Зачем учреждению области аттестация ИСПДн
Каждая организация, которая вносит сведения в ГИС «Профилактика», обрабатывает персональные данные несовершеннолетних в собственной информационной системе: журналы учёта, картотеки дел, локальные базы школ и социальных центров. По требованиям закона № 152-ФЗ такая система должна иметь подтверждённый уровень защищённости — иначе её нельзя использовать для обработки персональных данных, а защищённый обмен с государственной системой не разворачивают.
Для Ленинградской области вопрос стоит острее, чем кажется: в районных учреждениях often один IT-специалист обслуживает и школу, и администрацию поселения, а бюджет на средства защиты закладывается за год до покупки. Чек-лист ниже собран так, чтобы пройти путь без повторных работ.
Нормативная база коротко
- 152-ФЗ, ст. 19 — обязанность принимать правовые и технические меры для защиты персональных данных; уровень защищённости определяется по Правилам;
- Постановление Правительства РФ № 1119 — требования к защите персональных данных при их обработке в информационных системах;
- Приказ ФСТЭК России № 21 — состав организационных и технических мер для информационных систем персональных данных;
- Приказ ФСТЭК России № 117 (действует с 1 марта 2026 года, ранее — приказ № 17) — требования по защите информации в государственных информационных системах;
- УЗ-2 — второй уровень защищённости, типовой ориентир для учреждений системы профилактики.
Чек-лист: девять шагов от обследования до аттестата
| # | Шаг | Что сделать | Результат на руках |
|---|---|---|---|
| 1 | Контур системы | Описать все АРМ, серверы, сети и каналы, где обрабатываются персональные данные | Акт обследования, схема контура |
| 2 | Классификация | Определить уровень защищённости по ст. 19 закона № 152-ФЗ | Мотивированное заключение (обычно УЗ-2) |
| 3 | Модель угроз | Разработать модель угроз по методике ФСТЭК | Утверждённая модель угроз |
| 4 | Организационные документы | Приказы, перечень данных, роли, инструкции администратора и пользователей | Комплект организационно-распорядительных документов |
| 5 | Технические меры | Внедрить меры по приказу № 21: разграничение доступа, регистрация событий, антивирус, резервные копии | Настроенные средства защиты |
| 6 | Защищённый канал | Организовать криптографически защищённый обмен для связи с системой | Рабочий защищённый канал |
| 7 | Испытания | Провести аттестационные испытания силами лицензиата ФСТЭК | Программа и методика, протоколы испытаний |
| 8 | Заключение | Получить аттестат соответствия, устранить замечания | Аттестат соответствия |
| 9 | Поддержание | Актуализировать модель угроз не реже раза в 12 месяцев, контролировать изменения контура | Регулярный внутренний контроль |
Сроки и логистика по районам области
Реальный цикл аттестации — от 1,5 до 3 месяцев. Быстрее — только если контур описан, документы в порядке и средства защиты уже закуплены. Для районных учреждений есть своя логистика:
- Всеволожский район — бурный рост: новые школы и детсады Кудрово, Мурино, Сертолово вводят системы за считанные месяцы; закладывайте аттестацию в график сдачи объекта, а не после него;
- Гатчинский район — крупная сеть учреждений: единый подрядчик и общий комплект документов на несколько школ экономят месяцы;
- Выборгский район — сезонные детские учреждения: аттестацию санаториев и лагерей планируйте к началу сезона, а не в его разгар;
- Тосненский, Кировский, Волховский районы — малые штаты: выбирайте подрядчика с выездом на место, дистанционно контур из разрозненных кабинетов не обследовать;
- Кингисеппский и Лужский районы — удалённость от Петербурга: согласование графиков испытаний и доставки оборудования учитывайте в сроке с самого начала.
Закупка средств защиты и услуг аттестации для бюджетных учреждений идёт по 44-ФЗ: сама процедура занимает от одного до двух месяцев. Считайте её в общий срок, иначе «1,5–3 месяца» превратятся в полгода.
Пять типовых ошибок учреждений
- Аттестация «задним числом». Документы рисуют после запроса оператора или проверки — несоответствие дат видно сразу;
- Шаблонная модель угроз. Модель, скопированная у соседа, не отражает ваш контур и разваливается на первом же вопросе комиссии;
- Забытые новые АРМ. Открыли компьютерный класс или кабинет — контур изменился, а аттестат остался на старую схему;
- Защищённый канал отдельно от системы. Аттестат есть, но обмен с ГИС «Профилактика» идёт по незащищённому каналу — защита формальная;
- Документы без актуализации. Модель угроз старше 12 месяцев — на проверке это равно её отсутствию.
Не хотите вести аттестацию сами? Экспресс-аудит готовности ИСПДн — бесплатно
Частые вопросы
Обязательна ли аттестация ИСПДн для работы с ГИС «Профилактика»?
Да. Сведения о несовершеннолетних — персональные данные, обработка которых ведётся в информационной системе учреждения, а подключение к государственной системе обмена предполагает защищённую ИСПДн с подтверждённым уровнем защищённости. Для организаций региона типовой ориентир — второй уровень (УЗ-2), подтверждаемый аттестацией. Без подтверждённой защищённости связь с системой не разворачивают, а заполнение «в обходимом режиме» при проверке оборачивается нарушением.
Почему нужен именно второй уровень защищённости?
Уровень определяется по ст. 19 закона № 152-ФЗ исходя из типа нарушений и объёма обрабатываемых данных. Первый уровень — самый строгий, третий — минимальный; для типового учреждения системы профилактики — школы, центра социальной помощи, комиссии — практики региона целевой уровень почти всегда второй (УЗ-2). Окончательно уровень фиксируется в мотивированном заключении до начала аттестации: если у вас обрабатываются особые категории данных в больших объёмах, уровень и состав мер пересматриваются.
Сколько времени занимает аттестация ИСПДн?
В реальном цикле — от 1,5 до 3 месяцев: обследование и модель угроз, разработка организационно-распорядительных документов, внедрение мер защиты, испытания и оформление заключения. Срок зависит от готовности инфраструктуры и скорости согласований внутри учреждения. Планируйте аттестацию заранее — например, до начала учебного года или до даты, когда подписан график подключения к системе.
Кто имеет право проводить аттестацию?
Испытательная лаборатория, имеющая лицензию ФСТЭК России на деятельность по технической защите конфиденциальной информации. Само учреждение готовит документы и инфраструктуру, но аттестационные испытания и заключение — компетенция лицензиата. Проверяйте лицензию до подписания договора: документ без неё при проверке не примут, а сроки будут потеряны.
Что будет, если работать без аттестации?
Формально — нельзя законно обрабатывать персональные данные в системе, не имеющей требуемой защищённости. Реальные риски: предписание по итогам проверки, невозможность подключиться к обмену с ГИС «Профилактика», а при утечке данных — штраф по ст. 13.11 КоАП до 15 млн рублей, при повторной утечке — оборотный штраф от 1 до 3% выручки (не менее 20 млн рублей). Для бюджетного учреждения это ещё и персональная ответственность руководителя.
Пройдём аттестацию вместе с вашей командой
Мы ведём организации Ленинградской области от первого обследования до аттестата: контур, модель угроз, документы, меры защиты и связь с ГИС «Профилактика» под контролем одного подрядчика. Выезды в Всеволожск, Гатчину, Выборг, Тосно и другие районы — график фиксируем в договоре.