В современном мире информационные технологии (ИТ) стали неотъемлемой частью любой организации. Вместе с ростом цифровизации возрастает и внимание контролирующих органов к тому, как компании обрабатывают, хранят и защищают данные. В этой статье мы собрали самые часто задаваемые вопросы о проверках в ИТ‑сфере и предоставили подробные ответы, которые помогут подготовиться к проверке и избежать неприятных последствий;

Содержание

1. Что такое проверка в ИТ‑сфере?
2. Кто имеет право проводить такие проверки?
3. Какие нормативные акты регулируют проверки?
4. Какие типы проверок существуют?
5. Как подготовиться к проверке?
6. Часто задаваемые вопросы (FAQ)
7. Лучшие практики и рекомендации
8. Примеры из практики

Что такое проверка в ИТ‑сфере?

Проверка – это официальное действие контролирующего органа, направленное на оценку соответствия деятельности организации требованиям законодательства и нормативных актов в области информационных технологий. Цель проверки – убедиться, что:

• Обрабатываются персональные данные в соответствии с ФЗ‑152 «О персональных данных»;
• Соблюдаются требования к кибербезопасности (ФЗ‑187 «О безопасности критической информационной инфраструктуры»);
• Применяются лицензии и сертификаты, требуемые для определённых ИТ‑услуг;
• Выполняются обязательства по хранению и архивированию электронных документов.

Кто имеет право проводить такие проверки?

В зависимости от сферы деятельности и типа проверяемой организации, проверку могут проводить:

• Федеральная служба по техническому и экспортному контролю (ФСТЭК) – проверка средств защиты информации.
• Роскомнадзор – контроль за соблюдением законодательства о персональных данных.
• Федеральная налоговая служба (ФНС) – проверка правильности учета ИТ‑расходов и налоговых обязательств.
• Служба безопасности (ФСБ) – проверка на предмет угроз национальной безопасности.
• Региональные органы (например, органы исполнительной власти субъектов РФ) – в случае локальных программ контроля.

Какие нормативные акты регулируют проверки?

Ниже перечислены ключевые нормативные документы, которые часто становятся основанием для проверок:

1. ФЗ‑152 «О персональных данных» – регулирует сбор, хранение, обработку и передачу персональных данных.
2. ФЗ‑149 «Об информации, информационных технологиях и защите информации» – общие принципы информационной безопасности.
3. ФЗ‑187 «О безопасности критической информационной инфраструктуры» – требования к объектам, отнесённым к КИИ.
4. ФЗ‑59 «О порядке рассмотрения обращений граждан» – порядок подачи жалоб, которые могут стать поводом для проверки.
5. Приказы Минцифры РФ (например, Приказ № 331 от «Об утверждении методических рекомендаций по проведению аудита ИБ»).
6. Технические регламенты и стандарты (ГОСТ Р ИСО/IEC 27001, 27002 и др.).

Какие типы проверок существуют?

В зависимости от целей и полномочий проверяющих выделяют несколько основных видов:

Плановые (регулярные) проверки

Проводятся в заранее установленный срок, часто в рамках ежегодного аудита. Обычно они охватывают все ключевые процессы ИТ‑отдела.

Внеплановые (выборочные) проверки

Инициируются после получения жалобы, сообщения о нарушении или в рамках расследования инцидента.

Технические (технический аудит)

Фокусируются на конкретных технических решениях: защита периметра, шифрование, управление доступом, резервное копирование.

Юридические (комплаенс‑аудит)

Оценивают соответствие юридическим требованиям: лицензирование, соблюдение требований по персональным данным, договорные обязательства.

Финансово‑экономические проверки

Проверяют правильность учета ИТ‑расходов, наличие и обоснованность инвестиций в инфраструктуру.

Как подготовиться к проверке?

Сформировать команду по подготовке

• Назначить ответственного за взаимодействие с проверяющими (обычно это ИТ‑директор или главный специалист по информационной безопасности).
• Сформировать рабочую группу из представителей ИТ, юридического отдела, бухгалтерии и службы безопасности.

Провести внутренний аудит

Перед официальным визитом стоит выполнить собственный аудит, используя чек‑листы, основанные на требованиях ФЗ‑152, ФЗ‑187 и стандартах ISO 27001.

Подготовить документацию

Обязательно иметь под рукой следующие документы:

1. Политику информационной безопасности и регламенты доступа.
2. Договоры с поставщиками облачных сервисов и лицензиями.
3. Журналы регистрации доступа (лог‑файлы) за последний год.
4. Отчёты о проведённых тестах на уязвимости и пентестах.
5. Документы, подтверждающие согласие субъектов персональных данных (согласия, договоры обработки).
6. План восстановления после аварийных ситуаций (DRP) и результаты его тестирования.

