Аудит персональных данных — комплексная проверка организации

Аудит персональных данных — независимая проверка соответствия обработки ПДн в организации требованиям Федерального закона № 152-ФЗ, Постановления Правительства РФ № 1119, Приказов ФСТЭК России №21 и №117. Аудит охватывает: инвентаризацию информационных систем ПДн (ИСПДн), оценку организационных мер (политика, регламенты, согласия), проверку технических мер защиты, анализ договоров с обработчиками, оценку сайта и форм. По итогам — отчёт с конкретным планом устранения нарушений. Подробнее об аудите информационной безопасности.

Аудит ПДн фокусируется на соблюдении 152-ФЗ и связанных подзаконных актов — это узкая правовая зона. Аудит ИБ — это шире: модель угроз, технические меры, регламенты, реагирование на инциденты, защита коммерческой тайны и КИИ. На практике для оператора ПДн оптимально проводить аудит ПДн (специализированный по 152-ФЗ) с расширением до ключевых элементов аудита ИБ — это покрывает регуляторные риски от Роскомнадзора + ФСТЭК. Аудит ИБ — 6 видов, 5 этапов, стандарты ГОСТ Р 57580 и ISO 27001.

Стандартные сроки. Документарный аудит ИП или малой компании (до 30 рабочих мест) — 1-2 недели. Compliance-аудит средней компании (50-100 рабочих мест) — 3-6 недель. Комплексный аудит крупной IT-компании с распределённой инфраструктурой — 2-4 месяца. Экспресс-аудит «по верхам» за 3-5 дней возможен, но пропускает критические нюансы — для регуляторных целей не подходит. 5 этапов проведения аудита 152-ФЗ.

Оптимальный подход — оба, но в разные моменты. Внутренний аудит силами штатного администратора безопасности или ответственного за ПДн — регулярно (раз в полгода или квартал) для текущего контроля. Внешний независимый аудит — раз в год для объективной оценки + перед плановой проверкой РКН + после крупных инцидентов. Внутренние аудиторы знают специфику, но имеют «слепые зоны»; внешние находят то, что внутренние упустили. Разница 6 видов аудита.

Стандартный комплект: (1) Резюме для руководства — 2-3 страницы с основными рисками и приоритетами; (2) Технический отчёт — 20-100 страниц с описанием каждого нарушения, его рисков и рекомендаций; (3) Дорожная карта устранения — приоритизированный план «Quick wins (1 мес) / Краткосрочные (3-6 мес) / Долгосрочные (6-12 мес)» с оценкой ресурсов и сроков; (4) Приложения — данные сканеров, скриншоты, перечень активов, оценочные матрицы. Документы хранить минимум 5 лет — могут потребоваться при проверке РКН.

Крайне рекомендуется. Аудит помогает документально подтвердить соблюдение требований к защите ПДн — это одно из трёх условий снижения оборотного штрафа за повторную утечку (ч. 3.4-2 ст. 4.1 КоАП РФ в ред. 420-ФЗ от 30.11.2024). Аудит позволяет: устранить нарушения ДО прихода РКН (а не пытаться устранить во время проверки), получить «упреждающую» аргументацию для регулятора (показать, что есть план устранения), выявить документарные пробелы (нет приказа о назначении ответственного, устаревшая модель угроз). Без аудита подготовка к проверке РКН — лотерея. Пошаговая подготовка к проверке РКН.

Алгоритм. Шаг 1: руководитель утверждает дорожную карту устранения приказом — это юридически обязывает выполнение. Шаг 2: назначаются ответственные за каждый пункт с конкретными сроками. Шаг 3: для критических нарушений — устранение в 1 месяц, для средних — 3 месяца, для низких — 6-12 месяцев. Шаг 4: ежемесячный контроль выполнения. Шаг 5: повторный аудит через 6-12 месяцев для подтверждения устранения. Без выполнения дорожной карты аудит превращается в потерянные деньги — поэтому многие компании сразу заказывают аудит «Под ключ» с устранением. Услуга «Под ключ».

Да. Услуга «Аудит под ключ» Кибероснова: за 14 рабочих дней команда (ИБ-аналитик + юрист по 152-ФЗ + frontend-разработчик) проводит полный аудит сайта и документов, устраняет все нарушения (правки сайта, обновление политики и согласий, договоры поручения, регламент реагирования на инциденты, подача обновлённого уведомления в РКН по доверенности). Один договор, единая ответственность. Стоимость формируется индивидуально под проект — оставьте заявку, получите КП после бесплатного автоматического сканера.