Выездная или документарная проверка контролирующих органов (Роскомнадзор, ФСТЭК, УФАС, прокуратура и др.) — это стресс-тест для системы защиты информации компании. Инспекторы имеют законное право запрашивать документы, изымать носители и получать доступ к информационным системам. Однако у бизнеса есть права и инструменты, чтобы не допустить утечу коммерческой тайны, персональных данных и иной конфиденциальной информации в процессе этих действий.

Ниже представлен подробный алгоритм действий: от подготовительной работы до поведения непосредственно во время проверки и работы с протоколами.

Правовая база: что считается конфиденциальным и что могут инспекторы

Прежде чем строить защиту, нужно четко понимать правовое поле. Согласно ст. 32 Конституции РФ, ФЗ-152 «О персональных данных», ФЗ-98 «О коммерческой тайне» и иным нормативным актам, конфиденциальная информация делится на основные категории:

• Персональные данные (ПДн): любая информация, относящаяся к прямо или косвенно определенному физическому лицу (сотрудники, клиенты, контрагенты). Контролирует Роскомнадзор.
• Коммерческая тайна: сведения любого характера (производственные, технические, экономические, организационные), режим конфиденциальности которых установлен владельцем. Защита регулируется самим владельцем информации.
• Государственная тайна и иная охраняемая законом тайна: подлежат защите по специальным режимам (ФСТЭК, ФСБ).

Важно: Инспекторы имеют право проверять соответствие защиты требованиям закона (наличие уведомлений, политик, приказов, технических средств), но не имеют права требовать разглашения самой сути конфиденциальной информации, если это не предусмотрено федеральным законом или судебным решением.

Подготовительный этап: «Тревожная папка» и аудит до прихода инспекторов

Лучшая защита — подготовленность. Как только получено уведомление о проверке (или в плановом режиме), необходимо:

Формирование «Тревожной папки» (по рекомендациям юристов, напр., УФАС/юристы)

Соберите пакет готовых шаблонов документов, чтобы не тратить время на их составление в стрессовой ситуации:

• Заявление о конфиденциальном характере изымаемых сведений (образец под конкретные виды тайны).
• Ходатайство о внесении замечаний в протокол осмотра/проверки.
• Заявление о несогласии с действиями (бездействием) инспекторов (если выходят за пределы полномочий).
• Уведомление инспектора о режиме коммерческой тайны на конкретных документах/носителях (со ссылкой на Перечень сведений, составляющих коммерческую тайну).

Актуализация внутренней документации (Политика ИБ, Перечни, Приказы)

Инспекторы в первую очередь проверяют «бумажку» (по данным Контура и SearchInform):

1. Уведомление Роскомнадзора об обработке ПДн (актуальность, сроки).
2. Перечень сведений, составляющих коммерческую тайну (утвержден руководителем, согласован с юристами).
3. Политика информационной безопасности (описание организационных и технических мер защиты).
4. Приказы о назначении ответственных за защиту ПДн/КТ, о доступах, об инструктажах.
5. Соглашения о неразглашении (NDA) с сотрудниками и контрагентами.

Техническая готовность (DLP, DCAP, шифрование)

По данным КРЕДО-С и SearchInform, эффективная техническая защита строится на трех китах:

• Network DLP: контроль периметра (почта, веб, мессенджеры, облака) — предотвращает утечку во время проверки через каналы связи.
• Endpoint DLP: агенты на рабочих станциях — блокируют копирование на флешки, печать, скриншоты конфиденциальных документов, которые инспектор может попросить показать на экране.
• Discovery (DCAP): поиск «разбросанных» конфиденциальных данных в файловых хранилищах — позволяет заранее знать, где лежат секреты, и изолировать их.

Совет: Системы DLP «из коробки» дают много ложных срабатываний. Необходима итеративная настройка политик заранее, чтобы в момент проверки система работала точно, а не блокировала бизнес-процессы.

