Лекция «Аудит ПДн и проверка РКН — как проверить себя раньше регулятора и что делать, когда он пришёл»

Около 70 минут на 13 тем. Прогресс сохраняется, поэтому лекцию можно проходить частями и возвращаться к ней позже.

Начало — да: первые 1 тема открыты сразу, без регистрации. После бесплатной регистрации откроются темы до 2-й — вместе с частью из 35 тестов и монетами за верные ответы. Полная лекция — 99 ₽ навсегда, либо подписка на все лекции платформы от 499 ₽ в месяц.

Тринадцать тем о последней недостающей части соответствия: как оператору проверить себя самому и что происходит, когда проверяет регулятор. Лекция начинается с петли, из-за которой аудит нельзя отложить, — внутренний контроль и (или) аудит это пункт 4 части 1 статьи 18.1, то есть сам предмет проверки, и в форме проверочного листа он проверяется вопросом № 31. Дальше разбирается, кого реально придут проверять: категория риска складывается из группы тяжести (А, Б, В, Г) и группы вероятности (1, 2, 3, 4), высокий риск дают только сочетания А1 и Б1, а плановые мероприятия проводятся исключительно в отношении высокого риска — организация с миллионом субъектов и чистой административной историей получает А4 и средний риск. Отсюда переворачивается приоритет аудита: главный канал контакта это систематическое наблюдение по открытым источникам без взаимодействия с оператором, около 159 тысяч проверенных сайтов за полтора года против 52 административных расследований. Ядром практической части служит опубликованная форма проверочного листа — 67 вопросов в четырёх блоках, из которых восемь адресованы государственным и муниципальным органам, а семь касаются обработки без средств автоматизации; лист разбирается как готовая программа самоаудита с честной оговоркой, что нормой предусмотрено его применение при плановых мероприятиях. Отдельно разбираются четыре индикатора риска с порогами 10, 10, 3 и 2, из которых третий — сверка уведомления с сайтом — оператор закрывает за вечер собственными силами; карта данных, из которой собираются ответы на вопросы 1–49; акт оценки вреда по приказу № 178 с тремя уровнями и подписью комиссии, который нельзя подменять оценкой рисков информационной безопасности; приоритизация плана устранения. Процедурная половина лекции посвящена контакту с регулятором: обязательный профилактический визит по статье 52.1, от которого нельзя отказаться в отличие от обычного визита по статье 52, уведомление за 24 часа и предписание по части 13, если нарушения не устранены до завершения; три вида контрольных мероприятий с общим пределом в 10 рабочих дней; досудебное обжалование со сроками 30 календарных дней на решения и действия, 10 рабочих дней на предписание, 15 рабочих дней на рассмотрение и 5 — на жалобу по категории риска. Границы названы прямо: аудит не гарантирует отсутствия штрафа, не закрывает оборотную ответственность за повторную утечку и не заменяет техническую защиту информации.

Нет, и это осознанная граница. Правовые, организационные и технические меры безопасности по статье 19 названы в лекции как пункт 3 перечня обязательных мер части 1 статьи 18.1 — то есть как обязанность оператора, которую аудит фиксирует по наличию принятых мер и документов о них. Содержание этих мер — уровни защищённости информационных систем, требования к средствам защиты, модель угроз — относится к другой профессии и другому набору нормативных актов. Для специалиста по персональным данным это означает практическое разделение ролей: в акте внутренней проверки вы фиксируете, что меры приняты и документально оформлены, а оценку их технической достаточности даёт служба, которая за них отвечает. Всё остальное — принципы, основания, права субъектов, документы, уведомление, обязанности оператора — из 67 вопросов проверочного листа разбирается или прямо здесь, или адресуется соседним лекциям плана.

Затем, что вероятность контакта с регулятором и вероятность плановой проверки — разные величины. Плановое мероприятие действительно достаётся только объектам высокого риска, а высокий риск дают лишь два сочетания — А1 и Б1, причём единица в них означает уже выданное предписание или вступившее в силу постановление о наказании. Но каналов контакта три, и остальные два открыты всем: систематическое наблюдение по открытым источникам, из которого вырастает решение прийти, и внеплановые мероприятия по индикаторам риска и обращениям граждан. За полтора года дистанционно проверено около 159 тысяч сайтов. Проверочный лист при этом остаётся единственным опубликованным списком того, что регулятор спрашивает по существу, со ссылками на нормы по каждому пункту — и пройти его самому дешевле, чем узнать содержание вопросов от инспектора. Плюс есть прямая петля: сам факт проведённого и оформленного внутреннего контроля закрывает вопрос № 31 этого же листа.