В целях обеспечения защиты конституционных прав и свобод человека и гражданина при обработке его персональных данных в июле 2006 года был принят, а в январе 2007 года вступил в силу  Федеральный закон №152-ФЗ "О персональных данных". Предметом регулирования данного закона являются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами, юридическими лицами, физическими лицами  с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий, совершаемых с персональными данными с использованием средств автоматизации.
Статьей 19 данного закона предусмотрено, что "оператор  при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий".
Во исполнение указанной нормы закона Правительство Российской Федерации 17 ноября 2007 года приняло Постановление №781 "Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных" (далее – Положение).
Пунктом 2 Положения определено, что "безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий". При этом "безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии".
Пунктом 3 Положения предусмотрено, что Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в пределах их полномочий устанавливаются методы и способы защиты информации в информационных системах. Во исполнение данной нормы Федеральная служба по техническому и экспортному контролю утвердила ряд нормативных методических документов, в том числе определяющих обязательные требования по защите информации при их обработке в информационных системах персональных данных:
- "Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных" – утвержден Заместителем директора ФСТЭК России 15 февраля 2008 года;
- "Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных" – утвержден Заместителем директора ФСТЭК России 15 февраля 2008 года;
- "Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных" – утвержден Заместителем директора ФСТЭК России 14 февраля 2008 года;
- "Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" – утвержден Заместителем директора ФСТЭК России 15 февраля 2008 года.
Федеральной службой безопасности Российской Федерации разработаны методические документы, определяющие методы и средства обеспечения персональных данных с помощью шифровальных (криптографических) средств:
- "Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации", утверждены руководством 8 Центра ФСБ России 21.02.2008 г. № 149/54-144;
- "Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных", утверждены  8 Центром ФСБ России 21.02.2008 г. № 149/6/6-622.
В соответствии с вышеизложенным, для обеспечения безопасности персональных данных в ИСПДн необходимо провести ряд мероприятий, включая разработку Модели угроз безопасности персональных данных, разработку и внедрение системы защиты персональных данных и других организационных и технических мероприятий, определенных руководящими документами ФСТЭК России и ФСБ России.