У компании есть сайт с формой обратной связи, база клиентов и несколько сотрудников. Кажется, что для защиты персональных данных достаточно разместить политику конфиденциальности, поставить галочку согласия и включить HTTPS. Но российское законодательство требует значительно большего. Даже небольшая организация должна контролировать доступ к информации, оценивать угрозы, защищать базы данных и уметь действовать при утечке.
Причём требования распространяются не только на банки, больницы и крупные интернет-магазины. Оператором персональных данных может оказаться обычная компания с CRM, бухгалтерской программой или сайтом, принимающим заявки. Размер бизнеса сам по себе не освобождает от обязанностей.
Разберём, какие меры по обеспечению безопасности персональных данных действительно обязательны в 2026 году, как определить уровень защищённости информационной системы, какие документы подготовить и за какие нарушения Роскомнадзор может оштрафовать компанию на миллионы рублей.
Материал посвящён российскому законодательству и практической информационной безопасности. Конкретный состав обязательных мер зависит от категории данных, архитектуры информационных систем, актуальных угроз и отраслевых требований. Примеры не заменяют индивидуальную правовую и техническую оценку.
Какие персональные данные нужно защищать и что требует закон
Персональные данные представляют собой любую информацию, относящуюся к прямо или косвенно определённому либо определяемому физическому лицу. Закон не устанавливает закрытого перечня таких сведений.
Фамилия вместе с номером телефона, адрес доставки, история заказов, паспортные реквизиты или сведения о зарплате обычно позволяют связать информацию с конкретным человеком. IP-адрес, cookie-идентификатор и технические журналы тоже могут относиться к персональным данным, если в конкретных условиях позволяют определить пользователя.
При этом отдельная фамилия без дополнительного контекста не всегда позволяет установить личность. Правовой статус информации зависит не только от названия поля в базе, но и от возможности идентифицировать человека.
Для практической работы полезно различать несколько категорий.
- Иные персональные данные. Контактная информация, адреса доставки, реквизиты документов, сведения о заказах и другие данные, не относящиеся к специальным категориям или биометрическим персональным данным в смысле закона.
- Специальные категории. Сведения о здоровье, расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни. Для обработки действуют дополнительные ограничения.
- Биометрические персональные данные. Физиологические и биологические характеристики, которые оператор использует для установления личности. Например, изображение лица в системе биометрической идентификации. Обычная фотография сотрудника не становится биометрическими данными автоматически.
- Персональные данные из общедоступных источников. В рамках постановления № 1119 речь идёт о специальных источниках, созданных по статье 8 закона № 152-ФЗ. Сам факт размещения сведений в интернете не означает, что компания вправе использовать информацию без ограничений.
Уже на данном этапе возникает распространённая ошибка. Компания считает базу клиентов обычной коммерческой информацией и забывает, что для персональных данных действуют отдельные требования. Даже если сотрудники используют сведения исключительно для продаж, оператор обязан определить законное основание обработки и обеспечить безопасность.
Какие нормативные документы регулируют защиту
Основу составляет Федеральный закон № 152-ФЗ «О персональных данных». Закон определяет права граждан, обязанности операторов, основания обработки и общие меры защиты.
Для информационной безопасности особенно значимы статьи 18.1 и 19. Статья 18.1 требует организовать работу с персональными данными, а статья 19 устанавливает обязанность применять правовые, организационные и технические меры безопасности.
Следующий документ, постановление Правительства № 1119, устанавливает четыре уровня защищённости персональных данных в информационных системах и требования к каждому уровню.
Приказ ФСТЭК России № 21 определяет состав организационных и технических мер защиты для информационных систем персональных данных, или ИСПДн. Среди предусмотренных направлений находятся управление доступом, регистрация событий безопасности, антивирусная защита, обнаружение вторжений, защита виртуализации и реагирование на инциденты.
