Аудит персональных данных — комплексная проверка организации

Полный аудит ПДн охватывает 6 категорий проверок. Глубина каждой зависит от выбранного формата — документарный, compliance, технический pentest или комплексный.

1. Документарный анализ

• Политика обработки ПДн — 12 разделов по ст. 18.1 152-ФЗ
• Положение об обработке ПДн
• Приказы о назначении ответственного за ПДн (ст. 22.1) и за безопасность
• Согласия на обработку — отдельно по каждой цели после 1.09.2024
• Уведомление оператора в РКН — соответствие фактической обработке
• Журналы учёта (доступа, обращений субъектов, инцидентов)

2. Инвентаризация ИСПДн

• Перечень всех систем, обрабатывающих ПДн
• Категории субъектов и обрабатываемых данных
• Уровень защищённости каждой ИСПДн (УЗ-1..УЗ-4)
• Архитектура: где хранятся данные, как передаются

3. Технические меры защиты

• Соответствие Приказу ФСТЭК №21 (для ИСПДн) или №117 (для ГИС)
• Сертификаты ФСТЭК на используемые СЗИ
• Настройки разграничения доступа, шифрования, мониторинга
• Журналы событий безопасности за последние 6 месяцев

4. Аудит сайта

• Чекбоксы согласия на всех формах
• Cookie-баннер с реальной возможностью отказа
• Зарубежные трекеры (Google Analytics, Meta Pixel, reCAPTCHA)
• Локализация ПДн (серверы в РФ)
• Политика обработки доступна по прямой ссылке

5. Договорная база

• Договоры поручения обработки с подрядчиками (ст. 6 ч. 3 152-ФЗ)
• Соответствие договоров требованиям ФЗ
• Контроль выполнения обработчиками

6. Процессы и сотрудники

• Обучение сотрудников по защите ПДн (наличие приказа, программы, журнала)
• Регламент реагирования на инциденты (24/72 часа по 420-ФЗ)
• Внутренний контроль обработки (ст. 18.1 ч. 2)

5-этапный процесс соответствует ГОСТ Р ИСО/МЭК 27001-2021. Длительность каждого этапа зависит от размера организации.

Этап 1. Подготовка и планирование (1-2 недели)

Определяем цели аудита, формируем команду, подписываем NDA, утверждаем план проверки с приоритизацией областей. Запрашиваем первичную документацию и доступы.

Этап 2. Сбор информации (2-3 недели)

Изучаем документы, проводим интервью с ответственными за ПДн, ИТ, ИБ и юристами. Инвентаризируем активы, проверяем настройки СЗИ.

Этап 3. Технический анализ (2-4 недели)

Сканирование уязвимостей, аудит конфигураций, проверка журналов событий, при необходимости — pentest веб-приложений и социальная инженерия (с согласия заказчика).

Этап 4. Анализ и приоритизация (1-2 недели)

Сопоставление найденных нарушений с требованиями НПА, оценка рисков по матрице «вероятность × ущерб», разработка рекомендаций с конкретными мерами устранения.

Этап 5. Отчёт и презентация (1-2 недели)

Подготовка пакета документов (резюме для руководства, технический отчёт, дорожная карта). Презентация результатов совету директоров и/или ответственным.

Стандартный пакет результатов:

• Резюме для руководства (Executive Summary) — 2-3 страницы на языке бизнеса с основными рисками, приоритетами, бюджетом устранения
• Технический отчёт — 20-100 страниц с детальным описанием каждого нарушения, его рисков, методики проверки и рекомендаций по устранению
• Матрица соответствия — таблица «требование 152-ФЗ → фактическая реализация → статус соответствия» по каждому пункту
• Дорожная карта устранения — приоритизированный план с этапами «Quick wins (1 мес) / Краткосрочные (3-6 мес) / Долгосрочные (6-12 мес)» и оценкой ресурсов
• Шаблоны документов для устранения документарных нарушений (если выявлены)
• Презентация для руководства — слайды с ключевыми выводами и рекомендациями

Через 6-12 месяцев — повторный аудит (опционально) для подтверждения устранения нарушений и подготовки к плановой проверке РКН.

Перед заказом платного аудита — запустите бесплатный сканер сайта на 152-ФЗ. За 15 секунд он проверит 25+ типов нарушений и покажет масштаб работ. Это поможет понять, какой формат аудита нужен: документарный, технический, комплексный или «Под ключ» с устранением.