Обновления сервиса
Что нового в ГрамотаИБ единой лентой: новые возможности, разделы и калькуляторы, свежие материалы Базы знаний и новости законодательства по защите информации.
Комплекты документов КИИ по этапам: категорирование, ОРД, создание и ввод
Документы одного этапа работы с КИИ можно взять отдельно от полного комплекта: категорирование с формой 236, распорядительные документы значимого объекта, создание и ввод объекта в эксплуатацию.
Открыть →Преподаватели получают тест для учебной группы и сводку её результатов
На странице «Тесты» преподаватель вуза или колледжа оставляет заявку и сразу получает на почту ссылку на тест для студентов и ссылку на результаты группы.
Открыть →В тесте для специалистов по ИБ 143 вопроса и задачи из практики
Тест для специалистов по информационной безопасности вырос с 81 до 143 вопросов. Больше половины новых — ситуации, где нужно применить норму, а не вспомнить номер акта.
Пройти тест →Добавлены программы испытаний и акты стадий создания государственной системы
В разделе «Защита ГИС» появились этапы испытаний системы: программы для каждой стадии, протокол и акты с результатами по номерам проверок.
Открыть →Добавлены программы испытаний и опытной эксплуатации значимого объекта КИИ
В комплекте значимого объекта теперь есть программа на каждую стадию испытаний, а акты печатают результат и подтверждение по номерам проверок программы.
Открыть →Документы подскажут, когда их пора переиздать из-за изменения закона
Если меняется требование закона, на котором стоит выпущенный документ, в разделе «Документы» он помечается к переизданию с указанием, что изменилось.
Открыть →Политика ПДн учитывает cookie и веб-аналитику на сайте
Отметьте в профиле, что на сайте стоят счётчики посещаемости, — политика получит пункт о согласии посетителя и иностранных сервисах.
Открыть →В библиотеке НПА — акты об утечках ПДн, проверках КИИ и уголовной ответственности
Пятнадцать новых актов с разбором: уведомления об утечке и ГосСОПКА, реестр и проверки значимых объектов КИИ, трансграничная передача, биометрия, электронная подпись и статьи УК РФ.
Открыть библиотеку →Комплект документов при утечке персональных данных
Что сделать по часам и какие документы нужны: уведомления в Роскомнадзор за 24 и 72 часа, акт расследования, приказ о комиссии, инструкция и журнал.
Открыть →Открытые тесты по должностям: ПДн, администратор безопасности, КИИ, заместитель по ИБ
Четыре новых теста по должностям: по 15 вопросов из банка в 36, бесплатно и без регистрации, с разбором ответов.
Пройти тест →Открытый тест по информационной безопасности для сотрудников
15 вопросов о фишинге, паролях, носителях и инцидентах — бесплатно и без регистрации, с разбором ответов.
Пройти тест →Полные комплекты документов для ГИС, значимого объекта КИИ, детского сада и гостиницы
Все документы одной покупкой за 4 900 ₽: образцы за вымышленную организацию, пустые бланки и руководство по внедрению.
Открыть →Полные комплекты документов по персональным данным для семи видов организаций
Все документы по 152-ФЗ для вашей отрасли одной покупкой за 4 900 ₽: образцы за вымышленную организацию, пустые бланки и руководство по внедрению.
Открыть →Постановление № 211: что должен сделать государственный или муниципальный орган с персональными данными
Постановление Правительства РФ от 21.03.2012 № 211 утвердило перечень мер для операторов персональных данных, которые являются государственными или муниципальными органами. Разбираем каждую меру и каждый документ, который утверждает руководитель органа, срок публикации на сайте и вопросы проверочного листа Роскомнадзора. Отдельно — почему школы, больницы и МФЦ этим перечнем не связаны.
Читать статью →Цена образца заполнения зависит от того, сколько в нём заполнено
Образец с пустым бланком стоит от 600 до 2 000 ₽. Приказ, где вписаны только реквизиты, теперь дешевле журнала с примерами строк и модели угроз.
Открыть →Регламент обезличивания персональных данных и приказ о его утверждении
Если вы обезличиваете персональные данные, отметьте это в профиле: в «Что сделать» появится пункт по приказу Роскомнадзора № 140, а в документах — регламент обезличивания и приказ о нём.
Открыть →Документы и статьи приведены к действующим редакциям актов
Генераторы документов и статьи Базы знаний сверены с текстами актов: новая редакция Требований № 117, новое определение ГИС, приказ ФСБ России № 321, изменения закона о персональных данных.
Открыть →Полный комплект документов по безопасной разработке ПО — с образцом каждого документа
Все документы по ГОСТ Р 56939-2024 одной покупкой за 8 900 ₽: образцы за пять разных разработчиков и пустые бланки.
Открыть →Класс СКЗИ и схема криптографической защиты для государственных систем по приказу № 321
Новый калькулятор определяет класс СКЗИ для государственной и иной системы госоргана по таблице приказа ФСБ России № 321, а в документах ГИС появилась схема криптографической защиты.
Открыть калькулятор →Положение о ГИС по постановлению № 712: что в нём должно быть о защите информации
С 1 сентября 2026 года действует постановление Правительства РФ от 09.06.2026 № 712. Оно задаёт обязательные разделы Положения о федеральной государственной информационной системе, которую создают актом Правительства, в том числе раздел о защите информации. Разбираем, что в этом разделе должно быть, какие ещё разделы нужны специалисту по защите и что значит рекомендация для региональных систем.
Читать статью →Образцы заполнения документов и покупка образца без данных организации
На платном тарифе у каждого открытого им документа есть образец заполнения за вымышленную организацию — кнопка «Образец заполнения» на странице документа, все варианты для просмотра.
Открыть →Как внести программу в реестр российского ПО: требования, шаги, сроки и документы
Пошаговый разбор включения программы в единый реестр российских программ Минцифры по постановлению Правительства РФ от 16.11.2015 № 1236: требования к ПО и правообладателю, что приложить к заявлению, сколько длится рассмотрение, где чаще всего отказывают, какие документы придётся написать и что делать после включения.
Читать статью →Новые документы по безопасной разработке: сертификация процессов, ПО для КИИ, заказ
В разделе «Защита разрабатываемого ПО» появились заявка на сертификацию процессов и сведения о соответствии ПО требованиям для значимых объектов КИИ. Руководство дополнено всем, что требует порядок сертификации. Заказчикам ПО для государственных систем и значимых объектов — требования к техническому заданию подрядчика.
Читать статью →Калькуляторы по безопасной разработке ПО: нужен ли ГОСТ Р 56939-2024 и готовы ли процессы
Новый тест показывает, обязателен ли для вас ГОСТ Р 56939-2024 и на каком основании. Самооценка по 25 процессам стандарта считает готовность и подсказывает, каких документов и отчётов не хватает.