Летом 2026 года ФСТЭК представила проект нового приказа взамен № 21. Проект предусматривает более современный подход к облачным системам, программным интерфейсам, контейнерам и управлению уязвимостями. Однако проект нормативного акта нельзя считать действующим требованием до его принятия и официального вступления в силу. При подготовке системы защиты необходимо сверять статус документа на сайте ФСТЭК.
Если организация применяет средства криптографической защиты информации для выполнения требований к безопасности ИСПДн, учитывают также приказ ФСБ России № 378. Для бумажных документов действует постановление Правительства № 687, регулирующее особенности неавтоматизированной обработки.
С 1 марта 2026 года приказ ФСТЭК № 117 устанавливает обновлённые требования для государственных информационных систем и ряда других информационных систем государственных органов, государственных и муниципальных организаций. Обычной коммерческой компании нельзя автоматически приписывать все требования приказа № 117 только потому, что в её базе есть персональные данные.
Кто отвечает за безопасность персональных данных
Оператором считается организация или лицо, определяющее цели обработки, состав персональных данных и действия с ними. Компания не перестаёт быть оператором после передачи сайта подрядчику или переноса CRM в облако.
Юридическое лицо обязано назначить ответственного за организацию обработки персональных данных по статье 22.1 закона № 152-ФЗ. Такой сотрудник контролирует соблюдение требований, организует работу с обращениями граждан и доводит правила до работников.
Отдельно нужно определить, кто отвечает за техническую защиту информационных систем. Функции могут выполнять собственные специалисты или подрядчики. Постановление № 1119 прямо предусматривает назначение ответственного за безопасность ИСПДн начиная с третьего уровня защищённости. Для первого уровня предусмотрены дополнительные организационные требования.
В небольшой компании один квалифицированный сотрудник может совмещать несколько функций, если такое распределение не нарушает применимые требования и позволяет выполнять обязанности. Наличие назначенного ответственного не снимает ответственность с оператора.
Компания также должна проверить, направлено ли уведомление о намерении обрабатывать персональные данные в Роскомнадзор. Статья 22 предусматривает ограниченный перечень исключений. Например, уведомление не требуется при обработке исключительно без использования средств автоматизации. Прежние широкие исключения для данных работников и клиентов по договорам больше не действуют.
Уведомление подают до начала обработки. Если указанные в реестре сведения изменились, оператор сообщает об изменениях не позднее 15-го числа следующего месяца. При прекращении обработки действует срок в десять рабочих дней.
Регистрация в реестре бесплатна. Но включение компании в реестр не означает, что Роскомнадзор проверил и подтвердил безопасность информационных систем.
Как определить уровень защищённости персональных данных
Одна из наиболее частых ошибок состоит в попытке выбрать уровень защищённости по размеру организации. Маленькая компания якобы получает четвёртый уровень, а крупная автоматически первый.
Постановление № 1119 устроено иначе. Уровень зависит от категории персональных данных, их количества, принадлежности субъектов к работникам оператора и актуального типа угроз.
Первый уровень предъявляет наиболее строгие требования, четвёртый является наименее строгим. Однако четвёртый уровень не освобождает от защиты информации.
Три типа актуальных угроз
Постановление № 1119 выделяет три типа угроз безопасности персональных данных.
- Первый тип. Для системы актуальны угрозы, связанные с недокументированными возможностями системного программного обеспечения.
- Второй тип. Для системы актуальны угрозы, связанные с недокументированными возможностями прикладного программного обеспечения.
- Третий тип. Актуальные угрозы не связаны с такими недокументированными возможностями системного или прикладного программного обеспечения.
Выражение «недокументированные возможности» не означает любую программную уязвимость. Речь идёт о потенциальных функциях программного обеспечения, которые не описаны в документации и могут создавать угрозы безопасности.
Например, наличие уязвимого плагина интернет-магазина само по себе не доказывает, что для всей системы автоматически актуален второй тип угроз. Сначала проводят оценку угроз в конкретной архитектуре.
