Актуальность темы. В 2023‑2024 годах зафиксировано сотни утечек персональных данных, в т.ч. данных военнослужащих. Каждый новый инцидент подчеркивает необходимость строгих мер по защите информации при её поиске, обработке и хранении. Данная статья раскрывает правовую основу, уровни защищённости, технические и организационные меры, а также практические рекомендации для безопасного поиска военных данных.
Правовая база защиты персональных данных в России
Система нормативных актов, регулирующих обработку персональных данных (ПДн), постоянно совершенствуется. Ключевые документы, актуальные на 2026 год:
- ФЗ № 152‑ФЗ «О персональных данных» (в редакции от N 519‑ФЗ). Определяет основы сбора, обработки, хранения и передачи ПДн.
- ФЗ № 331‑ФЗ от – вводит новые требования к уровню защиты информации в государственных информационных системах персональных данных (ИСПДн).
- ФЗ № 233‑ФЗ от – устанавливает обязательные меры контроля и надзора за выполнением технических и организационных требований к безопасности ПДн.
- Указы Президента РФ № 609 и № 351 – регулируют порядок ведения личных дел государственных гражданских служащих и меры информационной безопасности при международном обмене данными.
- Постановление Правительства РФ № 1119 от – требования к защите ПДн в информационных системах.
Все перечисленные акты определяют уровни защищённости (четыре уровня, применяемые к персональным данным сотрудников, включая военнослужащих) и предписывают обязательный контроль за их соблюдением.
Классификация военных персональных данных
Военнослужащие, федеральные государственные гражданские служащие и работники Вооружённых Сил относятся к категории «особо чувствительных» ПДн. К ним относятся:
- паспортные данные, СНИЛС, ИНН;
- фотографии, отпечатки пальцев, биометрические параметры;
- информация о семейном положении, адресах и месте службы;
- данные о доступе к государственной тайне;
- медицинские сведения, сведения о служебных наградах и наказаниях.
Обработка такой информации допускается только после получения согласия субъекта (в случае, если закон не предусматривает иное) и при соблюдении всех технических и организационных мер защиты.
Уровни защищённости персональных данных
Согласно ФЗ 331‑ФЗ и ФЗ 233‑ФЗ, выделяют четыре уровня защиты, каждый из которых характеризуется набором обязательных мероприятий:
| Уровень | Краткое описание | Типичные меры |
|---|---|---|
| 1 (низкий) | Обрабатываются ПДн, не относящиеся к особой категории. | Базовый контроль доступа, антивирусное ПО. |
| 2 (средний) | ПДн, требующие усиленного контроля (например, данные сотрудников). | Шифрование в покое, журналирование действий. |
| 3 (высокий) | Особо чувствительные ПДн, включая военные. | Многофакторная аутентификация, сегментация сети, DLP‑системы. |
| 4 (критический) | Данные, раскрытие которых может нанести серьезный ущерб национальной безопасности. | Аппаратные криптографические модули (HSM), изоляция в закрытых зонах (air‑gap). |
Технические меры защиты при поиске военных данных
Шифрование
Все данные должны быть зашифрованы как при хранении (encryption at rest), так и при передаче (encryption in transit). Рекомендуются:
- Алгоритмы AES‑256 для файлов и баз данных;
- TLS 1.3 для всех каналов связи;
- Криптографические токены (HSM) для управления ключами.
Управление доступом
Принцип наименьших привилегий (least privilege) должен быть реализован в любой системе поиска:
- Ролевой контроль доступа (RBAC) с привязкой к должностным обязанностям;
- Многофакторная аутентификация (MFA) для всех пользователей, имеющих доступ к военным ПДн;
- Регулярный аудит прав доступа (не реже одного раза в квартал).
Системы предотвращения утечек (DLP)
Для контроля за поисковыми запросами и экспортом данных необходимо внедрить DLP‑решения, способные:
- Отслеживать попытки копирования, печати или отправки сведений на внешние ресурсы;
- Блокировать передачу персональных данных через неавторизованные каналы;
- Формировать отчёты о подозрительных действиях.
