Безопасность данных: практика и уровни зрелости

Классификация, шифрование, резервные копии, секреты и защита персональных данных.

Что нужно на первом и втором уровне

Уровень	Что должно быть
1. Базовый	Известно, где хранятся важные и персональные данные; резервные копии существуют.
2. Гигиенический	Данные классифицированы; копии по схеме 3-2-1 с проверенным восстановлением; секреты не лежат в репозиториях; передача наружу защищена.

Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.

Материалы по теме

CRM и персональные данные: права доступа, аудит и чистка базы
Практика безопасной работы с CRM: инвентаризация данных, роли и права доступа, ограничение экспорта, журнал действий и оповещения, срок хранения и чистка устаревших записей, удаление по запросу, подрядчики и…
DLP для небольшой компании: когда нужен и как внедрить без лишних затрат
Практическое руководство по DLP для небольшой компании: когда система нужна, а когда хватает классификации и прав, каналы утечек, критерии выбора, поэтапное внедрение в режиме наблюдения, реагирование и показатели.
GPG для администратора: шифрование резервных копий, подпись и проверка целостности
Практика шифрования резервных копий программой GnuPG: создание пары ключей подписи и шифрования, скрипт шифрования каталога с подписью и контрольной суммой, проверка и расшифровка, обнаружение повреждения, хранение ключей и…
Rsync настройка бэкапа на CentOS / Debian / Ubuntu
Как копировать каталоги rsync по SSH, зачем dry-run и почему без restore это ещё не бэкап.
Видеонаблюдение и биометрия: когда это персональные данные и что требовать
Требования 152-ФЗ и ТК РФ к видеонаблюдению и биометрии: что считается биометрическими ПДн, письменное согласие по статье 11, исключения, обязательность предоставления, видеонаблюдение за работниками, хранение записей и контроль…
Договор и оферта как основание обработки ПДн: что можно и чего нельзя
Практика использования договора и оферты как правового основания обработки персональных данных: пункт 5 части 1 статьи 6 152-ФЗ, запрещённые условия, объём данных, разделение договора и согласия, типичные формулировки…
Жалоба субъекта и запрос Роскомнадзора: как ответить и в какие сроки
Пошаговый порядок ответа на жалобу субъекта и запрос Роскомнадзора: сроки по статье 20 152-ФЗ, регистрация, разбор по фактам, блокирование и уточнение данных, мотивированный отказ, содержание ответа, ошибки и…
Журналы ИСПДн: регистрация событий безопасности и контроль доступа
Практика регистрации событий безопасности в информационных системах с ПДн: перечень событий, настройка auditd на Linux, защита журналов, сроки хранения, регулярный разбор и показатели.
Запись телефонных звонков и ПДн: правила для колл-центра и поддержки
Практика записи телефонных звонков с клиентами: цель и основание, уведомление звонящего, хранение и срок записей, доступ, передача подрядчикам и телефонии, защита и ответы на запросы.
Запросы субъектов ПДн: сроки ответа и порядок обработки
Практика ответа на запросы субъектов персональных данных по 152-ФЗ: сроки (10 рабочих дней и продление), содержание ответа, повторные запросы, отказ, требование прекратить обработку и журнал обращений.
ИИ-сервисы и персональные данные: правила использования в компании
Правила использования ИИ-сервисов и языковых моделей в компании: какие данные нельзя отправлять, локализация и поручение обработки, автоматизированные решения по статье 16 152-ФЗ, локальные модели, договор, контроль и обучение.
Как настроить резервное копирование файлов в Linux с помощью Borg Backup
Borg 1.4: init с шифрованием, create, prune, export ключа и обязательный restore-тест. Без восстановления бэкап не считается рабочим.
Как уведомить Роскомнадзор об утечке персональных данных
Что нужно сделать оператору в первые 24 и 72 часа после утечки персональных данных и как подготовиться заранее.
Классификация данных для небольшой компании: уровни, правила и поиск ПДн
Практическая классификация данных для небольшой компании: четыре класса, правила обращения для каждого, владельцы и разметка, скрипт поиска признаков персональных данных в файлах и порядок внедрения.
Модель угроз и уровни защищённости ИСПДн: как определить и что выполнить
Порядок определения уровня защищённости ПДн в информационной системе по постановлению Правительства № 1119: тип угроз, категории данных, число субъектов, требования каждого уровня, модель угроз, акт и контроль.
Обезличивание персональных данных: методы, ограничения и скрипт
Практика обезличивания персональных данных: определение по закону, когда его применяют, методы (удаление, замена идентификаторов, обобщение, перемешивание), риск повторной идентификации, ограничения и скрипт на Python.
Оценка вреда субъектам ПДн: порядок, акт и связь с мерами защиты
Практика оценки вреда субъектам персональных данных по пункту 5 части 1 статьи 18.1 152-ФЗ: что и как оценивается, шкала, оформление акта, связь с мерами защиты и пересмотр.
