В современной России контроль за обработкой персональных данных и использованием электронной подписи (ЭП) возглавляет Роскомнадзор. Регулятор применяет риско‑ориентированный подход (постановление Правительства от № 1046) и формирует для каждого оператора цифровой профиль риска. Если ваш профиль попадает в «красную» зону, вы можете стать объектом проверки в системе «Емве» – специальной платформы, где фиксируются все сигналы риска и инициируются инспекции.
В этой статье мы подробно разберём, что такое цифровой профиль риска, какие факторы влияют на его формирование и какие практические шаги помогут снизить вероятность проверки.
Что такое цифровой профиль риска?
Цифровой профиль риска – это совокупность оценок, построенных на основе данных о вашей деятельности в сфере обработки персональных данных, использования ЭП, проведения финансовых операций и соблюдения требований законодательства. Профиль формируется автоматически в системе Емве и состоит из нескольких блоков:
- Технические параметры – тип и сертификация токенов, наличие FSTEC/ФСБ‑сертификации, состояние криптографических модулей.
- Процедурные параметры – наличие актуальных политик безопасности, журналов аудита, регулярных проверок.
- Поведенческие параметры – частота и объём транзакций, количество отклонённых запросов в личном кабинете ЧЗ, наличие инцидентов фишинга.
- Документальные параметры – качество сканов KYC‑документов, своевременность их обновления.
Каждый блок получает оценку риска (низкая, средняя, высокая). Суммарный балл определяет категорию вашего профиля и вероятность получения проверки в Емве.
Как формируется профиль в системе «Емве»?
Система «Емве» получает данные из нескольких источников:
- Базы данных Роскомнадзора (реестр операторов персональных данных).
- Системы ФСТЭК и ФСБ (сертификация токенов, статус ЭП).
- Собственная аналитика Емве – мониторинг транзакций, статистика отклонений в личном кабинете ЧЗ.
- Кросс‑проверка с налоговыми и банковскими реестрами (объём и частота переводов, кредитные истории).
Алгоритм расчёта учитывает дополнительные факторы:
- Наличие социальных рисков – передача токена и PIN‑кода третьим лицам, использование слабых паролей.
- Технические уязвимости – устаревшее ПО, отсутствие обновлений.
- Поведенческие сигналы – частые попытки входа с разных IP, использование публичных Wi‑Fi.
Если в любой из перечисленных пунктов обнаруживается отклонение, система повышает ваш риск‑балл и может инициировать профилактический визит или проверку без предварительного информирования.
Основные факторы, повышающие риск
Ниже перечислены самые частые причины, по которым ваш профиль может попасть в «красную» зону:
| Фактор | Почему это риск | Как избежать |
|---|---|---|
| Неправильное хранение токена и PIN‑кода | Лёгкая цель для фишинга и внутреннего злоупотребления | Хранить токен в аппаратном HSM, PIN‑код – только у уполномоченного сотрудника |
| Качество сканов KYC‑документов | Размытые фото → отклонение в ЧЗ → рост риска | Сканировать в 300 dpi, без отражений, проверять читаемость перед загрузкой |
| Регулярные крупные переводы | Система воспринимает как отмывание денег | Разбивать суммы, вести подробный журнал целей переводов |
| Отсутствие аудита доступа к ЭП | Неизвестно, кто и когда использовал подпись | Вести журнал логов доступа, проводить ежемесячный аудит |
| Отсутствие обновлений ПО | Уязвимости, известные злоумышленникам | Обновлять ОС и криптографические модули в течение 30 дней после релиза |
Как снизить риск и избежать проверки
Ниже – пошаговый план, который поможет вам держать профиль в «зеленой» зоне.
Токены и электронные подписи
- Сертификация – используйте только токены, сертифицированные ФСТЭК или ФСБ.
- Хранение – токен храните в аппаратном HSM или в защищённом сейф‑контейнере.
- PIN‑код – задавайте сложный PIN (не менее 8 цифр, без последовательностей), меняйте каждые 90 дней.
- Запрет передачи – не передавайте токен и PIN‑код коллегам, знакомым или родственникам (см. предупреждение в исходных данных).
KYC‑документы и их качество
- Сканируйте документы в 300 dpi в цвете.
- Убедитесь, что все поля читаемы, без бликов и теней.
- Проверяйте соответствие данных в системе (ФИО, ИНН, паспорт) перед загрузкой.
- Храните оригиналы в закрытом шкафу, а копии – в зашифрованном облаке.
Мониторинг и статистика отклонений
В личном кабинете ЧЗ (раздел «Статистика отклонений») проверяйте раз в неделю:
- Количество отклонённых запросов.
- Причины отклонения (неправильный формат, просроченные документы).
- Тренды: растёт ли количество отклонений за последний месяц?
Если обнаружены отклонения – сразу устраняйте причину и фиксируйте действие в журнале.
Инвентаризация и аудит
Проводите полную инвентаризацию раз в квартал:
- Список всех токенов, их сертификаций и владельцев.
- Перечень всех пользователей ЭП и их прав доступа.
- Аудит журналов доступа за последние 90 дней.
- Проверка актуальности политик информационной безопасности.
Цифровая гигиена и защита от социальной инженерии
- Не открывайте ссылки из подозрительных писем, даже если они выглядят как сообщения от Роскомнадзора.
- Используйте двухфакторную аутентификацию (2FA) для всех сервисов, связанных с ЭП.
- Обучайте персонал: раз в полгода проводите тренинги по фишингу и безопасному обращению с токенами.
- Регулярно меняйте пароли, используйте генераторы случайных паролей.
Управление транзакциями
Система Емве отслеживает объём и частоту переводов. Чтобы не вызвать подозрений:
- Разбивайте крупные суммы (> 500 000 ₽) на несколько транзакций в течение нескольких дней.
- Документируйте цель каждой операции (договор, счет‑фактура).
- Храните подтверждающие документы в системе управления документами.
Что делать, если ваш профиль уже помечен?
Если система «Емве» выставила вам ограничения или вы получили уведомление о предстоящей проверке, следуйте алгоритму:
- Сохраните копию уведомления и зафиксируйте дату получения.
- Соберите полный пакет документов:
- Сертификаты токенов (ФСТЭК/ФСБ).
- Журналы доступа к ЭП за последние 6 месяцев.
- Качество сканов KYC‑документов.
- Отчёты по инвентаризации и аудиту.
- Отправьте документы через личный кабинет Емве в раздел «Предоставление документов».
- Установите контактное лицо (ответственного за безопасность) и согласуйте сроки предоставления дополнительных разъяснений.
- После закрытия проверки проведите корректирующие мероприятия (обновление политик, переобучение персонала) и задокументируйте их.
Цифровой профиль риска – это не просто абстрактный показатель, а реальный инструмент, который может привести к проверке в системе «Емве». Основные причины риска – человеческий фактор (передача токена, слабый пароль), некорректные документы и неправильные финансовые операции. Следуя рекомендациям, изложенным в этой статье, вы сможете:
- Поддерживать токены и ЭП в полностью сертифицированном и защищённом виде.
- Обеспечить высокое качество KYC‑документов.
- Регулярно мониторить отклонения и устранять их до того, как они повлияют на профиль.
- Снизить вероятность привлечения к проверке со стороны Роскомнадзора и других контролирующих органов.
Помните, что проактивный подход и постоянное улучшение процессов – лучшая защита от неожиданной проверки.
Дата публикации: 08:04:52