Гид по требованиям и соответствию для отрасли «Enterprise-решения»

Для кого: Руководителям и юристам, а также техническим специалистам, отвечающим за соответствие требованиям. · Формат: PDF, 24 страницы, матрица «требование — мера — доказательство»

Требования сгруппированы по областям: работа с персональными данными, отраслевая отчётность и реестры, фискальные и учётные правила, лицензионные условия. Для каждого требования указано, что оно означает на практике и в каких системах отражается.

Матрица в приложении связывает требование с конкретной мерой и доказательством: что настроить в системе, какой документ подготовить и чем подтвердить выполнение при проверке.

Основная причина замечаний — расхождение между написанным регламентом и фактическим состоянием систем. Если политика говорит о разграничении доступа, а в системе у всех администраторов полные права, несоответствие будет зафиксировано.

Поэтому гид начинается с технической части: права, журналирование, хранение и передача данных, резервное копирование. Документы готовятся по факту — так они не требуют переписывания после проверки.

Чаще всего встречаются: отсутствие инвентаризации персональных данных, доступ к продуктивной базе у всей команды разработки, хранение выгрузок на рабочих машинах, отсутствие журнала доступа к чувствительным данным, непроверенные резервные копии.

Все эти пункты закрываются в рамках обычной инженерной работы, но требуют решения на уровне процессов, а не только настроек.

Материал адаптирован под отрасль «Enterprise-решения»: ниже — задачи, которые мы учитываем и на которые опираемся при разборе.

• Данные переносят руками между системами — ERP, CRM, 1С и внутренние сервисы не обмениваются данными: справочники расходятся, отчёты не сходятся, а сотрудники работают «перекладчиками» между окнами.
• Ключевой процесс живёт в legacy-системе — Процесс работает, но его нельзя изменить: нет документации, нет разработчиков, знающих код, а любая доработка стоит как новый проект и пугает риском.
• Вендор ушёл, поддержки нет — Лицензии не продлеваются, обновления безопасности не выходят, а интеграции с российскими сервисами не появляются. Систему нельзя ни обновить, ни легально развивать.
• Доступы выдаются и не отзываются — У каждого сервиса свой список пользователей: уволенный сотрудник сохраняет доступ, новому нужна неделя на подключение, а пароли команды живут в общем чате.
• У руководства нет единой картины — Отчёт собирается выгрузками из пяти систем к совещанию, данные в нём расходятся, а решения принимаются по версии, которую успели свести вручную.