В 2024 году надзорные органы России (в первую очередь Роскомнадзор) полностью перешли на риско‑ориентированный подход при планировании проверок. Это означает‚ что каждый оператор информационных систем‚ каждый банк‚ каждая компания‑оператор связи и даже небольшое предприятие оцениваются по цифровому профилю риска. Профиль формируется на основе перечня индикаторов‚ утверждённого приказами Министерства цифрового развития‚ связи и массовых коммуникаций (Минцифры России) и ФСТЭК.

Законодательная база‚ формирующая цифровой профиль риска

Ключевые нормативные акты‚ определяющие порядок и критерии выбора объектов для проверок в 2024 году:

1. Приказ Минцифры России от № 682 – внесение изменений в перечень индикаторов риска нарушения обязательных требований при осуществлении федерального государственного контроля (надзора) за обработкой персональных данных (утверждён приказом от № 1187).
2. Приказ Минцифры России от № 773 – утверждение нового перечня индикаторов риска‚ включающего отраслевые особенности (строительство‚ алкогольный рынок‚ связь и др.).
3. Приказ ФСТЭК от № 117 – требования к защите информации в государственных информационных системах и к документальному оформлению ИТ‑работ.
4. Постановление Правительства РФ от № 1046 – классификация операторов по категориям риска (низкий‚ средний‚ высокий).

Эти документы образуют правовую основу для построения цифрового профиля риска и определяют‚ какие индикаторы обязательны к учёту‚ а какие могут быть добавлены региональными органами надзора.

Что такое цифровой профиль риска?

Цифровой профиль риска – это совокупность квалифицированных показателей‚ позволяющих надзорному органу оценить вероятность нарушения обязательных требований в конкретной организации. Профиль формируется автоматически на основе:

• отчётных данных операторов (регистры персональных данных‚ журналы доступа‚ реестры ИТ‑активов);
• публичных сведений (регистрационные данные‚ финансовая отчётность‚ сведения о судебных разбирательствах);
• результатов предыдущих проверок и рекомендаций;
• индикаторов риска‚ указанных в нормативных актах.

В 2024 году профиль формируется в режиме реального времени с помощью аналитических систем Минцифры и Роскомнадзора‚ которые используют методы машинного обучения для выявления аномалий.

Основные индикаторы риска‚ используемые в 2024 году

Ниже приведён сокращённый перечень индикаторов‚ которые входят в официальные списки (приказ № 682 и № 773). Каждый индикатор имеет вес‚ влияющий на итоговый рейтинг риска.

Общие индикаторы

• Отсутствие или неполнота документации (отчётность ИТ‑подразделения‚ политики безопасности‚ регламенты обработки персональных данных).
• Наличие открытых уязвимостей в используемом программном обеспечении‚ подтверждённое сканированием уязвимостей.
• Частота и характер инцидентов информационной безопасности (количество утечек‚ попыток несанкционированного доступа).
• Несоответствие требованиям к хранению и передаче персональных данных (отсутствие шифрования‚ нарушение территориального ограничения).

Отраслевые индикаторы (2024)

• Связь и коммуникации: использование несертифицированных мессенджеров (WhatsApp‚ Skype) – новый индикатор с .
• Алкогольный рынок: отсутствие лицензии на розничную продажу спиртосодержащей продукции – индикатор с .
• Строительство и долевое строительство: отсутствие согласования проектной документации и несоблюдение требований к защите персональных данных участников долевого проекта.
• Экологический и геологический контроль: отсутствие экологической экспертизы при обработке данных‚ связанных с мониторингом природных ресурсов.

Специфические индикаторы для банков и финансовых организаций

• Отсутствие актуального регламента обработки персональных данных клиентов (по приказу ФСТЭК от ).
• Наличие незарегистрированных ИТ‑сервисов в облаке‚ не прошедших сертификацию.

