Проверки Роскомнадзора и ФСТЭК: что нужно знать бизнесу, который хранит данные клиентов

Согласно третьей статье ФЗ «О персональных данных», если у вашей компании есть база клиентов, содержащая телефоны, электронные почты или иную личную информацию, вы по закону считаетесь оператором персональных данных.

Этот статус накладывает прямые обязательства, например:

• получать согласия субъектов на предоставление данных;
• информировать субъекты об обработке данных;
• обеспечивать конфиденциальность и безопасность данных;
• хранить персональные данные на российских серверах;
• регистрировать операторов персональных данных в Роскомнадзоре;
• реагировать на запросы субъектов и обеспечивать возможности удаления данных по требованию, если нет законных оснований для продолжения обработки;
• разрабатывать и внедрять политику обработки персональных данных и других внутренних локальных актов.

Игнорирование законных требований может привести к крупным негативным последствиям — от блокировки сайта компании и до многомиллионных штрафов. В то же время слабая политика информационной безопасности в компании, как правило, оборачивается утечками базы персональных данных, что приводит к невосполнимым репутационным потерям.

Почему сегодня так важно обращать внимание на корпоративную кибербезопасность и как не попасть под «тяжелую руку» Роскомнадзора, Т‑Бизнес секретам рассказали эксперты и участники рынка:

1. Никита Леокумович, руководитель управления цифровой криминалистики и киберразведки Angara MTDR.
2. Артем Сычев, заведующий кафедрой ИУ10 «Защита информации» МГТУ им. Баумана.
3. Леонид Плетнев, бизнес‑партнер по информационной безопасности в 1С‑Битрикс.
4. Федор Музалевский, директор технического департамента RTM Group.
5. Илья Гайбуллаев, юрист Адвокатской группы «Ватаманюк & Партнеры».
6. Пресс‑служба ГК «Солар».

Эксперты поделились, какие штрафы ждут компании за бездействия в сфере кибербезопасности, и рассказали, как можно себя обезопасить от мошенников.

Что будет, если ничего не делать с кибербезопасностью

Если компания вовремя не уведомит Роскомнадзор о намерении осуществлять обработку персональных данных, это грозит штрафом:

• для физических лиц — от 5 000 до 10 000 ₽;
• для должностных лиц — от 30 000 до 50 000 ₽;
• для организаций — от 100 000 до 300 000 ₽.

1. Сообщить о произошедшем инциденте в Роскомнадзор.
2. Указать, какие данные утекли, их примерное количество, предполагаемые причины, вред для пользователей и принятые меры.
3. Связаться с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак, ГосСОПК, если утечка произошла в интернете или с удаленного сервера.

В течение 72 часов:

1. Предоставить в Роскомнадзор результаты внутреннего расследования.
2. Включить в расследование информацию о причинах инцидента, нанесенном вреде, виновных лицах, если удалось установить, а также о дополнительных мерах по устранению последствий.

• для физических лиц — в размере от 50 000 до 100 000 ₽;
• для должностных лиц — от 400 000 до 800 000 ₽;
• для юридических лиц — от 1 000 000 до 3 000 000 ₽.

За последние годы крупные утечки персональных данных случались у клиентов МТС Банка, сервиса «Яндекс Еда» и СДЭК.

Среди основных причин утечек данных Артем Сычев выделяет отсутствие внимания владельцев информсистем к вопросам информационной безопасности и наличие развитого рынка для таких утечек.

При этом далеко не всегда утечки связаны со взломом — в большинстве случаев это действия внутреннего нарушителя.

Хакеры часто эксплуатируют базы украденных паролей от одних сервисов, чтобы скомпрометировать с помощью автоматизированной подстановки другие сервисы, так как многие из нас используют одинаковые пароли для разных систем, отмечает Леонид Плетнев.

Что проверяет Роскомнадзор, а что — ФСТЭК

• невыполнение или неполное выполнение предписаний об устранении ранее выявленных нарушений;
• требование прокуратуры;
• обращения граждан;
• решение руководства Роскомнадзора.

