Актуальность темы: В условиях тотальной цифровизации бизнеса и ужесточения законодательства (как в РФ, так и в странах ЕАЭС) проверка соответствия процессов обработки персональных данных (ПДн) нормативным требованиям перестала быть формальностью. Это стратегическая необходимость для минимизации рисков утечек, штрафов и репутационных потерь. По состоянию на регуляторы (Роскомнадзор в РФ, Минцифры в РК и др.) демонстрируют беспрецедентную активность в проведении плановых и внеплановых проверок.
Нормативная правовая база: фундамент проверки
Любая проверка строится на иерархии нормативных актов. В Российской Федерации ключевыми документами являются:
- Федеральный закон от № 152-ФЗ «О персональных данных» — основной закон, устанавливающий принципы, права субъектов и обязанности операторов. Статья 19 прямо обязывает оператора принимать необходимые правовые, организационные и технические меры для защиты ПДн.
- Постановление Правительства РФ от № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» — главный технический регламент. Он конкретизирует меры защиты в зависимости от уровня угроз (1–4 уровни) и класса информационной системы (КС1–КС3).
- ФСТЭК России: Приказ от № 21 (соизм. от № 239) — порядок оценки соответствия ИСПДн требованиям по защите ПДн.
- ФСБ России: Приказ от № 398 — требования к средствам криптографической защиты информации (СКЗИ) при обработке ПДн.
- Кодекс об административных правонарушениях (КоАП РФ), ст. 13.11, штрафные санкции за нарушения законодательства о ПДн (до 18 млн руб. за повторные нарушения, а также штрафы за утечки — ст. 13.11 ч. 3–4).
- УК РФ, ст. 272.1, уголовная ответственность за незаконное использование, передачу, сбор и хранение компьютерной информации, содержащей ПДн (актуально в свете недавних возбуждений уголовных дел МВД России).
Важно: Если организация работает с данными граждан стран ЕАЭС (например, Республики Казахстан), необходимо учитывать Закон РК «О персональных данных и их защите» и требования Министерства искусственного интеллекта и цифрового развития РК (Минцифры РК), которые также проводят активные проверки (как в случае с Daryn.online, где был установлен факт хранения 90 тыс. записей при заявленных 4,2 млн);
Виды проверок соблюдения требований Внутренний аудит (Самопроверка)
Инициируется оператором самостоятельно. Рекомендуется проводить не реже 1 раза в год, а также после существенных изменений в ИСПДн, изменении законодательства или инцидентах безопасности.
- Цель: Выявление разрывов (GAP-анализ) до прихода регулятора.
- Кто проводит: Внутренний контролер по защите ПДн, служба ИБ или привлеченные эксперты/аудиторы.
Внешний независимый аудит / Аттестация
Обязательна для ИСПДн 1–3 уровней угроз (средний, высокий, критичный) в порядке, установленном Приказом ФСТЭК № 21.
- Проводится: Аккредитованными центрами аттестации (лицензия ФСТЭК).
- Результат: Акт аттестации, заключение о соответствии, сертификат ФСТЭК (для СКЗИ/СЗИ).
Проверки контролирующих органов (Роскомнадзор, Прокуратура, МВД, ФСТЭК) - Плановые: По утвержденному графику (с 2021 г. введен мораторий на плановые проверки МСБ, но он не распространяется на проверки Роскомнадзора по защите ПДн в полной мере, а также на проверки по сигналам о утечках).
- Внеплановые: По обращениям субъектов ПДн, сообщениям в СМИ об утечках (как в новостях про Kapital.kz), сигналам от других госорганов.
- Документарные (камеральные): Анализ уведомлений, отчетов, публичных источников без визита на объект.
- Выездные: С доступом к серверным, рабочим местам, опросом персонала.
Этапы проведения комплексной проверки (Методология)
Независимо от вида проверки, профессиональный аудит включает 4 ключевых блока:
Этап 1: Организационно-правовой аудит (Legal & Governance) - Анализ локальных нормативных актов (ЛНА): Наличие и актуальность Политики конфиденциальности, Положения о защите ПДн, Инструкций по инцидентам, Журналов учета.
- Уведомление Роскомнадзора: Проверка факта уведомления (до 2022 г. — обязательно, сейчас, учет в реестре операторов при выполнении условий ст. 22 152-ФЗ).
- Документирование процессов: Карта обработки ПДн (Data Flow Map) — какие данные, где хранятся, кто имеет доступ, основания обработки (согласие, договор, закон).
