Персональные данные: карта обработки и соответствие 152-ФЗ

Где в компании лежат данные людей, на каком основании обрабатываются и сколько хранятся: реестр систем, потоки и передачи подрядчикам, комплект документов, порядок действий в первые сутки после утечки.

Реестр систем, карта потоков и комплект документов, совпадающие с тем, как компания обрабатывает данные на самом деле.

Безопасность · Персональные данные 24 ч на уведомление об утечке — порядок действий готов до события

открыть во весь экран →

Поток данных: откуда приходят, куда попадают и кому передаются по поручению

Задача

Штраф за повторную утечку считается от оборота, а уведомить надзорный орган нужно в первые сутки. При этом в компании обычно никто не может назвать полный список мест, где лежат персональные данные, — и главный риск именно здесь, а не в отсутствии бумаг.

Что сделано

Реестр систем обработки: категории данных, число субъектов, основание, срок хранения, ответственный
Карта потоков: откуда данные приходят, в какие системы попадают, кому передаются по поручению
Разрыв между тем, что компания делает, и тем, что требует закон, — с порядком закрытия по риску
Комплект документов: политика и положение, формы согласий, приказы о назначении, договоры-поручения, модель угроз, акт категорирования
Порядок действий при утечке: кто что делает в первые 24 часа, кто подписывает уведомление
Обучение сотрудников и ответы на обращения субъектов в установленный срок

Внутри системы

Данные почти всегда обнаруживаются там, где их не ждали: в выгрузках аналитики, резервных копиях, переписке поддержки, старых таблицах отдела продаж. Поэтому инвентаризация идёт не опросом руководителей, а по системам — по схемам баз, по журналам выгрузок и по интеграциям с подрядчиками.
Тестовый контур — типовая находка: там лежит копия продуктовой базы без обезличивания, доступ к ней шире, чем к боевой, и утекает чаще всего именно оттуда. Обезличивание поэтому ставится в конвейер выгрузки как обязательный шаг, а не оформляется приказом.
Срок в 24 часа выполним только заранее: в момент инцидента нет времени выяснять, чьи данные затронуты и сколько записей. Реестр должен отвечать на вопрос о категориях и объёме за минуты, а шаблон уведомления и список подписантов готовятся до события, а не после.

Как устроено

Документы пишутся последними. Пока не построена карта потоков, любая политика описывает не эту компанию, и первая же проверка это показывает.

Результат

Работа консультационная: аудит, приведение в соответствие и сопровождение. Аттестация информационных систем, где она требуется по классу, выполняется лицензиатом на субподряде.