Росархив определил угрозы безопасности персональных данных

Росархив утвердил перечень актуальных угроз для персональных данных, которые обрабатываются в информационных системах в сфере деятельности агентства. Документ нужен, чтобы операторы таких систем могли оценивать риски и выбирать меры защиты информации.

Приказ Федерального архивного агентства от 21 мая 2026 года № 68 зарегистрирован Минюстом 24 июня 2026 года. Он принят с учетом закона о персональных данных и положения о Росархиве.

Перечень охватывает две группы рисков. Первая связана с персональными данными, которые защищаются без применения средств криптографической защиты информации. Вторая касается ситуаций, когда для защиты используются криптографические средства.

Для систем без криптографической защиты среди угроз названы особенности работы программных и технических средств, несанкционированный доступ, вредоносное программное воздействие, использование съемных носителей и персональных компьютеров, а также нарушение требований при эксплуатации средств защиты.

Отдельное внимание уделено человеческому фактору. Риски могут возникать как из-за действий лиц, имеющих доступ к системе, так и из-за социального или психологического воздействия на пользователей. Кроме того, учитываются угрозы, связанные с сетевым взаимодействием, каналами передачи данных и использованием новых технологий, включая виртуализацию, беспроводные, облачные технологии и удаленный доступ.

Для систем со средствами криптографической защиты перечень детализирован шире. В нем указаны атаки на ключевую, парольную и аутентифицирующую информацию, программные и аппаратные компоненты, документацию, каналы связи, физический доступ к оборудованию и возможность использования специальных аппаратных или программных средств.

На граждан приказ напрямую новых обязанностей не возлагает. Его практическое значение в другом: операторы и администраторы информационных систем должны учитывать утвержденные угрозы при настройке защиты персональных данных, контроле доступа, хранении и передаче информации.

Для архивной сферы это важно, поскольку такие системы могут содержать значимые массивы сведений о гражданах. Перечень позволяет выстраивать защиту не формально, а с учетом реальных сценариев доступа, утечки, вмешательства в работу системы или воздействия на пользователей.