Открыть калькулятор →Проверки кода по ГОСТ Р 56939-2024: статический и динамический анализ, фаззинг, тестирование
Статический и динамический анализ, фаззинг, экспертиза кода, композиционный анализ, функциональное и нефункциональное тестирование: что ГОСТ Р 56939-2024 требует от каждой проверки, что записать в регламент, какие отчёты показать проверяющему и какие свободные инструменты подойдут.
Читать статью →Сертификация процессов безопасной разработки ПО: порядок ФСТЭК России № 240
Разработчик средства защиты информации может сертифицировать не только продукт, но и сам процесс разработки — на соответствие ГОСТ Р 56939-2024. Кому это нужно, как подать заявку, какие семь групп сведений должны быть в руководстве по безопасной разработке, что проверяет орган по сертификации и какие сроки установлены приказом ФСТЭК России № 240.
Читать статью →Калькулятор штрафов считает обработку без согласия и штраф руководителю
В калькуляторе штрафов за персональные данные появились обработка без основания и без согласия, неопубликованная политика, запросы субъектов и хранение данных за рубежом. Сумму можно посчитать для организации, предпринимателя или руководителя.
Открыть калькулятор →Письмо во ФСТЭК России о дополнении перечня типовых объектов КИИ
Если объекта нет в перечне типовых отраслевых объектов, а комиссия присвоила ему категорию, сервис соберёт письмо с предложениями о дополнении перечня. Оно идёт во ФСТЭК России вместе со сведениями по форме 236.
Счёт на подписку приходит на почту в PDF
Запросите счёт на странице «Расширить доступ» — он сразу придёт на указанную почту файлом PDF и останется в профиле.
Открыть →Акт категорирования и документы комиссии — по новой редакции Правил категорирования
Категория значимости теперь присваивается по оценке показателей, а по каждому показателю можно указать значение или обоснование неприменимости. Акт, приказ о комиссии и протоколы обновлены по редакции Правил от 07.11.2025.
Открыть калькулятор →Форма 236 заполняет сведения о сетях связи из модели угроз объекта
Домен, категорию сети, оператора связи, цель и способ взаимодействия теперь указывают один раз в модели угроз объекта КИИ. Форма 236 берёт их оттуда.
Сведения о категорировании и акт категорирования заполняются из ваших данных
Форма 236 и документы объекта КИИ сразу берут угрозы из модели угроз, значения показателей из калькулятора и меры по категории. Акт категорирования теперь показывает оценку по каждой группе показателей.
Открыть калькулятор →Проверка знаний работников по одной ссылке и протоколы тренировок
Отправьте работникам ссылку: каждый пройдёт тест без доступа к кабинету, а результаты соберутся в ведомость. Для тренировок есть пять готовых сценариев и протокол.
Читать статью →Сроки и документы по ГИС — по новой редакции приказа ФСТЭК № 117
Показатель уровня зрелости теперь называется Узи. Сервис напоминает о нём оператору до 1 марта 2027 года, а с этой даты Узи считает подрядчик. Документы по ГИС учитывают изменения.
Открыть библиотеку →Обучение и тренировки сотрудников по приказу ФСТЭК № 117: что обязательно для ГИС, ИСПДн и КИИ
Приказ ФСТЭК России № 117 требует от оператора ГИС учить пользователей, проводить учебные фишинговые рассылки и тренировки, проверять знания не реже раза в три года. Разбираем три вида тренировок, что методический документ от 12.04.2026 перенёс в «усиления» и как обучение учитывается в показателе зрелости Узи. Отдельно — что ждёт операторов ИСПДн и субъектов КИИ.
Читать статью →Модель угроз проверяет сертификат средства защиты по реестру ФСТЭК России
В калькуляторе модели угроз можно указать номер сертификата средства защиты. Модель возьмёт из реестра ФСТЭК России наименование, срок, класс защиты и уровень доверия и скажет, засчитывается ли средство для вашей системы.
Открыть →Модель угроз для работающей и для создаваемой системы составляется по-разному
В калькуляторе модели угроз и в мастере кабинета можно указать, что система уже работает. Тогда модель учитывает средства защиты и проверки защищённости и содержит план уточнения по методике ФСТЭК России.
Открыть →Документы защиты ПДн под новые требования ФСТЭК России можно собрать уже сейчас
На вкладке ИСПДн раздела «Документы» рядом с папками по приказу № 21 — полный набор по новому порядку: регламент, стандарты, перечень мер по классу К1–К3. Сделайте его рабочим.
Открыть →Единые меры защиты ФСТЭК: что методический документ от 12.04.2026 меняет для ИСПДн и КИИ
Методический документ ФСТЭК России от 12 апреля 2026 года уже обязателен для ГИС. Проект приказа взамен № 21 переводит на него ИСПДн, а значимые объекты КИИ он охватывает изначально. Разбираем, как уровень защищённости переходит в класс К1–К3, какие группы мер уходят и что добавится — в таблицах.
Читать статью →Готовые комплекты — не дороже 3 000 ₽, отчёт об оценке КЗИ — 1 000 ₽
Любой готовый комплект документов стоит не больше 3 000 ₽. Отчёт об оценке показателя КЗИ и уровня зрелости стоит 1 000 ₽. Теперь он показывает расчёт по каждой мере, порядок, в котором меры поднимают показатель, и готовый план. В комплект добавлены порядок проведения оценки и приказ о специалистах.
Открыть калькулятор →Свой порядок создания систем для госучреждений и муниципалитетов
Если ваша система не государственная, но подпадает под приказ ФСТЭК России № 117, документы и этапы защиты теперь опираются на ГОСТ Р 51583-2014. Добавлены строгая аутентификация и описание уязвимостей по стандартам.
Открыть →Новый режим: мониторинг безопасности и реагирование на инциденты
Отметьте системы под мониторингом и укажите, кто его ведёт, — получите регламенты, перечень событий, отчёт руководителю и журнал инцидентов. Раздел «Защита от компьютерных инцидентов» в «Режимах защиты».
Открыть →Новый режим: разработка безопасного ПО по ГОСТ Р 56939-2024
Если вы сами пишете программы, пройдите самооценку 25 процессов стандарта и получите руководство, план внедрения, регламенты и формы подтверждения. Режим — в «Режимах защиты», тариф «Полный».
Открыть →Регламент безопасной разработки ПО по ГОСТ Р 56939-2024: что нужно оператору ГИС
Если госорган или учреждение само пишет программы для своих информационных систем, приказ ФСТЭК России № 117 требует регламент безопасной разработки и меры по ГОСТ Р 56939-2024. Кого это касается, что писать в регламенте, какие 25 процессов задаёт стандарт, что требовать от подрядчика какие свободные инструменты помогут на старте и как вести эту работу в ГрамотаИБ.
