Организация обязана применять технические меры (ст. 19 закона 152-ФЗ), чтобы предотвратить:

• несанкционированный доступ к персональным данным,
• утечки,
• повреждения информации.

Защита каналов связи

Когда персональные данные передаются через интернет или другие каналы связи, их нужно защищать, чтобы никто посторонний не мог их перехватить или изменить.

Что делать:

1. Использовать VPN, SSL/TLS или Ipsec. Например, при подключении сотрудника к корпоративной базе данных из другой страны через защищенный VPN‑канал.
2. Применять сертифицированные СКЗИ. Например, «КриптоПро CSP» для шифрования передаваемых паспортных данных при бронировании гостиницы за рубежом (приказ ФСБ России № 796).
3. Обеспечить доступ к каналам передачи только авторизованным пользователям. Например, настроить двухфакторную аутентификацию для входа в систему кадрового учета.
4. Вести журнал работы сети. Например, фиксировать в логах, кто, когда и какие файлы скачивал из сервера с персональными данными.

Резервное копирование

Резервное копирование нужно, чтобы можно было восстановить данные, если основная база пропадет или повредится.

Что делать:

1. Создавать регулярные копии баз данных. Например, каждую ночь автоматически копировать CRM‑систему с данными клиентов на отдельный сервер.
2. Хранить копии на защищенных носителях. Например, на внешнем жестком диске, который лежит в сейфе, или в российском сертифицированном облаке.
3. Шифровать резервные копии. Например, использовать алгоритм шифрования AES‑256 для шифрования архива с данными о сотрудниках.
4. Проверять возможность восстановления. Например, раз в квартал тестировать восстановление базы клиентов из резервного архива.

Антивирусная защита и обновления

Любая система, где обрабатываются персональные данные, должна быть защищена от вирусов и вредоносных программ.

Что делать:

1. Установить антивирус и обновлять его базы. Например, можно подобрать антивирус с ежедневными обновлениями.
2. Настроить автоматическую проверку файлов и почты. Например, сервер почты проверяет вложения на наличие вирусов до того, как письмо попадет в ящик сотрудника.
3. Обновлять операционные системы и программы. Например, раз в месяц устанавливать обновления, чтобы закрыть уязвимости.
4. Контролировать целостность системных файлов. Например, использовать утилиту для сравнения контрольных сумм системных файлов с эталонными значениями.

За несоблюдение требований по технической защите персональных данных предусмотрена ответственность:

• административная (ст. 13.11 КоАП РФ);
• в отдельных случаях — уголовная (гл. 28 УК РФ).

Задание. Проверьте свой бизнес по чек-листу

• Есть ли защищенные каналы связи (VPN, SSL/TLS)?
• Используется ли шифрование при передаче и хранении данных?
• Настроены ли индивидуальные учетные записи и ограничен доступ по ролям?
• Ведутся ли журналы (логи) действий пользователей и администраторов?
• Работает ли автоматическое резервное копирование?
• Хранятся ли резервные копии в безопасном месте и зашифрованы ли они?
• Установлено ли антивирусное ПО и обновляются ли его базы?
• Проводятся ли регулярные обновления операционных систем и программ?
• Контролируется ли целостность системных файлов?
• Ограничен ли физический доступ к серверной и носителям с данными?