👤 Биометрия в офисе: Удобство или ловушка?

​FaceID на входе и учет времени по отпечатку пальца — это удобно, но с точки зрения 152-ФЗ это обработка биометрических персональных данных.

❗️Главная ошибка бизнеса — собирать такие данные без письменного согласия в строгой форме или передавать их третьим лицам (например, охране БЦ) без надлежащего договора.

⚠️ ​Риски стали критическими: нарушение порядка обработки биометрии теперь выделено в отдельный состав КоАП с огромными штрафами. Если база данных «утечет» или проверка выявит отсутствие регистрации в Единой биометрической системе (ЕБС) при необходимости, компании грозят санкции и судебные иски от сотрудников. Биометрия требует максимального уровня защиты от НСД и четкого правового обоснования.

💙 ​Наш сайт: https://data-sec.ru

🏢 Кто на самом деле является субъектом КИИ?

​Мнение о том, что КИИ касается только оборонных заводов и АЭС — опасный миф. В зону действия 187-ФЗ попадают организации из 13 отраслей, включая здравоохранение, финансы и транспорт. Если у вашей частной клиники есть система записи пациентов, у банка — мобильное приложение, а у транспортной компании — GPS-мониторинг грузов, вы с высокой вероятностью являетесь субъектом критической информационной инфраструктуры.

⚠️ ​Игнорирование статуса субъекта КИИ не освобождает от ответственности!

Риски включают не только административные штрафы по КоАП РФ до 500 000 рублей за непредставление сведений во ФСТЭК, но и уголовную ответственность (ст. 274.1 УК РФ) до 10 лет лишения свободы для руководителей, если кибератака на незащищенную систему приведет к сбоям в работе инфраструктуры. В 2025 году критерии категорирования стали жестче, а автоматизированный контроль — глубже.

❓Что нужно сделать сейчас:
​Провести инвентаризацию всех ИТ-систем.
​Проверить ОКВЭД и наличие лицензий в «критических» сферах.
​Подать актуализированные данные о категорировании во ФСТЭК.

💙​ Наш сайт: https://data-sec.ru

​⚖️ Категорирование КИИ: Как не завысить и не занизить показатели?

​Категорирование объектов КИИ по 187-ФЗ — это тонкий баланс между безопасностью и экономикой.
​Занижение показателей в надежде избежать «значимой» категории ведет к прямому конфликту со ФСТЭК: регулятор вправе вернуть документы на пересмотр или провести проверку, результатом которой станут штрафы по ст. 19.7.15 КоАП РФ. С другой стороны, неоправданное завышение категории накладывает на бизнес избыточные обязательства по закупке дорогостоящих СЗИ и внедрению строгих регламентов.

⚠️ ​Главный риск при неверном категорировании — юридическая уязвимость руководства. Ошибка в расчетах социального или экономического ущерба может квалифицироваться как халатность, особенно если инцидент ИБ приведет к реальным последствиям.
​Важно опираться на актуальные критерии из Постановления Правительства №127, детально анализировать каждый бизнес-процесс и помнить: с 1 сентября 2025 года требования к импортозамещению на значимых объектах КИИ стали обязательными.

​Как пройти по грани:

Тщательно обоснуйте отсутствие значимости для второстепенных систем.

​Используйте реальные финансовые показатели для расчета ущерба.

​Документируйте каждый шаг — корректная модель угроз защитит вас при проверке.

💙 ​Наш сайт: data-sec.ru

⏱️ Инцидент на объекте КИИ: 3 часа на доклад

​Скорость реакции в сфере КИИ теперь закреплена законодательно. Согласно требованиям 187-ФЗ и регламентам ФСБ, субъекты КИИ обязаны информировать о компьютерных инцидентах через систему ГосСОПКА. Для значимых объектов время на передачу первого отчета составляет всего 3 часа с момента обнаружения. Готов ли ваш IT-отдел к такому спринту, или дежурный администратор узнает об атаке только утром?

⚠️ ​Реальные риски — это не только технический простой. За нарушение сроков и порядка передачи данных предусмотрены административные штрафы до 500 000 рублей (ст. 13.12.1 КоАП РФ). А если сокрытие инцидента привело к тяжким последствиям, в силу вступает уголовная ответственность.

Без четко отлаженных процессов мониторинга и автоматизированных средств реагирования уложиться в норматив практически невозможно.