Практический пример определения уровня
Предположим, интернет-магазин хранит имена, телефоны, электронные адреса и историю заказов 30 тысяч покупателей. Данные о здоровье и биометрические персональные данные магазин не обрабатывает.
Специалисты описали информационную систему, оценили угрозы и обоснованно установили, что актуальны угрозы третьего типа.
При таких исходных условиях постановление № 1119 предусматривает четвёртый уровень защищённости для системы, обрабатывающей иные категории персональных данных менее чем 100 тысяч субъектов, не являющихся сотрудниками оператора.
Теперь представим, что количество клиентов выросло до 200 тысяч при сохранении той же категории данных и третьего типа угроз. Применяется уже третий уровень защищённости.
Если угрозы второго типа признаны актуальными, требования могут стать строже даже без изменения числа клиентов.
| Уровень | Пример условий применения | Дополнительные требования |
|---|---|---|
| 1 | Актуальны угрозы первого типа, система обрабатывает иные, специальные или биометрические данные | Все требования нижестоящих уровней, автоматический учёт изменений полномочий сотрудников, специальное подразделение или закрепление функций за существующим |
| 2 | Актуальны угрозы второго типа, система обрабатывает биометрические данные | Требования третьего и четвёртого уровней, ограничение доступа к содержанию электронного журнала безопасности |
| 3 | Актуальны угрозы третьего типа, система обрабатывает специальные данные менее 100 тысяч внешних субъектов | Требования четвёртого уровня и назначение ответственного за безопасность ИСПДн |
| 4 | Актуальны угрозы третьего типа, система обрабатывает иные данные сотрудников или менее 100 тысяч внешних субъектов | Защита помещений и носителей, утверждённый перечень допущенных работников, необходимые средства защиты |
Таблица показывает отдельные условия, а не все комбинации из постановления № 1119. Для окончательного решения необходимо проверить весь набор критериев, включая специальные правила для данных сотрудников и общедоступных источников.
После определения уровня защищённости оператор выбирает базовые меры по применимым требованиям ФСТЭК, адаптирует их под архитектуру и дополняет с учётом актуальных угроз.
Полученные решения нужно документировать. Практический результат работы представляет собой не просто запись «УЗ-4» в отчёте, а обоснование уровня, перечень угроз, набор защитных мер и доказательства их работоспособности.
Эффективность принятых мер оценивают до ввода ИСПДн в эксплуатацию. Постановление № 1119 также предусматривает контроль выполнения требований не реже одного раза в три года. Такой контроль не заменяет оперативную проверку обновлений, доступов и подозрительных событий.
Какие организационные и технические меры нужно внедрить
Универсального обязательного списка из десяти программ для всех организаций не существует. Закон предъявляет требования к результату, а подзаконные акты устанавливают конкретные механизмы с учётом уровня защищённости и актуальных угроз.
При этом большинство компаний сталкиваются с похожими проблемами. Лишние права доступа, общие учётные записи, устаревшие программы, открытые резервные копии и отсутствие журналов событий превращают обычную ошибку администратора в серьёзную утечку.
Организационные меры
Начать следует с реальных процессов обработки персональных данных.
- Провести инвентаризацию. Найти все системы и хранилища, содержащие персональные данные. Включить CRM, бухгалтерию, кадровые программы, сайт, электронную почту, архивы, резервные копии и рабочие компьютеры.
- Определить цели и правовые основания. Например, обработка адреса доставки для исполнения договора и использование того же адреса для рекламы могут иметь разные правовые основания.
- Назначить ответственных. Закрепить функции, полномочия, порядок взаимодействия с ИТ-специалистами и руководством.
- Утвердить документы. Подготовить политику обработки персональных данных, необходимые локальные акты, правила доступа, порядок реагирования на инциденты, сроки хранения и уничтожения информации.
