Как провести инвентаризацию информационных систем с персональными данными

<p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <i>Проведите инвентаризацию ИСПДн, пока не пришёл Роскомнадзор. Пошаговая инструкция: от анализа бизнес-процессов до готового реестра, который спасёт от штрафов.</i> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Представьте:</b> вам звонит инспектор и просить перечислить все системы, где лежат персональные данные и как они используются. Вы открываете реестр – и через минуту даёте ответ. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> А теперь представьте, что реестра нет. Начинается паника, звонки по отделам, потраченные дни и риск что-то упустить. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Инвентаризация информационных систем персональных данных (ИСПДн) – это страховка от такого сценария. Она позволяет понять, где и как хранятся персональные данные (ПДн), кто имеет к ним доступ и какие угрозы нужно нейтрализовать. Без полного учёта систем легко пропустить уязвимые места и получить от проверяющих неожиданные вопросы. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Вот как провести инвентаризацию за 4 шага. </p> <h2>Шаг 1. Выявление бизнес-процессов, связанных с ПДн</h2> <p style="text-align: justify;"> <b>Анализ бизнес-процессов</b>, в которых возникают персональные данные. Для каждого ключевого процесса нужно определить и зафиксировать, в какой информационной системе он реализован. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Результат: перечень всех видов персональных данных, обрабатываемых в организации, с указанием подразделений и сотрудников, допущенных к их обработке. Такой перечень обеспечит структуру для дальнейшего описания систем и повысит прозрачность – какие данные, где обрабатываются и кто за них отвечает. </p> <p style="text-align: justify;"> </p> <div class="mt-3"> <img src="/upload/medialibrary/173/l9ke3moxi7zui0wikr0kwb714o6i929v.png" class="img-fluid"> </div> <br> <p> </p> <h2>Шаг 2. Описание данных в каждой системе</h2> <p style="text-align: justify;"> Сбор подробной информации о том, в каких системах обрабатываются персональные данные. Для каждой системы важно задокументировать: </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Состав ПДн:</b> перечислить, какие именно персональные данные обрабатываются, цель использования и общая характеристика. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Категория данных:</b> определить, являются ли данные обычными персональными данными или относятся к специальным категориям (они требуют повышенной защиты). </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Категория субъектов:</b> указать, чьи данные содержатся в системе. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Объём данных:</b> оценить приблизительное количество субъектов ПДн, чьи данные хранятся в системе – меньше или больше 100 тысяч человек. От этого зависит уровень защищённости ИСПДн (базы с &gt;100к записей зачастую требуют более высоких мер защиты). </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Источник данных:</b> зафиксировать, откуда эти данные получены. Это не всегда обязательно, но полезно знать пути поступления информации. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Жизненный цикл персональных данных в рамках данной системы:</b> как данные поступают (создаются или собираются) в систему, как хранятся, <b>для чего используются и как в итоге удаляются, архивируются или обезличиваются.</b> </p> <p style="text-align: justify;"> </p> <div class="mt-3"> <img src="/upload/medialibrary/92a/lsf5lfxpul59j24j8ui2nfd9h3u6ugoz.png" class="img-fluid"> </div> <b><br> </b> <p> </p> <p style="text-align: justify;"> Все эти сведения фиксируются в реестре ИСПДн для каждой системы. Они будут нужны для последующих задач: подготовка акта установления уровня защищённости каждой ИСПДн (требуется согласно постановлению Правительства РФ №1119), составление описания объекта защиты и обоснование выбора необходимых мер защиты согласно требованиям регуляторов. </p> <h2>Шаг 3. Анализ доступа и мер защиты в системе</h2> <p style="text-align: justify;"> Сбор информации о том, как каждая система защищает персональные данные, и кто имеет к ним доступ: </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Права доступа:</b> какие группы пользователей или конкретные роли имеют доступ к системе и к её данным. Желательно указать, как реализовано разграничение доступа – существуют ли разные уровни прав (например, пользователь, администратор, разработчик) и по каким принципам они разделяются. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Управление доступом:</b> описать, как осуществляется аутентификация и авторизация в системе. Используются ли именованные учётные записи для каждого сотрудника, есть ли многофакторная аутентификация, как быстро отключается доступ уволенным и т. д. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Резервное копирование:</b> указывается, с какой периодичностью делаются бэкапы, где они хранятся и защищены ли они. Резервные копии зачастую содержат те же ПДн, что и основная база, поэтому требуются аналогичные меры защиты. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Журналы безопасности:</b> ведётся ли в системе журнал событий безопасности – логирование действий пользователей, особенно тех, что связаны с доступом к персональным данным (чтение, изменение, удаление). Регистрация и учёт всех действий с персональными данными в ИСПДн – прямая рекомендация регуляторов. Если такие журналы есть, важно отметить, сколько они хранятся и кто их анализирует. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Антивирусная защита:</b> применяется ли на серверах и рабочих станциях системы антивирусное ПО, и обновляется ли оно регулярно. Наличие антивирусной защиты – обязательное условие безопасности данных. