---
title: "Приказ Минздрава России от 03.07.2023 N 340н"
number: "340н"
issuer: "Министерство здравоохранения Российской Федерации"
issued_on: 2023-07-03
status: действует
canonical: "https://bukva.ai/docs/prikaz-340n-2023"
---

## Приказ Минздрава России от 03.07.2023 N 340н

# Приказ Минздрава России от 03.07.2023 N 340н

"Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных, эксплуатируемых в сферах деятельности, нормативно-правовое регулирование которых осуществляется Министерством здравоохранения Российской Федерации"

(Зарегистрировано в Минюсте России 07.08.2023 N 74650)

> [!IMPORTANT]
> Начало действия документа - 18.08.2023.


<a id="p100001"></a>Зарегистрировано в Минюсте России 7 августа 2023 г. N 74650

---


<div align="center">

<a id="p100002"></a>**МИНИСТЕРСТВО ЗДРАВООХРАНЕНИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ**

<a id="p100003"></a>**ПРИКАЗ**<br>
**от 3 июля 2023 г. N 340н**

<a id="p100004"></a>**ОБ ОПРЕДЕЛЕНИИ**<br>
**УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, АКТУАЛЬНЫХ**<br>
**ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В ИНФОРМАЦИОННЫХ СИСТЕМАХ**<br>
**ПЕРСОНАЛЬНЫХ ДАННЫХ, ЭКСПЛУАТИРУЕМЫХ В СФЕРАХ ДЕЯТЕЛЬНОСТИ,**<br>
**НОРМАТИВНО-ПРАВОВОЕ РЕГУЛИРОВАНИЕ КОТОРЫХ ОСУЩЕСТВЛЯЕТСЯ**<br>
МИНИСТЕРСТВОМ ЗДРАВООХРАНЕНИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ

</div>


<a id="p100005"></a>В соответствии с [частью 5 статьи 19](https://bukva.ai/docs/zakon-152-fz-2006/statya-19#p100385) Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных", [пунктом 1](https://bukva.ai/docs/postanovlenie-608-2012#p167) Положения о Министерстве здравоохранения Российской Федерации, утвержденного постановлением Правительства Российской Федерации от 19 июня 2012 г. N 608, приказываю:
<a id="p100006"></a>Определить [угрозы](#p100009) безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых в сферах деятельности, нормативно-правовое регулирование которых осуществляется Министерством здравоохранения Российской Федерации, согласно приложению к настоящему приказу.

<div align="right">

<a id="p100007"></a>Министр<br>
М.А.МУРАШКО

</div>






<div align="right">

<a id="p100008"></a>Приложение<br>
к приказу Министерства здравоохранения<br>
Российской Федерации<br>
от 3 июля 2023 г. N 340н

</div>


<div align="center">

<a id="p100009"></a>**УГРОЗЫ**<br>
**БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, АКТУАЛЬНЫЕ**<br>
**ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В ИНФОРМАЦИОННЫХ СИСТЕМАХ**<br>
**ПЕРСОНАЛЬНЫХ ДАННЫХ, ЭКСПЛУАТИРУЕМЫХ В СФЕРАХ ДЕЯТЕЛЬНОСТИ,**<br>
**НОРМАТИВНО-ПРАВОВОЕ РЕГУЛИРОВАНИЕ КОТОРЫХ ОСУЩЕСТВЛЯЕТСЯ**<br>
**МИНИСТЕРСТВОМ ЗДРАВООХРАНЕНИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ**