- Работа с субъектами ПДн: Обеспечение прав (доступ, исправление, удаление — «право на забвение», отзыв согласия). Наличие формы обратной связи.
- Договоры с третьими лицами: Наличие условий по защите ПДн в договорах с подрядчиками (облачные провайдеры, колл-центры, HR-агентства).
Этап 2: Технический аудит Информационной системы (Technical Assessment) - Инвентаризация активов: Серверы, БД, АРМ, мобильные устройства, облака, где обрабатываются ПДн.
- Определение Уровня угроз и Класса ИСПДн: Расчет по методике ФСТЭК (Приказ № 21). От этого зависит набор мер защиты.
- Проверка мер защиты (по Постановлению № 1119):
- Идентификация и аутентификация: Парольные политики, МФА (двухфакторная аутентификация), учетные записи админов;
- Разграничение доступа (RBAC/МАС/ДАС): Принцип минимальных привилегий, разделение ролей (админ БД ≠ админ ОС ≠ оператор).
- Защита от НСД и вредоносного ПО: Антивирусы, IDS/IPS, контроль целостности (FIM), белые списки ПО.
- Криптографическая защита: Шифрование данных в покое (БД, бэкапы, диски) и в движении (TLS 1.2+/VPN/IPsec) с использованием сертифицированных ФСБ СКЗИ.
- Учет и контроль (SIEM/Логирование): Сбор логов безопасности, хранение не менее 6 месяцев (требование 1119), настройка корреляционных правил.
- Управление уязвимостями и обновлениями: Регулярное сканирование, установка критических патчей в установленные сроки.
- Резервное копирование и Восстановление (DRP): Регламент, периодичность, тестирование восстановления, шифрование бэкапов.
- Пентестинг и сканирование уязвимостей: Внешний и внутренний периметр, веб-приложения (OWASP Top 10), API.
Этап 3: Физическая и периметровая безопасность - Контроль доступа в серверные (СКУД, видеонаблюдение, журналы посещений).
- Защита от утечки по техническим каналам (акустика, излучение) — для объектов гостайны/КРИИ, опционально для коммерции.
- Утилизация носителей (протоколы уничтожения HDD, SSD, бумажных носителей).
Этап 4: Готовность к инцидентам (Incident Response) - Наличие утвержденного Плана реагирования на инциденты безопасности ПДн.
- Назначенные ответственные лица (CISO, DPO/Контролер).
- Процедура уведомления Роскомнадзора и субъектов ПДн в течение 24 часов с момента обнаружения утечки (ст. 22.1 152-ФЗ).
- Проведение учений (Tabletop exercises) раз в год.
Типичные нарушения, выявляемые при проверках (Топ-10) - Отсутствие или неактуальность модели угроз и карты обработки ПДн.
- Несоответствие реализованных мер защиты установленному уровню угроз/классу ИСПДн (например, нет МФА для 1-го уровня, нет шифрования БД для 2-го уровня).
- Использование несертифицированных СКЗИ/СЗИ (или истекшие сертификаты ФСТЭК/ФСБ).
- Нарушение принципа минимальных привилегий: у операторов доступ к админкам, у админов — доступ к данным без аудита.
- Отсутствие централизованного логирования и хранения логов < 6 месяцев.
- Хранение ПДн дольше установленных сроков или без основания (п. 5 ст. 6 152-ФЗ).
- Отсутствие договоров с операторами связи/облаками с условиями ст. 28 152-ФЗ (передача третьим лицам).
- Неготовность к уведомлению о утечке: нет шаблонов, нет регламента, пропущены 24 часа.
- Физический доступ посторонних к серверному оборудованию без сопровождения.
- Отсутствие обучения персонала (документированного) по защите ПДн и ИБ.
Последствия нарушений: от штрафов до уголовного дела
- Инвентаризация активов: Серверы, БД, АРМ, мобильные устройства, облака, где обрабатываются ПДн.
- Определение Уровня угроз и Класса ИСПДн: Расчет по методике ФСТЭК (Приказ № 21). От этого зависит набор мер защиты.
- Проверка мер защиты (по Постановлению № 1119):
- Идентификация и аутентификация: Парольные политики, МФА (двухфакторная аутентификация), учетные записи админов;
- Разграничение доступа (RBAC/МАС/ДАС): Принцип минимальных привилегий, разделение ролей (админ БД ≠ админ ОС ≠ оператор).
- Защита от НСД и вредоносного ПО: Антивирусы, IDS/IPS, контроль целостности (FIM), белые списки ПО.
