Как подготовиться к проверке Роскомнадзора по персональным данным

В России контроль за защитой персональных данных распределен между несколькими органами. Каждый из них отвечает за свою область безопасности.

Роскомнадзор контролирует законность обработки персональных данных. Его интересует, на каком основании компания собирает информацию, как она оформляет согласия пользователей, как хранит данные и соблюдает ли права субъектов.

ФСБ России проверяет использование криптографических средств защиты информации — например, систем шифрования и средств электронной подписи.

ФСТЭК России отвечает за техническую защиту информации: системы безопасности, средства защиты, модель угроз и реализацию мер информационной безопасности.

Хотя у каждого регулятора своя зона ответственности, на практике их требования пересекаются. Например, Роскомнадзор может запросить документы по модели угроз или мерам защиты, а ФСТЭК — проверить, как реализованы процессы обработки персональных данных.

Работа с персональными данными регулируется целым набором законов и нормативных актов. Для бизнеса важно понимать, что требования распространяются не только на закон о персональных данных — они также содержатся в трудовом законодательстве, постановлениях правительства и отраслевых нормах.

Проверки регуляторов могут отличаться по форме и основаниям.

Наиболее известны плановые и внеплановые проверки. Плановые проверки проводятся по заранее утвержденному графику, однако в последние годы основной акцент сделан на внеплановые проверки. Они могут проводиться при утечке данных, жалобах граждан или подозрении на нарушение законодательства.

Кроме этого, существуют несколько форм проверочных мероприятий.

Профилактический визит проводится для разъяснения требований законодательства. Обычно он не сопровождается санкциями и позволяет компании понять, какие требования необходимо выполнить.

Инспекционный визит — это краткая проверка состояния информационной безопасности компании. Она может проводиться без длительной подготовки и направлена на выявление очевидных нарушений.

Документарная проверка предполагает анализ документов компании без выезда инспекции. Регулятор запрашивает пакет документов и оценивает соответствие законодательству.
Выездная проверка является наиболее масштабной формой контроля. В этом случае инспекторы посещают компанию, анализируют инфраструктуру, проверяют информационные системы и оценивают реальные процессы работы с персональными данными.

Проверки Роскомнадзора касаются практически любого бизнеса, поскольку большинство компаний обрабатывают персональные данные сотрудников или клиентов.

Основная задача регулятора — убедиться, что организация законно обрабатывает данные и соблюдает права субъектов персональных данных.

Во время проверки инспекция анализирует несколько направлений.

Прежде всего проверяется уведомление об обработке персональных данных. Компания должна зарегистрироваться в реестре операторов персональных данных и указать, какие категории данных она обрабатывает.

Также регулятор проверяет локальные документы компании. К ним относятся политика обработки персональных данных, положения о защите информации, приказы о назначении ответственных лиц и регламенты обработки данных.

Особое внимание уделяется согласиям субъектов персональных данных. Они должны быть оформлены корректно и содержать обязательные реквизиты, предусмотренные законом.

Отдельный блок проверки касается работы сайта компании. Если на сайте есть формы обратной связи, личные кабинеты или другие сервисы, собирающие данные пользователей, на сайте должна быть опубликована политика обработки персональных данных и механизм получения согласия пользователя.

Регулятор также может проверить, как компания реагирует на запросы пользователей о доступе к их данным или об их удалении.

ФСБ отвечает за контроль использования криптографических средств защиты информации.
Во время проверки инспекция может анализировать используемые средства шифрования, наличие лицензий на использование криптографических средств и порядок их эксплуатации.
Проверяется не только документация, но и фактическое использование средств защиты. Например, если криптографическое средство установлено, но используется неправильно или частично, это может стать основанием для предписания.

Также регулятор обращает внимание на порядок хранения криптографических ключей и доступ к оборудованию, на котором используются средства защиты информации (например, когда флэшка с ЭЦП включена постоянно в компьютер главного бухгалтера, который не просто установлен в общедоступном месте, но и на котором удаленно ИТ-подрядчик что-то настраивает по “программе удаленного управления компьютером”).

ФСТЭК контролирует техническую защиту информации и реализацию мер информационной безопасности.

В ходе проверки регулятор анализирует, как в компании организована система защиты информации. Проверяется наличие модели угроз, классификация информационных систем и реализация мер защиты.

Инспекция оценивает, какие средства защиты используются в инфраструктуре компании, сертифицированы ли они и соответствуют ли требованиям регуляторов.

Также анализируются процессы контроля безопасности: ведение журналов событий, мониторинг инцидентов, управление доступом пользователей и защита сетевой инфраструктуры.

Если меры защиты реализованы формально или не соответствуют требованиям законодательства, компания может получить предписание о модернизации системы безопасности.

Подготовка к проверке должна начинаться с анализа того, как в компании организована работа с персональными данными.

Прежде всего необходимо определить, какие данные обрабатываются, где они хранятся и кто имеет к ним доступ. Часто компании обнаруживают, что данные хранятся в нескольких системах, а процессы их обработки нигде не описаны. Поэтому начинать надо с карты потоков данных и местах их хранения.

Следующим шагом является актуализация документации. У компании должны быть разработаны внутренние документы, регламентирующие обработку персональных данных и меры их защиты. Эти документы должны отражать реальные процессы работы с данными. Не надо копировать шаблоны или “рисовать красиво, чтобы было”. Необходимо внедрить и описать минимально необходимый набор мер - это действительно важно.

В этом и заключается проверка технической стороны защиты информации. Информационные системы должны быть защищены с использованием средств контроля доступа, антивирусной защиты, журналирования событий и других механизмов безопасности.

Отдельное внимание следует уделить обучению сотрудников. Даже при наличии всех документов и средств защиты человеческий фактор остается одной из основных причин утечек данных.

Компании, которые регулярно проводят внутренние аудиты и анализируют риски информационной безопасности, обычно проходят проверки регуляторов без серьезных проблем.

Проверка Роскомнадзора — это не только контроль со стороны государства, но и возможность для компании оценить собственную систему защиты данных. Организации, которые понимают свои процессы обработки информации и регулярно проводят аудит безопасности, обычно проходят такие проверки без последствий.

Эксперты нашей команды помогают компаниям выстроить систему защиты персональных данных и подготовиться к проверкам регуляторов. Мы проводим аудит обработки данных, анализируем инфраструктуру информационной безопасности, разрабатываем комплект документов и помогаем внедрить необходимые меры защиты.

Такая подготовка позволяет не только снизить риски штрафов, но и повысить общий уровень безопасности бизнеса. Поверьте, что системы защиты (в частности для персональных данных) - это не пустая формальность, грамотная их работа действительно важна для устойчивости работы бизнеса.