Как надзорные органы используют профиль риска при выборе объектов проверки

Процесс выбора объектов для проверки в 2024 году выглядит следующим образом:

1. Сбор данных – автоматический импорт сведений из реестров‚ журналов доступа‚ систем мониторинга уязвимостей и публичных источников.
2. Квалификация индикаторов – каждому индикатору присваивается вес (от 1 до 5 баллов) в зависимости от потенциального ущерба.
3. Расчёт суммарного балла риска – суммирование взвешенных индикаторов‚ получение риск‑балла от 0 до 100.
4. Классификация – согласно постановлению Правительства № 1046‚ организации делятся на:
   • низкий риск (0‑30 баллов) – плановые проверки не проводятся;
   • средний риск (31‑70 баллов) – планируются профилактические визиты;
   • высокий риск (71‑100 баллов) – обязательные проверки с предварительным уведомлением или без него.
5. Формирование списка приоритетных объектов – в каждом регионе формируется «краткосрочный план проверок»‚ в который включаются организации с высоким и средним риском‚ а также те‚ у которых за последний квартал наблюдалось резкое увеличение риск‑балла.
6. Назначение инспектора – назначается специалист‚ обладающий отраслевой экспертизой (например‚ в сфере связи или строительства).
7. Подготовка проверочного протокола – формируется перечень вопросов и документов‚ которые необходимо предоставить оператору.

Таким образом‚ цифровой профиль риска становится главным «фильтром»‚ позволяющим надзорным органам эффективно распределять ресурсы и фокусироваться на наиболее уязвимых объектах.

Практические рекомендации операторам для снижения риск‑балла

Чтобы избежать попадания в категорию «высокий риск» и минимизировать вероятность штрафов‚ организации могут выполнить следующие действия:

• Обновить и задокументировать ИТ‑политику – наличие актуальных регламентов‚ инструкций и журналов изменений является обязательным требованием (см. приказ ФСТЭК от ).
• Провести регулярный аудит уязвимостей – минимум раз в квартал‚ с последующим закрытием всех найденных проблем.
• Внедрить систему управления персональными данными (СУПД) – автоматическое формирование реестров‚ журналов доступа и отчётов для надзора.
• Убедиться в законности используемых коммуникационных сервисов – заменить WhatsApp/Skype на сертифицированные решения‚ если они попадают в реестр запрещённых (с ).
• Подготовить «пакет готовности к проверке» – собрать все документы‚ указанные в публичных рекомендациях Роскомнадзора‚ и разместить их в защищённом облачном хранилище с ограниченным доступом.
• Отслеживать изменения в нормативных актах – подписаться на рассылки Минцифры и ФСТЭК‚ чтобы своевременно реагировать на новые индикаторы риска.

Перспективы на 2025 год

Аналитики ЦСР (Центр стратегического регулирования) уже готовят обзор проверок за 2025 год‚ в котором планируется расширить перечень отраслевых индикаторов (например‚ в сфере искусственного интеллекта и биометрии). Ожидается‚ что:

• будет введён динамический порог риска‚ меняющийся в зависимости от количества выявленных инцидентов в отрасли;
• появятся публичные дашборды с рейтингом риска для крупных операторов‚ доступные в открытом доступе;
• увеличится роль само‑оценки – организации смогут подавать собственные отчёты о рисках‚ получая «зеленый» статус без обязательных проверок.

В 2024 году цифровой профиль риска стал ключевым инструментом в работе надзорных органов России. Он позволяет:

• объективно оценивать вероятность нарушения требований;
• рационально распределять ресурсы проверяющих органов;
• повышать уровень ответственности операторов за соблюдение требований по защите персональных данных и информационной безопасности.

Для операторов важнее всего поддерживать актуальность документации‚ своевременно устранять уязвимости и следить за изменениями в нормативных актах. Только так можно удержать риск‑балл в «низком» или «среднем» диапазоне и избежать дорогостоящих проверок и штрафов.

Дата публикации: . Информация основана на официальных приказах Минцифры России (№ 682 от ‚ № 773 от )‚ приказе ФСТЭК № 117 от ‚ а также публичных разъяснениях Роскомнадзора.