Приведение к 152-ФЗ: защита персональных данных

Разрыв рынка выглядит так: сегмент «только сайт» закрывается за 20–80 тысяч, инфраструктурные проекты стартуют от 800 тысяч — а середины, где живёт большинство компаний с CRM и клиентской базой, не предлагает почти никто. Наш основной формат — как раз середина: документы оператора и сайт за разумные деньги, с техмерами по необходимости, а не «всё или ничего». Какого формата хватит вам — говорим на аудите прямо: если достаточно сайта, продавать «под ключ» не будем.

• Аудит обработки персональных данных.
  Инвентаризация: какие данные собираете, где они живут, кто имеет доступ, какие ИСПДн есть и какие уровни защищённости им положены. Результат — отчёт с разрывами и план. С аудита начинается любой пакет.
• Документы оператора.
  Поимённый комплект: политика обработки, положение о защите ПДн, приказы о назначении ответственного и о допуске, перечни данных и ИСПДн, модель угроз, журналы учёта, формы согласий, регламент ответов субъектам.
• Сайт под 152-ФЗ.
  Политика и пользовательское соглашение, чекбоксы согласий у каждой формы, cookie-баннер с фиксацией выбора, SSL, проверка локализации данных на серверах в РФ.
• Технические меры в ИСПДн.
  Разграничение доступа и парольная политика, журналирование, резервное копирование, антивирусная защита и СЗИ по назначенному уровню защищённости — настроенные и задокументированные.
• Уведомление Роскомнадзора.
  Готовим и подаём уведомление оператора, а при изменении состава обработки — обновляем сведения в реестре. Отвечаем на запросы регулятора вместе с вами.
• Обучение и сопровождение.
  Инструктаж сотрудников, регламент реагирования на инциденты и обращения субъектов, сопровождение при проверке — отдельным пакетом.

Технические меры опираются на реальное состояние систем: если инфраструктура давно не проверялась, начинаем с аудита ИТ-инфраструктуры, а стойкость выстроенной защиты проверяем пентестом.

Скажем прямо: аттестация нужна не всем. Она обязательна государственным информационным системам и отдельным категориям операторов — нужна ли вам, станет ясно на аудите. Если нужна, мы доводим систему и комплект до границы аттестации и передаём лицензиату ФСТЭК — а не продаём чужую услугу под своим логотипом. Итоги проверок и решения по реестру принимает Роскомнадзор: подрядчик, который «гарантирует» результат проверки, обещает не своё. Наша зона — чтобы документы совпадали с реальной обработкой, сайт был чист от типовых нарушений, а меры были настроены и задокументированы.

На цену влияют: число ИСПДн и сотрудников с доступом к данным, состояние сайта и систем, назначенные уровни защищённости и объём технических мер. Оплата поэтапная — 30% / 40% / 30%. Сертифицированные СЗИ и оборудование в цену работ не входят — они покупаются по ценам вендоров, и скидки на них не действуют.

Почему дешевле рынка — и почему скидка разная. ИИ-инструменты ускоряют ту часть работ, которую делает код и шаблон: генерацию комплекта документов, cookie-баннер и формы согласий, журналы доступа и конфигурации — скидку применяем только к этой доле. Обследование ИСПДн, очная настройка средств защиты, взаимодействие с Роскомнадзором и обучение сотрудников ИИ не ускоряет — они идут по полной ставке. Поэтому сайт-пакет дешевле рынка почти вдвое, а комплекс с техмерами — только на треть: в нём доля ускоряемых работ заметно ниже.

1. Аудит обработки — 3–5 дней.
   Инвентаризация данных, систем, сайта и существующих документов. Результат — отчёт с разрывами, уровни защищённости ИСПДн и смета по выбранному формату.
2. Документы оператора — 1–2 недели.
   Готовим поимённый комплект и согласуем его с вашим юристом и ИТ. Результат — документы, совпадающие с реальной обработкой, а не шаблоны «для полки».
3. Сайт — 7–10 рабочих дней, параллельно.
   Политика, согласия в формах, cookie-баннер, SSL, локализация. Результат — сайт без типовых нарушений, видных дистанционной проверке.
4. Технические меры — 3–6 недель, в формате «под ключ».
   Доступы, журналирование, резервное копирование, СЗИ по уровню защищённости. Результат — настроенные и задокументированные меры.
5. Уведомление РКН и передача.
   Подаём уведомление оператора, передаём комплект, инструктируем сотрудников. Дальше живём вместе с законом: изменения обработки отражаем в документах и реестре.

Подробнее о том, как устроена работа, — на странице этапов реализации.