- Проверить права работников. Менеджеру продаж обычно не нужен доступ ко всей кадровой базе, а бухгалтеру не требуется выгружать историю действий покупателей.
- Установить правила для подрядчиков. Определить в договоре цели и объём обработки, меры защиты, порядок предоставления подтверждающих документов и сообщения об инцидентах.
- Обучить сотрудников. Объяснить, как распознавать мошеннические письма, обращаться с файлами, передавать информацию и сообщать о подозрительных событиях.
- Проводить внутренние проверки. Сопоставлять утверждённые правила с фактическими настройками информационных систем.
Отдельное согласие требуется не для каждой операции. Закон допускает обработку на различных основаниях, в том числе для исполнения договора и выполнения законных обязанностей работодателя.
Если согласие действительно служит правовым основанием обработки, его необходимо получать надлежащим способом. С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иных документов и информации, которые подтверждает или подписывает субъект.
Галочка под текстом «Нажимая кнопку, вы соглашаетесь со всем» не заменяет конкретного и информированного согласия там, где закон требует именно согласие.
Технические меры
Техническая защита должна закрывать реальные пути доступа к информации.
- Идентификация и аутентификация. Использовать индивидуальные учётные записи, надёжные пароли и многофакторную аутентификацию для административных и других значимых доступов.
- Разграничение прав. Предоставлять минимально необходимые полномочия, разделять роли администратора, менеджера, бухгалтера и оператора поддержки.
- Защита сети. Ограничивать сетевой доступ к базам данных, отделять критичные системы от общедоступных сервисов и применять межсетевые экраны.
- Защита приложений. Обновлять программное обеспечение, проверять уязвимости, контролировать загрузку файлов и защищать программные интерфейсы от несанкционированного доступа.
- Журналирование. Регистрировать события входа, изменения прав, административные операции и другие значимые действия с персональными данными.
- Защита конечных устройств. Использовать подходящие средства против вредоносных программ, контролировать подключаемые устройства и устанавливать обновления безопасности.
- Резервное копирование. Создавать защищённые копии и регулярно проверять возможность восстановления данных.
- Шифрование. Защищать каналы передачи и, при необходимости, сведения при хранении. Выбор криптографических средств должен соответствовать применимым требованиям.
- Мониторинг и реагирование. Выявлять подозрительные действия и расследовать возможные инциденты до того, как злоумышленник выгрузит всю базу.
Некоторые организации дополнительно применяют DLP-системы для контроля движения конфиденциальной информации, SIEM для анализа событий безопасности и EDR для выявления атак на рабочих станциях и серверах.
Но ни DLP, ни SIEM, ни EDR не являются универсально обязательными продуктами для каждого оператора персональных данных. Конкретные механизмы выбирают по установленным требованиям и выявленным угрозам. Покупка дорогой программы сама по себе не подтверждает выполнение закона.
Таблица мер защиты для разных типов организаций
Разница между небольшим сайтом и крупной организацией заключается не в наличии или отсутствии обязанности защищать данные. Отличаются архитектура систем, типы угроз, масштаб обработки и необходимый состав мер.