Организовать «рабочее место» для проверяющих

Выделите отдельный кабинет или конференц‑зал, где проверяющие смогут работать с документами, подключаться к сети (при необходимости) и задавать вопросы.

Обучить персонал

Проведите короткий инструктаж для всех сотрудников, которые могут быть задействованы в процессе проверки. Объясните, какие вопросы им могут задать и как правильно отвечать.

Часто задаваемые вопросы (FAQ)

Можно ли отказаться от предоставления доступа к серверу?

В большинстве случаев проверяющие имеют законное право требовать доступ к системам, если это предусмотрено их полномочиями. Отказ может быть расценен как нарушение и привести к административной ответственности.

Сколько времени может длиться проверка?

Продолжительность зависит от объёма проверяемой инфраструктуры и типа проверки. Плановые аудиты обычно занимают от 3 до 10 рабочих дней, а внеплановые – от нескольких часов до нескольких дней.

Что происходит, если в ходе проверки обнаружены нарушения?

Контролирующий орган оформляет акт с указанием выявленных нарушений и предписывает их устранить в установленный срок (обычно 30–60 дней). В случае серьёзных нарушений могут быть наложены штрафы или приостановлена деятельность.

Нужно ли привлекать внешних экспертов?

Если у организации нет достаточного уровня экспертизы, привлечение внешних аудиторов (например, сертифицированных ISO 27001) может ускорить подготовку и повысить шансы пройти проверку без нареканий.

Можно ли использовать облачные сервисы, если их серверы находятся за границей?

Да, но необходимо соблюдать требования к трансграничной передаче персональных данных (ФЗ‑152). Требуется оформить договор с оператором, получить согласие субъектов и обеспечить надлежащий уровень защиты.

Лучшие практики и рекомендации

• Регулярно обновляйте политику ИБ. Пересматривайте её минимум раз в год или после значимых изменений в инфраструктуре.
• Ведите журнал доступа. Автоматически фиксируйте все входы в критические системы и храните логи минимум 12 месяцев.
• Проводите тесты на уязвимости. Регулярные пентесты (не реже чем раз в полгода) позволяют выявлять слабые места до того, как их обнаружат проверяющие.
• Обучайте персонал. Минимум раз в квартал проводите тренинги по кибербезопасности и правилам работы с персональными данными.
• Документируйте все изменения. Любая модификация инфраструктуры (установка ПО, изменение конфигураций) должна фиксироваться в системе управления изменениями (Change Management).
• Создайте план реагирования на проверку. Включите в него список ответственных, порядок предоставления документов и сценарии общения с проверяющими.
• Проверяйте контракты с подрядчиками. Убедитесь, что они включают обязательства по соблюдению требований ФЗ‑152 и ФЗ‑187.

Примеры из практики

Кейс: проверка Роскомнадзора в крупной финансовой компании

Компания получила уведомление о плановой проверке. Подготовка включала:

• Аудит процессов обработки персональных данных;
• Обновление согласий субъектов данных;
• Создание отдельного «песочницы» для доступа проверяющих к тестовым копиям баз.

Результат: нарушения не выявлены, компания получила рекомендацию «внести в политику ИБ пункт о периодическом пересмотре согласий», что было выполнено в течение 2 недель.

Кейс: проверка ФСТЭК в ИТ‑аутсорсинговой фирме

Во время внеплановой проверки было обнаружено отсутствие актуального плана восстановления после аварий (DRP). ФСТЭК наложил штраф в размере 300 000 рублей и потребовал разработать план в течение 30 дней. После доработки фирма прошла повторный аудит без дополнительных замечаний.

Кейс: проверка ФНС по налоговым аспектам ИТ‑расходов

Налоговая проверила корректность списания расходов на облачные сервисы. Ошибкой было отсутствие подтверждающих актов об оказании услуг. После предоставления исправленных актов и договоров, штраф был отменён.

Проверки в сфере информационных технологий – это не просто формальность, а важный механизм контроля за соблюдением законов о защите данных, кибербезопасности и финансовой отчетности. Правильный подход к подготовке, наличие актуальной документации и внедрение лучших практик позволяют не только успешно пройти проверку, но и повысить уровень информационной безопасности компании в целом.

Помните: проактивный аудит, регулярные тренинги персонала и чётко задокументированные процессы – это ваша лучшая защита от штрафов и репутационных потерь.

Если у вас остались вопросы или требуется консультация по подготовке к проверке, напишите нам – мы поможем разработать индивидуальный план действий.