Чек-лист готовности к утечке персональных данных

Чек-лист к статьям уведомление Роскомнадзора об утечке и защита персональных данных. Отметку ставьте, только если можете показать документ или выполнить действие прямо сейчас.

Люди

• ☐ Назначен руководитель действий при инциденте и его заместитель
• ☐ Известно, кто подаёт уведомление в РКН и у него есть доступ к форме
• ☐ Есть актуальные контакты: ИТ, ИБ, юрист, руководство, PR, подрядчики
• ☐ Контакты хранятся вне систем, которые могут оказаться недоступны

Документы

• ☐ Готов шаблон первичного уведомления (до 24 часов)
• ☐ Готов шаблон итогового уведомления (до 72 часов)
• ☐ Есть перечень систем с ПДн, владельцы и категории данных
• ☐ Есть список подрядчиков, получающих ПДн, с контактами
• ☐ Описан порядок оценки масштаба: сколько субъектов и какие данные

Технические возможности

• ☐ Можно за минуты изолировать сервер от сети: порядок действий
• ☐ Журналы доступа к системам с ПДн хранятся вне этих систем: сбор логов
• ☐ Время на серверах синхронизировано, иначе журналы не сопоставить
• ☐ Резервные копии вне площадки, восстановление проверено: 3-2-1
• ☐ Можно быстро сменить пароли, ключи и токены учётных записей служб

Обучение

• ☐ В этом году проведено учение «найдена утечка» с засечкой времени
• ☐ По итогам учения записаны улучшения и сроки
• ☐ Сотрудники знают, как и кому сообщить о подозрении на утечку

Любой незакрытый пункт — задача с ответственным и сроком. После устранения пробелов проведите учение ещё раз. Штрафы, на которые вы рискуете при пропуске сроков: размеры штрафов.