Читать статью →Модель угроз: 25 типовых решений и их сочетание в одной модели
Добавлены медицинская система, защищённый канал в госсистему, облачная CRM, мессенджеры, файловый сервер, резервное копирование, IP-телефония, офисная сеть, принтеры, СКУД, сервисы ИИ и АСУ ТП. Несколько решений теперь собираются в одну модель угроз без повторов.
Открыть →Приказы по 152-ФЗ и приказу ФСТЭК № 21: как не запутаться
Какие внутренние приказы нужны по 152-ФЗ, постановлению № 1119 и приказу ФСТЭК № 21, на какие группы они делятся, как понять, что нужно именно вам, и с чем знакомить каких работников. Таблицы: группы приказов, требования по уровням защищённости, кого с чем знакомить, и пример комплекта для частной клиники.
Читать статью →Полная модель угроз по ответам из образца для типового решения
На странице модели угроз для 1С, почты, сайта и других решений можно собрать законченный документ под свою организацию. Ответы со страницы переносятся, заново их вводить не нужно.
Открыть →Защита подключений к госсистемам — в «Полном» тарифе
Раздел о подключениях к ЕГИСЗ, ГИС ЖКХ и системам образования теперь входит в «Полный» тариф, вместе с защитой собственных государственных систем.
Открыть →Подключение к ГИС: что требует приказ ФСТЭК № 117, какие документы нужны и как это сделать
Поликлиника работает с ЕГИСЗ, школа — с региональной системой образования и «Моей школой», управляющая компания — с ГИС ЖКХ. Разбираем, когда к системе участника применяются Требования приказа ФСТЭК России от 11.04.2025 № 117, что сделать по шагам, какие документы подготовить и на что смотреть руководителю. Два примера: медицинская организация и школа.
Читать статью →Приказ № 117 для госучреждений без своей ГИС и для подключённых к госсистемам
Больница, школа или клиника, подключённая к ЕГИСЗ, теперь получает в кабинете обязанности по приказу ФСТЭК № 117, документы оператора и сроки. Укажите вид организации в реквизитах и заведите подключения.
Открыть →Четыре сводки в меню: видно, где пусто и где нужна работа
Пункты «Организация», «Что защищаем», «Режимы защиты» и «Проверить себя» открывают сводку: по карточке на раздел — что заполнено, что ждёт работы и сколько сделано.
Открыть →Учёт машинных носителей в организации: как выполнить требования ЗНИ и не утонуть в бумагах
Как организовать учёт машинных носителей персональных данных по 152-ФЗ, ПП-1119 и мерам ЗНИ приказа ФСТЭК № 21 — на примере клиники с закрытым контуром: что учитывать, кого назначить ответственным, как устроить журнал и контроль и что меняется на 4-м уровне защищённости.
Читать статью →Приказ Роскомнадзора № 140 вместо № 996: что изменилось в обезличивании данных
Что такое обезличивание персональных данных и когда оно нужно оператору. Чем приказ Роскомнадзора от 19.06.2025 № 140 отличается от приказа от 05.09.2013 № 996: кому адресован, какие методы оставил, какие обязанности добавил. Как выстроить процедуру и какие документы для неё нужны.
Читать статью →Флешки и диски можно учитывать в сервисе: появился журнал машинных носителей
В разделе «Носители ПДн» теперь заводятся флешки, внешние и встроенные диски и носители резервных копий с заводским номером и историей выдач. Для них есть отдельный журнал учёта машинных носителей.
Открыть →У каждого документа появилась справка: зачем он нужен и что с ним делать
В разделе «Документы» нажмите «О документе» на карточке. Откроется короткая справка: какой акт требует документ, зачем он нужен и что сделать после печати.
Открыть →Реестр ПО находит уязвимости ваших программ и ставит их устранение в план
В разделе «ПО и средства защиты» видно, какие уязвимости из банка ФСТЭК России затрагивают ваши программы. Их устранение попадает в «План работ» со сроком.
Открыть →ГрамотаИБ учитывает приказ ФСТЭК № 220 для значимых объектов КИИ
С 1 марта 2027 года владельцы значимых объектов КИИ должны регулярно оценивать защищённость и зрелость своей защиты и быстро отправлять результаты во ФСТЭК России. План работ уже ставит срок отправки после оценки, напоминает о следующей и подсказывает, когда доложить руководителю. В документы по КИИ добавлены новые требования, в том числе к подрядчикам.
Открыть →Приказ ФСТЭК № 220: с 1 марта 2027 года показатели Кзи и Узи обязательны для значимых объектов КИИ
Приказ ФСТЭК России от 16.07.2026 № 220 дополнил Требования № 235: субъект КИИ считает показатель защищённости Кзи не реже раза в полгода и направляет результаты во ФСТЭК России не позднее пяти рабочих дней после расчёта, показатель зрелости Узи — не реже раза в три года. Подрядчики с доступом к значимому объекту рассчитывают Узи до получения доступа.
Подробнее →Приказ ФСТЭК № 220: показатели Кзи и Узи для значимых объектов КИИ с 1 марта 2027 года
Приказ ФСТЭК России от 16.07.2026 № 220 дополнил Требования № 235 пунктами 36.1–36.4. Разбираем, кого касаются изменения, как часто считать показатель защищённости Кзи и уровень зрелости Узи, в какой срок направлять результаты во ФСТЭК России, что делать с подрядчиками и что подготовить до 1 марта 2027 года.
Читать статью →«Что сделать» показывает порядок работ по этапам
Работы разложены на четыре этапа: сначала уведомление в Роскомнадзор, ответственный, политика и согласия. Текущий этап открыт целиком, следующие ждут своей очереди.
Открыть →Обязанности по 152-ФЗ — отдельным разделом, «Где я стою» — на обзоре
Обязанности оператора ПДн теперь в разделе «Персональные данные (152-ФЗ)», «Что сделать» — план работ по срокам, а карта «Где я стою» — на обзоре.
Открыть →Профиль организации заполняется из реестра Роскомнадзора
В профиле обработки есть кнопка «Загрузить из реестра РКН»: профиль, ответственный, дата начала обработки и страна баз данных берутся из вашего уведомления.
Открыть →Документы по 152-ФЗ для частной клиники: как собрать комплект по шагам
Продолжение разбора «Клиники на Садовой»: после модели угроз — организационно-распорядительные документы. Почему закон не даёт готового перечня, какие документы названы в актах прямо, как вывести комплект из целей обработки, людей, систем, бумажных карт и подрядчика и какой документ закрывает какой сценарий из модели угроз. Со снимками: что берёт на себя готовый комплект в сервисе и что остаётся решить клинике.
Читать статью →Первый документ в кабинете — 600 рублей, без подписки
Любой документ каталога можно купить поштучно, не покупая подписку и не покупая комплект. Первая такая покупка стоит 600 рублей: сервис соберёт документ по сведениям, которые вы уже внесли.
Открыть →Ссылка на готовый комплект открывается по коду из письма
В письме с документами появился код доступа. Переход по ссылке прямо из письма проходит как раньше — код вводить не нужно. Он понадобится, если открыть ссылку в другом браузере или на другом устройстве.