- Криптографическая защита: Шифрование данных в покое (БД, бэкапы, диски) и в движении (TLS 1.2+/VPN/IPsec) с использованием сертифицированных ФСБ СКЗИ.
- Учет и контроль (SIEM/Логирование): Сбор логов безопасности, хранение не менее 6 месяцев (требование 1119), настройка корреляционных правил.
- Управление уязвимостями и обновлениями: Регулярное сканирование, установка критических патчей в установленные сроки.
- Резервное копирование и Восстановление (DRP): Регламент, периодичность, тестирование восстановления, шифрование бэкапов.
- Пентестинг и сканирование уязвимостей: Внешний и внутренний периметр, веб-приложения (OWASP Top 10), API.
Этап 3: Физическая и периметровая безопасность - Контроль доступа в серверные (СКУД, видеонаблюдение, журналы посещений).
- Защита от утечки по техническим каналам (акустика, излучение) — для объектов гостайны/КРИИ, опционально для коммерции.
- Утилизация носителей (протоколы уничтожения HDD, SSD, бумажных носителей).
Этап 4: Готовность к инцидентам (Incident Response) - Наличие утвержденного Плана реагирования на инциденты безопасности ПДн.
- Назначенные ответственные лица (CISO, DPO/Контролер).
- Процедура уведомления Роскомнадзора и субъектов ПДн в течение 24 часов с момента обнаружения утечки (ст. 22.1 152-ФЗ).
- Проведение учений (Tabletop exercises) раз в год.
Типичные нарушения, выявляемые при проверках (Топ-10) - Отсутствие или неактуальность модели угроз и карты обработки ПДн.
- Несоответствие реализованных мер защиты установленному уровню угроз/классу ИСПДн (например, нет МФА для 1-го уровня, нет шифрования БД для 2-го уровня).
- Использование несертифицированных СКЗИ/СЗИ (или истекшие сертификаты ФСТЭК/ФСБ).
- Нарушение принципа минимальных привилегий: у операторов доступ к админкам, у админов — доступ к данным без аудита.
- Отсутствие централизованного логирования и хранения логов < 6 месяцев.
- Хранение ПДн дольше установленных сроков или без основания (п. 5 ст. 6 152-ФЗ).
- Отсутствие договоров с операторами связи/облаками с условиями ст. 28 152-ФЗ (передача третьим лицам).
- Неготовность к уведомлению о утечке: нет шаблонов, нет регламента, пропущены 24 часа.
- Физический доступ посторонних к серверному оборудованию без сопровождения.
- Отсутствие обучения персонала (документированного) по защите ПДн и ИБ.
Последствия нарушений: от штрафов до уголовного дела
- Наличие утвержденного Плана реагирования на инциденты безопасности ПДн.
- Назначенные ответственные лица (CISO, DPO/Контролер).
- Процедура уведомления Роскомнадзора и субъектов ПДн в течение 24 часов с момента обнаружения утечки (ст. 22.1 152-ФЗ).
- Проведение учений (Tabletop exercises) раз в год.
Типичные нарушения, выявляемые при проверках (Топ-10) - Отсутствие или неактуальность модели угроз и карты обработки ПДн.
- Несоответствие реализованных мер защиты установленному уровню угроз/классу ИСПДн (например, нет МФА для 1-го уровня, нет шифрования БД для 2-го уровня).
- Использование несертифицированных СКЗИ/СЗИ (или истекшие сертификаты ФСТЭК/ФСБ).
- Нарушение принципа минимальных привилегий: у операторов доступ к админкам, у админов — доступ к данным без аудита.
- Отсутствие централизованного логирования и хранения логов < 6 месяцев.
- Хранение ПДн дольше установленных сроков или без основания (п. 5 ст. 6 152-ФЗ).
- Отсутствие договоров с операторами связи/облаками с условиями ст. 28 152-ФЗ (передача третьим лицам).
- Неготовность к уведомлению о утечке: нет шаблонов, нет регламента, пропущены 24 часа.
- Физический доступ посторонних к серверному оборудованию без сопровождения.
- Отсутствие обучения персонала (документированного) по защите ПДн и ИБ.
