Разберите процессы, а не только сайт
Персональные данные могут обрабатываться в кадровой системе, CRM, заявках, видеонаблюдении и переписке. Составьте перечень процессов, целей, категорий данных и участников. Укажите, откуда сведения поступают, кому доступны и когда удаляются. Одной политики на сайте недостаточно для описания всей организации.
Начинайте с обычных вопросов к владельцам процессов. Какие сведения нужны для работы? Кто принимает решение о составе полей? Куда выгружаются отчёты? Так легче найти лишние копии и операции, которые не отражены в документах. Правовые основания каждого процесса рассматриваются отдельно специалистом.
Сопоставьте документы с фактическим движением данных
Проверьте формы сбора, тексты уведомлений, доступные согласия, договорные условия и внутренние правила. Сравните их с действующими полями и передачами. Например, если в описании формы указаны только контакты, а пользователю предлагается приложить документ с подробными персональными данными, границы обработки требуют уточнения.
Рассмотрите участие хостинга, CRM, рассылок и других подрядчиков. Для каждого сервиса важно понимать роль, место обработки и порядок удаления. Аудит не должен автоматически объявлять любую передачу допустимой или запрещённой: вывод зависит от конкретных условий и актуальных требований.
Проверьте доступ и техническую защиту
Сопоставьте роли в системе с задачами сотрудников, проверьте выдачу и отзыв прав, общие учётные записи, журналирование и экспорт данных. Посмотрите, где хранятся резервные копии и кто может их восстановить. Организационная мера должна иметь техническое подтверждение, если её выполнение зависит от настройки системы.
Проверки выполняются по согласованным безопасным сценариям. На этапе первого обращения не отправляйте реальные базы и примеры документов с данными работников или клиентов. Для анализа структуры достаточно обезличенного описания; доступ к подробным материалам согласуется по отдельному порядку.
Получите план исправлений по приоритетам
В отчёте удобно отделить обнаруженный факт, риск, предлагаемое действие и критерий закрытия. Не каждое замечание требует закупки нового ПО. Иногда достаточно убрать лишний экспорт, изменить роль или привести текст формы в соответствие с процессом. Назначьте владельца и срок каждому согласованному действию.
После исправлений нужна повторная проверка затронутых процессов. Отчёт об аудите не равен подтверждению полной законности всей обработки и не исключает будущие нарушения. Объём обследования, применимые основания и ограничения должны быть видны заказчику, а изменения закреплены в эксплуатации.
Что подготовить к первому обсуждению
- Перечень процессов, целей и категорий данных
- Системы, формы сбора и направления передачи
- Роли сотрудников и участие подрядчиков
- Документы, сроки хранения и удаления
- Безопасные проверки доступа и экспорта
- Реестр замечаний с приоритетами и повторной проверкой
Отправьте краткое описание без чувствительных вложений. Если какой-то пункт неизвестен, отметьте это: обследование и восстановление исходных данных можно согласовать отдельным этапом.
Границы предложения
Материал опирается на направления работ НПК Оборон-Экран: обследование, подготовку защиты, аттестационные задачи, персональные данные, КИИ и мониторинг ИБ. Он помогает сформулировать запрос и не определяет правовой статус объекта заочно. Применимые требования, права исполнителя и роли сторон проверяются для конкретного задания; специальные допуски одной организации не переходят другой автоматически.
Объём, результаты, порядок приёмки и возможные исключения фиксируются в предложении и договоре. Итоговое соответствие, наличие необходимого допуска и завершение обязательной процедуры подтверждаются своими документами. Цена, универсальный срок и положительный результат заранее не обещаются.
Направления работ