Открыть →Второй разрез «Что сделать» стал картой работ
Вместо дерева требований — экран «Где я стою»: сколько закрыто по каждому направлению и какая работа закрывает несколько объектов сразу. То же самое умещается в один экран вместо одиннадцати.
Открыть →Карточки во всех разделах кабинета выглядят одинаково
Записи реестров, работы и требования собраны по одной схеме: состояние слева, название строкой, метки справа, сведения одной серой подписью, переходы внизу. Пустой реестр всюду выглядит одинаково и подсказывает, с чего начать.
Открыть →Журнал учёта стоит 1 000 рублей вместе с приказом, которым вводится его форма
Цена журнала больше не зависит от того, сколько документов идёт с ним в комплекте и к какому режиму он относится. Журнал с приказом — 1 000 рублей, журнал вместе с инструкцией по ведению или должностной инструкцией ответственного — 2 000 рублей.
Открыть →Одиночный документ стал дешевле: цена сборки зависит от размера комплекта
Цена разовой сборки считается по двум величинам: как собирается документ и сколько документов приходит вместе с ним. Одна бумага стоит от 500 рублей, верхняя цена комплекта — 4 500 рублей.
Открыть →Пояснительная записка объясняет весь комплект, а не один документ
В записке есть состав комплекта с назначением каждого документа, связи между ними, порядок подписания и правила заполнения пустых мест, а дальше — разбор каждого документа набора.
Открыть →В образцах видно, что придёт в комплекте: каждый документ открывается своей страницей
Состав комплекта на странице образца стал списком ссылок: у каждого документа-спутника открывается своя страница с разбором. Дописаны образцы документов, которых не хватало, — комплекты собраны целиком.
Открыть →Инструкция по работе открывается прямо в кабинете
У требований и разделов, для которых написана практическая инструкция, появилась кнопка «Как это сделать». Инструкция открывается боковой панелью — со страницы уходить не нужно.
Открыть →Ответственный за организацию обработки ПДн: кого назначить, приказ и обязанности
Практический разбор третьего шага: кто обязан назначать ответственного, можно ли назначить директора, чем эта роль отличается от администратора безопасности, что ответственный обязан делать по части 4 статьи 22.1 и какие два документа оформляются — со снимками экрана.
Читать статью →Политика обработки ПДн шаг за шагом: таблица целей, приказ и публикация
Практический разбор второго шага: что писать в каждой из пяти граф сводной таблицы целей, почему скачанный шаблон подводит на проверке, чем политику вводят в действие и что именно требуется опубликовать вместе с ней — со снимками экрана.
Читать статью →Как заполнить уведомление в реестр операторов: разбор формы Роскомнадзора по шагам
Практический разбор первого шага: что на самом деле спрашивает электронная форма уведомления об обработке персональных данных, где на ней спотыкаются, какие сведения собрать заранее и как сократить заполнение — со снимками экрана формы и кабинета.
Читать статью →Подключение частной клиники к ЕГИСЗ: какие документы нужны и кто их делает
Разбор для частной клиники: почему она поставщик информации, а не оператор государственной системы; какой класс средств криптографической защиты нужен на канале и на рабочих местах; из каких четырёх частей состоит комплект документов и что из него делает регион, что подрядчик, а что сама клиника.
Читать статью →Работы можно посмотреть деревом: одна работа — одна строка
В разделе «Что сделать» появился переключатель «Темами · Деревом». В дереве требование, применимое к нескольким системам, стоит одной строкой со счётом «закрыто на 9 из 12» и перечнем систем, где осталось.
Открыть →У каждого документа появилась своя карточка, а реквизиты подставляются в текст
Ссылка на документ ведёт на его карточку: оттуда печать, скачивание, отметка об утверждении и скан. Отмеченные номер и дата уходят в гриф самого документа.
Открыть →У каждой ИСПДн появились требования постановления № 1119 по её уровню защищённости
Помимо мер приказа ФСТЭК России от 18.02.2013 № 21 сервис показывает требования самого постановления Правительства Российской Федерации от 01.11.2012 № 1119: режим помещений, перечень допущенных лиц, ответственный за безопасность, контроль не реже одного раза в три года. Состав зависит от уровня защищённости системы, поэтому у двух систем с разными уровнями он разный.
Открыть →Документ отмечается утверждённым, а скан приказа хранится рядом
Отметьте в карточке документа номер приказа, дату и подписанта — и документ считается введённым в действие: им закрывается требование, а к записи прикладывается скан подписанного приказа.
Открыть →Сервис говорит, когда и почему пора пересмотреть модель угроз
В работах появляется пересмотр модели угроз с причиной: в банке данных ФСТЭК России появились новые угрозы, в применяемом ПО опубликованы уязвимости или изменились требования к самой оценке. Раньше об этом можно было узнать, только следя за банком данных самостоятельно.
Открыть →Модель угроз для частной медицинской клиники: пример разработки по шагам
Сквозной разбор: как небольшая клиника сама делает модель угроз по Методике ФСТЭК России от 05.02.2021. Восемь шагов с рассуждениями — от границы оценки и негативных последствий до нарушителей, угроз из банка данных ФСТЭК, сценариев и вывода об уровне защищённости и мерах. Показано, какой шаг чем считается на бесплатных калькуляторах.
Читать статью →Сроки действия видно заранее, а даты можно подписать в свой календарь
Обзор показывает, что скоро перестанет действовать: лицензия на программу, поддержка производителя, сертификат средства защиты, сертификат подписи и машиночитаемая доверенность. Те же даты вместе с планом работ и плановыми проверками можно подписать в Outlook или Яндекс Календарь.
Открыть →Класс защищённости ГИС определён: что оформлять дальше и в какой последовательности
Класс К1, К2 или К3 посчитан — дальше начинается работа. Разбираем порядок: акт классификации, организация деятельности по защите информации, модель угроз и план мероприятий, реализация мер и средства защиты, аттестация, а потом постоянные обязанности — показатели Кзи и Узи и контроль уровня защищённости. Отдельно — где документ не равен выполненной мере.
Читать статью →Матрица доступа к ИСПДн: пример для бухгалтерии, кадров и системного администратора
Заполненная матрица доступа на примере кадровой и расчётной системы: что считать объектом доступа, какие операции разделять, какой доступ обосновывают отдельно и как права меняются при приёме, переводе и увольнении. Отдельно — чем матрица отличается от перечня допущенных лиц.
Читать статью →Протокол, акт и сведения по КИИ: как связать решение комиссии с формой во ФСТЭК России
Категорирование одного объекта оставляет три документа: протокол заседания комиссии, акт категорирования и сведения по форме приказа ФСТЭК России. Разбираем на примере, какие данные переходят из одного в другой, где они расходятся, что обязательно по Правилам, а что — практика, и в какие сроки сведения обновляют.
