+7 (495) 197 64 95 пн.-пт.: 10:00 - 18:00

Аудит на соответствие 152-ФЗ «О персональных данных»

Федеральный закон 152-ФЗ “О персональных данных”, вступивший в силу в 2006-м году, предъявляет строгие требования ко всем компаниям, ИП и даже физлицам, собирающим и хранящим персональные данные. Если организация так или иначе обрабатывает сведения о других лицах, то положения 152-ФЗ распространяются на неё в полной мере. То же самое справедливо для индивидуальных предпринимателей и граждан, не зарегистрированных в качестве ИП.

Аудит на соответствие 152-ФЗ «О персональных данных»

Эксперты по аудиту на соответствие 152-ФЗ

Музалевский Федор Александрович

Музалевский Федор Александрович

Ведущий эксперт компьютерно-технического направления

Опыт: Экспертная работа с 2010 года. Педагогический стаж с 2012 года. Кандидат физико-математических наук. Доцент кафедры ВМ и ИТ ФГБОУ ВО «ВГУИТ»

Профиль >>

Все эксперты
Царев Евгений Олегович

Царев Евгений Олегович

Управляющий

Опыт: Экспертная работа с 2011 года. Педагогический стаж с 2008 года

Профиль >>

Все эксперты
Гончаров Андрей Михайлович

Гончаров Андрей Михайлович

Юрист в области информационной безопасности

Опыт: Профессиональный опыт в области IT-права с 2015 года

Профиль >>

Все эксперты
Кобец Дмитрий Андреевич

Кобец Дмитрий Андреевич

Эксперт в сфере информационной безопасности

Опыт: Профессиональный опыт в сфере информационных технологий и информационной безопасности с 2009 года

Профиль >>

Все эксперты

Описание

Защита персональных данных

Согласно 152-ФЗ лишь две категории лиц могут обрабатывать персональные данные (ПДн): операторы и лица, совершающие обработку персональных данных по поручению оператора.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Каждый оператор обязан принимать меры по защите этих сведений. Как это реализуется на практике?

Информационная безопасность по 152-ФЗ включает в себя, прежде всего, проведение подготовки по статьям 18.1 и 19 закона. Статья 18.1 регламентирует правовую подготовку, статья 19 — техническую.

Правовая подготовка подразумевает разработку внутренней организационно-распорядительной документации. В частности, пункт 5 части 1 статьи 18.1 требует, чтобы организация-оператор регулярно выполняла аудит соответствия своих процедур обработки нормам законодательства. Техническая подготовка означает, что используемые на предприятии компьютерные системы обработки данных должны быть надежно защищены.

На первый взгляд, все требования прописаны достаточно подробно. Однако реализовать их на практике непросто. Те операторы, которые сталкиваются с этой задачей впервые, не всегда могут точно сказать, отвечает ли их подготовка нормативам закона.

Чем грозит несоответствие по 152-ФЗ?

За нарушение требований закона обработчик персональных данных несет ответственность. Российское законодательство предусматривает обширные санкции, которые могут налагаться на оператора, не соблюдающего требования ФЗ (ИП или руководителя предприятия). В числе этих санкций:
Чем грозит несоответствие по 152-ФЗ

  • конфискация несертифицированных средств защиты данных,
  • административная приостановка деятельности организации,
  • прекращение действия лицензии,
  • наложение штрафов,
  • возбуждение дела по признакам преступления, связанного с нарушением прав субъектов обрабатываемых данных,
  • прочие виды административной, гражданской и уголовной ответственности, вплоть до лишения свободы.

Операторам и тем, кто обрабатывает персональные данные избежать перечисленных неприятностей поможет аудит 152-ФЗ. Эксперты RTM Group помогут установить, соответствуют ли документация предприятия и системы защиты данных актуальным нормам.

Запрос коммерческого предложения

Что представляет собой аудит?

Программа аудита по 152-ФЗ включает изучение, анализ и оценку предприятия нормам 152-ФЗ в области защиты персональных данных. Основная задача — проверить, корректно ли и в полном ли объеме выполняются требования в конкретной компании. Также аудит может включать анализ готовности к инспекции со стороны Роскомнадзора. Здесь стоит отметить, что даже в случае качественной подготовки по букве закона компания не всегда сможет успешно пройти такую проверку. Это связано с тем, что зачастую представитель РКН запрашивает дополнительные сведения и документы, которые в компании могут отсутствовать.

Общая схема аудита и приведения в соответствие 152-ФЗ такова:
Общая схема аудита по 152-ФЗ

  1. Проверка организационно-правовой подготовки согласно нормам статей 18.1 и 19 (анализ документации).
  2. Проверка технических мер, направленных на защиту конфиденциальных данных согласно статье 19 (анализ защищённости систем, используемых для обработки ПДн).
  3. Оценка готовности к инспекции со стороны Роскомнадзора — проводится согласно стандартизированному плану проверки РКН и включает изучение внутренней документации, инструкции для персонала, консультирование и др.

