С 1 сентября 2022 года операторы персональных данных (ПДн) обязаны осуществлять внутренний контроль или аудит соответствия обработки ПДн требованиям Федерального закона от  № 152‑ФЗ «О персональных данных» (далее – ФЗ‑152) и принятых в соответствии с ним нормативных правовых актов. Ниже представлен пошаговый алгоритм, адаптированный к условиям работы организаций, расположенных в городе Краснодоне.

Нормативная база, которую необходимо учитывать

• ФЗ‑152 – основной закон о защите персональных данных.
• Приказы и постановления ФСТЭК России (например, Приказ ФСТЭК № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»).
• Методические рекомендации Роскомнадзора по проведению аудита ПДн.
• Региональные нормативные акты Луганской Народной Республики, касающиеся обработки ПДн (при наличии).
• Внутренние документы оператора: политика в области обработки ПДн, локальные нормативные акты, инструкции по работе с данными.

Все перечисленные источники должны быть актуальны на момент проведения проверки. В Краснодоне особое внимание следует уделять:

• соответствию уведомления о намерении осуществлять обработку ПДн фактическому составу данных, целям и контрагентам;
• своевременному внесению изменений в уведомление при изменении объёма или характера обработки;
• выполнению требований по защите ПДн, установленным приказами ФСТЭК, учитывая специфику местной ИТ‑инфраструктуры.

Подготовка к аудиту

Формирование аудиторской группы

Назначьте ответственного за аудит (может быть внутренний специалист по защите информации или внешний консультант). В состав группы рекомендуется включить:

• юриста, знакомого с ФЗ‑152 и региональным законодательством;
• специалиста по информационной безопасности (ИБ);
• представителя подразделения, непосредственно работающего с ПДн (например, HR‑отдел, бухгалтерия).

Сбор исходной документации

Соберите все документы, связанные с обработкой ПДн:

• уведомление о намерении осуществлять обработку ПДн (с копиями подтверждающих отправку в Роскомнадзор);
• политика обработки ПДн;
• локальные нормативные акты (положения, инструкции, регламенты);
• договоры с операторами и субподрядчиками, содержащие clauses о защите ПДн;
• журналы учёта операций с ПДн (журналы регистрации запросов, журналы доступа);
• отчёты о проведённых ранее проверках (если такие были).

В Краснодоне полезно также запросить у местного управления Роскомнадзора информацию о ранее выданных предписаниях или штрафах в отношении организаций города – это поможет сосредоточиться на типичных проблемах.

Этапы проведения аудита

Проверка наличия и актуальности уведомления

Согласно п. 2 ст. 22 ФЗ‑152, оператор обязан подать уведомление о намерении осуществлять обработку ПДн. Проверьте:

• факт подачи уведомления в Роскомнадзор;
• соответствие указанных в уведомлении целей обработки фактическим целям;
• актуальность списка категорий субъектов ПДн и перечня обрабатываемых данных;
• соответствие указанных контрагентов реальным партнёрам по обработке.

Если выявлены несоответствия – подготовьте проект изменений и направьте его в Роскомнадзор в установленный срок.

Оценка соответствия локальных нормативных актов требованиям ФЗ‑152

Сравните каждый локальный документ с положениями ФЗ‑152 и приказами ФСТЭК:

• определение персональных данных и специальных категорий данных;
• принципы обработки (законность, справедливость, прозрачность, ограничение целей, минимизация данных, точность, хранение, целостность и конфиденциальность);
• права субъектов ПДн (доступ, исправление, удаление, ограничение обработки, переносимость, возражение);
• обязанности оператора по обеспечению безопасности (технические и организационные меры).

Выявите пробелы и оформите замечания в виде таблицы «Требование – Соответствие – Комментарий».

Проверка технических и организационных мер защиты

Оцените реализацию мер, предусмотренных Приказом ФСТЭК № 21:

• шифрование данных при хранении и передаче;
• контроль доступа (ролевые модели, двухфакторная аутентификация);
• журналирование и мониторинг событий информационной безопасности;
• резервное копирование и план восстановления после инцидентов;
• проведение регулярного обучения сотрудников по работе с ПДн.

В Краснодоне, где могут использоваться локальные серверы или облачные сервисы с ограниченным доступом, особое внимание уделите:

• проверке сертификатов соответствия используемого облачного провайдера требованиям ФЗ‑152;
• анализу сетевого периметра (межсетевые экраны, IDS/IPS) на предмет защиты от внешних угроз.

Оценка вреда, нанесённого субъектам ПДн (ст. 18.1 ФЗ‑152)

Даже при отсутствии фактических утечек необходимо провести гипотетическую оценку возможного вреда:

• определить категории данных, которые при раскрытии могут вызвать наибольший ущерб (например, паспортные данные, СНИЛС, медицинская информация);
• оценить вероятность и потенциальные последствия (финансовые потери, репутационный ущерб, нарушение прав субъектов);
• задокументировать результаты оценки и включить их в отчёт по аудиту.

Формирование отчёта и рекомендаций

Отчёт должен содержать:

• вводную часть (цели, объём, период аудита);
• описание методики (какие нормативные акты использовались, какие методы проверки применены);
• раздел с выявленными несоответствиями (каждое замечание – ссылка на конкретный пункт закона или приказа);
• оценку уровня риска для каждого замечания (низкий, средний, высокий);
• конкретные рекомендации по устранению недостатков с указанием ответственных лиц и сроков выполнения;

Особенности проведения аудита в Краснодоне

Город Краснодоне располагается в зоне, где могут действовать специфические региональные требования к защите информации, связанные с особенностями местной административно‑территориальной структуры. Рекомендуется:

• связаться с отделом по работе с персональными данными администрации Луганской Народной Республики (если таковой имеется) для уточнения локальных инструкций;
• учесть возможные ограничения на передачу данных за пределы ЛНР (если такие нормы действуют);
• применять проверенные локальные поставщики ИТ‑услуг, которые уже прошли аудит соответствия ФЗ‑152 в регионе.

Также полезно провести информационную сессию для сотрудников организаций Краснодоне, посвящённую изменениям в законодательстве о ПДн и практическим аспектам выполнения внутреннего контроля.

Чек‑лист быстрой проверки перед аудитом

1. Уведомление: подано, актуально, соответствует фактической обработке.
2. Политика и локальные акты: утверждены, доступны сотрудникам, не противоречат ФЗ‑152.
3. Договоры с контрагентами: содержат clauses о защите ПДн и ответственности за нарушение.
4. Технические меры: шифрование, контроль доступа, антивирусная защита, резервное копирование.
5. Организационные меры: инструкции, обучение, журнал учёта операций с ПДн, план реагирования на инциденты.
6. Оценка вреда: проведена гипотетическая оценка возможного ущерба при утечке.
7. Документация аудита: подготовлен план, чек‑лист, формы для фиксации замечаний.

Если хотя бы один пункт вызывает сомнения – следует провести детальную проверку соответствующей области.

Проверка соответствия обработки персональных данных требованиям закона в Краснодоне – это обязательная процедура, направленная на минимизацию правовых и репутационных рисков. Системный подход, включающий изучение нормативной базы, сбор документации, поэтапный аудит и формирование обоснованного отчёта, позволяет не только выявить существующие недостатки, но и разработать эффективный план их устранения.

Соблюдение перечисленных рекомендаций поможет организациям Краснодоне уверенно проходить проверки Роскомнадзора и ФСТЭК, а также обеспечить надёжную защиту прав субъектов персональных данных.