| Тип организации | Какие данные обрабатывает | Обязательные действия | Практические технические меры | Особенности применения требований |
|---|---|---|---|---|
| Сайт с формой обратной связи | Имя, телефон, электронная почта, содержание обращения, технические идентификаторы | Определить основание обработки, опубликовать политику, уведомить Роскомнадзор при отсутствии исключений, обеспечить безопасность, установить сроки хранения | HTTPS, своевременные обновления CMS, ограничение доступа к заявкам, индивидуальные учётные записи, защищённая почта, резервные копии | Наличие одной формы не освобождает от 152-ФЗ. Требования постановления № 1119 и ФСТЭК применяют с учётом фактической ИСПДн и её уровня защищённости. WAF не обязателен автоматически |
| Интернет-магазин | Контакты, адреса доставки, история покупок, учётные записи, данные заказов | Разграничить цели обработки, установить сроки хранения, определить уровень защищённости, контролировать подрядчиков, обеспечить выполнение обязанностей оператора | Разделение доступа покупателей и сотрудников, MFA для администраторов, защита API, журналирование, проверка уязвимостей, резервное копирование, контроль массовых выгрузок | Число покупателей может влиять на уровень защищённости. При обработке платёжной информации возникают дополнительные требования платёжной инфраструктуры. Передача данных доставке должна иметь правовое основание |
| Небольшая компания | Персональные данные сотрудников, кандидатов, клиентов и контрагентов | Назначить ответственного, утвердить локальные документы, ограничить доступ к кадровым сведениям, определить уровни защищённости ИСПДн, контролировать обработку | Раздельные роли в бухгалтерии и CRM, MFA для значимых систем, шифрование рабочих ноутбуков по результатам оценки рисков, антивирусная защита, резервные копии, отзыв прав уволенных сотрудников | Малое число работников не отменяет требований. Кадровая система и CRM могут иметь разные категории данных и разные уровни защищённости |
| Крупная организация | Большие клиентские базы, кадровые данные, иногда специальные категории или биометрия | Провести оценку угроз по системам, определить уровни защищённости, организовать полноценное управление доступом, контроль подрядчиков, реагирование на инциденты и периодическую оценку мер | Централизованные журналы и мониторинг, управление привилегированными доступами, сегментация, защита баз и интерфейсов, контроль утечек, поиск уязвимостей, защищённые резервные копии | Более строгие требования возникают из характеристик ИСПДн, а не из статуса крупной компании. Для ГИС, биометрии, финансовых и других регулируемых систем возможны дополнительные отраслевые нормы |
В таблице разделены законодательные обязанности и типовые технические решения. Например, обеспечение разграничения доступа и регистрации событий предусмотрено требованиями к защите, но конкретный продукт для выполнения таких функций оператор выбирает исходя из применимых норм.
Для обычного сайта не обязательно покупать корпоративный комплекс мониторинга. Однако отсутствие дорогого программного обеспечения не оправдывает открытый доступ к базе клиентов или использование одного административного пароля всеми сотрудниками.
Где чаще всего возникают утечки
Технически наиболее опасны не только сложные атаки, но и обычные ошибки при настройке сервисов.
Открытая база данных. Администратор оставляет сервер базы доступным из интернета и не ограничивает подключения. В результате злоумышленнику иногда достаточно обнаружить открытый сервис.
Утечка через резервную копию. Основная база защищена, но архив выгружается в публично доступное файловое хранилище. Защита рабочего сервера не спасает, если резервная копия доступна посторонним.
Избыточные полномочия. Менеджер может выгрузить весь клиентский справочник, хотя для работы достаточно доступа к собственным заказам. При компрометации одной учётной записи злоумышленник получает информацию о тысячах людей.
Устаревший сайт. Компания вовремя не обновляет CMS или модуль интернет-магазина. Уязвимость позволяет получить доступ к административной панели либо извлечь записи из базы.
Передача данных сторонним сервисам. Работник загружает таблицу с клиентами в непроверенный облачный сервис или общедоступную нейросеть. Даже если внешняя система не взломана, сама передача может нарушать правила обработки и условия доступа к данным.
Формальная защита. Компания подготовила папку документов, но не проверила реальные права доступа, конфигурации, журналы событий и восстановление резервных копий.
Мой подход к защите персональных данных прост. Сначала нужно устранить возможность массовой выгрузки информации через одну ошибку или украденную учётную запись. Только после этого имеет смысл усложнять инфраструктуру дополнительными средствами мониторинга.
Что делать при утечке персональных данных и какие штрафы грозят компании
Если злоумышленник получил доступ к базе клиентов, проблему нельзя свести к смене пароля и восстановлению сайта.