Читать статью →Модель угроз для 1С: пример для локальной базы, сервера и удалённого доступа
Одна и та же бухгалтерская база в трёх конфигурациях даёт три разные модели угроз. Разбираем на примере, что именно меняется: границы системы, объекты воздействия, интерфейсы, нарушители и их возможности, перечень актуальных угроз из банка данных ФСТЭК России и состав мер защиты.
Читать статью →Отчёт об оценке КЗИ: пример заполнения, подтверждающие материалы и план мероприятий
Показатель КЗИ посчитан — дальше нужен отчёт. Разбираем на сквозном примере, что в нём пишут: исходные данные, оценку каждого частного показателя, чем она подтверждена, итоговое значение и план мероприятий. Отдельно — какие материалы уходят во ФСТЭК России вместе с результатами, какие по запросу и почему тридцать дней молчания обнуляют показатель.
Читать статью →Образец модели угроз собирается по вашей системе, а не по общему шаблону
Назовите вид системы — и в модель войдут угрозы её сервисов: сайта, учётной системы, облака, виртуализации, контейнеров, мобильных устройств. Для значимого объекта КИИ спрашиваются вид объекта и пункт перечня типовых отраслевых объектов, а по нему подбирается отраслевая базовая модель угроз. Откройте образец модели угроз.
Открыть →Модель угроз: зачем нужна, чем регламентирована и чем отличается для ИСПДн, ГИС и КИИ
Модель угроз — не отчётный документ, а расчёт, из которого выводится состав мер защиты и требования к средствам. Разбираем, чем она предусмотрена в трёх режимах, на какой стадии её делают, когда она строится с учётом уже применяемых средств защиты, почему тщательная модель экономит деньги и что делать небольшой организации.
Читать статью →Документы сервис не хранит, а файлы загружаются только по вашему решению
Хранение загруженных сканов выключено, пока вы не включите его для своей организации. Что именно сервис знает о вас, теперь написано прямо на странице регистрации и в политике. Включить или выключить хранение и удалить все файлы можно в реквизитах организации.
Открыть →Виды деятельности для предпринимателя, органа власти и субъекта КИИ
При заведении организации можно выбрать вид «Индивидуальный предприниматель» или «Субъект КИИ» своей сферы — транспорт, энергетика, здравоохранение, связь. Государственные системы заводятся из реестра типовыми видами. Откройте раздел «Информационные системы».
Открыть →Модель угроз объекта КИИ строится по отраслевой базовой модели
Если для вида объекта утверждена отраслевая базовая модель угроз, перечень угроз берётся из неё, а не собирается автоматическим отбором. Исключить угрозу можно, только назвав технологию, которой у объекта нет. Откройте модель угроз на карточке объекта КИИ.
Открыть →В модели угроз появилось описание системы и разбор утечки по техническим каналам
Мастер спрашивает, как устроена система, где проходит граница контролируемой зоны и есть ли условия утечки по техническим каналам. Ответы попадают в документ отдельными разделами, а набор угроз сужается под устройство системы. Откройте модель угроз на карточке системы.
Открыть →Таблицы угроз в модели угроз стали читаемыми: приложения на альбомных листах
Перечень актуальных угроз и сценарии их реализации печатаются приложениями № 1 и № 2 на альбомных листах, а текст модели остаётся на книжных. Так рекомендуют ГОСТ Р 7.0.97-2025 и методика ФСТЭК от 05.02.2021. Откройте модель угроз на карточке системы.
Открыть →Модель угроз показывает всё, что вы выбрали, и строит сценарии по вашему профилю
Способы, интерфейсы, тактики, последствия и паспорт системы теперь в документе; угрозы по видам сервисов входят в отбор; сценарий каждой угрозы собран из ваших настроек. Откройте модель угроз на карточке системы.
Открыть →Процедуры по событиям и перенос уведомления на портал Роскомнадзора
В меню — раздел «Процедуры», на обзоре — блок «Что случилось?»: инцидент, обращение субъекта, проверка запускаются одной кнопкой, сроки по закону уже стоят. Уведомление переносится на портал Роскомнадзора построчно.
Открыть →Меню кабинета в трёх зонах и один раздел «Документы»
Разделы собраны в зоны «Работа», «Сведения» и «Проверить себя», а папки и все документы теперь лежат в одном разделе «Документы» — папки открываются первыми.
Открыть →Сверка сведений с реестром Роскомнадзора и готовая форма уведомления
По ИНН сервис читает вашу карточку в реестре операторов и показывает, чем она расходится с профилем организации. Уведомление об изменении сведений выдаётся заполненным — пункт в пункт с формой портала.
Открыть →Сервис скажет, какие документы пора собрать заново
Отметка «соответствует текущим сведениям» появилась у документов по СКЗИ, коммерческой тайне, электронной подписи и объектам КИИ. Правите реестр или меняете ответственного — сервис называет, какие документы это задело и чем именно.
Открыть →Раздел «Сервис проверяет сам»: сервис предупредит о плановой проверке регулятора
Сервис сверяет вашу организацию со сводным планом проверок на год: попала в план — придёт уведомление с органом, сроком и предметом. Что ещё сервис проверяет сам — в разделе «Сервис проверяет сам».
Открыть →Сервис напомнит обновить политику на сайте
В реквизитах организации появился адрес опубликованной политики обработки персональных данных. После каждой доработки политики в кабинете сверка опубликованной копии попадает в план работ.
Открыть →Регистрационный номер в реестре операторов подставляется сам
Сервис спрашивает реестр операторов персональных данных по ИНН организации: если запись есть, номер попадает в карточку и в документы, а обязанность подать уведомление отмечается выполненной.
Открыть →Проверка в реестре операторов ПДн и автоматическое отслеживание актуальности политики
Организация проверяется в реестре операторов по ИНН — регистрационный номер подставится сам. Укажите адрес опубликованной политики, и сервис напомнит обновить её на сайте после каждой доработки.
Открыть →У документов появились редакции и причина устаревания
Сервис запоминает, из каких сведений собран документ, и при их изменении называет, что именно изменилось. У утверждённых документов работа по переизданию попадает в план и закрывается сама.
Открыть →Подшили папку — работа отмечена выполненной
Отметка «распечатал и подшил» теперь закрывает требования, которые выполняют документы папки: они перестают числиться в списке дел, в плане работ и в напоминаниях.
Открыть →Документы для обоснования закупки средств защиты
Появилась папка «СЗИ: обоснование закупки» — своя для персональных данных, государственных систем и значимых объектов КИИ. В ней служебная записка руководителю и требования к закупаемым средствам с классом защиты и уровнем доверия по уровню вашего объекта.
Читать статью →Обоснование закупки средств защиты информации: чем предусмотрена и как её согласовать
Ни один приказ ФСТЭК России не требует купить антивирус: нормы требуют выполнить меры защиты, а часть мер без средства не выполняется. Разбираем цепочку от уровня объекта до класса средства, таблицы по режимам защиты, основания для антивируса, обнаружения вторжений, DLP и SIEM, ограничения по происхождению и структуру служебной записки руководителю.
