152‑ФЗ «О персональных данных»: Аудит на соответствие ПДн

Защита персональных данных

Согласно Федеральному закону № 152-ФЗ лишь две категории лиц могут обрабатывать персональные данные (ПДн): операторы и лица, совершающие обработку персональных данных по поручению оператора.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Каждый оператор обязан принимать меры по защите этих сведений. Как это реализуется на практике?

Информационная безопасность по 152-ФЗ включает в себя, прежде всего, проведение подготовки по статьям 18.1 и 19 закона. Статья 18.1 регламентирует правовую подготовку, статья 19 — техническую.

Правовая подготовка подразумевает разработку внутренней организационно-распорядительной документации. В частности, пункт 4 части 1 статьи 18.1 требует, чтобы организация-оператор регулярно выполняла аудит соответствия своих процедур обработки нормам законодательства. Техническая подготовка означает, что используемые на предприятии компьютерные системы обработки данных должны быть надежно защищены.

На первый взгляд, все требования прописаны достаточно подробно. Однако реализовать их на практике непросто. Те операторы, которые сталкиваются с этой задачей впервые, не всегда могут точно сказать, отвечает ли их подготовка нормативам закона.

Чем грозит несоответствие по 152-ФЗ?

За нарушение требований закона обработчик персональных данных несет ответственность. Российское законодательство предусматривает обширные санкции, которые могут налагаться на оператора, не соблюдающего требования Федерального закона (ИП или руководителя предприятия). В числе этих санкций:

• конфискация несертифицированных средств защиты данных,
• административная приостановка деятельности организации,
• прекращение действия лицензии,
• наложение штрафов,
• возбуждение дела по признакам преступления, связанного с нарушением прав субъектов обрабатываемых данных,
• прочие виды административной, гражданской и уголовной ответственности, вплоть до лишения свободы.

Операторам и тем, кто обрабатывает персональные данные избежать перечисленных неприятностей поможет аудит 152-ФЗ. Эксперты RTM Group помогут установить, соответствуют ли документация предприятия и системы защиты данных актуальным нормам.

Что представляет собой аудит?

Программа аудита по 152-ФЗ включает изучение, анализ и оценку предприятия нормам 152-ФЗ в области защиты персональных данных. Основная задача — проверить, корректно ли и в полном ли объеме выполняются требования в конкретной компании. Также аудит может включать анализ готовности к инспекции со стороны Роскомнадзора. Здесь стоит отметить, что даже в случае качественной подготовки по букве закона компания не всегда сможет успешно пройти такую проверку. Это связано с тем, что зачастую представитель РКН запрашивает дополнительные сведения и документы, которые в компании могут отсутствовать.

Общая схема аудита и приведения в соответствие 152-ФЗ такова:

1. Проверка организационно-правовой подготовки согласно нормам статей 18.1 и 19 (анализ документации).
2. Проверка технических мер, направленных на защиту конфиденциальных данных согласно статье 19 (анализ защищённости систем, используемых для обработки ПДн).
3. Оценка готовности к инспекции со стороны Роскомнадзора — проводится согласно стандартизированному плану проверки РКН и включает изучение внутренней документации, инструкции для персонала, консультирование и др.

Обратите внимание, что аудит по пункту 2 имеет право проводить только организация, имеющая лицензию ФСТЭК РФ на ТЗКИ. Обязательно следует удостовериться в наличии такого документа у организации, выполняющей аудит. RTM Group обладает всеми необходимыми лицензиями и разрешениями, а также выполняет аудит согласно всем актуальным нормам ФЗ.

Обработка биометрии в МФЦ и Банках в рамках приказа №453

Согласно требованиям приказа Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации №453 от 12 мая 2023 года, все многофункциональные центры и Банки, обрабатывающие биометрические персональные данные с целью аутентификации клиентов, обязаны проводить оценку соответствия требованиям по защите персональных данных.

Оценка соответствия производится в области требований приказа ФСТЭК №21 “Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных”.

Приказ ФСТЭК №21 содержит достаточно конкретные требования к системе защиты персональных данных, которые необходимо реализовать с использованием технических средств защиты.

Согласно требованиям 453 приказа Минцифры, такая оценка должна проводиться ежегодно и с привлечением лицензиата ФСТЭК в области технической защиты конфиденциальной информации. Привлекаемые компании должны иметь лицензию по видам работ б) д) и е) пункта 4 постановления правительства РФ от 03.02.2012 №79.

Соответствие 152-ФЗ: стоимость услуг

Стоимость услуг на соответствие 152-ФЗ зависит от ряда факторов, среди которых — срочность, объемы проверяемых документов, сложность систем обработки.

По итогам каждого этапа в обязательном порядке предоставляется отчёт.

Отчёт включает в себя:

• общую оценку соответствия нормам закона,
• оценку технических средств защиты,
• оценку документации предприятия в области защиты конфиденциальных данных клиентов,
• готовность документации к инспекции Роскомнадзора,
• соответствие оператора требованиям, предусмотренным планом проверки РКН,
• недочёты и несоответствия, которые могут быть обнаружены сотрудниками РКН.

Подробнее о ценах

Сертификация СЗПДн

В соответствии с приказом ФСТЭК от 18 февраля 2013 г. N 21 «ОБ УТВЕРЖДЕНИИ СОСТАВА И СОДЕРЖАНИЯ ОРГАНИЗАЦИОННЫХ И ТЕХНИЧЕСКИХ МЕР ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ» для обеспечения защиты персональных данных, для всех уровней защищенности, должны применяться средства защиты информации, в том числе сертифицированные органами сертификации в области технической защиты информации (ФСБ России действует в области криптографической защиты информации, а ФСТЭК России – в области технической защиты информации некриптографическими методами) и внесенные в государственный реестр сертифицированных средств защиты информации.

Сегодня на рынке услуг по защите персональных данных можно наблюдать множество предложений по сертификации на соответствие Организации нормативным актам в области защиты персональных данных. По сути такая сертификация проводится в системе добровольной сертификации (не предусмотрена законодательством, регулирующим правоотношения в сфере персональных данных), делается по желанию руководства Организации и является маркетинговым приёмом.

Главное, что наличие подобного сертификата в Организации не даёт никаких привилегий в глазах регулятора и никак не защитит Организацию от проверок.

Лицензии 152-ФЗ

Для оказания услуг в области аудита и оценки соответствия 152-ФЗ Организации необходимо обладание лицензиями на соответствующие виды деятельности от контролирующих органов ФСТЭК и ФСБ.

Лицензия на деятельность:

• Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
• Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
• Лицензия ФСБ России на работу со средствами криптозащиты

Для соответствия требованиям регулятора в направлении защиты персональных данных проверяемой организации необходимо использовать только лицензионное ПО и средства защиты информации, имеющие поддержку посредством выпуска обновлений от вендора.

Почему RTM Group

• Мы поможем Вам увидеть реальную картину защищенности данных, а не просто, формально провести аудит. Отчет наших экспертов подробно описывает каждую из выявленных проблем и дает конкретные рекомендации по их устранению, их выполнение обеспечивает успешное прохождение проверок.
• Профиль деятельности RTM Group – проведение экспертиз по направлению ИТ и кибербезопасности.
  Мы специализируемся на технических экспертизах, аудитах информационной безопасности. Являемся постоянными Исполнителями работ по 821-П, 757-П, 851-П для российских банков, некредитных финансовых организаций, а также платежных систем.
• Мы обладаем лицензиями:
  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты