| Полное название | Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» |
|---|---|
| Кто утвердил | ФСТЭК России |
| Номер и дата | 21, 18.02.2013 |
| Статус | Заменяется с 01.09.2026 |
| Кого касается | Операторы персональных данных, которые защищают информационные системы |
Зачем нужен приказ
Закон 152-ФЗ говорит «обеспечьте безопасность», но не перечисляет конкретные действия. Приказ № 21 переводит это требование в практический список мер: что настроить, какие документы оформить, какие средства защиты применить.
Как выбрать меры
Сначала определяется уровень защищённости информационной системы персональных данных (ИСПДн) — от УЗ-1 до УЗ-4. Он зависит от:
- категории данных (специальные, биометрические, общедоступные, иные);
- типа актуальных угроз;
- количества субъектов, чьи данные обрабатываются.
Правила определения уровня — в постановлении Правительства № 1119. Приказ № 21 содержит меры для каждого уровня.
Из чего состоят меры
- идентификация и аутентификация пользователей;
- управление доступом;
- ограничение среды;
- защита технических средств;
- регистрация событий безопасности;
- антивирусная защита;
- обнаружение вторжений;
- анализ защищённости;
- контроль целостности;
- защита каналов связи;
- криптографическая защита;
- резервирование;
- управление обновлениями.
Часть мер организационная: приказы, инструкции, обучение, распределение ролей. Часть — техническая: настройки систем и средства защиты.
Особенности
Для некоторых уровней требуются сертифицированные средства защиты. Конкретный класс зависит от уровня защищённости и модели угроз. Приказ не требует «купить конкретный продукт», он требует реализовать меры.
Что меняется с 1 сентября 2026 года
Новый приказ заменяет № 21 и вводит:
- риск-ориентированный подход вместо жёсткого перечня;
- оценку уровня зрелости защиты (до начала обработки, раз в три года, после инцидентов);
- требования к искусственному интеллекту, облакам, контейнерам, API, мобильным устройствам и удалённому доступу;
- контроль подрядчиков-обработчиков;
- более широкое взаимодействие с ГосСОПКА.
Что делать
- Определить уровень защищённости.
- Построить модель угроз.
- Выбрать меры и зафиксировать их в документах.
- Внедрить и проверить.
- Спланировать переход на новый приказ.
Официальный текст
Документы и разъяснения — на сайте ФСТЭК. Перед принятием решений проверяйте действующую редакцию.