Владелец небольшой стоматологии впервые открывает приказ ФСТЭК № 21 и через десять минут закрывает ноутбук. В документе десятки мер, ссылки на уровни защищённости, классы средств защиты и требования к документам. Кажется, что выполнить это может только крупная клиника с отделом информационной безопасности.

На самом деле приказ устроен логичнее, чем выглядит. Он не требует «сделать всё из списка». Он требует ответить на несколько вопросов и выбрать меры, которые соответствуют ответам. Если понять эту логику, приказ превращается из страшного документа в план действий.

Почему приказ кажется невыполнимым

История начинается не с приказа, а с закона. Клиника собирает имена, телефоны и медицинские данные пациентов, значит, она оператор персональных данных. Закон 152-ФЗ требует обеспечивать безопасность, но не объясняет, как именно. Конкретику задают подзаконные акты: постановление Правительства № 1119 и приказ ФСТЭК № 21.

Постановление № 1119 отвечает на вопрос «насколько строго защищать»: оно вводит уровни защищённости от УЗ-1 до УЗ-4. Приказ № 21 отвечает на вопрос «что именно делать»: он содержит меры, которые нужно реализовать для каждого уровня.

Проблема в том, что читать приказ подряд, как книгу, почти бесполезно. Меры перечислены в приложении и сгруппированы по направлениям, но без контекста они выглядят как одинаково обязательный список. А на практике для одного уровня часть мер обязательна, для другого — избыточна, и всё зависит от того, какие данные и какие угрозы есть у конкретной клиники.

Уровень защищённости — это ответ на вопрос «что будет, если»

Уровень защищённости определяется не размером клиники и не количеством компьютеров. Он определяется двумя вещами: какие данные обрабатываются и насколько реальны определённые угрозы.

С данными всё относительно понятно. Есть специальные категории — здоровье, национальность, политические взгляды. Есть биометрия — отпечатки, изображение лица, голос. Есть общедоступные данные, которые человек сам опубликовал. И есть все остальные.

Со стоматологией ситуация особая: история лечения и диагнозы относятся к состоянию здоровья, то есть к специальным категориям. Это сразу поднимает требования. Если бы клиника хранила только имена и телефоны для записи, уровень был бы ниже.

Вторая часть — угрозы. Постановление № 1119 различает три типа: угрозы, связанные с недокументированными возможностями в системном программном обеспечении, в прикладном программном обеспечении и угрозы, не связанные с такими возможностями. Проще говоря, есть ли риск, что используемая программа или операционная система содержит скрытые «закладки», через которые можно получить доступ.

Из этих двух параметров складывается уровень. Для стоматологии со специальными категориями данных это, скорее всего, УЗ-2 или УЗ-3 — точный ответ зависит от количества пациентов и модели угроз. Самое важное: уровень определяется один раз для конкретной системы, а не «в среднем по отрасли».

Меры — это не список, а четыре вопроса

Когда уровень определён, начинается выбор мер. Здесь проще думать не о пунктах приказа, а о четырёх вопросах: кто имеет доступ, что именно защищаем, как контролируем и что делаем, если что-то пошло не так.

Первый вопрос — кто. Система должна понимать, кто перед ней, и проверять это. Отсюда меры идентификации и аутентификации: логины, пароли, второй фактор. Дальше — управление доступом: врач видит карты своих пациентов, администратор — расписание, а бухгалтер не должен видеть медицинские записи вообще. Это не бюрократия, а ограничение последствий: если учётную запись администратора украдут, ущерб будет меньше.

Второй вопрос — что. Нужно ограничить среду, в которой работают данные: не устанавливать на рабочие компьютеры лишние программы, контролировать носители, защищать сами устройства. Сюда же относится антивирусная защита и контроль целостности — проверка, что файлы и настройки не изменились незаметно.

Третий вопрос — как контролируем. Система должна регистрировать события: кто входил, что открывал, какие ошибки возникали. Без журналов невозможно разобрать инцидент. Дополнительно нужны обнаружение вторжений и регулярный анализ защищённости — проверка, что настройки не сломались и новые уязвимости не появились.

Четвёртый вопрос — что делаем, если. Здесь появляются резервное копирование, план восстановления и порядок реагирования на инцидент. Для клиники это особенно важно: если система с картами недоступна, приём останавливается.

Отдельно стоит вопрос о средствах защиты. Для некоторых уровней и типов систем требуются сертифицированные средства. Это не значит «купить самый дорогой продукт»: сначала определяется класс защиты, потом подбирается средство, которое ему соответствует. Если уровень позволяет обойтись организационными мерами и настройками, не нужно покупать лишнее.

Что меняется с 1 сентября 2026 года

Приказ № 21 действовал больше десяти лет. За это время появились облака, контейнеры, мобильные приложения, программные интерфейсы и искусственный интеллект. Старый документ эти технологии почти не учитывал, поэтому ФСТЭК подготовила новый приказ, который заменяет № 21.

Главное изменение — переход от жёсткого перечня к риск-ориентированному подходу. Организация должна не просто «применить меры из таблицы», а определить угрозы, выбрать меры и обосновать, почему их достаточно. Это больше свободы и больше ответственности одновременно.

