Что такое ИСПДн школы и почему их аттестуют
ИСПДн — информационная система персональных данных. В школе таких систем несколько: электронный журнал с дневниками, базы учеников и родителей (включая СКУД и питание), медкабинет, системы управления. Каждая система, где обрабатываются персональные данные, должна быть защищена по требованиям приказа ФСТЭК № 21, а её соответствие — подтверждено аттестацией (приказ ФСТЭК № 77 от 29.04.2021, испытания проводят аккредитованные лаборатории).
Зачем это школе, кроме формального соответствия: аттестация — это структурированная проверка того, что доступ к данным учеников ограничен, действия сотрудников фиксируются, инциденты обнаруживаются. Штрафная мотивация — утечка персональных данных стоит от 3 до 20 млн ₽ (ч. 13–14 ст. 13.11 КоАП, нормы введены законом от 30.11.2024 № 420-ФЗ), а надёжная защита данных несовершеннолетних — один из аргументов снижения рисков при разборе инцидента.
Какие системы школы попадают под аттестацию
| Система школы | ПДн в системе | Типовое решение |
|---|---|---|
| Электронный журнал/дневник | ФИО, оценки, посещаемость, контакты родителей | Аттестация как базовой ИСПДн школы |
| СКУД (проход по картам) | ФИО, фото, время прохода | Включение в границы ИСПДн или отдельная система |
| Питание (лицевые счета) | ФИО, льготы, платежи | Включение в границы ИСПДн; льготы — чувствительные сведения |
| Медкабинет | Сведения о здоровье | Спецкатегория ПДн — самый высокий уровень требований |
| Сайт с формами обратной связи | ФИО, контакты заявителей | Политика, защита форм, уведомление РКН |
| Системы распознавания лиц | биометрия | Отдельные согласия; спецкатегория |
Частая ошибка школ — аттестовать «журнал», забыв про СКУД и питание: формально эти системы обрабатывают те же данные учеников и должны входить в границы ИСПДн или аттестоваться отдельно.
Документы: что остаётся у школы
- Приказ о начале работ и границах ИСПДн — какие системы входят.
- Акт обследования — как реально устроена система: серверы, доступы, интеграции.
- Модель угроз — актуальный анализ угроз для конкретной школы (не «типовая скачанная»).
- Комплект организационно-распорядительных документов — приказы, инструкции, журналы, регламенты доступа и реагирования.
- Технический проект защиты — какие средства защиты применены.
- Программа и методика аттестационных испытаний, протокол испытаний.
- Аттестат соответствия — итоговый документ с указанием границ системы и срока действия условий.
Важное различие: аттестат — не «разрешение на жизнь», а подтверждение соответствия на момент испытаний. Если после аттестации школа подключила новую систему или расширила состав данных — нужны повторные испытания. С 01.03.2026 требования к защите систем госорганов и ГИС строит приказ ФСТЭК № 117, но школьные ИСПДн — по своему режиму (152-ФЗ, приказ № 21); приказ № 17 как действующий не упоминается — он заменён.
Порядок работ: шаг за шагом
- Определение границ ИСПДн и состава данных (уровень защищённости зависит от категории субъектов, состава данных и числа субъектов; для несовершеннолетних и спецкатегорий требования строже).
- Обследование системы: где физически данные, кто имеет доступ, как настроены средства защиты.
- Разработка модели угроз — под конкретную школу и её инфраструктуру.
- Устранение разрывов: настройка средств защиты, доработка документации, ограничение доступов.
- Аттестационные испытания лабораторией: проверка выполнения требований по уровню защищённости.
- Оформление аттестата и ввод системы в эксплуатацию (или продолжение эксплуатации с подтверждённым соответствием).
- Сопровождение: актуализация документации, ежегодный контроль, повторные испытания при изменениях.
Сроки и цены
Рыночные ориентиры (по открытым данным исполнителей на 06.09.2026; цены могут отличаться от актуальных):
- типовая школьная ИСПДн «под ключ» — от 200 тыс. ₽;
- распределённые ИСПДн (несколько площадок, много интеграций) — от 350 тыс. ₽ и выше;
- обследование и приведение документации в порядок (без испытаний) — от 60–100 тыс. ₽ по нижней границе рынка.
Сроки: обследование и модель угроз — 2–3 недели; приведение в соответствие — от 2 недель (зависит от состояния); испытания и оформление аттестата — 2–3 недели. Реалистичный горизонт для школы — 6–8 недель от старта до аттестата при готовой инфраструктуре.
Как закупить: в лимитах школы
Аттестация ИСПДн школы чаще всего проходит малой закупкой: до 600 тыс. ₽ у единственного поставщика через электронный магазин (п. 4 ч. 1 ст. 93 44-ФЗ), для учреждений образования — до 3 млн ₽ (п. 5). Годовой лимит малых закупок — 2 млн ₽ или 10% СГОЗ. При заказе через план-график применяется позиция КТРУ 71.20.19.115.
На что смотреть при выборе исполнителя: опыт именно с бюджетными ИСПДн (школы имеют специфику — несовершеннолетние, спецкатегории в медкабинете), аттестованная лаборатория в цепочке, состав работ «под ключ» (обследование + модель угроз + документация + испытания), сопровождение после аттестата.
Частые ошибки и их цена
- «Аттестат куплен» без обследования — при первой же проверке вскрывается отсутствие модели угроз; переделка дороже первичной работы.
- Устаревшие согласия — аттестат не спасает, если согласия на обработку данных не собраны или просрочены.
- Не включены системы (СКУД, питание, медкабинет) — формально система без аттестации = эксплуатация с нарушением.
- Нет ответственного — аттестат есть, реагировать на инцидент некому.
- «Сделали и забыли» — за 2–3 года документация расходится с реальностью; нужен ежегодный контроль.
Чем помочь
Мы аттестуем ИСПДн школ и других бюджетных организаций: обследование, модель угроз, документация, испытания аккредитованной лабораторией, сопровождение. Понимаем закупочные ограничения школ — работаем в лимитах малых закупок и помогаем с формулировками для электронного магазина. Первый шаг — бесплатная консультация: пришлите список систем, подскажем границы ИСПДн и вилку работ.