Законы и стандарты: 152-ФЗ, 187-ФЗ, ФСТЭК и уголовная ответственность

Почему безопаснику нужно знать законы

Защита информации в России — не только хорошая практика, но и обязанность по закону. От того, выполнены ли требования, зависят штрафы, проверки, а иногда и право компании работать. Поэтому специалист по безопасности должен знать основные законы, а специалист по нормативке — знать их глубоко.

Цифры и сроки на 28.10.2026. Законы в этой области меняются часто. Перед практическим применением сверяйтесь с текстами законов на официальных сайтах.

Персональные данные: 152-ФЗ

Персональные данные — любая информация о конкретном человеке: имя, телефон, адрес, почта, история заказов. Почти любая компания их обрабатывает, и «Чайная лавка» тоже: в её базе — тысячи клиентов с адресами доставки.

Закон «О персональных данных» (152-ФЗ) требует:

• собирать только нужные данные и с согласия человека;
• защищать их организационными и техническими мерами;
• при утечке уведомить Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.

С 30 мая 2025 года за утечки действуют повышенные штрафы. За первую утечку компании грозит штраф до 15 млн ₽ в зависимости от того, сколько людей затронуто. За повторную — от 1 до 3% годовой выручки, но не больше 500 млн ₽.

Поэтому вопросы «где хранятся данные клиентов, кто к ним имеет доступ и что мы сделаем, если они утекут» — основа работы безопасника в любой компании.

Критическая инфраструктура: 187-ФЗ

Закон «О безопасности критической информационной инфраструктуры» (187-ФЗ) касается систем, от которых зависит жизнь людей и работа страны. Это организации здравоохранения, науки, транспорта, связи, энергетики, банков и финансов, топливно-энергетического комплекса, промышленности и других отраслей.

Такие организации обязаны оценить важность своих систем (это называется категорированием), выполнить требования по их защите и сообщать о компьютерных инцидентах в государственную систему обнаружения атак. Требования здесь строже, и специалистов, которые в них разбираются, особенно ценят.

Регуляторы

Регулятор	За что отвечает
ФСТЭК России	Технические требования к защите информации, сертификация средств защиты, требования к КИИ
ФСБ России	Шифрование, государственная система обнаружения компьютерных атак
Роскомнадзор	Персональные данные, реестр операторов, уведомления об утечках

Специалист по нормативке готовит документы для проверок, следит за изменениями требований и помогает техническим коллегам понять, что именно нужно сделать.

Уголовная ответственность

Знание атак — инструмент защитника. Использовать его против чужих систем без разрешения — преступление. Главные статьи Уголовного кодекса:

• статья 272 — неправомерный доступ к компьютерной информации;
• статья 273 — создание, использование и распространение вредоносных программ;
• статья 274.1 — неправомерное воздействие на критическую информационную инфраструктуру;
• статья 272.1 — незаконное использование и передача персональных данных.

Важно: «я только посмотрел и ничего не сломал» не освобождает от ответственности. Пентестеры работают только по письменному договору, где указано, что, когда и как можно проверять. Тренироваться можно на своих учебных стендах и специальных площадках — о них в уроке 8.