ФСТЭК, в свою очередь, фокусируется на технических мерах: в рамках проверок сотрудники службы оценивают, как на практике реализована защита информационных систем — наличие, применение и сертификация средств защиты информации, составление моделей угроз, защищенность информационных систем. Для бизнеса, который работает с государственными информационными системами или объектами критической инфраструктуры, проверки ФСТЭК неизбежны.

В соответствии с актуальными защитными трендами в 1С‑Битрикс работает центр мониторинга, обеспечивающий проактивное реагирование на возможные инциденты информационной безопасности.

В компании отмечают, что предоставляют комплекс защитных механизмов — от сложных паролей и системы разграничения доступа до WAF и сканера безопасности. В сервисе «Битрикс24» с целью обеспечения защиты от подборов и подстановок паролей в ближайшее время станет обязательной двухфакторная аутентификация, подчеркивает Леонид Плетнев.

План для ЛПР: главные шаги к безопасности

По его словам, имеет смысл шифровать данные, чтобы даже в случае их хищения злоумышленники не смогли ими воспользоваться. Нужно помнить, что безопасность — это процесс, а не разовое действие: регулярные аудиты и тестирования на проникновение помогают находить и закрывать уязвимости до того, как ими успевают воспользоваться преступники, добавляет он.

Эксперты рекомендуют компаниям выполнить несколько шагов, чтобы обезопасить себя от мошеннических действий и не попасть под штрафы Роскомнадзора.

Шаг 1. Идентифицировать важные для бизнеса активы: данные, отчетность, системы. Повышение эффективности системы ИБ требует перехода от абстрактных понятий «защищенности» к конкретному, измеримому управлению. Ключевая идея заключается в том, чтобы сместить акцент с простого внедрения защитных мер на постоянный контроль их результативности с помощью четко определенных метрик.

Шаг 2. Формализовать возможные для этих активов угрозы, уязвимости, вероятность реализации и степень возможного ущерба. Для каждого актива нужно выявить конкретные угрозы, например утечку или шифрование данных, а затем количественно оценить два ключевых параметра: вероятность реализации сценария атаки и потенциальный финансовый, репутационный и операционный ущерб.

Такой структурированный анализ позволяет перейти от разрозненных опасений к построению матрицы рисков, где каждый риск получает объективный рейтинг — низкий, средний, высокий.

Шаг 3. Определить защитные меры для каждого ценного актива и на основании этого сформулировать метрики, позволяющие измерять снижение уровня рисков ИБ.

Для каждого ценного актива защитные меры определяются напрямую из анализа рисков: например, для базы данных клиентов это будут система DLP против утечек и регулярный аудит кода для устранения уязвимостей, а для корпоративной почты — фильтрация фишинга и обучение сотрудников. Ключевой принцип — выбор мер должен быть прямым и адресным ответом на конкретные выявленные угрозы и уязвимости, а не случайным набором технологий.

Шаг 4. Обучить сотрудников основам кибергигиены. В отличие от статичных технологических мер, это формирует устойчивую культуру безопасности, где сотрудник осознанно соблюдает политики, распознает фишинг и следует простым правилам — например, не использует корпоративные пароли в личных сервисах. Ключевая метрика эффективности здесь — не просто факт проведения тренингов, а объективное снижение числа инцидентов, связанных с человеческим фактором.

Главное

1. Хранение данных клиентов делает компанию оператором персональных данных — это накладывает жесткие обязательства по закону, включая регистрацию в Роскомнадзоре, обеспечение безопасности и выполнение требований субъектов данных.
2. За нарушения грозит серьезная ответственность — от крупных штрафов до блокировки сайта и уголовного преследования.
3. Проверки Роскомнадзора и ФСТЭК разделены по фокусу: Роскомнадзор проверяет соблюдение процедурных норм, а ФСТЭК — техническую реализацию защиты.
4. Основные причины утечек — слабая кибергигиена и внутренние нарушения: недостаточное внимание к паролям, обновлениям, настройкам доступа и мониторингу.
5. Бизнесу нужен комплексный подход к безопасности: разграничение прав доступа, многофакторная аутентификация, шифрование данных, регулярные аудиты и обучение сотрудников.
6. Эффективная защита строится на управлении рисками и метриках: важно идентифицировать активы, оценивать угрозы, внедрять целевые меры защиты и измерять их эффективность через конкретные показатели.