Экзамен, билеты к которому опубликованы
Аудит, построенный как «подготовка к плановой проверке», защищает не от того. Плановое контрольное мероприятие по персональным данным достаётся ровно двум клеткам таблицы категорий риска — сочетаниям А1 и Б1. Чистая история административных наказаний означает группу вероятности «4», а группа «4» — это отсутствие плановых мероприятий при любом объёме данных. Организация с миллионом субъектов в информационной системе и без единого предписания за спиной получает средний риск, и плановых у неё нет.
Реальный канал контакта с регулятором другой: дистанционное систематическое наблюдение, индикаторы риска и внеплановые мероприятия по обращениям граждан. Отсюда меняется порядок работ. Сначала проверяется то, что Роскомнадзор видит снаружи, не приходя, — политика на сайте, формы сбора, соответствие поданного уведомления тому, что написано на страницах. Папка с приказами и журналами важна, но её очередь вторая.
При этом инструмент проверки опубликован. Форма проверочного листа утверждена приказом Роскомнадзора и содержит 67 вопросов с прямыми ссылками на нормы и колонкой ответа «да / нет / неприменимо». Экзаменационный билет выдан заранее — остаётся честно его пройти.
Второе число объясняет первое лучше любой методички: из примерно 159 тысяч проверенных сайтов нарушения нашлись примерно на 135 тысячах, а административных расследований за тот же период было 52. Наблюдение массовое, мероприятия штучные. Аудит, который начинается с папки документов, а не с публичной части, готовится не к тому событию.
Кому эта лекция
Вы собрали основания, документы, уведомление, порядок ответов на запросы. Осталось последнее: проверить себя целиком и знать, что делать, когда проверяет регулятор. Здесь — методика самопроверки и процедурные сроки, которые начинают течь без вашего участия.
Блок вопросов 50–57 проверочного листа адресован именно вам, и пропустить его как «чужой» дороже, чем ответить на него формально. Отдельная тема разбирает, кому этот блок принадлежит и почему обратная ошибка опаснее прямой.
Семь вопросов про обработку без средств автоматизации выглядят архаикой ровно до первой инвентаризации. Журнал посетителей на ресепшене, анкеты, согласия на бумаге и кадровые дела делают этот блок применимым почти у всех.
Не «пройдёте проверку без штрафа». Лекция даёт методику самопроверки и процедурные права; результат мероприятия зависит от фактического состояния обработки, а не от того, что вы прошли тринадцать тем.
Не техническая защита информации. Уровни защищённости, требования к средствам защиты и модель угроз здесь не разбираются: статья 19 закона названа как обязанность оператора, её содержание — предмет другой профессии.
Границу стоит обозначить сразу. Как составить политику, как устроено согласие, как заполнить уведомление, что делать в первые 24 и 72 часа после утечки, какие составы у ответственности — темы соседних лекций плана. Аудит проверяет наличие и связность артефактов, а не учит их составлять. Проверочный лист спрашивает про согласия сразу несколькими вопросами; как устроено согласие — отдельный разговор.
Аудит — пункт закона, а не добрая воля
Часть 1 статьи 18.1 закона о персональных данных перечисляет меры, которые оператор обязан принимать. Перечень короткий, и внутри него спрятана петля, из-за которой существует эта лекция.
Пункты 1 и 2 адресованы операторам-юридическим лицам. Остальные четыре — всем операторам без исключения: индивидуальному предпринимателю, самозанятому, физическому лицу, собирающему персональные данные. Рассуждение «мы маленькие, у нас нет обязанностей» разбивается о четвёртый и пятый пункты.
Аудит — это пункт 4 того же перечня, соблюдение которого проверяет регулятор. То есть само наличие аудита является предметом проверки. В форме проверочного листа это вопрос № 31 со ссылкой на часть 1 статьи 18.1.
Отсюда следствие, которое меняет отношение к задаче: отсутствие внутреннего контроля — самостоятельное нарушение, а не «недоработка, до которой не дошли руки». Оператор, у которого всё в порядке с основаниями и документами, но нет ни одного акта внутренней проверки, отвечает на вопрос № 31 «нет».
Рядом стоит часть 2 той же статьи — обязанность опубликовать политику или иным образом обеспечить неограниченный доступ к ней. В листе это вопрос № 32. Место кажется техническим, но именно оно стыкуется с одним из четырёх индикаторов риска: расхождение между тем, что вы подали в уведомлении, и тем, что размещено на сайте, регулятор считает без всякого выезда. Разбор индикаторов — в четвёртой теме.
Третий пункт перечня — меры по статье 19 — в этой лекции остаётся названным, но не раскрытым. Уровни защищённости информационных систем, требования к средствам защиты и модель угроз лежат в другой профессии. Для аудитора по персональным данным это означает простую вещь: в акте внутренней проверки фиксируется наличие принятых мер и документов о них, а не оценка их технической достаточности.
Норма требует внутреннего контроля и (или) аудита, но не говорит, как именно его проводить. Порядок закрепляется локальным актом оператора: методы, периодичность, ответственные, форма фиксации результата. Практический каркас этапов разбирается в седьмой теме — и подаётся как сложившаяся практика, а не как требование нормы.
Дальше нужен аккаунт
Прогресс и монеты сохранятся.