Российский закон предусматривает отдельную процедуру уведомления Роскомнадзора. Обязанность возникает при установлении факта неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлекшего нарушение прав субъектов.
Статья 21 закона № 152-ФЗ устанавливает два срока.
- В течение 24 часов. Направить первоначальное уведомление об инциденте, предполагаемых причинах, возможном вреде, принятых мерах и контактном лице оператора.
- В течение 72 часов. Сообщить результаты внутреннего расследования и предоставить сведения о лицах, действия которых стали причиной инцидента, если такие лица установлены.
Сроки отсчитываются от момента выявления инцидента оператором, уполномоченным органом или иным заинтересованным лицом в соответствии с законом. Не следует откладывать первоначальное уведомление до окончания технической экспертизы.
Вместе с тем обнаружение любой уязвимости не равнозначно установленной утечке персональных данных. Оператор должен выяснить характер события и проверить, возникли ли предусмотренные законом основания для уведомления.
Порядок действий при обнаружении утечки
- Локализовать инцидент. Закрыть обнаруженный путь доступа, отозвать скомпрометированные ключи, заблокировать подозрительные учётные записи. Не уничтожать доказательства.
- Сохранить журналы событий. Зафиксировать время обнаружения, затронутые серверы, действия пользователей, сетевые соединения и другие данные, необходимые для расследования.
- Определить масштаб. Установить, какие категории персональных данных могли стать доступны, сколько субъектов затронуто и какие системы были скомпрометированы.
- Уведомить Роскомнадзор. При наличии установленного законом основания направить сообщение в предусмотренный срок, даже если расследование продолжается.
- Провести расследование. Найти источник компрометации, проверить соседние системы, журналы административных действий и учётные записи подрядчиков.
- Устранить причины. Исправить конфигурации, обновить программы, изменить правила доступа и проверить, не сохранил ли злоумышленник скрытый доступ.
- Оценить последствия для граждан. При необходимости организовать информирование затронутых лиц с учётом применимых норм, риска мошенничества и требований регулятора.
- Проверить восстановленную защиту. Повторить тесты, обновить оценку угроз и зафиксировать результат.
Для компьютерных инцидентов, повлекших неправомерную передачу или доступ к персональным данным, статья 19 также предусматривает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак в установленном порядке. Уведомление Роскомнадзора не следует автоматически считать выполнением всех обязанностей по сообщению об инциденте.
Какие штрафы действуют в 2026 году
С 30 мая 2025 года существенно выросли административные санкции за нарушения законодательства о персональных данных. Поправки внесены Федеральным законом № 420-ФЗ.
Размер наказания зависит от состава нарушения, статуса нарушителя, масштаба утечки, категории информации и повторности. Основные санкции для юридических лиц предусмотрены статьёй 13.11 КоАП РФ.
| Нарушение | Штраф для юридического лица |
|---|---|
| Обработка персональных данных без надлежащего законного основания в случаях, предусмотренных частью 1 | 150–300 тысяч рублей |
| Отсутствие опубликованной политики обработки персональных данных | 30–60 тысяч рублей |
| Неподача или несвоевременная подача обязательного уведомления о начале обработки | 100–300 тысяч рублей |
| Неуведомление Роскомнадзора об инциденте при наличии установленной законом обязанности | 1–3 миллиона рублей |
| Утечка данных от 1 до 10 тысяч субъектов либо установленного законом количества идентификаторов | 3–5 миллионов рублей |
| Утечка данных от 10 до 100 тысяч субъектов либо установленного законом количества идентификаторов | 5–10 миллионов рублей |
| Утечка данных более 100 тысяч субъектов либо более миллиона идентификаторов | 10–15 миллионов рублей |
| Утечка специальных категорий персональных данных | 10–15 миллионов рублей |
| Утечка биометрических персональных данных в случаях, предусмотренных частью 17 | 15–20 миллионов рублей |
| Повторная утечка при условиях, предусмотренных частями 15 и 18 | 1–3% установленной законом выручки, с минимальными и максимальными пределами |
Для повторных утечек обычных персональных данных, подпадающих под часть 15 статьи 13.11, минимальный оборотный штраф составляет 20 миллионов рублей, максимальный 500 миллионов. Для повторных нарушений со специальными категориями или биометрией по части 18 минимальный размер увеличивается до 25 миллионов рублей, максимальный остаётся 500 миллионов.