Второе изменение — оценка уровня зрелости защиты. Организация должна оценивать, насколько эффективно реализованы меры: до начала обработки данных, затем не реже одного раза в три года и после каждого инцидента. Появляется требование к подрядчикам: оператор устанавливает для них требования к защите и проверяет выполнение.

Третье — новые технологии. Отдельные меры появляются для искусственного интеллекта, облачных сервисов, контейнеров, программных интерфейсов, мобильных устройств и удалённого доступа. Для клиники это может означать, что онлайн-запись, мобильное приложение и облачная бухгалтерия попадают в периметр требований.

Четвёртое — взаимодействие с ГосСОПКА. Раньше это было в основном про критическую инфраструктуру, теперь охват расширяется. Для небольшой организации это звучит непривычно, но логика простая: чем больше данных и систем, тем важнее быстро узнавать об инцидентах.

Как выглядит план для клиники

Начинать стоит не с покупки средств защиты, а с инвентаризации. Нужно понять, какие системы есть, где хранятся данные, кто имеет доступ, какие программы используются и какие из них находятся в облаке.

Дальше — определить уровень защищённости и построить модель угроз. Для стоматологии угрозы вполне конкретны: кража ноутбука с базой, сотрудник, который выгружает данные на личный телефон, шифровальщик, попавший через письмо, сбой дисковой системы.

Потом — выбрать меры под уровень и угрозы. Часть из них организационные: приказ о допуске, политика, обучение, регламент реагирования. Часть технические: разграничение прав, резервные копии, антивирус, журналирование. Часть может потребовать сертифицированных средств.

После внедрения нужно оформить документы и проверить, что меры работают. И обязательно запланировать переход на новый приказ: пересмотреть модель угроз, оценить зрелость, обновить политики и проверить подрядчиков.

Чего приказ не требует

Из-за объёма документа возникает ощущение, что нужно выполнить всё и сразу. Это не так, и полезно проговорить границы.

Приказ не требует покупать конкретный продукт. Он требует реализовать меру. Иногда это настройка, иногда организационное правило, иногда средство защиты. Выбор остаётся за организацией, если выполнены требования к классу и уровню доверия.

Приказ не требует идеальной защиты. Он требует, чтобы меры соответствовали уровню защищённости и актуальным угрозам. Если угроза не актуальна, это нужно обосновать, а не молча игнорировать.

Приказ не требует делать всё в одиночку. Часть работ можно передать подрядчику, но ответственность остаётся на операторе. Поэтому договор с подрядчиком — тоже часть системы защиты.

И наконец, приказ не требует один раз написать документы и забыть. Он предполагает регулярную проверку: работают ли меры, изменились ли угрозы, появились ли новые системы. Именно этой регулярности часто не хватает, когда защита существует только на бумаге.

Какие документы действительно нужны

Когда речь заходит о приказе № 21, многие представляют толстую папку с бумагами. На практике документов нужно меньше, чем кажется, но каждый должен отражать реальную работу.

Первый документ — перечень информационных систем и данных, которые в них обрабатываются. Без него невозможно определить уровень защищённости: непонятно, что защищать. Второй — модель угроз, то есть описание того, кто и как может навредить. Третий — решение об уровне защищённости с обоснованием.

Дальше идут документы, которые описывают, как устроена защита: политика, приказ о допуске, регламент резервного копирования, порядок реагирования на инциденты. И доказательства: журналы, акты проверок, результаты оценки эффективности.

Важно не количество, а связь. Если в политике написано одно, в настройках другое, а сотрудники делают третье, проверяющий увидит разрыв. Документы должны описывать то, что действительно происходит, а не идеальную картинку.

Где чаще всего спотыкаются

Первая ошибка — копировать комплект документов у другой организации. Уровень, угрозы и системы у всех разные, поэтому чужие документы почти всегда не соответствуют реальности. Проверяется это просто: попросите объяснить, почему выбрана конкретная мера.

Вторая — считать, что защита заканчивается на покупке средств. Средство без настройки и без ответственного не работает. Третья — не назначить владельца процесса. Когда за защиту отвечают «все», обычно не отвечает никто.

Четвёртая — игнорировать подрядчиков. Если данные обрабатывает внешняя организация, её доступы и её инциденты становятся вашими. Пятая — сделать всё один раз и забыть. Приказ требует регулярной проверки, а не единоразовой акции.

Главная мысль

Приказ № 21 — это не экзамен на знание сотни пунктов. Это способ связать данные, угрозы и меры так, чтобы защита соответствовала реальному риску. Уровень защищённости нужен не для галочки, а чтобы не защищать медицинские данные так же, как список подписчиков рассылки.

С 1 сентября 2026 года логика меняется в сторону управления: меньше статичных списков, больше оценки риска и эффективности. Но базовый принцип остаётся прежним. Сначала нужно понять, что защищаем и от кого, а уже потом выбирать средства. Клиника, которая начнёт с этого вопроса, потратит меньше денег и получит более надёжную защиту, чем та, которая просто купит набор программ.

Что делать дальше