ФЗ-242 вступил в силу: первые проверки Роскомнадзора и кто к ним готов

Сегодня, 1 сентября 2015 года, ФЗ-242 вступил в силу. Роскомнадзор ещё летом обозначил, что проверки начнутся не символически, а реально - с уведомлений операторам персональных данных и запросов документации. День X наступил.

У части наших клиентов - спокойное утро. У части знакомых в соседних компаниях - судя по звонкам с утра - паника.

Что происходит прямо сейчас

Паника не у тех, кто был в серой зоне и ждал. Паника у тех, кто был уверен, что «это всё ерунда, разберёмся когда придут» - и теперь выясняет, что пришли. Или, точнее, что придут и нужно что-то показывать.

Сценарий у большинства «неподготовленных» примерно одинаковый: CRM или HR-система в зарубежном облаке, данные сотрудников и клиентов там же, никакой документации о том, где хранятся ПДн, кто оператор, какой процесс обработки. Если Роскомнадзор пришлёт запрос сегодня - ответить по существу нечем.

Мы такое разбирали ещё в августе: матрица рисков, что переносить, что оставить, где серые зоны. Те, кто пришёл тогда, - уже сделали то, что можно было сделать за месяц.

Что успели клиенты, которые готовились

Не буду делать вид, что за август можно решить всё. Но вот что реально успевается за четыре недели, если взяться без затяжек.

Инвентаризация и классификация. Понять, где физически лежат ПДн граждан РФ, - это первое и самое важное. Не «примерно в облаке», а конкретно: какая система, какой датацентр, какие категории данных. У большинства клиентов эта картина была размытой - CRM отдельно, HR отдельно, бэкапы отдельно и никто не помнит куда.

Документация оператора. Политика обработки ПДн, приказ о назначении ответственного, журнал обращений субъектов ПДн - это не сложные документы, но их нужно иметь в принципе. Роскомнадзор в первую очередь смотрит на наличие документации, и её отсутствие - самостоятельное нарушение, независимо от того, где лежат данные.

Перенос очевидного. Там, где была on-premise версия или российский ЦОД у вендора, - данные переехали. Jira Server, Confluence Server, 1С - это не требовало архитектурных решений, только времени и тестирования. Перенесли, проверили, зафиксировали.

Позиция по серым зонам. Не всё можно решить техническими мерами за месяц. Там, где вендор не имеет российского ЦОДа и on-premise версии нет, - задокументировали текущее состояние, обосновали, почему считаем риск минимальным или приемлемым, и завели план на квартал. Это не «закрыть глаза», а осознанная позиция с бумагой.

Как выглядит готовность к проверке

Если сегодня придёт запрос от Роскомнадзора, у подготовленного клиента есть что показать:

• перечень информационных систем с ПДн и адреса датацентров
• документы оператора - политика, приказы, журналы
• техническое подтверждение локализации там, где она выполнена
• обоснованная позиция по системам, где с локализацией не закончили

Это не гарантия, что всё пройдёт без вопросов. Но это разница между «мы работаем над этим и вот наши документы» и «мы не знаем где у нас данные».

Что дальше

Роскомнадзор обозначил, что первые проверки будут плановыми и с предварительным уведомлением. Это даёт время тем, кто не успел - не бесконечное, но время. Санкции за нарушение ФЗ-242 прописаны, и хотя правоприменительной практики пока мало, прецеденты уже формируются.

Что точно не стоит делать - ждать, пока придёт уведомление, и только тогда начинать разбираться. После уведомления времени на спокойную работу не остаётся.

Если к этому моменту ничего не сделано - лучше начать с честной инвентаризации прямо сейчас, чем строить ответ регулятору из воздуха. Аудит состояния ПДн - первый шаг, который даёт понять, с чем реально имеешь дело.