Оборотные штрафы не назначают автоматически за каждую утечку. Нужны предусмотренные законом условия повторности. Для отдельных категорий операторов действуют особенности административной ответственности, а индивидуальные предприниматели по ряду составов отвечают как юридические лица.
В таблице приведены основные санкции. КоАП также предусматривает ответственность за другие нарушения, включая несоблюдение требований локализации персональных данных и обработку без письменного согласия там, где письменная форма прямо обязательна.
Отдельного внимания заслуживает локализация. С 1 июля 2025 года при сборе персональных данных граждан России по общему правилу нельзя использовать зарубежные базы для записи, систематизации, накопления, хранения, уточнения или извлечения собранных данных. Закон предусматривает исключения. Последующая трансграничная передача регулируется отдельно и не становится автоматически допустимой только из-за размещения основной базы в России.
В июле 2026 года Федеральный закон № 265-ФЗ уточнил нормы о странах, обеспечивающих адекватную защиту прав субъектов персональных данных. Компаниям, использующим иностранных подрядчиков и облачные сервисы, следует отдельно проверять условия трансграничной передачи.
Нарушения могут повлечь не только административные штрафы. Возможны требования об устранении нарушений, судебные споры, компенсация вреда и другие последствия. За отдельные незаконные действия с компьютерной информацией или персональными данными уголовная ответственность может наступать для конкретных физических лиц при наличии соответствующего состава преступления.
Как проверить, что защита персональных данных действительно работает
Внутренняя проверка должна показать не только наличие документов, но и способность компании предотвратить утечку или обнаружить подозрительную активность.
Для первоначального аудита достаточно ответить на несколько практических вопросов.
- Известны ли все системы, в которых находятся персональные данные, включая архивы и резервные копии?
- Есть ли документированное обоснование уровня защищённости каждой ИСПДн?
- Может ли обычный сотрудник выгрузить всю клиентскую базу без дополнительного контроля?
- Заблокированы ли учётные записи бывших работников и подрядчиков?
- Защищены ли административные панели и удалённые подключения?
- Можно ли установить по журналам, кто обращался к определённой записи и какие административные операции выполнял?
- Проверяли ли восстановление резервной копии на практике?
- Есть ли процедура действий при утечке с учётом сроков 24 и 72 часа?
- Соответствуют ли фактические цели обработки, подрядчики и базы сведениям, представленным Роскомнадзору?
- Проверены ли сроки хранения и порядок уничтожения персональных данных, включая сведения в резервных копиях?
Хорошая проверка включает практический тест. Например, специалист создаёт учётную запись с правами обычного менеджера и проверяет, доступна ли выгрузка всех клиентов. Затем проверяет регистрацию попытки доступа, передачу сигнала ответственному сотруднику и возможность восстановления тестовых данных из резервной копии.
Проводить подобные испытания следует только в собственных системах или с разрешения владельца инфраструктуры. Тестирование должно исключать повреждение рабочих данных и нарушение прав реальных пользователей.
Частые вопросы о защите персональных данных
Нужно ли защищать персональные данные, если на сайте есть только форма обратной связи?
Да. Если форма собирает сведения, относящиеся к определённому или определяемому человеку, оператор должен выполнять применимые требования 152-ФЗ. Количество полей и посетителей не освобождает от обязанностей. Конкретные технические меры определяют по характеристикам информационной системы и актуальным угрозам.