​Обязательные шаги для бизнеса:

Настроить круглосуточный мониторинг событий ИБ.
​Заключить соглашение о взаимодействии с НКЦКИ.
​Отработать регламент оповещения: кто, кому и в какой форме сообщает об атаке.

💙 ​Наш сайт: https://data-sec.ru

🤐 Режим коммерческой тайны vs. Простое «Тссс!»

​Для суда фраза «это наш секрет» не имеет юридической силы. Если в компании официально не введен режим коммерческой тайны (КТ) согласно 98-ФЗ, вы не сможете привлечь сотрудника к ответственности за слив клиентской базы или условий тендера. Судебная практика беспощадна: нет положения о КТ, нет грифа «Коммерческая тайна» на документах и нет подписи сотрудника об ознакомлении — значит, информация не была защищена, и её разглашение не является нарушением.

⚠️ ​Простое «соглашение о неразглашении» (NDA) без привязки к ЛНА компании — лишь декларация о намерениях. Риски для бизнеса сегодня критичны: с июля 2025 года ответственность по ст. 183 УК РФ ужесточена. За разглашение секретов, повлекшее крупный ущерб, теперь грозит штраф до 5 млн рублей и реальное лишение свободы на срок от 3 до 7 лет. Без юридически грамотного режима КТ вы остаетесь беззащитны перед промышленным шпионажем и недобросовестными кадрами.

❗️​Обязательные шаги для защиты:
​Утвердите четкий перечень сведений, составляющих КТ.
​Введите Положение о коммерческой тайне и ознакомьте с ним персонал под роспись.
​Нанесите гриф «Коммерческая тайна» на все материальные и электронные носители.

💙 ​Наш сайт: https://data-sec.ru

🌍 Удаленка без утечек: безопасность за пределами офиса

​Работа из кафе и разных стран — это не только свобода, но и огромная «дыра» в периметре компании. Согласно 152-ФЗ, работодатель несет полную ответственность за сохранность данных, даже если сотрудник работает с личного ноутбука через общественный Wi-Fi. Без внедрения мер защиты от НСД (несанкционированного доступа) любой выход в сеть из аэропорта превращается в риск перехвата трафика и кражи корпоративных паролей.

⚠️ ​Риски для бизнеса сегодня выходят за рамки штрафов Роскомнадзора!
Утечка данных из-за границы может быть расценена как нарушение правил трансграничной передачи ПДн, что грозит блокировками и санкциями до 15 млн рублей по новым нормам КоАП. Чтобы не потерять контроль, необходимо внедрить двухфакторную аутентификацию (2FA), зашифрованные VPN-каналы и системы класса DLP/EDR для мониторинга действий на конечных точках.

​Чек-лист для «удаленки»:
​Запретите доступ к критичным системам без VPN и 2FA.
​Проведите аудит прав доступа: только то, что нужно для работы.
​Закрепите в трудовых договорах правила работы с КТ и ПДн вне офиса.

💙 ​Наш сайт: https://data-sec.ru

💾 Флешка — враг компании: почему USB-порты всё еще опасны

В эпоху облачных сервисов обычный USB-накопитель остается «главной брешью» в безопасности. Согласно 152-ФЗ и требованиям ФСТЭК, бесконтрольное использование съемных носителей — это прямое нарушение режима защиты данных. Через обычную флешку в сеть попадает до 70% вредоносного ПО, а инсайдер может выгрузить гигабайты коммерческой тайны, не оставив следов в сетевом трафике.

⚠️ ​Риски для бизнеса колоссальны:
от полной шифровки серверов вирусом-вымогателем до оборотных штрафов за утечку ПДн, которые в 2025 году стали реальностью. Если ваша компания работает с КИИ (187-ФЗ), то отсутствие контроля USB-портов — это гарантированное предписание от регулятора и потенциальная уголовная ответственность для ответственных лиц при возникновении инцидента.

❓​Как закрыть брешь:
​Внедрите программный запрет на использование неавторизованных USB-устройств.
​Используйте только корпоративные зашифрованные накопители.
​Настройте аудит копирования файлов: кто, когда и что перенес на внешний носитель.

💙 ​Наш сайт: https://data-sec.ru

🛡️ Аудит ИБ: Страшный сон или генеральная репетиция?