Обратите внимание, что аудит по пункту 2 имеет право проводить только организация, имеющая лицензию ФСТЭК РФ на ТЗКИ. Обязательно следует удостовериться в наличии такого документа у организации, выполняющей аудит. RTM Group обладает всеми необходимыми лицензиями и разрешениями, а также выполняет аудит согласно всем актуальным нормам ФЗ.

Соответствие 152-ФЗ: стоимость услуг

Стоимость услуг на соответствие 152-ФЗ зависит от ряда факторов, среди которых — срочность, объемы проверяемых документов, сложность систем обработки.

По итогам каждого этапа в обязательном порядке предоставляется отчёт.

Отчёт включает в себя:
Отчет по 152-ФЗ

  • общую оценку соответствия нормам закона,
  • оценку технических средств защиты,
  • оценку документации предприятия в области защиты конфиденциальных данных клиентов,
  • готовность документации к инспекции Роскомнадзора,
  • соответствие оператора требованиям, предусмотренным планом проверки РКН,
  • недочёты и несоответствия, которые могут быть обнаружены сотрудниками РКН.

Подробнее о ценах

Сертификация СЗПДн

В соответствии с приказом ФСТЭК от 18 февраля 2013 г. N 21 «ОБ УТВЕРЖДЕНИИ СОСТАВА И СОДЕРЖАНИЯ ОРГАНИЗАЦИОННЫХ И ТЕХНИЧЕСКИХ МЕР ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ» для обеспечения защиты персональных данных, для всех уровней защищенности, должны применяться средства защиты информации, в том числе сертифицированные органами сертификации в области технической защиты информации (ФСБ России действует в области криптографической защиты информации, а ФСТЭК России – в области технической защиты информации некриптографическими методами) и внесенные в государственный реестр сертифицированных средств защиты информации.

Сегодня на рынке услуг по защите персональных данных можно наблюдать множество предложений по сертификации на соответствие Организации нормативным актам в области защиты персональных данных. По сути такая сертификация проводится в системе добровольной сертификации (не предусмотрена законодательством, регулирующим правоотношения в сфере персональных данных), делается по желанию руководства Организации и является маркетинговым приёмом.

Главное, что наличие подобного сертификата в Организации не даёт никаких привилегий в глазах регулятора и никак не защитит Организацию от проверок.

Лицензии 152-ФЗ

Для оказания услуг в области аудита и оценки соответствия 152-ФЗ Организации необходимо обладание лицензиями на соответствующие виды деятельности от контролирующих органов ФСТЭК и ФСБ.

Лицензия на деятельность:

  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты

Для соответствия требованиям регулятора в направлении защиты персональных данных проверяемой организации необходимо использовать только лицензионное ПО и средства защиты информации, имеющие поддержку посредством выпуска обновлений от вендора.

Почему RTM Group

  • Мы поможем Вам увидеть реальную картину защищенности данных, а не просто, формально провести аудит. Отчет наших экспертов подробно описывает каждую из выявленных проблем и дает конкретные рекомендации по их устранению, их выполнение обеспечивает успешное прохождение проверок.
  • Профиль деятельности RTM Group – проведение экспертиз по направлению ИТ и кибербезопасности.
    Мы специализируемся на технических экспертизах, аудитах информационной безопасности. Являемся постоянными Исполнителями работ по 382-П, 684-П, 683-П для российских банков, некредитных финансовых организаций, а также платежных систем.
  • Мы обладаем лицензиями:
    • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
    • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
    • Лицензия ФСБ России на работу со средствами криптозащиты

Лицензии RTM Group

Заказать работы по анализу соответствия 152-ФЗ о ПДн

Для уточнения стоимости и сроков звоните или пишите нам:

Тел: +7 (495) 309-31-25
Время работы: пн-пт 10:00 — 17:00 (мск)
email: info@rtmtech.ru

Также можете заполнить форму ниже.

Срок реакции на запрос по email или через форму — от 1 до 7 часов. Заявки принимаются круглосуточно.






Видео по аудиту на соответствие 152-ФЗ

Наши преимущества

Команда IT-юристов №1 в России

Юристы с профильной подготовкой в информационных технологиях

3 лицензии

ФСТЭК России и ФСБ России

100% удовлетворенность заказчиков

Более 80% заказчиков оценивают нашу работу как "отлично". По итогам ежегодного опроса, минимальная оценка - "удовлетворительно"

Цены на услуги по аудиту на соответствие 152-ФЗ

Наименование услуги Стоимость

Консультация

бесплатно

Аудит на соответствие 152-ФЗ

от 100 000 руб.

Подготовка пакета документов

от 100 000 руб.

* Мы работаем исключительно с юридическими лицами и ИП.

FAQ: Часто задаваемые вопросы

Мы не являемся оператором по персданным, просто интернет-магазин. Чему мы должны соответствовать?

Здравствуйте.
Если интернет-магазин осуществляет сбор и обработку данных клиентов (имя, email, номер телефона и проч.), то юридическое лицо автоматически становится оператором персональных данных. В этой ситуации необходимо соответствовать не только 152-ФЗ, но и постановлению правительства №1119.

Услуги для вас

НАМ ДОВЕРЯЮТ