Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Шаг 1. Проведите инвентаризацию информационных систем и персональных данных

Составьте перечень всех информационных систем персональных данных (ИСПДн): корпоративные CRM/ERP, 1С, почтовые серверы, облачные сервисы, файловые хранилища, резервные копии и пр.
Определите типы и объёмы ПДн: биометрия, паспортные данные, СНИЛС, ИНН, фото, аудио, видео, геолокация и т.д.
Классифицируйте ПДн по степени чувствительности (общие, специальные, биометрические) и установите уровень защищённости (К1-К4) для каждой ИСПДн согласно приказу ФСТЭК № 21.
Сформируйте акт классификации и включите его в реестр ИСПДн.

Шаг 2. Назначьте ответственных и утвердите внутренние документы

Назначьте ответственное лицо за организацию обработки ПДн (Директивный документ).
Утвердите:
- Положение о защите персональных данных (цели, принципы, состав и категории ПДн, сроки хранения, права субъектов и т.д.).
- Положение о мерах по обеспечению безопасности ПДн (организационные и технические меры).
- Политику конфиденциальности и согласия субъектов.
- Инструкции пользователей ИСПДн и регламенты реагирования на инциденты.

Шаг 3. Реализуйте организационные меры

Доступ и контроль помещений

Внедрите пропускную систему на территорию и в помещения, где обрабатываются ПДн.
Определите контролируемые зоны (сейфы, серверные, архивы) и установите видеонаблюдение.
Выдайте пропуска и бейджи сроком действия не более одного года.

Кадровые процедуры

Оформляйте с сотрудниками договоры о неразглашении (NDA).
Проводите обязательное обучение и аттестацию персонала по вопросам защиты ПДн (не реже 1 раза в год).
Ведите журнал учёта доступа к носителям ПДн и документам.

Договорная база

Пропишите в договорах с контрагентами (обработчиками/операторами) обязательства по обеспечению безопасности ПДн, ответственность за нарушения, порядок уведомлений и аудита.

Шаг 4. Реализуйте технические меры согласно приказу ФСТЭК № 21

Область	Ключевые меры
Аутентификация и управление доступом	Многофакторная аутентификация (MFA). Модель «минимально необходимых прав» (RBAC/ABAC). Сегрегация прав доступа: администраторы, операторы, пользователи.
Регистрация и аудит действий	Ведение журналов событий (SIEM) с сохранением не менее 6 месяцев. Контроль целостности журналов (WORM-хранилища). Регулярные аудиты (внутренние и внешние).
Криптографическая защита	Шифрование данных «во время передачи» (TLS 1.3) и «в покое» (AES-256, ГОСТ 28147-89). Использование сертификатов ФСБ/ФСТЭК РФ и HSM-модулей. Шифрование резервных копий и носителей.
Антивирус и антивирусно-антивредоносное ПО	Централизованное антивирусное решение с ежедневным обновлением сигнатур. Система защиты от НСД (DLP, EDR, NGFW). Регулярное сканирование уязвимостей и установка патчей.
Резервное копирование и восстановление	3-2-1: три копии, два носителя, одна копия внешняя (оффлайн/облако). Регулярное тестирование восстановления (DR-план).
Физическая безопасность	Контроль доступа к серверным помещениям (карты, биометрия). Датчики дыма, влаги, температуры. Блокировка USB-портов, принтеров и МФУ в контролируемой зоне.

Шаг 5. Зарегистрируйтесь в Роскомнадзоре (при необходимости)

Если вы осуществляете обработку специальных категорий ПДн, биометрических данных или трансграничную передачу, обязательно зарегистрируйтесь в реестре операторов ПДн РКН. Пошаговая инструкция:

Подготовьте пакет документов: заявление, копии устава/ОГРН, локальные акты, описание ИСПДн.
Отправьте заявление в электронном виде через сервис «Госуслуги» или лично в территориальное управление РКН.
Ожидайте результат не более 30 дней. При положительном решении получите регистрационный номер.

Шаг 6. Составьте и утвердите План мероприятий по защите ПДн

Шаблон плана:

№ п/п, мероприятие, ответственное лицо, срок, контрольный индикатор (KPI).

Пример строки: «1. Провести аудит ИСПДн HR-портала до , ответственный — Иванов И.И., KPI — отчёт аудитора и план устранения замечаний».

Шаг 7. Обеспечьте права субъектов ПДн

Разместите на сайте форму запроса на доступ к ПДн с указанием сроков ответа (30 дней).
Настройте процедуру удаления/исправления/ограничения обработки по заявлению субъекта.
Ведите журнал обращений субъектов и ежеквартально анализируйте статистику.

Шаг 8. Регулярно обновляйте и тестируйте систему защиты

Проводите ежеквартальные тесты восстановления из резервных копий.
Обновляйте ПО, антивирусные базы и политики ИБ не реже 1 раза в месяц.
Каждый год проводите самооценку соответствия (или внешний аудит) и корректируйте меры.
Следите за изменениями законодательства (например, ФЗ-149, ФЗ-187, ФЗ-99) и вносите правки в документы.

✅ Составлен акт классификации ИСПДн и реестр.
✅ Назначен ответственный и утверждены внутренние документы.
✅ Внедрены организационные меры (доступ, обучение).
✅ Реализованы технические меры (шифрование, логирование, резервирование).
✅ Выполнена регистрация в РКН (если требуется).
✅ Утверждён план мероприятий и KPI.
✅ Обеспечены права субъектов ПДн.
✅ Проведены испытания и регулярные аудиты.

Соблюдение этих восьми шагов позволит вашей организации минимизировать риски, избежать штрафов (до 75 000 руб. по КоАП РФ) и обеспечить надёжную защиту персональных данных в 2026 году и далее.

Полезные ссылки:

ITSec.ru — подробный разбор 152-ФЗ
Официальный портал правовой информации (КонсультантПлюс)
Реестр операторов РКН

Дата публикации: 23 апреля 2026 г. 03:46 MSK