Аудит ИТ-инфраструктуры под требования 152-ФЗ: с чего начать
Российское законодательство в области защиты информации регулярно ужесточается, из-за чего бизнесу приходится оперативно перестраивать внутренние процессы. Любое явное нарушение в сфере персональных данных теперь оборачивается крупными оборотными штрафами и риском блокировки веб-ресурсов со стороны Роскомнадзора. Первым шагом к созданию легальной системы обработки сведений становится комплексный аудит текущей ИТ-инфраструктуры компании.
Многие руководители ошибочно полагают, что для соблюдения закона достаточно разместить шаблонную политику конфиденциальности на сайте и собрать подписи с сотрудников. В реальности регулятор оценивает техническую сторону: где физически находятся серверы, как разграничены права доступа и защищены ли каналы связи. Начинать проверку необходимо с полной инвентаризации всех информационных систем, в которых циркулируют личные сведения клиентов и штатных специалистов.
Составление карты потоков данных
Первый этап технического аудита — это фиксация всех точек входа и путей перемещения информации внутри компании. Сюда входят формы регистрации на сайте, CRM-системы, бухгалтерские программы, сервисы рассылок и даже корпоративная почта. Инженерам необходимо четко определить, какие именно категории сведений собираются, где они аккумулируются и в какие сторонние сервисы передаются по API.
Часто в процессе инвентаризации обнаруживаются скрытые уязвимости, например, дублирование баз данных на локальных компьютерах менеджеров или использование небезопасных облачных хранилищ. Закон требует, чтобы первичный сбор и хранение информации граждан РФ происходили строго на серверах, расположенных на территории России. Если этот пункт не соблюдается, остальные меры защиты теряют юридический смысл.
По итогам этого этапа ИТ-отдел формирует детальную схему, на которой отмечены все сервера, базы данных и промежуточные узлы. Это позволяет наглядно увидеть периметр безопасности и локализовать зоны риска, требующие немедленной модернизации или отключения от общего контура.
Классификация систем и оценка защищенности
После составления карты потоков данных необходимо определить уровень защищенности для каждой информационной системы персональных данных (ИСПДн). Законодательство разделяет их на четыре уровня, в зависимости от объема обрабатываемых сведений и их характера. К специальным категориям относятся данные о здоровье или религиозных убеждениях, к биометрическим — фотографии и отпечатки пальцев, а к общедоступным — ФИО и номера телефонов.
Для определения точных требований к ИТ-инфраструктуре эксперты используют конкретные параметры:
- Тип актуальных угроз безопасности для конкретной инфраструктуры (от первого до третьего типа).
- Категория обрабатываемых данных (общедоступные, иные, биометрические или специальные).
- Статус субъектов, чьи данные обрабатываются (сотрудники компании или сторонние лица).
- Общее количество субъектов, информация о которых хранится в базе (до 100 000 или более).
На основе присвоенного уровня формируется перечень технических средств защиты. Сюда входит внедрение сертифицированных межсетевых экранов, систем обнаружения вторжений (IDS/IPS) и средств криптографической защиты информации, если данные передаются по открытым каналам связи.
Разграничение прав доступа и логирование процессов
Большая часть инцидентов, связанных с утечками информации, происходит по внутренней вине или из-за халатности персонала. В ходе аудита ИТ-инфраструктуры важно детально проанализировать существующую матрицу доступа. Каждый сотрудник должен иметь возможность работать только с теми сведениями, которые необходимы ему для выполнения прямых должностных обязанностей.
Администраторам систем необходимо настроить обязательное и некорректируемое логирование всех действий пользователей в базах данных. Проверка должна подтвердить, что система фиксирует, кто, когда и какие именно записи просматривал, изменял или выгружал во внешние файлы. Без этого невозможно вовремя заметить подозрительную активность или доказать факт внутреннего нарушения.
«Реальная безопасность ИТ-контура строится на принципе минимизации привилегий. Если менеджеру по продажам для работы нужен только номер телефона клиента, у него не должно быть технического доступа к его паспортным данным или истории платежей».
Дополнительно проверяются регламенты удаления информации. Закон обязывает уничтожать персональные данные после достижения целей их обработки или в случае отзыва согласия пользователем. Аудит должен показать, насколько автоматизирован этот процесс и не остаются ли "забытые" архивные копии на старых серверах.
Разработка технического отчета и плана модернизации
Финальным этапом аудита становится сведение всех полученных данных в единый документ. Этот отчет содержит детальное описание текущего состояния ИТ-архитектуры, зафиксированные несоответствия требованиям регулятора и конкретные рекомендации по их устранению. Документ служит основанием для выделения бюджета на закупку средств защиты и модернизацию серверов.
При планировании изменений стоит придерживаться следующей последовательности действий:
- Устранение критических уязвимостей, связанных с трансграничной передачей и локализацией баз данных.
- Внедрение систем двухфакторной аутентификации для всех учетных записей с доступом к ИСПДн.
- Установка и настройка сертифицированного программного обеспечения для защиты рабочих мест и серверов.
- Проведение тестовых испытаний обновленной ИТ-инфраструктуры на устойчивость к внешним атакам.
Регулярное проведение такого аудита — не разовая акция, а постоянный элемент поддержки бизнеса. Инфраструктура меняется, появляются новые сервисы и инструменты, а значит, технический контур необходимо периодически перепроверять на соответствие актуальным правовым нормам.