</div>


1. <a id="p100010"></a>Угрозами безопасности персональных данных, актуальными при обработке персональных данных в информационных системах персональных данных, эксплуатируемых в сферах деятельности, нормативно-правовое регулирование которых осуществляется Министерством здравоохранения Российской Федерации, являются:
<a id="p100011"></a>угрозы безопасности персональных данных, защищаемых без использования средств криптографической защиты информации (далее - СКЗИ);
<a id="p100012"></a>угрозы реализации целенаправленных действий с использованием аппаратных и (или) программных средств с целью нарушения безопасности защищаемых с использованием СКЗИ персональных данных или создания условий для этого.
2. <a id="p100013"></a>Для персональных данных, защищаемых без использования СКЗИ, актуальными являются угрозы, связанные с:
1) <a id="p100014"></a>особенностями функционирования технических, программно-технических и программных средств, обеспечивающих хранение, обработку и передачу информации;
2) <a id="p100015"></a>несанкционированным доступом к персональным данным лицами, обладающими пользовательскими правами доступа к государственным информационным системам, автоматизированным и информационным системам (далее - информационные системы), правами доступа к администрированию программных, программно-аппаратных средств, средств защиты информации, входящих в состав информационных систем, в ходе создания, эксплуатации, технического обслуживания и (или) ремонта, модернизации, вывода из эксплуатации информационных систем;
3) <a id="p100016"></a>воздействием вредоносного кода, вредоносной программы;
4) <a id="p100017"></a>использованием социального и психологического воздействия на лиц, обладающих правами доступа к информационным системам, правами доступа к администрированию программных, программно-аппаратных средств, средств защиты информации, входящих в состав информационных систем;
5) <a id="p100018"></a>несанкционированным доступом к отчуждаемым носителям персональных данных, включая переносные персональные компьютеры пользователей информационных систем;
6) <a id="p100019"></a>воздействием на отчуждаемые носители персональных данных, включая переносные персональные компьютеры пользователей информационных систем;
7) <a id="p100020"></a>несанкционированным доступом к персональным данным лицами, не обладающими правами доступа к информационным системам, правами доступа к администрированию программных, программно-аппаратных средств, средств защиты информации, входящих в состав информационных систем, с использованием уязвимостей:
<a id="p100021"></a>в организации защиты персональных данных;
<a id="p100022"></a>в обеспечении защиты сетевого взаимодействия и каналов передачи данных, в том числе с использованием протоколов межсетевого взаимодействия;
<a id="p100023"></a>в обеспечении защиты вычислительных сетей информационных систем;
<a id="p100024"></a>вызванных несоблюдением требований по эксплуатации средств защиты информации;
8) <a id="p100025"></a>использованием новых информационных технологий.
3. <a id="p100026"></a>Для реализации целенаправленных действий с использованием аппаратных и (или) программных средств с целью нарушения безопасности защищаемых с использованием СКЗИ персональных данных или создания условий для этого актуальными являются угрозы:
1) <a id="p100027"></a>создания способов, подготовки и проведения атак без привлечения специалистов в области разработки и анализа СКЗИ;
2) <a id="p100028"></a>создания способов, подготовки и проведения атак на различных этапах жизненного цикла СКЗИ;
3) <a id="p100029"></a>проведения атак нарушителями, находящимися вне пространства, в пределах которого осуществляется контроль за пребыванием и действиями лиц и (или) транспортных средств (далее - контролируемая зона);
4) <a id="p100030"></a>проведения на этапах разработки (модернизации), производства, хранения, транспортировки СКЗИ и этапе ввода в эксплуатацию СКЗИ (пусконаладочные работы) атак:
<a id="p100031"></a>направленных на внесение несанкционированных изменений в СКЗИ и (или) в компоненты аппаратных и программных средств, совместно с которыми штатно функционируют СКЗИ и в совокупности представляющие среду функционирования СКЗИ (далее - СФ), которые способны повлиять на выполнение предъявляемых к СКЗИ требований, в том числе с использованием вредоносных программ;
<a id="p100032"></a>направленных на внесение несанкционированных изменений в документацию на СКЗИ и компоненты СФ;
5) <a id="p100033"></a>проведения на этапе эксплуатации СКЗИ атак на:
<a id="p100034"></a>персональные данные;
<a id="p100035"></a>ключевую, аутентифицирующую и парольную информацию СКЗИ;
<a id="p100036"></a>программные компоненты СКЗИ;
<a id="p100037"></a>аппаратные компоненты СКЗИ;
<a id="p100038"></a>программные компоненты СФ, включая базовую систему ввода (вывода);
<a id="p100039"></a>аппаратные компоненты СФ;
<a id="p100040"></a>данные, передаваемые по каналам связи;
