Как защитить базу от утечек: руководство для руководителей IT

Как защитить базу от утечек - руководство для руководителей IT.

Обезличивание данных

Обезличивание выводит данные из-под 152-ФЗ. Методы: замена, перестановка, декомпозиция, агрегация. Важно: процесс должен быть необратимым без дополнительной информации.

Требования к согласию

Согласие должно быть конкретным, информированным, сознательным и добровольным. Чекбокс не отмечен по умолчанию, текст понятен, указаны цели и перечень данных. С 2024 года ужесточены требования к содержанию согласия.

Технические меры защиты

SSL/TLS, шифрование данных в БД, контроль доступа, логирование, защита от инъекций и XSS, 2FA для администраторов, регулярные бэкапы на территории РФ.

проведите аудит процессов обработки ПДн;
подготовьте модель угроз;
проводите регулярные пентесты;
проверьте локализацию хранения;

Документация оператора

Обязательные документы: Политика конфиденциальности, Положение об обработке, формы согласия, приказ о назначении DPO, модель угроз, журнал учёта обращений субъектов.

настройте cookie-баннер;
убедитесь в наличии SSL;
проводите регулярные пентесты;
ведите журнал обращений;

Штрафы и ответственность

Штрафы по ст. 13.11 КоАП: обработка без согласия - до 700 000 ₽, отсутствие Политики - до 100 000 ₽, нарушение локализации - до 6 000 000 ₽, оборотные штрафы за утечки - до 3% выручки.

убедитесь в наличии SSL;
подготовьте модель угроз;
настройте cookie-баннер;
назначьте ответственного за ПДн;
ведите журнал обращений;

Реестр операторов

Проверьте наличие вашей организации в реестре операторов ПДн на сайте Роскомнадзора. Отсутствие уведомления - самостоятельное правонарушение по ст. 19.7 КоАП.

подготовьте модель угроз;
проверьте наличие согласий во всех формах;
проводите регулярные пентесты;
обучите сотрудников;

Проверьте свой сайт

Воспользуйтесь бесплатным аудитом help152.ru, чтобы проверить ваш сайт на соответствие 152-ФЗ. Проверка занимает менее 2 минут.