Последствия нарушений: от штрафов до уголовного дела
| Основание | Нарушение | Санкция (для юрлиц) |
|---|---|---|
| КоАП РФ ст. 13.11 ч. 1 | Нарушение принципов/условий обработки, прав субъектов | от 60 000 до 100 000 руб. (повторно — до 300 000 руб.) |
| КоАП РФ ст. 13.11 ч. 3 | Неисполнение требований Роскомнадзора об устранении нарушений | от 300 000 до 500 000 руб. |
| КоАП РФ ст. 13.11 ч. 4 | Утечка ПДн (нарушение режима защиты) | от 1 000 000 до 6 000 000 руб. (повторно — до 18 000 000 руб.) |
| КоАП РФ ст. 13.11 ч. 5 | Обработка ПДн без уведомления (если требуется) / нарушение переграничной передачи | от 1 000 000 до 6 000 000 руб. |
| УК РФ ст. 272.1 | Незаконный сбор, передача, хранение ПДн (крупный/особо крупный ущерб, группа лиц) | Штраф до 1 млн руб. / до 5 лет лишения свободы / обязательные работы |
| ГК РФ ст. 15, 1064 | Гражданско-правовая ответственность (моральный вред, убытки субъектов) | Взыскание судом (прецеденты выплат 50–300 тыс. руб. на человека) |
Репутационные риски: Внесение в реестр нарушителей законодательства о ПДн (публичный список Роскомнадзора), потеря доверия клиентов/партнеров, отзыв лицензий (банки, медорги, телеком).
Чек-лист подготовки к проверке регулятора (Express-аудит за 1 день)
Если пришло уведомление о проверке или выявился сигнал об утечке (как в новостях про Daryn.online или возбуждение УД по ст. 272.1 УК РФ), проверьте минимальный набор за 24 часа:
- [ ] Уведомление/Учет в реестре: Есть ли номер записи в реестре операторов РКН? Актуальны ли данные?
- [ ] Политика конфиденциальности на сайте: Соответствует ли ст. 18.1 152-ФЗ (назначение, категории, сроки, права, передача третьим)?
- [ ] Модель угроз и Акт категорирования ИСПДн: Утверждены ли руководителем? Соответствуют ли текущей архитектуре?
- [ ] Сертификаты СЗИ/СКЗИ: Действующие ли? Соответствуют ли классу ИСПДн?
- [ ] Журналы учета: Доступов (выдача/отзыв), инцидентов, обучения, уничтожения носителей.
- [ ] Наличие Плана реагирования: Утвержден? Есть ли контакты РКН, прокуратуры, МВД (К-УБ)?
- [ ] Бэкапы: Когда последнее успешное тестовое восстановление? Зашифрованы ли?
- [ ] Админские доступы: Кто имеет root/admin? Включена ли МФА? Ведется ли аудит их действий (SIEM)?
- [ ] Договоры с подрядчиками (Операторами от оператора): Есть ли приложения по защите ПДн?
- [ ] Обучение: Прошли ли все сотрудники с доступом к ПДн инструктаж за последний год? Есть ли росписи?
Роль квалификации персонала: инвестиция в безопасность
Согласно ст. 19 152-ФЗ и Постановлению № 1119, оператор обязан обеспечивать обучение уполномоченных лиц и сотрудников, имеющих доступ к ПДн. На рынке существует множество программ повышения квалификации (например, 3-дневные интенсивы в Санкт-Петербурге или онлайн, как упоминалось в информационных источниках).
Ключевые темы для обучения в 2026 году:
- Новые требования к уведомлению об утечках (порядок 24 часов, форма уведомления).
- Работа с биометрическими ПДн (ст. 11 152-ФЗ, особый режим).
- Применение ИИ при обработке ПДн (профилирование, автоматизированное принятие решений).
- Требования к переграничной передаче (адекватная защита, стандартные договорные условия).
- Практика применения ст. 272.1 УК РФ: чем грозит неосторожность админов/разработчиков.
Проверка соблюдения требований по защите персональных данных — это не разовое событие («сдали аттестацию и забыли»), а непрерывный процесс управления рисками (PDCA: Plan-Do-Check-Act).
События начала 2026 года (проверки Минцифры РК, уголовные дела МВД РФ по ст. 272.1, крупные утечки в открытых источниках) однозначно сигнализируют: регуляторы перешли к политике «нулевой толерантности» к халатности. Штрафы растут, уголовная ответственность становится реальной практикой для руководства и ИТ-специалистов.
Рекомендация: Внедрите систему управления защитой персональных данных (СУЗПДн) на базе ГОСТ Р ИСО/МЭК 27001-2021 / 27701-2021. Это позволит системно закрыть требования 152-ФЗ, Постановления № 1119 и быть готовым к любой проверке — будь то камеральная проверка Роскомнадзора, выезд прокурора или аудит партнера по ISO 27001.
Дата подготовки материала:
Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированным юристам и аудиторам ФСТЭК.