​Многие руководители воспринимают аудит как «бюрократическую пытку», но в реальности это единственная возможность найти бреши раньше хакеров или инспекторов. С учетом ужесточения 152-ФЗ и 187-ФЗ, приход Роскомнадзора или ФСТЭК без предварительной подготовки почти гарантированно заканчивается протоколами. Внутренний аудит позволяет выявить отсутствие обязательных ОРД, некорректные настройки межсетевых экранов или незакрытые доступы уволенных сотрудников.

⚠️​Цена игнорирования — не только штрафы до 15 млн рублей за утечки ПДн, но и риск приостановки деятельности компании! Аудит — это не просто проверка бумаг, а оценка реальной устойчивости бизнеса к киберугрозам.

Проведя «генеральную репетицию» самостоятельно, вы трансформируете риски в понятный план действий, минимизируя ущерб репутации и бюджету при реальной проверке.

❓​Зачем нужен аудит сегодня:

1.​ Поиск «спящих» уязвимостей в ИТ-инфраструктуре.

2.​ Актуализация моделей угроз под новые требования 2025 года.

3. ​Оптимизация расходов: внедрение только необходимых средств защиты.

💙 ​Наш сайт: https://data-sec.ru

📞 Социальная инженерия: почему софт не спасет от «звонка из службы безопасности»

​Даже самый дорогой межсетевой экран бессилен, если сотрудник сам диктует пароль злоумышленнику по телефону. Социальная инженерия остается главным вектором атак: по статистике, более 80% инцидентов начинаются с фишингового письма или манипуляции доверием. Согласно 152-ФЗ, компания обязана обеспечить защиту данных, но никакие технические меры не заменят грамотность персонала.

⚠️ ​Риски для бизнеса фатальны: от кражи доступов к счетам до масштабных утечек ПДн, за которые по новым поправкам в КоАП предусмотрены многомиллионные штрафы. Игнорирование обучения сотрудников (Security Awareness) превращает коллектив в «слабое звено», через которое взламывают даже защищенную инфраструктуру КИИ (187-ФЗ). Обученный сотрудник — это первый и самый эффективный рубеж обороны, экономящий миллионы на ликвидации последствий взлома.

❓​Как защитить бизнес через обучение:

1. ​Проводите регулярные имитации фишинговых атак.
2. ​Внедрите четкий протокол действий при подозрительных звонках.
3. ​Обучите основам «цифровой гигиены» каждого: от секретаря до генерального директора.

💙 ​Наш сайт: https://data-sec.ru

🇷🇺 Импортозамещение в ИБ: Больно, дорого или необходимо?

❗Переход на отечественное ПО — это уже не вопрос желания, а жесткое требование регуляторов. Для значимых объектов КИИ срок перехода на российские решения установлен до 1 сентября 2025 года (согласно указу №250 и 187-ФЗ). Игнорирование этого факта влечет не только штрафы, но и риск полной остановки бизнес-процессов из-за отзыва лицензий или блокировок со стороны западных вендоров. Сегодня импортозамещение — это единственный способ обеспечить непрерывность работы.

Рынок РФ уже предлагает зрелые продукты, которые реально работают в «боевых» условиях. Вместо Cisco и Fortinet — современные NGFW от UserGate, Ideco или Кода Безопасности. На замену зарубежным SIEM пришли мощные аналитические платформы MaxPatrol (Positive Technologies) и Solar SIEM. Для защиты от утечек (DLP) российские лидеры InfoWatch и Solar Dozor годами удерживают первенство, превосходя западные аналоги в работе с русским языком и спецификой нашего законодательства (152-ФЗ).

❓Что дает переход на отечественные СЗИ:

— Полное соответствие требованиям ФСТЭК и ФСБ.
— Поддержка и обновления без санкционных рисков.
— Интеграция с государственными системами (ГосСОПКА).

💙 Наш сайт: https://data-sec.ru

🌍 Трансграничная передача ПДн: легальная ловушка для бизнеса

Если ваша компания использует зарубежные облачные сервисы, CRM или отправляет данные иностранным контрагентам, вы обязаны уведомлять Роскомнадзор о трансграничной передаче согласно 152-ФЗ. Но просто отправить уведомление недостаточно. Регулятор вправе запретить или ограничить передачу, если не проведена предварительная оценка безопасности инфраструктуры на той стороне.

❗️Главный риск — формальный подход. Если аудит процессов (согласно ст. 12 закона 152-ФЗ) не выполнен или данные в уведомлении не соответствуют реальности, компании грозят не только штрафы, но и предписание о немедленной блокировке передачи. Для международного бизнеса это означает паралич операционных процессов и потерю доступа к критически важным базам данных.