Читать статью →Закрывающие документы приходят в вашу систему ЭДО
В профиле появились поля для оператора электронного документооборота и идентификатора участника. Заполните их — и универсальный передаточный документ придёт в вашу систему ЭДО, а не письмом.
Открыть →От угрозы — к подходящему средству защиты
Сервис отвечает не только на вопрос «что сделать», но и на вопрос «что для этого нужно»: по угрозе видно, какими мерами она закрывается и какими видами средств защиты, а из меры в кабинете можно сразу перейти к средствам нужного класса.
Открыть калькулятор →Готовый профиль отрасли — теперь и для салона, гостиницы, страхования
Разбор своей отрасли и профиль, с которого начинается настройка, появились ещё у восьми видов деятельности. Профиль подставляет способы обработки и типовые системы, а список дел и документов сервис считает сам.
Открыть →Новый критерий для стран, куда можно передавать данные
С 26 июля 2026 года участие страны в Конвенции Совета Европы больше не помещает её в перечень государств с адекватной защитой: оценивается регулирование и меры защиты. Материалы сервиса о трансграничной передаче приведены к новой редакции закона.
Читать статью →Персональные данные в управляющей компании и ТСЖ: лицевые счета, должники и собрания
Особенности обработки персональных данных в сфере ЖКХ: начисления и лицевые счета без согласия, реестр собственников для общего собрания, почему нельзя вывешивать список должников, расчётные центры и ГИС ЖКХ, домофоны с распознаванием лиц, сроки ответов на обращения жителей.
Читать статью →Персональные данные в страховании: здоровье, агенты и автоматические решения
Что отличает страховщика и страхового агента от обычного оператора: сведения о здоровье как специальная категория, страховая тайна, данные, приходящие через агентов и партнёров, запрет решений исключительно на основании автоматизированной обработки. Сложности и характерные ошибки.
Читать статью →Коммерческая тайна и антитеррористическая защищённость — на тарифе «Полный»
Документы этих двух режимов раньше открывал «Стандарт», а сами разделы — «Полный». Теперь правило одно: режим и его документы на одном тарифе. Купить отдельный документ по-прежнему можно без подписки.
Открыть →Персональные данные в турагентстве: паспорта туристов, передача за границу и роли участников
Чем обработка персональных данных в турагентстве сложнее, чем в рознице: паспортные данные туристов и детей, передача туроператору и принимающей стороне за рубежом, отдельное уведомление о трансграничной передаче, сведения о здоровье для страховки. Сложности и типичные ошибки.
Читать статью →Персональные данные в автосервисе: заказ-наряды, VIN, гарантия и рассылки
Почему база заказ-нарядов автосервиса — это персональные данные, даже если в ней одни госномера и VIN. Разбор оснований обработки, передачи данных дистрибьютору и страховой компании, работы с рассылками и характерных ошибок небольших сервисов.
Читать статью →Персональные данные в гостинице: заселение, миграционный учёт и копии паспортов
Чем обработка персональных данных в гостинице отличается от обычной клиентской базы: предъявление документа вместо копирования, обязательная передача сведений об иностранных гостях, брони с сайтов-агрегаторов, бумажные анкеты и видеонаблюдение. Разбор сложностей и типичных ошибок.
Читать статью →Сроки процедур появляются сами, а человек заводится один раз
Утвердили акт категорирования или завели обработчика персональных данных — процедура со сроком появляется в «Плане работ» сразу, без захода в раздел. Допущенные к СКЗИ, коммерческой тайне и служебной информации выбираются из «Ответственных», а не вписываются заново.
Открыть →Модель угроз — отдельный документ
Комплект приказа об утверждении локальных актов по персональным данным стал компактнее: модель угроз выпускается отдельно и утверждается подписью руководителя на самом документе.
Открыть →Поиск по реестру сертифицированных СЗИ — открыт всем
Бесплатный поиск по копии реестра ФСТЭК России: по наименованию, производителю, номеру сертификата и виду средства, с отбором по классу защиты и уровню доверия и подбором под уровень вашего объекта.
Открыть калькулятор →Реестр сертифицированных средств защиты — с поиском
В разделе «ПО и средства защиты» появился поиск по реестру сертифицированных средств ФСТЭК России. Копия реестра обновляется автоматически раз в неделю.
Открыть калькулятор →Государственные системы: сроки, подсказки к мерам и документы всего жизненного цикла
В разделе «Защита ГИС» появились техническое задание, документы вывода из эксплуатации, журналы, отчёт о контроле и порядок обучения. У каждой из 96 мер приказа № 117 теперь есть подсказка, а сроки из приказа считает сервис.
Открыть →Средства защиты — по объектам, с классом и уровнем доверия
В реестрах ПО и средств защиты появился выбор объектов, на которых они применяются, а у средства — класс защиты и уровень доверия. Сервис сам скажет, если средство не отвечает уровню объекта.
Открыть →Протоколы комиссии по категорированию — на каждый повод созыва
В разделе «Защита КИИ» появилась вкладка «Работа комиссии»: пять поводов созыва комиссии с протоколом на каждый. Первый готовый протокол — о соотнесении объектов с перечнем типовых отраслевых объектов.
Открыть →Приказ о комиссии по категорированию: порядок работы в самом приказе
Приказ о создании постоянно действующей комиссии теперь устанавливает, как она работает: кворум, поводы созыва, оформление решений протоколом, привлечение специалистов и замена членов комиссии.
Открыть →Счёт с подписью и печатью, УПД — по факту подписания
Счёт на оплату выходит подписанным, с печатью и только в PDF: его можно сразу нести в банк. Универсальный передаточный документ выдаётся подписанным электронной подписью.
Открыть →Модель угроз значимого объекта: выверка сценариев и сворачивание разделов
Мастер модели угроз значимого объекта КИИ получил то, что было только у объектов защиты: выверку сценариев реализации, сворачивание заполненных разделов и переход к документу после подтверждения перечня угроз.
Открыть →СКЗИ: должностная инструкция ответственного и правила для пользователей
В разделе появился новый документ — должностная инструкция ответственного пользователя СКЗИ. Инструкция по обращению со средствами для работников теперь стоит на шаге допуска, а рядом с каждым актом виден приказ, которым он вводится в действие.
Открыть →Защита КИИ: работа по значимому объекту разложена по стадиям
В разделе появился этап по каждому значимому объекту: модель угроз, техническое задание, проект, рабочая документация, испытания, приёмка и ввод в эксплуатацию. У каждого шага сказано, зачем он и чем предусмотрен.
