Непонятно, что именно требуется
Формулировки стандарта допускают разные толкования, а времени на их разбор у команды нет.
Комплаенс и сертификация
Соответствие требованиям без остановки разработки
Сопоставляем вашу систему с требованиями стандарта, показываем разрывы и закрываем их: техническими мерами в коде и инфраструктуре, а также документами, которые ожидает проверяющий.
Или сразу: +7 (962) 368-39-51 Telegram
152-ФЗ
персональные данные и УЗ-уровни
PCI DSS
платёжные данные и сегментация
ISO 27001
система управления ИБ
ГОСТ 57580
требования Банка России
Почему комплаенс буксует
Требования написаны на языке стандарта, а система — на языке кода. Основная работа в том, чтобы связать одно с другим.
Документы есть, а на практике нет
Политики и регламенты написаны, но техническая часть им не соответствует: права доступа шире, логирование не ведётся.
Правки ломают продукт
Требования вроде разделения ролей или шифрования затрагивают ядро приложения, и страшно менять работающую систему.
Аудит выявил замечания
Проверка уже прошла и выдала список несоответствий со сроками. Нужно быстро закрыть их и подтвердить результат.
Партнёр требует подтверждений
Банк, маркетплейс или крупный клиент запрашивает доказательства защищённости и соответствия стандарту.
Неясна стоимость соответствия
Непонятно, какие работы предстоят и сколько это займёт, поэтому проект откладывается до последнего момента.
С какими стандартами работаем
Начинаем с анализа разрывов: он показывает реальный объём работ и позволяет не тратить бюджет на лишнее.
152-ФЗ: персональные данные
Приводим обработку персональных данных в соответствие с законом.
- Инвентаризация данных и моделей угроз
- Определение уровня защищённости и мер под него
- Разграничение доступа и журналирование операций
- Документы: политика обработки, приказы, журналы
PCI DSS: платёжные данные
Снижаем область применения стандарта и закрываем требования по ней.
- Сегментация сети и изоляция платёжного контура
- Вынос карточных данных на сторону платёжного провайдера
- Шифрование при передаче и хранении
- Регулярное сканирование и тестирование на проникновение
ISO 27001: система управления
Строим процессы управления информационной безопасностью, а не разовый набор мер.
- Оценка рисков и реестр активов
- Политики, процедуры и распределение ответственности
- Внутренние проверки и анализ со стороны руководства
- Подготовка к сертификационному аудиту
ГОСТ Р 57580: требования Банка России
Работаем с организациями финансового сектора и их подрядчиками.
- Оценка соответствия по уровням защиты
- Меры по защите информации в приложениях и инфраструктуре
- Оценка соответствия и подготовка документов
- Устранение замечаний по итогам оценки
Как мы приводим к соответствию
Работаем итерациями: сначала то, что даёт максимальный эффект и снимает основные риски.
-
01 1–2 недели
Анализ разрывов
Сопоставляем текущее состояние с требованиями выбранного стандарта. Получаете перечень несоответствий с оценкой трудоёмкости.
-
02 3–5 дней
План и приоритеты
Делим работы на этапы: технические меры, изменения процессов, документы. Согласуем порядок и сроки.
-
03 1–6 месяцев
Внедрение мер
Реализуем техническую часть в коде и инфраструктуре, помогаем подготовить организационные документы.
-
04 2–4 недели
Подтверждение
Проводим внутреннюю проверку, устраняем замечания и сопровождаем внешний аудит или проверку регулятора.
Комплаенс — это процесс, а не документ
Формально соответствие подтверждается набором документов, но проверяющий смотрит на практику. Если политика говорит о разграничении доступа, а в системе все администраторы имеют полные права, несоответствие будет выявлено независимо от качества бумаг.
Поэтому мы начинаем с технической части: приводим в порядок права, логирование, шифрование и резервное копирование, а затем описываем реально работающие процессы в документах. Такой порядок экономит время — документы пишутся по факту, а не переписываются после проверки.
Как сократить область применения PCI DSS
Самый действенный способ упростить соответствие PCI DSS — вообще не хранить и не обрабатывать карточные данные на своей стороне. Перенос ввода карты на hosted-страницу платёжного провайдера и использование токенизации выводят ваш контур из области применения стандарта по большинству требований.
Если полностью избежать обработки невозможно, следующий шаг — сегментация: платёжный контур изолируется от остальной инфраструктуры, и требования применяются только к нему, а не ко всей сети. Это существенно уменьшает объём работ и стоимость подтверждения соответствия.
Что делать с персональными данными по 152-ФЗ
Практический минимум: знать, какие данные вы собираете и где они лежат; ограничить доступ к ним только теми сотрудниками, кому он действительно нужен; вести журнал операций с данными; обеспечить возможность удалить данные конкретного человека по его запросу.
Отдельно стоит проверить выгрузки и копии: часто основные данные защищены, но их копии в виде файлов на рабочих машинах или в переписке остаются без контроля. Мы проверяем такие каналы в первую очередь, потому что именно они чаще всего приводят к утечкам.
Частые вопросы
Анализ разрывов занимает одну-две недели. Приведение системы в соответствие зависит от исходного состояния: для ISO 27001 типичный срок — от четырёх до девяти месяцев, для 152-ФЗ — от одного до трёх месяцев, для требований PCI DSS — от трёх месяцев при готовности вынести платёжный контур.
Сертификат выдаёт аккредитованный орган по сертификации, а не подрядчик. Наша роль — привести систему и процессы в соответствие с требованиями, подготовить доказательства и сопровождать вас во время внешнего аудита, чтобы замечаний было минимум.
Да, и это обычно выгоднее. Требования 152-ФЗ, ISO 27001 и ГОСТ Р 57580 во многом пересекаются: разграничение доступа, журналирование, управление уязвимостями, резервное копирование. Мы строим единый план так, чтобы одни и те же меры закрывали требования нескольких стандартов.
Зависит от требований, которые на вас распространяются. Для операторов персональных данных проверки регулятора предусматривают штрафы; для работы с платёжными картами соответствие PCI DSS обычно требуется договором с банком-эквайером. Кроме того, подтверждённое соответствие часто является условием участия в тендерах и работы с крупными клиентами.
Кибербезопасность: другие направления
Смежные задачи, которые обычно решаются в одном проекте с этой.
Нужно соответствие стандарту?
Расскажите, какой стандарт и какой срок — оценим объём работ и стоимость.