❓Чтобы избежать блокировок, необходимо провести детальное обследование инфраструктуры, оценить правовые режимы стран-получателей и подготовить корректный пакет документов. Мы помогаем легализовать международный обмен данными и защитить компанию от претензий регуляторов.

💙 Наш сайт: https://data-sec.ru/

🛡️ Ваши СЗИ работают или просто «числятся»? Часть 1

Многие компании тратят миллионы на покупку антивирусов, межсетевых экранов и DLP-систем, но всё равно становятся жертвами утечек. Почему? Потому что наличие средств защиты информации (СЗИ) не равно безопасности. Без регулярной оценки эффективности системы защиты остаются «коробочными» решениями, которые не настроены под реальные угрозы вашей инфраструктуры.

⚠️ Согласно 152-ФЗ и требованиям регуляторов, оценка эффективности — это обязательный этап. Игнорирование этого шага ведет к печальным последствиям: от предписаний Роскомнадзора до реальных взломов, которые СЗИ просто «не заметили» из-за ошибок в конфигурации. Проверка показывает, закрывают ли ваши инструменты актуальные векторы атак или они создают лишь иллюзию безопасности.

💙 Наш сайт: https://data-sec.ru/

✅ Оценка эффективности СЗИ: от обязательств к результату. Часть 2

❓Как понять, что вложенные в кибербезопасность средства приносят результат? Ответ дает профессиональная оценка эффективности принимаемых мер по обеспечению безопасности ПДн (согласно Постановлению Правительства №1119). Это не просто формальность, а проверка системы на прочность: работают ли правила разграничения доступа и блокируются ли попытки несанкционированного входа.

❗Обязательные шаги для бизнеса включают в себя: тестирование работоспособности СЗИ, проверку актуальности лицензий и, главное, контроль соответствия настроек вашей Модели угроз. Результатом такой работы становится протокол испытаний и уверенность в том, что в случае инцидента защита сработает мгновенно, а при проверке у регулятора не возникнет вопросов.


💙 Наш сайт: https://data-sec.ru/

Актуализация модели угроз: почему старые документы больше не защищают 🛡️

Часть 1: Иллюзия стабильности и новые требования регуляторов

Многие руководители и ИТ-директора совершают опасную ошибку, полагая, что если архитектура сети и состав серверов не менялись несколько лет, то и Модель угроз (МУ) остается актуальной. Однако Модель угроз — это не технический инвентарь, а живой анализ векторов атак, которые меняются ежедневно. С 2022 года ландшафт угроз в России трансформировался полностью: появились новые типы деструктивных воздействий, массовый уход западных вендоров лишил системы безопасности обновлений, а требования ФСТЭК (Методика 2021 года) и ФСБ стали значительно жестче.

Законы 152-ФЗ и 187-ФЗ обязывают компании обеспечивать адекватный уровень защиты. Если ваша МУ не учитывает современные угрозы (например, атаки через цепочки поставок ПО или уязвимости в Open Source), то при первой же проверке или инциденте регулятор признает принятые меры безопасности неэффективными. Это влечет за собой не только огромные штрафы, но и личную ответственность руководства за несоблюдение норм защиты персональных данных или критической инфраструктуры.

💙 Наш сайт: https://data-sec.ru/

Актуализация модели угроз: почему старые документы больше не защищают 🛡️

Часть 2: Когда закон требует немедленного пересмотра?

Существует ряд четких триггеров, при которых «освежить» Модель угроз нужно не дожидаясь планового аудита. Во-первых, это изменение нормативно-правовой базы. Регуляторы регулярно выпускают новые перечни актуальных угроз и методические рекомендации. Во-вторых, это появление новых возможностей у нарушителей. То, что вчера считалось «маловероятным сценарием», сегодня входит в базовый арсенал хакеров.

⚠️ Не забывайте про внутренние факторы: внедрение удаленного доступа для сотрудников, переход на облачные сервисы или использование новых средств защиты информации (СЗИ). Любое изменение в способах обработки данных требует оценки рисков. Если в Модели угроз не отражены актуальные способы нейтрализации каналов утечки, система защиты превращается в «картонную стену», которая существует только на бумаге, не защищая бизнес от реальных простоев и репутационных потерь.

