Приказ ФСБ России №378 — меры безопасности ПДн при использовании СКЗИ

Приказ ФСБ России № 378 (2014) определяет состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПДн с использованием средств криптографической защиты информации. Замысел — связать выбор класса СКЗИ с реальным уровнем риска: чем выше требования к защите ПДн, тем выше должен быть класс криптосредства.

Как выбирается класс СКЗИ

Класс СКЗИ (КС1, КС2, КС3, КВ, КА) определяется исходя из уровня защищённости ПДн (по ПП-1119) и типа актуальных угроз, в том числе угроз, связанных с возможностями нарушителя по атакам на само криптосредство и среду его функционирования. Более строгому уровню защищённости (УЗ-1 — наиболее строгий) и более сильной модели нарушителя соответствует более высокий класс СКЗИ.

Организационно-режимные меры

• поэкземплярный учёт СКЗИ и ключевых документов (по Инструкции ФАПСИ № 152);
• режимные помещения и контроль доступа к СКЗИ;
• допуск и обучение пользователей, работающих с криптосредствами;
• порядок обращения с ключевой информацией и её уничтожения.

Приказ применяется, когда для защиты ПДн используются криптографические средства (например, при передаче ПДн по открытым каналам). Класс СКЗИ по уровню защищённости можно определить в калькуляторе класса СКЗИ.