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Другие средства защиты:</b> перечислить прочие использующиеся меры – межсетевые экраны (фаерволы) для защиты сетевого периметра системы, системы обнаружения вторжений (IDS/IPS), средства шифрования каналов связи или базы данных, средства контроля целостности, DLP-системы для предотвращения утечек и прочее. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Далее – проверка и описание инфраструктуры: </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <ul class="symbol-marker-list font-size-md" style="text-align: justify;"> <li>место развёртывания системы: собственная инфраструктура или облако. Если в облаке, то понятны ли условия обеспечения безопасности у провайдера,</li> <li>наличие сертифицированных средств защиты информации (есть действующие сертификаты ФСТЭК или ФСБ),</li> <li>факт проведения оценки эффективности применённых мер до ввода системы в эксплуатацию (для систем с высоким классом защиты это обязательно).</li> </ul> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> После нужно <b>описать техническую сторону системы</b>: например, сколько серверов задействовано и где они находятся физически, сколько рабочих станций (клиентов) имеют доступ и где они расположены географически. Эта информация важна для понимания границ системы и зоны, где распространяются персональные данные. Если система использует арендуемые решения или находится на площадках третьих лиц, это тоже фиксируется, поскольку в таких случаях могут требоваться отдельные договоры о защите данных с поставщиками услуг. </p> <p style="text-align: justify;"> </p> <div class="mt-3"> <img src="/upload/medialibrary/57a/wm1lhf3poytkrzbzv4l20pcjltttklv3.png" class="img-fluid"> </div> <br> <p> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Итогом этого шага должно стать чёткое представление, насколько защищена каждая ИСПДн на текущий момент: где отсутствуют те или иные меры (например, нет журнала безопасности или резервного копирования) и наметить план улучшений. </p> <h2>Шаг 4. Проверка документов по каждой системе</h2> <p style="text-align: justify;"> <b>Документальное оформление</b> обработки персональных данных в каждой системе. Для каждой ИСПДн необходимо убедиться, что: </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Есть правовое основание обработки данных:</b> для законной работы с ПДн должна быть юридическая основа – например, согласие самого субъекта, трудовой договор (для данных сотрудников), договор с клиентом, исполнение закона или государственного требования и т. д. Необходимо проверить, что для всех персональных данных в системе имеется соответствующий пункт в политике или договоре. Если где-то данные собираются без ясного основания, это серьёзный риск. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Разработаны локальные нормативные акты:</b> как минимум должна быть утверждена Политика обработки персональных данных организации. Кроме того, могут потребоваться положения, инструкции или приказы, регламентирующие работу конкретной системы или процесса (например, регламент работы CRM с персональными данными клиентов, положение об информационной системе и т. п.). Все такие документы должны отражать, какие данные обрабатываются, кто отвечает за их защиту, порядок доступа и т. д. Если таких документов нет, их следует создать. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Уведомление в Роскомнадзор (если требуется):</b> согласно Закону №152-ФЗ оператор ПДн в ряде случаев обязан уведомлять Роскомнадзор о начале обработки персональных данных. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Акты ввода в эксплуатацию и аттестации.</b> Если по классификации система относится к высокому классу защиты, необходима аттестация – проверка системы на соответствие требованиям безопасности с выдачей аттестата. Нужно проверить, проводилась ли аттестация там, где она нужна, и действительны ли полученные аттестаты. Отсутствие обязательной аттестации или заключения о соответствии может быть нарушением. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Сверить, что по каждой системе сформирован <b>приказ или перечень ИСПДн</b> внутри компании. В этом документе перечисляются все выявленные системы и базы данных, с указанием их наименования, места нахождения (адреса серверов или площадок) и ответственных лиц за их эксплуатацию. Такая сводная опись должна храниться в организации и при необходимости представляться проверяющим. Она же поможет при заполнении уведомления в Роскомнадзор. </p> <p style="text-align: justify;"> </p> <div class="mt-3"> <img src="/upload/medialibrary/2c6/1omx9us3l1u8ozpqr17x4rde8v77olgq.png" class="img-fluid"> </div> <br> <p> </p> <h2>Что делать с реестром после инвентаризации?</h2> <p style="text-align: justify;"> </p> <ul class="numeric-marker-list"> <li><b>Назначить ответственного</b>, который будет вносить изменения и обновлять данные.</li> <li><b style="text-align: justify;">Раз в год проверять на актуальность</b><span style="text-align: justify;"> (даже если ничего не менялось).</span></li> <li><b style="text-align: justify;">Использовать для других задач:</b></li> </ul> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <ul class="symbol-marker-list font-size-md"> <li>доказательство соблюдения закона,</li> <li>моделирование угроз,</li> <li>выбор меры защиты,</li> <li>быстрый ответ на проверки (Роскомнадзор, внутренний аудит).</li> </ul> <h2>Не тратьте время на страх и штрафы</h2> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Реестр станет рабочим инструментом, а не головной болью – если его правильно вести. Эксперты помогут настроить защиту данных под ваш бизнес. </p> <p style="text-align: justify;"> </p> <div class="my-3"> <a href="/cifrovizaciya-gos-sektora/informatsionnaya-bezopasnost/zashchita-personalnykh-dannykh/" target="_blank" class="btn standart-btn me-4 py-2">Узнать подробнее</a> </div> <br> <p> </p> <p> </p>