Обязана ли небольшая компания покупать сертифицированные средства защиты?
Не существует универсальной обязанности покупать один и тот же набор сертифицированных программ для всех компаний. Постановление № 1119 предусматривает применение средств защиты, прошедших оценку соответствия, когда такие средства необходимы для нейтрализации актуальных угроз. Выбор зависит от уровня защищённости, модели угроз и применимых нормативных требований.
Требуется ли компании лицензия ФСТЭК для защиты собственных персональных данных?
Само по себе наличие базы персональных данных не создаёт обязанности получить лицензию ФСТЭК на техническую защиту конфиденциальной информации. Лицензионные требования зависят от выполняемой деятельности. Например, для оказания определённых услуг технической защиты другим организациям лицензия может потребоваться.
Можно ли хранить персональные данные сотрудников в обычной бухгалтерской программе?
Да, если оператор соблюдает требования к обработке и защите данных. Нужно определить состав сведений, законные основания, уровень защищённости ИСПДн, необходимые меры безопасности и порядок доступа. Название или распространённость бухгалтерской программы сами по себе не подтверждают соответствие требованиям закона.
Достаточно ли разместить сайт на российском хостинге для соблюдения закона?
Нет. Российский хостинг может помочь выполнить требования к расположению баз данных, но не заменяет законного основания обработки, ограничений доступа, технической защиты и необходимых документов. Также нужно учитывать сторонние аналитические сервисы, почтовые рассылки, облачные системы и резервные копии.
Обязательно ли получать согласие каждого сотрудника на обработку персональных данных?
Нет. Для обработки, необходимой работодателю в силу трудового, налогового и другого законодательства, могут действовать самостоятельные правовые основания. Дополнительные цели, например публикация фотографии работника в рекламных материалах, требуют отдельной правовой оценки. Не следует заменять анализ оснований универсальным согласием на любые действия.
Можно ли передать защиту персональных данных на аутсорсинг и снять с себя ответственность?
Передать технические работы подрядчику можно, но оператор сохраняет установленные законом обязанности перед субъектами персональных данных. Поручение обработки должно содержать необходимые условия, включая цели, действия с данными, требования безопасности и порядок сообщения об инцидентах. Договор не превращает подрядчика в единственного ответственного за все нарушения.
Нужно ли уведомлять Роскомнадзор, если злоумышленник пытался взломать сайт, но данные не похитил?
Не всякая неудачная атака создаёт обязанность уведомления об утечке по статье 21 закона № 152-ФЗ. Нужно установить характер инцидента и проверить, произошла ли неправомерная или случайная передача, предоставление, распространение либо доступ к персональным данным с нарушением прав субъектов. При этом могут действовать отдельные обязанности по сообщению о компьютерных инцидентах.
Вывод. Защита персональных данных начинается не с покупки дорогостоящей системы безопасности, а с понимания того, какие сведения компания собирает, где хранит и кому разрешает доступ. Закон требует не одинакового комплекта программ для всех организаций, а обоснованного набора правовых, организационных и технических мер.
Небольшому сайту прежде всего нужно проверить формы сбора данных, законные основания обработки, регистрацию оператора, настройки хостинга и доступ к заявкам. Интернет-магазину следует уделить особое внимание CRM, личным кабинетам, API и массовой выгрузке клиентских баз. Организациям с кадровыми системами необходимо разграничить доступ к сведениям сотрудников. Крупным операторам придётся выстраивать защиту для нескольких информационных систем с разными уровнями угроз и категориями данных.
Первым практическим шагом должна стать инвентаризация информационных систем и прав доступа. Затем нужно определить уровни защищённости, проверить выполнение требований ФСТЭК, устранить наиболее опасные технические ошибки и отработать действия при утечке. Если документы существуют только для проверяющих, а любой сотрудник способен скачать всю базу клиентов, реальной защиты у компании нет.