Действия непосредственно во время проверки

Организация встречи и сопровождение

• Назначьте уполномоченного представителя компании (юриста или ИБ-специалиста), который будет сопровождать инспектора постоянно. Оставлять инспектора одного с сотрудниками или серверами — грубое нарушение безопасности.
• Проверьте предъявительские документы инспектора (предписание, служебное удостоверение, постановление о проверке). Убедитесь, что проверка проводится в сроки (для Роскомнадзора выездная проверка ≤ 20 дней).

Работа с запросом документов и изъятием носителей

Это самый критический момент для утечки данных.

• Предоставляйте копии, а не оригиналы. Если требуют оригинал — составляйте подробную опись с указанием грифа конфиденциальности на каждом листе.
• Маркировка. Каждый выдаваемый документ должен иметь штамп/надпись: «Коммерческая тайна», «Персональные данные», «Конфиденциально» со ссылкой на утвержденный Перечень.
• Заявление о конфиденциальности. При изъятии носителей (диски, ноутбуки, серверы) немедленно подавайте заранее подготовленное Заявление о конфиденциальном характере изымаемых сведений. Инспектор обязан его принять и отразить в протоколе.
• Цифровая изъятие. Если требуют доступ к базам/системам: предоставляйте выгрузки (выборки) данных, а не доступ к консоли администратора. Используйте анонимизацию/псевдонимизацию ПДн там, где это возможно (ст. 32 ФЗ-152).

Контроль действий инспектора с техническими средствами

• Запретите инспектору самостоятельно подключать свои флешки, кабели, сканировать сеть.
• Любые действия на компьютерах компании производятся только сотрудником компании под диктовку инспектора (или при его визуальном контроле экрана).
• Включите усиленный режим логирования (аудит) на всех системах, к которым обращается инспектор.

Работа с протоколом и итоговыми документами

Протокол осмотра/проверки, единственный юридически значимый документ, фиксирующий факты.

• Читайте внимательно. Не подписывайте «на бегу».
• Вносите замечания. Используйте заготовку из «Тревожной папки». Обязательно укажите: «С изъятыми документами/носителями связан режим коммерческой тайны/ПДн, разглашение недопустимо», «Копии предоставлены добровольно с соблюдением режима конфиденциальности».
• Фотофиксация. Сфотографируйте каждую страницу протокола и приложений (описей) сразу после подписания (или отказа от подписания).

После проверки: митигация рисков

1. Анализ изъятого: Составьте внутренний акт о составе изъятой информации. Оцените риски утечки на стороне контролирующего органа (хотя они обязаны соблюдать конфиденциальность по закону, риск человеческого фактора существует).
2. Смена паролей/ключей: Если инспектор имел доступ к системам (даже визуальный к экранам с паролями/ключами), срочно ротируйте секреты.
3. Обжалование: Если действия инспектора были незаконны (превышение полномочий, изъятие не по теме проверки, нарушение режима тайны), подавайте жалобу вышестоящему руководству или в суд в 10-дневный срок (для предписаний) или 3-месячный (для действий).
4. Аудит инцидента: Проведите разбор ситуации со службой ИБ: сработало ли DLP? Были ли инциденты? Обновите политики и перечни.

Чек-лист для руководителя / ЦИО / CISO (Краткая шпаргалка)

Защита конфиденциальной информации при проверке — это не разовое действие, а результат системной работы: правового оформления режима тайны (перечни, приказы, NDA), технической подготовки (DLP, шифрование, контроль доступа) и отработанных процедур взаимодействия с контролирующими органами.

Помните: инспектор проверяет вашу готовность защищать данные, а не сам по себе факт наличия данных. Грамотное оформление «Тревожной папки», четкое разделение доступа (выдача выборок вместо доступа к БД) и жесткий контроль за составлением протокола — это ваш главный щит. Инвестиции в настройку DLP-систем и регулярные внутренние аудиты (аттестацию объектов, категорирование данных) окупаются именно в момент стрессовой проверки, позволяя бизнесу сохранить активы и репутацию.

Статья подготовлена на основе актуальной правовой практики и рекомендаций экспертов ИБ (SearchInform, КРЕДО-С, Контур, УФАС) по состоянию на 2026 год.