Открыть →Внутренний контроль: программа под вашу обработку, а не общий список
Приказ, акт и план внутреннего контроля собираются по вашему профилю: в программе появляются вопросы о трансграничной передаче, биометрии, специальных категориях, журналах и других обязанностях, если они к вам относятся. Результат по каждому вопросу подставляется, выявленное попадает в «План работ» со сроком.
PDF собирает сервис, а не диалог печати браузера
Кнопка «Скачать PDF» отдаёт готовый файл: поля, кегль и интервалы по ГОСТ Р 7.0.97-2025 — те же, что в .docx. Кнопка «Печать» осталась рядом для тех, кому документ нужен на бумаге.
Открыть →Приказы больше не пересказывают то, что утверждают
Три приказа стали короче: меры по хранению носителей, сроки уведомления Роскомнадзора и функции ответственного за безопасность значимых объектов теперь описаны только в самих актах.
Открыть →Правила работы с электронной подписью — отдельным документом
Хранение ключей, PIN-коды, перечень сервисов и машиночитаемые доверенности собраны в Порядок использования электронной подписи. Приказ утверждает его и разрешает менять перечни без нового приказа.
Открыть →Перечень допущенных в помещения ведётся редакциями
Список тех, кто вправе входить в серверную и кабинеты с носителями, стал отдельным документом с номером редакции. Приказ утверждает его один раз и передаёт ответственному право утверждать следующие редакции.
Открыть →Матрицу доступа больше не нужно переутверждать приказом
Матрица стала отдельным документом с номером редакции. Приказ утверждает её один раз и передаёт ответственному право утверждать следующие редакции — при приёме, переводе и увольнении новый приказ не издаётся.
Открыть →Кого назначать ответственным: полтора десятка ролей и что можно совмещать
Кого компания обязана назначить приказом: ответственного за обработку персональных данных, ответственного за безопасность информационной системы, уполномоченного на связь с Роскомнадзором, комиссии и других. У каждой роли — своя норма. Разбираем, что можно совмещать и какие сочетания портят проверку.
Читать статью →Приказы оформлены по ГОСТ
Наименование организации стоит над словом ПРИКАЗ, дальше дата, номер и место, потом заголовок «о чём» и текст. Сведения об информационной системе печатаются внутри текста приказа.
Открыть →Ответственный за режим коммерческой тайны назначается в сервисе
В разделе «Ответственные» появилось назначение ответственного за режим коммерческой тайны, а к комплекту добавлен приказ о его назначении. Положение и журнал учёта допущенных лиц печатают выбранного работника вместо прочерка.
Режимы КИИ, ГИС, коммерческой тайны и АТЗ можно посмотреть до покупки
Включите режим в профиле — увидите состав комплекта документов и заведёте свои объекты. Документы, порядок работ и сроки открываются на полном тарифе, а введённые данные при переходе сохраняются.
Приказ об утверждении продаётся комплектом
Приказ, который вводит в действие сразу много документов, теперь продаётся вместе со всеми своими приложениями. Комплект стоит 3000 рублей — в разы дешевле, чем те же документы по одному.
Открыть →Комплекты документов пополнены журналами и основаниями
К документам добавлено то, без чего по ним нельзя работать: журнал ознакомления к инструкциям, журнал согласий к согласиям, приказ и правила к акту проверки. Доплачивать не нужно — всё входит в тот же комплект.
Открыть →Большое обновление: документы КИИ и государственных систем заполняются сами
Объекты КИИ заводятся по перечню типовых отраслевых объектов, сведения во ФСТЭК России открываются с заготовками, классификация государственной системы начинается с выбора типового вида. Учтены изменения Правил категорирования и требований к защите государственных систем.
Открыть →План мероприятий по КИИ: у каждой работы появилось основание
В плане мероприятий по обеспечению безопасности значимого объекта добавлена графа «Основание» с пунктом акта. Названия работ в плане и в «Плане работ» теперь совпадают — одну и ту же обязанность видно в обоих местах.
Модель угроз объекта КИИ начинается с профиля по виду объекта
Мастер модели угроз значимого объекта открывается с предложением по его виду и категории значимости: у автоматизированной системы управления свои объекты воздействия, а у значимого объекта — нарушители, способные причинить ущерб государству.
Классификация государственной системы: выберите типовой вид — поля заполнятся
При определении класса защищённости появился выбор типового вида системы: сайт органа власти, региональная система госуслуг, документооборот, бухгалтерия, медицинская система, ведомственная система федерального органа. Масштаб и три степени ущерба подставятся с объяснением, почему предложены именно они.
Открыть калькулятор →Показатели значимости КИИ — по действующей редакции и по вашей сфере
В калькуляторе категорирования появились восемь новых показателей для финансового рынка и гособоронзаказа, уточнён показатель по транспорту. Выберите сферу деятельности — показатели чужих отраслей свернутся.
Открыть калькулятор →К каждому документу добавлено руководство по работе
В комплекте с каждым документом теперь есть руководство: как ввести его в действие, кто и как ведёт записи, когда нужна новая редакция и каких ошибок избегать.
Открыть →Форма сведений во ФСТЭК открывается с заготовками, а не пустой
Назначение объекта, его состав, категории нарушителей и типы компьютерных инцидентов предлагаются заранее — по карточке объекта, его виду и модели угроз. Заготовки правятся под свой объект.
Калькулятор: какие типовые объекты КИИ относятся к вашей деятельности
Новый калькулятор по ИНН или коду ОКВЭД показывает типовые отраслевые объекты критической информационной инфраструктуры вашего вида деятельности и типовые процессы каждого.
Открыть калькулятор →Основной ОКВЭД в реквизитах, объекты КИИ — по вашей отрасли
В реквизитах организации появилось поле основного кода ОКВЭД: оно заполняется кнопкой «заполнить по ИНН». По коду сервис показывает типовые объекты КИИ вашей отрасли, а выбранный объект печатается в перечне, протоколе комиссии, акте категорирования, паспорте и модели угроз.
Объекты КИИ заводятся по перечню типовых отраслевых объектов
В карточку объекта добавлен выбор типового объекта из перечня, утверждённого распоряжением Правительства Российской Федерации от 26.02.2026 № 360-р. Выбор заполняет сферу и критический процесс, а наименование печатается в сведениях во ФСТЭК России.
Документы стали подробнее: термины, порядок действий, сроки
Положения, регламенты, порядки, планы и инструкции по КИИ, персональным данным, государственным системам и антитеррористической защищённости выросли в объёме в два-четыре раза: добавлены термины, порядок действий по шагам, сроки таблицей, учёт и ответственность.
Коммерческая тайна: больше документов и образец перечня
Положение о коммерческой тайне стало подробнее, появились инструкция для работника и журнал учёта допущенных, а перечень сведений теперь можно заполнить по образцу.
Внутренний контроль обработки персональных данных: как часто, какими силами и чем оформлять
Разбор обязанности вести внутренний контроль соответствия обработки персональных данных: что требует пункт 4 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ, кто проводит проверку, как часто её проводить, что именно проверять и чем оформлять результат. Чем внутренний контроль отличается от оценки эффективности мер защиты и какой комплект документов закрывает требование.