💙 Наш сайт: https://data-sec.ru/

Актуализация модели угроз: почему старые документы больше не защищают 🛡️

Часть 3: Как превратить Модель угроз из «обузы» в рабочий инструмент

Правильно составленная Модель угроз — это не просто папка для инспектора, а ваша дорожная карта по оптимизации расходов на ИТ-безопасность. Качественный пересмотр МУ позволяет отсечь избыточные меры защиты и сфокусироваться на реальных рисках. Вместо того чтобы покупать дорогостоящее оборудование «на всякий случай», вы внедряете только те инструменты, которые действительно блокируют актуальные для вашей компании угрозы. Это прямой путь к экономии бюджета при сохранении высокого уровня юридической безопасности.

Мы в «Центре безопасности данных» рекомендуем проводить аудит Модели угроз минимум раз в год или при каждом значимом изменении в инфраструктуре. В рамках услуги мы проводим глубокий анализ ваших процессов, сопоставляем их с актуальным банком угроз ФСТЭК и формируем техническое задание на систему защиты, которое действительно работает.

⚠️ Помните: в случае инцидента именно грамотная Модель угроз станет основным доказательством того, что компания предприняла все необходимые и достаточные меры для защиты информации.

💙 Наш сайт: https://data-sec.ru/

С чего начать, если руководитель сказал: «Приведи у нас все с ПДн в порядок»? 📋🏗

Часть 1: Инвентаризация процессов — фундамент вашей безопасности

Получив задачу «навести порядок в ПДн», юрист или ответственный специалист часто совершает ошибку, начиная сразу скачивать шаблоны документов из интернета. Но документы — это верхушка айсберга. Первым шагом всегда должна быть инвентаризация процессов обработки ПДн. Вам нужно для каждого процесса ответить на вопросы:
🔹 Какие именно данные мы собираем (ФИО, телефоны, адреса, биометрия, данные о здоровье)?
🔹 Для чего данные нам нужны (цель сбора)?
🔹 Где они хранятся (в папках на полках, в 1С, в облачных CRM, в Excel-таблицах менеджеров) и кем обрабатываются?

❗️Результатом этого этапа должен стать реестр процессов обработки персональных данных. Без него не получится разработать правильные документы, так как они не будут отражать реальные процессы в компании. Только понимая объем данных и цели обработки, можно двигаться к разработке локальной правовой базы.

💙 Наш сайт: https://data-sec.ru/

С чего начать, если руководитель сказал: «Приведи у нас все с ПДн в порядок»? 📋🏗

Часть 2: Правовое основание и уведомление регулятора

Когда инвентаризация завершена, пора переходить к юридической легализации процессов. Шаг второй — проверка законности сбора данных. Для каждой категории (сотрудники, клиенты) должно быть свое основание: либо прямое требование закона (например, Трудовой кодекс), либо договор, либо корректно составленное согласие на обработку ПДн. Помните: «согласие на всё сразу» в одной галочке больше не работает — Роскомнадзор требует конкретики и информированности.

Шаг третий — уведомление Роскомнадзора. С сентября 2022 года почти любая обработка данных требует включения компании в реестр операторов ПДн. Если вы еще не подали уведомление или данные в нем устарели (например, изменился адрес или категории данных), это является прямым нарушением ст. 22 152-ФЗ. Правильно заполненная форма уведомления на сайте РКН — это ваш официальный сигнал регулятору, что компания осознает свою ответственность и встала на путь комплаенса.

💙 Наш сайт: https://data-sec.ru/

«С чего начать, если руководитель сказал: “Приведи у нас все с ПДн в порядок”?» 📋🏗️

Часть 3: Локальные акты и технический заслон

Заключительный этап первичного внедрения — разработка обязательного пакета документов (ЛНА). Вашим «минимумом» станут:
1. Политика в отношении обработки ПДн (должна быть опубликована на сайте);
2. Положение об обработке персональных данных;
3. Приказ о назначении ответственного за организацию обработки;
4. Модель угроз (согласно требованиям ФСТЭК и ФСБ).

❗Однако помните: наличие бумаг не равно защите. Шаг четвертый — это технические меры. Настройте разграничение прав доступа (бухгалтер не должен видеть базу маркетинга), установите антивирусы и средства защиты, прошедшие сертификацию, если того требует закон. «Центр безопасности данных» помогает пройти этот путь от инвентаризации до внедрения систем защиты «под ключ». Мы не просто пишем инструкции, мы создаем работающий механизм, который защитит вас и при проверке регулятора, и при реальной попытке кражи данных.

💙 Наш сайт: https://data-sec.ru/