Журналирование и мониторинг
Каждое действие в системе поиска должно фиксироваться в централизованном журнале (SIEM). В журнале фиксируются:
- Идентификатор пользователя;
- Время и тип операции (поиск, просмотр, экспорт);
- IP‑адрес и используемое устройство;
- Результат (успешно/ошибка).
Защита инфраструктуры
Сетевые зоны, где обрабатываются военные ПДн, должны быть изолированы от публичных подсетей. Применяются:
- Виртуальные частные сети (VPN) с строгой политикой доступа;
- Контроль трафика через межсетевые экраны (next‑generation firewall);
- Регулярное сканирование уязвимостей и проведение penetration‑testing.
Организационные меры
Назначение ответственного за безопасность ПДн
В каждой организации, обрабатывающей военные данные, должен быть специалист по защите персональных данных (СЗПД) или уполномоченный сотрудник, который:
- Разрабатывает и поддерживает локальные документы (политики, регламенты);
- Проводит обучение персонала;
- Контролирует соблюдение требований ФЗ 152‑ФЗ и ФЗ 233‑ФЗ.
Обучение и осведомлённость
Регулярные тренинги (не реже 2 раз в год) должны охватывать:
- Правила работы с военными ПДн;
- Методы безопасного поиска (использование защищённых поисковых систем, ограничение объёма выдачи);
- Сценарии реагирования на инциденты.
Процедуры согласия и информирования
Согласно части 5 статьи 19 ФЗ 152‑ФЗ, при обработке ПДн необходимо:
- Получать унифицированную форму согласия (обязанность с г.) при работе с данными в ЕСИА и ЕБС;
- Информировать субъектов о целях, сроках и способах обработки.
Оценка эффективности мер
Перед вводом в эксплуатацию любой ИСПДн проводится оценка эффективности принимаемых мер (включая тесты на проникновение, аудит соответствия).
Практические рекомендации для безопасного поиска военных данных
- Использовать только авторизованные поисковые платформы. Доступ к базе военных ПДн предоставляется через внутренние порталы, защищённые VPN‑соединением.
- Ограничивать объём выдачи. Поиск должен возвращать только те записи, которые необходимы для конкретной задачи (принцип минимизации данных).
- Не сохранять результаты в открытом виде. При необходимости сохранять – использовать зашифрованные контейнеры (например, 7‑zip с AES‑256).
- Включать журналирование в реальном времени. Любой запрос фиксируется, а аномалии (многочисленные запросы, запросы «по всем» полям) автоматически блокируются.
- Проводить периодическую проверку прав доступа. Удалять учётные записи уволенных сотрудников и пересматривать роли каждые 6 месяцев.
- Обеспечить физическую безопасность серверов. Серверы с военными ПДн размещаются в дата‑центрах с контролем доступа, видеонаблюдением и системой UPS.
- Регулярно обновлять программное обеспечение. Патчи безопасности должны устанавливаться в течение 30 дней после их выхода.
Реагирование на инциденты
В случае обнаружения утечки или попытки несанкционированного доступа необходимо:
- Сразу изолировать затронутую систему (отключить от сети, если это возможно).
- Выполнить форензический анализ журналов (SIEM) для определения объёма утечки.
- Уведомить оператора персональных данных и Роскомнадзор в сроки, установленные ФЗ 152‑ФЗ (не позднее 72 часов).
- Провести оценку ущерба и, при необходимости, информировать субъектов данных.
- Обновить политику доступа и провести дополнительное обучение персонала.
Защита персональной информации военнослужащих – это комплексный процесс, который сочетает в себе законодательные требования, технические средства (шифрование, MFA, DLP, SIEM) и организационные практики (назначение ответственного, обучение, регулярные аудиты). Только при строгом соблюдении всех уровней защищённости можно обеспечить безопасный поиск и обработку военных данных, минимизируя риски утечки и защищая национальную безопасность;
Помните, что каждый запрос к базе данных – это потенциальный вектор атаки. Поэтому контроль доступа, журналирование и постоянный мониторинг должны стать неотъемлемой частью любой информационной системы, работающей с военными персональными данными.