ГОСТ Р 59407-2021

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                           ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                     НАЦИОНАЛЬНЫЙ                       ГОСТР
                                         СТАНДАРТ
                                       РОССИЙСКОЙ
                                                                        59407
                                                                           —


                                        ФЕДЕРАЦИИ                       2021




                           Информационные технологии

                       МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ
                               БЕЗОПАСНОСТИ
                            Базовая архитектура защиты
                               персональных данных
                                    (ISO/IEC 29101:2018, NEQ)




                                       Издание оф ициальное




                                                  Москва
                                              Стандартинформ
                                                   2021




сертификат на кирпич

ГОСТ Р 59407—2021


                                         Предисловие
     1 РАЗРАБОТАН Федеральным государственным учреждением «Федеральный исследовательский
центр «Информатика и управление» Российской академии наук» (ФИЦ ИУ РАН), Обществом с ограни­
ченной ответственностью «Информационно-аналитический вычислительный центр» (ООО «ИАВЦ») и
Акционерным обществом «Аладдин Р.Д.» (АО «Аладдин Р.Д.»)

     2 ВНЕСЕН Техническим комитетом по стандартизации ТК 022 «Информационные технологии»

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому ре­
гулированию и метрологии от 20 мая 2021 г. No 415-ст

      4 Настоящий стандарт разработан с учетом основных нормативных положений международно­
го стандарта ИСО/МЭК 29101:2018 «Информационные технологии. Методы и средства обеспечения
безопасности. Архитектура обеспечения приватности» (ISO/IEC 29101:2018 «Information technology —
Security techniques — Privacy architecture framework», NEQ).
      ИСО/МЭК 29101 разработан подкомитетом ПК 27 «Методы и средства обеспечения безопасности
ИТ» Совместного технического комитета СТК 1 «Информационные технологии» Международной орга­
низации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК)

     5 ВВЕДЕН ВПЕРВЫЕ

     6 Федеральное агентство по техническому регулированию и метрологии не несет ответственно­
сти за патентную чистоту настоящего стандарта. Патентообладатель может заявить о своих правах и
направить в национальный орган по стандартизации аргументированное предложение о внесении в
настоящий стандарт поправки для указания информации о наличии в стандарте объектов патентного
права и патентообладателе




     Правила применения настоящ его ста н д а р та установлены в с т а т ь е 26 Федерального закона
о т 29 июня 2015 г. No 162-ФЗ «О стандартизации в Российской Федерации». Информация об из­
менениях к настоящ ему ста н д а р ту публикуется в ежегодном (по состоянию на 1 января текущ его
года) информационном указателе «Национальные стандарты », а официальный т е к с т изменений
и поправок — в ежемесячном информационном указателе «Национальные стандарты ». В случае
пересмотра (замены) или отм ены настоящ его ста н д а р та соотве тствую щ е е уведомление будет
опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные
стандарты ». С оответствую щ ая информация, уведомление и т е к с т ы размещ аю тся та кж е в ин­
формационной систем е общего пользования — на официальном са й те Федерального а ге н тс тв а по
техническому регулированию и м етрологии в с е ти И н те р н е т (www.gost.ru)




                                                             © Стандартинформ. оформление. 2021

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии
II

ГОСТ Р 59407—2021


                                                                     Содержание
1 Область применения..........................................................................................................................                     1
2 Нормативные ссы лки.......................................................................................................................................... 1
3 Термины, определения и сокращ ения............................................................................................................ 2
   3.1 Термины и определения............................................................................................................................. 2
   3.2 Сокращения.................................................................................................................................................. 3
4 Общий обзор базовой архитектуры защиты персональных д а н н ы х ..........................................................3
  4.1 Элементы архитектуры...............................                                                                   3
  4.2 Взаимосвязь с системой управления........................................................................................................4
5 Участники обработки персональных данны х................................................................................................. 4
   5.1 Общие положения....................................................................................................................................... 4
   5.2 Этапы жизненного цикла персональных данных при обработке..........................................................5
6 Значимые вопросы.............................................................................................................................................. 7
  6.1 Общие положения........................................................................................................................................7
   6.2 Принципы обеспечения безопасности персональных д а н н ы х ............................................................ 7
   6.3 Требования защиты персональных д а н н ы х.............................                                                 7
7 Архитектурные представления.........................................................................................................................8
  7.1 Общие положения........................................................................................................................................8
   7.2 Представление с точки зрения компонентов........................................................................................... 8
   7.3 Представление с точки зрения действующих субъектов (сторон)......................................................19
  7.4 Представление с точки зрения взаимодействия...................................................................................22
Приложение А (справочное) Примеры значимых вопросов, связанных с защитой персональных
             данных...............................                                                                                  25
Приложение Б (справочное) Система агрегирования персональных данных с безопасными
             вычислениями.........................                                                                                                               29
Приложение В (справочное) Архитектура системы управления идентификационными данными
             и управления доступом, способствующая защите персональных данны х...................... 34
Библиография.......................................................................................................................................................39

ГОСТ Р 59407—2021


                                          Введение
     Настоящий стандарт предоставляет описания высокоуровневой базовой архитектуры и соответ­
ствующих мор защиты персональных данных в информационных системах персональных данных.
     Описанная в настоящем стандарте архитектура защиты персональных данных:
     - предоставляет последовательный высокоуровневый подход к реализации мер защиты при об­
работке персональных данных с использованием средств автоматизации,
     - предоставляет руководство по планированию, проектированию и построению архитектур ин­
формационных систем персональных данных, которые обеспечивают защиту персональных данных
путем контроля за их обработкой, доступом и передачей:
     - показывает, как технологии, обеспечивающие конфиденциальность персональных данных дей­
ствующих субъектов персональных данных, могут использоваться в качестве мер защиты.
     Настоящий стандарт учитывает основные положения нормативных правовых актов Российской
Федерации.
     Положения настоящего стандарта не исключают применение криптографических методов (алго­
ритмов) при обеспечении безопасности персональных данных, в частности их шифрование, но не уста­
навливают требования по их реализации.




IV