Проверка Федеральной службы по техническому и экспортному контролю (ФСТЭК) – важный этап для любой организации, работающей с информационными системами, содержащими государственную тайну или персональные данные. В Амурской области, где особое внимание уделяется защите критически важных инфраструктур, подготовка к проверке требует тщательного подхода и знания региональных особенностей.

Что такое проверка ФСТЭК?

ФСТЭК осуществляет контроль за соответствием информационных систем требованиям нормативных правовых актов в сфере защиты информации. Цель проверки – убедиться, что:

• Система соответствует требованиям к защите информации (ФЗ‑152, ФЗ‑149, Приказ ФСТЭК № 17 и др.);
• Внедрены необходимые технические и организационные меры;
• Документация полностью отражает реальное состояние системы.

Нормативно-правовая база, актуальная для Амурской области

Для подготовки документов необходимо ориентироваться на следующие акты:

1. Федеральный закон 152‑ФЗ «О персональных данных»;
2. Федеральный закон 149‑ФЗ «Об информации, информационных технологиях и о защите информации»;
3. Приказ ФСТЭК России № 17 от «Об утверждении Положения о порядке проведения проверок»;
4. Региональные постановления Амурской области о защите критической информационной инфраструктуры (при наличии);
5. Технические регламенты (ТК 45/2015, ТК 46/2015) и стандарты ГОСТ Р 50922‑96, ГОСТ Р 52744‑2007.

Основные группы документов, которые проверяющий ФСТЭК запрашивает

Организационно‑правовые документы

• Устав организации и учредительные документы;
• Лицензии и разрешения, связанные с обработкой персональных данных;
• Приказы о назначении ответственного за информационную безопасность (ИБ) и уполномоченного по защите информации.

Политики и регламенты в сфере ИБ

• Политика информационной безопасности (ПИБ);
• Регламент доступа к информационным ресурсам;
• План реагирования на инциденты информационной безопасности;
• Процедуры резервного копирования и восстановления данных.

Техническая документация

• Схемы архитектуры ИС (информационных систем);
• Технические паспорта программного обеспечения;
• Отчёты о проведенных аудитах и тестах на уязвимости (penetration testing, vulnerability assessment);
• Журналы событий (лог-файлы) за последний квартал.

Документы по обработке персональных данных

• Реестр операторов и обработчиков персональных данных;
• Согласия субъектов данных (при необходимости);
• Оценка воздействия на защиту персональных данных (DPIA);
• Отчёты о выполнении требований ФЗ‑152 (например, журнал регистрации операций).

Договорная и кадровая документация

• Трудовые договоры с обязательствами по соблюдению ПИБ;
• Договоры с поставщиками ИТ‑услуг (включающие пункты о конфиденциальности и защите информации);
• Акты приёма‑сдачи ИТ‑оборудования.

Пошаговый план подготовки к проверке

Шаг 1. Формирование рабочей группы

Назначьте ответственного за подготовку (обычно главного специалиста по ИБ) и сформируйте команду из представителей:

• ИТ‑отдела;
• Юридического отдела;
• Отдела кадров;
• Финансового отдела (для вопросов лицензий и расходов).

Шаг 2. Аудит текущей документации

Проведите внутренний аудит, используя чек‑лист (см. ниже); Выявите пробелы и несоответствия.

Шаг 3. Обновление и дополнение документов

На основании аудита:

1. Обновите ПИБ в соответствии с последними изменениями в законодательстве;
2. Подготовьте или актуализируйте регламенты доступа и журналы контроля;
3. Сформируйте недостающие документы (например, DPIA, план реагирования).

Шаг 4. Тестирование технических мер

Проведите:

• Тесты на уязвимости (внутренний и внешний сканер);
• Проверку работоспособности резервного копирования;
• Симуляцию инцидента (план реагирования).

Шаг 5. Формирование «пакета» для ФСТЭК

Соберите все документы в единую структуру:

 1. Общие сведения (устав, лицензии) -. Организационные регламенты
 3. Техническая документация
 4. Документы по персональным данным
 5. Договоры и кадровые документы
 6. Журналы и отчёты за последний период

Шаг 6. Предварительный внутренний контроль

Проведите «пробную проверку» с привлечением независимого юриста или консультанта по ФСТЭК. Получите рекомендации и внесите финальные правки.

Шаг 7. Сдача документов в ФСТЭК

Согласно Приказу № 17, документы передаются в электронном виде через портал Госуслуги или в бумажном виде в отделение ФСТЭК в Хабаровске (региональный центр, обслуживающий Амурскую область). Не забудьте подписать сопроводительное письмо с указанием ответственного лица.

Чек‑лист для подготовки (по советам юристов)

Частые ошибки и как их избежать

• Отсутствие актуального ПИБ. Обновляйте политику минимум раз в год и после каждого значительного изменения ИС.
• Недостаточная детализация журналов доступа. Включайте ФИО, дату, время, объект доступа и результат операции.
• Неоформленные договоры с субподрядчиками. Каждый подрядчик, имеющий доступ к защищаемой информации, должен подписать отдельный договор о конфиденциальности.
• Отсутствие плана реагирования на инциденты. Даже если инциденты не происходили, наличие плана – обязательное требование.
• Неправильный формат подачи документов. ФСТЭК требует электронные файлы в формате PDF/A‑1b и подпись в виде электронной подписи (КЭП).

Практические рекомендации от юристов

1. Начинайте подготовку заранее. Минимум за 2‑3 месяца до планируемой проверки проведите предварительный аудит.
2. Ведите «живой» реестр документов. Используйте систему электронного документооборота (например, 1С:Документооборот) с автоматическим контролем сроков актуализации.
3. Привлекайте внешних экспертов. Независимый аудит повышает доверие проверяющих и помогает выявить скрытые риски.
4. Обучайте персонал. Регулярные тренинги по ПИБ и работе с персональными данными снижают вероятность нарушений.
5. Документируйте каждый шаг подготовки. Это будет полезно в случае вопросов со стороны ФСТЭК и в суде, если возникнут споры.

Что делать после проверки?

После получения акта проверки:

• Сравните замечания с вашим чек‑листом;
• Разработайте план устранения дефектов (с указанием сроков и ответственных);
• Подготовьте ответный документ и направьте его в ФСТЭК в установленный срок (обычно 30 дней);
• Внедрите корректирующие меры и обновите соответствующую документацию.

Подготовка к проверке ФСТЭК в Амурской области – это комплексный процесс, сочетающий юридический, организационный и технический аспекты. Системный подход, своевременное обновление документов и привлечение квалифицированных юристов позволяют минимизировать риски, успешно пройти проверку и обеспечить надёжную защиту информации.

Помните: качественная подготовка – это не только способ избежать штрафов, но и важный элемент репутации вашей компании в сфере информационной безопасности.

Статья подготовлена на основе актуального законодательства РФ и практического опыта юристов, специализирующихся на вопросах ФСТЭК в Дальневосточном федеральном округе.