garantir la sécurité des données personnelles lors de leur traitement dans les systèmes d'information sur les données personnelles, approuvé par le décret du gouvernement de la Fédération de Russie du 17 novembre 2007 N 781 (Législation collective de la Fédération de Russie, 2007, N 48, partie II, article 6001) (ci-après dénommé le Règlement).
20 86 ...
Plan directeur des matériaux ruraux de Voronsk sur la justification du projet partie 1 description de la justification
DocumentPOSITION 13 2. CONDITIONS NATURELLES 13 3. Climat. 13 4. ... l'éducation 86 20 . Enseignement général 86 21..., mille roubles 2008. 2009 2009/ 2008., % 2010 ... village d'Alexandrovo N5520 Zone de distribution 0,8 d.Konyukhovo N56 20 RES 0, ... dans la Fédération de Russie" depuis 6 Février 2003 Non....
Édition 86 journaux généraux... congrès. Document N55
La classification de l'ISPD est effectuée au stade de sa création ou en cours d'exploitation, mais toujours avant la construction du SPPD. En général, tout Systèmes d'information, traitement Informations personnelles, sont divisés en 2 classe selon sur les caractéristiques de sécurité des données traitées :
Systèmes d'information typiques– les systèmes où il est nécessaire de fournir uniquement confidentialité données personnelles traitées.
Systèmes d'information spéciaux– les systèmes où il est nécessaire d'assurer au moins une des caractéristiques de sécurité autres que la confidentialité (par exemple, l'intégrité ou la disponibilité). Les systèmes d'information spéciaux devraient inclure :
- ISPD lié au traitement des données personnelles sur l'état de santé des personnes concernées ;
- ISPD, prenant des décisions basées uniquement sur le traitement automatisé des PD. Dans ce cas, les décisions prises peuvent entraîner des conséquences juridiques pour la personne concernée ou autrement affecter ses droits et intérêts légaux.
Selon la méthodologie proposée dans l'ordonnance, l'ISPD est classé en fonction du nombre d'entités dont les données sont traitées et du type de données personnelles traitées.
En fonction du volume de données XNPD traitées dans l'ISPD, on distingue les catégories d'ISPD suivantes :
1 catégorie Informations personnelles plus de 100 000 sujets de données personnelles ou Informations personnelles les sujets de données personnelles au sein d'une entité constitutive de la Fédération de Russie ou de la Fédération de Russie dans son ensemble ;
2ème catégorie– sont traités simultanément dans le système d’information Informations personnelles de 1 000 à 100 000 sujets de données personnelles ou Informations personnelles Sujets de DP travaillant dans le secteur économique de la Fédération de Russie, dans un organisme gouvernemental, résidant dans la municipalité ;
3 catégorie– sont traités simultanément dans le système d’information Informations personnelles moins de 1000 sujets de données personnelles ou Informations personnelles sujets de données personnelles au sein d’une organisation spécifique.
Sont définies les catégories suivantes de données personnelles traitées dans le système d'information (PDS) :
| CNPD | Catégorie 3 | Catégorie 2 | Catégorie 1 |
|---|---|---|---|
| HFA | |||
| catégorie 4 | K4 | K4 | K4 |
| catégorie 3 | K3 | K3 | K2 |
| catégorie 2 | K3 | K2 | K1 |
| catégorie 1 | K1 | K1 | K1 |
Examinons séparément ce que signifie chaque classe ISPD :
- classe 1 (K1)– les systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives importantes pour les sujets des données personnelles ;
- classe 2 (K2)– les systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives pour les sujets des données personnelles ;
- classe 3 (K3)– les systèmes d'information pour lesquels une violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées peut entraîner des conséquences négatives mineures pour les sujets des données personnelles ;
- classe 4 (K4)– les systèmes d'information pour lesquels la violation des caractéristiques de sécurité spécifiées des données personnelles qui y sont traitées n'entraîne pas de conséquences négatives pour les sujets des données personnelles.
La classe la plus élevée est considérée comme la classe 1. Si plusieurs sous-systèmes sont distingués au sein de l'ISPD, alors la classe ISPD dans son ensemble correspondra à la classe la plus élevée de composants entrants.
Ainsi, plus la classe ISPD est élevée, plus les exigences pour assurer la sécurité des données personnelles sont élevées.
La procédure de définition d'une classe pour les systèmes spéciaux est quelque peu différente des systèmes standard. La classe d'ISPD spéciale est déterminée sur la base du modèle de menace privée de l'organisation conformément aux documents méthodologiques du FSTEC. Classer un système d'information comme système spécial peut réduire considérablement les coûts de construction d'un système de protection des données, puisque l'opérateur dans ce cas peut raisonnablement sélectionner le nombre minimum de menaces actuelles contre lesquelles la protection des données personnelles est nécessaire. Par exemple, si le système contient des informations sur les revenus d'une personne (par exemple, 1C), un tel système peut être classé comme système spécial, car les intérêts légitimes d'une personne sont affectés. Il en va de même pour les informations sur le handicap, la race, etc. Classer l'ISPD comme spécial dans la pratique est une question plutôt controversée.
La classe ISPD peut être révisée.