Зачем это бизнесу
Персональные данные обрабатывает каждая компания: сотрудники, клиенты, кандидаты. Требования 152-ФЗ касаются всех, но объём мер зависит от того, какие данные и в каком объёме вы обрабатываете. Чаще всего компании либо не делают ничего, либо покупают «коробку документов», которая не имеет отношения к реальным процессам. Оба варианта не проходят проверку.
Чек-лист
Организационные меры
- Назначен ответственный за организацию обработки персональных данных.
- Есть политика обработки персональных данных, и она опубликована на сайте.
- Определены цели обработки, состав данных и сроки хранения для каждого процесса.
- Получены согласия там, где они нужны, и есть основания там, где не нужны.
- Подано уведомление в Роскомнадзор, если вы обязаны его подать (большинство компаний обязаны).
- Сотрудники ознакомлены с правилами и обучены, есть подписи.
- Договоры с подрядчиками, которым передаются данные, содержат поручение на обработку.
Технические меры
- Определён уровень защищённости и составлена модель угроз.
- Доступ к данным разграничен по ролям, учётные записи персональные, есть MFA.
- Доступ к системам с данными журналируется.
- Резервные копии делаются, хранятся отдельно и проверены восстановлением.
- Данные не лежат в личных облаках и мессенджерах сотрудников.
- Трансграничная передача, если она есть, оформлена.
Поддержание
- Реестр рисков пересматривается хотя бы раз в год.
- Есть процесс реагирования на инцидент с данными и уведомления регулятора в срок.
- Ответы на анкеты заказчиков готовятся из актуальных документов, а не с нуля каждый раз.
На чём не стоит переплачивать
- На аттестации, если она не требуется по закону или по договору с заказчиком.
- На сертифицированных средствах защиты «для галочки» там, где достаточно правильно настроенных стандартных.
- На документах, которые никто не выполняет: проверяющие смотрят на процессы, а не на толщину папки.
Как мы это делаем
Аудит за две-три недели даёт реестр рисков и разрыв с требованиями. Затем закрываем организационные и технические меры и сопровождаем проверку. Ответственность за результат проверки по нашим пунктам фиксируем в договоре: аудит рисков и соответствие 152-ФЗ.