<a id="p100041"></a>иные объекты, которые установлены при формировании совокупности предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак с учетом применяемых в информационной системе информационных технологий, аппаратных средств (далее - АС) и программного обеспечения (далее - ПО);
6) <a id="p100042"></a>получения из находящихся в свободном доступе источников (включая информационно-телекоммуникационные сети, доступ к которым не ограничен определенным кругом лиц, в том числе информационно-телекоммуникационную сеть "Интернет") информации об информационной системе, в которой используется СКЗИ, такой как:
<a id="p100043"></a>общие сведения об информационных системах, в которых используются СКЗИ (назначение, состав, оператор, объекты, в которых размещены ресурсы информационной системы);
<a id="p100044"></a>сведения об информационных технологиях, базах данных, АС, ПО, используемых в информационных системах совместно с СКЗИ, за исключением сведений, содержащихся только в конструкторской документации на информационные технологии, базы данных, АС, ПО, используемые в информационной системе совместно с СКЗИ;
<a id="p100045"></a>содержание конструкторской документации на СКЗИ;
<a id="p100046"></a>содержание документации на аппаратные и программные компоненты СКЗИ и СФ;
<a id="p100047"></a>общие сведения о защищаемой информации, используемой в процессе эксплуатации СКЗИ;
<a id="p100048"></a>сведения о каналах связи, по которым передаются защищаемые СКЗИ персональные данные (далее - КС);
<a id="p100049"></a>все возможные данные, передаваемые в открытом виде по КС, не защищенным от несанкционированного доступа к информации организационными и техническими мерами;
<a id="p100050"></a>сведения обо всех проявляющихся в КС, не защищенных от несанкционированного доступа к информации организационными и техническими мерами, нарушениях правил эксплуатации СКЗИ и СФ;
<a id="p100051"></a>сведения обо всех проявляющихся в КС, не защищенных от несанкционированного доступа к информации организационными и техническими мерами, неисправностях и сбоях аппаратных компонентов СКЗИ и СФ;
<a id="p100052"></a>сведения, получаемые в результате анализа любых сигналов от аппаратных компонентов СКЗИ и СФ;
7) <a id="p100053"></a>применения:
<a id="p100054"></a>находящихся в свободном доступе или используемых за пределами контролируемой зоны АС и ПО, включая аппаратные и программные компоненты СКЗИ и СФ;
<a id="p100055"></a>специально разработанных АС и ПО;
8) <a id="p100056"></a>использования на этапе эксплуатации в качестве среды переноса действий, осуществляемых при подготовке и (или) проведении атаки:
<a id="p100057"></a>КС, не защищенных от несанкционированного доступа к информации организационными и техническими мерами;
<a id="p100058"></a>каналов распространения сигналов, сопровождающих функционирование СКЗИ и СФ;
9) <a id="p100059"></a>проведения на этапе эксплуатации атаки из информационно-телекоммуникационных сетей, доступ к которым не ограничен определенным кругом лиц, в том числе из информационно-телекоммуникационной сети "Интернет", если информационные системы, в которых используются СКЗИ, имеют выход в эти сети;
10) <a id="p100060"></a>использования на этапе эксплуатации находящихся за пределами контролируемой зоны АС и ПО из состава средств информационной системы, применяемых на местах эксплуатации СКЗИ (далее - штатные средства);
11) <a id="p100061"></a>проведения атак при нахождении в пределах контролируемой зоны;
12) <a id="p100062"></a>получения на этапе эксплуатации СКЗИ несанкционированного доступа к следующим объектам:
<a id="p100063"></a>документация на СКЗИ и компоненты СФ;
<a id="p100064"></a>помещения, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключевой, аутентифицирующей и парольной информации СКЗИ, в которых находится совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем (далее - СВТ), на которых реализованы СКЗИ и СФ;
13) <a id="p100065"></a>получения в рамках предоставленных полномочий, а также в результате наблюдений следующей информации:
<a id="p100066"></a>сведений о физических мерах защиты объектов, в которых размещены ресурсы информационной системы;
<a id="p100067"></a>сведений о мерах по обеспечению контролируемой зоны объектов, в которых размещены ресурсы информационной системы;
<a id="p100068"></a>сведений о мерах по разграничению доступа в помещения, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключевой, аутентифицирующей и парольной информации СКЗИ, в которых находятся СВТ, на которых реализованы СКЗИ и СФ;
14) <a id="p100069"></a>использования штатных средств, ограниченные мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий;
15) <a id="p100070"></a>получения несанкционированного физического доступа к СВТ, на которых реализованы СКЗИ и СФ;
16) <a id="p100071"></a>связанные с возможностью располагать аппаратными компонентами СКЗИ и СФ, ограниченные мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.



<a id="p100072"></a>

---