ПДн в облаке и SaaS: как выбрать сервис и что проверить по закону и технике
Практика использования облачных сервисов и SaaS для обработки персональных данных: требования локализации и поручения, трансграничная передача, вопросы к провайдеру, техническая проверка, выход из сервиса и чек-лист.
Персональные данные кандидатов и резюме: порядок обработки при подборе
Практика обработки персональных данных кандидатов и резюме: цель и основание, данные от самого кандидата и из внешних источников, информирование по статье 18, срок хранения, кадровый резерв, защита и…
Персональные данные работников: требования ТК РФ и порядок обработки
Практический разбор обработки персональных данных работников: требования статей 86–90 Трудового кодекса, цели и источники данных, передача третьим лицам, права работников, ответственность и чек-лист.
Поручение обработки ПДн подрядчику: что должно быть в договоре
Что требует статья 6 152-ФЗ от поручения на обработку персональных данных: обязательные условия договора с подрядчиком, шаблон раздела, ответственность, контроль подрядчика и чек-лист проверки.
Проверка Роскомнадзора: как оператору ПДн подготовиться и что показать
Практический порядок подготовки оператора ПДн к проверке Роскомнадзора: пакет документов, внутренний аудит по чек-листу, роли и порядок общения, ответы на запросы, план устранения замечаний.
Размеры административных штрафов за правонарушения, связанные с обработкой персональных данных и защитой информации
Штрафы ст. 13.11 КоАП за утечки и нарушения 152-ФЗ: таблица составов, уведомление Роскомнадзора и что проверить CISO. Сверка 11 октября 2026.
Разработка с персональными данными: тестовые данные, логи и доступы
Практика разработки систем с персональными данными: тестовые среды без реальных ПДн, генерация и обезличивание данных, маскирование логов, правила доступа разработчиков, секреты, проверки в CI и скрипт фильтра для…
Рассылки и персональные данные: согласие, отписка и доказательства
Практика законных рассылок: требования статьи 15 152-ФЗ к предварительному согласию, отдельное оформление согласия на рассылку, немедленная отписка, доказательства получения согласия, чистка базы и подрядчики.
Резервное копирование 3-2-1: как настроить и проверить восстановление
Схема 3-2-1 на практике: что копировать, куда, как защитить копии и как убедиться, что из них можно восстановиться.
Сайт и персональные данные: политика, формы, cookie и сторонние скрипты
Практический чек-лист для сайта, который собирает персональные данные: политика на страницах со сбором, отдельное согласие, формы, cookie и аналитика, поиск сторонних сервисов скриптом, локализация и проверка.
Секреты в git: как найти ключи и пароли в репозитории
Поиск секретов в репозитории и его истории, порядок действий после утечки, защита коммитами и в CI.
Согласие на обработку ПДн: требования, форма и согласие на распространение
Что требует 152-ФЗ от согласия на обработку персональных данных: пять признаков, отдельное оформление, состав письменного согласия, особенности согласия на распространение, отзыв и обязанность доказать получение.
Трансграничная передача ПДн: уведомление Роскомнадзора и порядок действий
Порядок трансграничной передачи персональных данных по статье 12 152-ФЗ: что считать передачей, сведения от иностранного получателя, состав уведомления, сроки Роскомнадзора, когда можно начинать передачу, ограничения и чек-лист.
Уведомление об обработке ПДн: реестр операторов, состав и изменения
Порядок уведомления Роскомнадзора об обработке персональных данных по статье 22 152-ФЗ: когда подавать, исключения, состав сведений, срок внесения в реестр, изменения до 15-го числа, прекращение обработки и проверка…
Уничтожение персональных данных: сроки и подтверждение
Порядок уничтожения персональных данных оператором: сроки по статье 21 152-ФЗ, блокирование при невозможности удаления, резервные копии и журналы, технические способы, подтверждение уничтожения.
Чаты поддержки и мессенджеры с клиентами: правила обработки ПДн
Практика работы с клиентами в чатах и мессенджерах: какие данные запрашивать и чего избегать, идентификация, согласие и информирование, хранение и срок переписок, доступ сотрудников, подрядчики и защита каналов.
Чек-лист защиты персональных данных в организации
Чек-лист оператора ПДн: документы, согласия, уведомление РКН, меры защиты в системах и подготовка к утечке.
Чек-лист оператора ПДн: базовый минимум и готовность к утечке
Лонгрид-чек-лист для оператора ПДн: 11 базовых мер, какие доказательства хранить, готовность к утечке (24 и 72 часа), план устранения и карта остальных требований по мотивам методики Группы Сбер.
Шифрование дисков и данных: LUKS и BitLocker для небольшой компании
Практика шифрования дисков и данных: когда оно нужно, LUKS на Linux и BitLocker на Windows с командами, хранение и ротация ключей восстановления, шифрование копий и каналов, проверка результата.