Читать статью →Документы оформлены по ГОСТ Р 7.0.97-2025
Документы оформлены по ГОСТ Р 7.0.97-2025: формат листа и поля, шрифт 14 пунктов, абзацный отступ, выравнивание по ширине, нумерация страниц со второй. Скачанный файл выглядит так же, как страница на экране.
Открыть →Договор стал лицензионным, у разовой покупки появился срок
Сервис предоставляет право пользоваться программой — так теперь называется предмет в договоре, чеке и акте. У разовой покупки одного документа есть срок доступа в кабинете: три месяца со дня оплаты.
Открыть →В документах не осталось пропусков без объяснения
Что сервис знает — печатает сам. Что заполняют при подписании — помечено как графа для заполнения. Пустых строк без объяснения не осталось.
Открыть →Сведения об утечке вводятся один раз
Уведомление в Роскомнадзор за 24 часа, акт расследования и уведомление о результатах за 72 часа говорят об одном событии. Теперь вы отвечаете на вопросы один раз, и все три документа выходят заполненными.
Открыть →Добавлены лист ознакомления и лист изменений
К документу добавляются служебные листы: лист ознакомления с таблицей для подписей работников и лист регистрации изменений. Какие листы нужны, сервис решает по виду документа.
Открыть →Сервис вышел из раннего доступа
Регистрация открыта всем: код приглашения больше не нужен. Цены прежние. Вышли новые редакции оферты, Условий использования и Политики обработки персональных данных.
Открыть →Комплект приказа ФСТЭК России № 21 собран целиком
На вкладке «Защита ИСПДн» появилась общая часть комплекта: администратор безопасности, помещения, размещение баз данных, план внутреннего контроля и инструкции по мерам.
Открыть →Сервис перестал спрашивать о том, что уже видит
Назначенный ответственный, заведённый перечень, введённый в действие приказом документ сами закрывают требование. Выполненный пункт плана помечен и показывает дату закрытия.
Открыть →Скачанный документ выглядит как на экране
Файл печатается тем же шрифтом и с тем же оформлением, что предпросмотр: титульный лист журнала по центру листа, графы таблиц нужной ширины, шапка таблицы повторяется на каждой странице.
Открыть →Добавлены документы по электронным сервисам
С 1 сентября 2026 года действуют Правила использования электронных сервисов в государственных системах. Сервис собирает восемь документов, которыми это требование закрывается.
Открыть калькулятор →Папки появились у режимов защиты
Папка заводится на каждую государственную систему и на каждый объект КИИ — отдельно на категорирование и отдельно на безопасность значимого объекта. Свои комплекты получили коммерческая тайна и антитеррористическая защищённость.
Открыть →Документы выдаются папками
Новый раздел «Мои папки» собирает документы комплектами: организационные по 152-ФЗ, папка на каждую информационную систему, журналы, инструкции работникам и то, что направляется в Роскомнадзор.
Открыть →Калькуляторы доводят до нужного документа
Категорирование объекта КИИ заканчивается сведениями во ФСТЭК России, тест по Роскомнадзору — уведомлением об обработке либо обоснованием, что оно не требуется. Посчитанное переносится в форму.
Открыть →Сервис предлагает, как устранить недостатки
Там, где сервис нашёл недостатки — оценка защищённости, готовность к проверке, проверочный лист Роскомнадзора, план защиты системы, — он предлагает мероприятия. Отмечаете нужные, ставите сроки и ответственных.
Открыть →Частые вопросы по 152-ФЗ: 74 вопроса и поиск
Раздел вырос с десяти вопросов до семидесяти четырёх и разложен по одиннадцати темам — от «кто такой оператор» до утечек, передачи данных за границу и штрафов. Сверху появился поиск.
Открыть →Добавлен универсальный передаточный документ
Оплаченное закрывается универсальным передаточным документом: он же счёт-фактура для вычета налога, он же документ о передаче. Счёт, УПД и акт лежат в кабинете.
Открыть →Добавлена оплата картой и по счёту
Рядом с документом и подпиской появились две кнопки: оплатить картой и запросить счёт. Счёт выставляется по вашим реквизитам, оплаченное закрывается актом.
Открыть →Локальные акты выдаются вместе с приказом
Документ, который вводится в действие приказом руководителя, теперь приходит вместе с этим приказом. Обязательства о неразглашении выдаются вместе с актом, к которому относится подпись работника.
Открыть →Комплект приходит готовым к вводу в действие
Акт, который подписывает комиссия, теперь собирается вместе с приказом о её создании. Гриф на документе ссылается на приказ, а форма сборки спрашивает всё, что документ печатает.
Открыть →Образцы открылись у всего каталога документов
У каждого документа появилась страница образца: что входит в документ, в каком порядке его готовят и какие вопросы возникают чаще всего. Сам документ собирается по вашим ответам.
Открыть →Указ № 604: временное управление имуществом за безопасность объектов — и почему это не про защиту информации
Указом Президента Российской Федерации от 24.08.2026 № 604 введена новая мера: если хозяйствующий субъект не принял или несвоевременно принял меры по безопасности объектов критической инфраструктуры, нарушил требования к их обеспечению, создал угрозу их работе или не восстановил её вовремя, Правительство Российской Федерации по поручению Президента вправе ввести временное управление его имуществом, ценными бумагами, долями в уставных капиталах и имущественными правами. Сразу о главном: объекты критической инфраструктуры Указа — это сами объекты (энергетика, промышленность, связь, транспорт, жизнеобеспечение) и их физическая безопасность, а не информационные системы. Требований к защите информации Указ не устанавливает и обязанностей субъекта КИИ по Федеральному закону от 26.07.2017 № 187-ФЗ не меняет, хотя объекты у них часто одни и те же.
Подробнее →Облачные сервисы в ГИС: что требует постановление Правительства от 18.08.2026 № 1024
Разбор постановления Правительства Российской Федерации от 18 августа 2026 года № 1024: что считается электронным сервисом, кого касаются Правила, какие требования предъявляются к самому сервису и к его поставщику, что должно попасть в закупочную документацию и контракт, зачем нужен регламент взаимодействия, какие сроки установлены для уведомлений об инцидентах и с чего начать выполнение Правил.
Читать статью →Профиль настраивается выбором вида деятельности
При создании организации можно выбрать вид деятельности — интернет-магазин, медицинская организация, оператор государственной системы, субъект КИИ и другие. Профиль обработки заполнится под него, типовые системы заведутся сразу.
Открыть →Уровень зрелости по методике ФСТЭК от 07.08.2026: как считается и что готовить
Разбор методического документа ФСТЭК России от 7 августа 2026 года: что такое уровень зрелости Узи, 21 направление деятельности, восемь видов требований с весами, как определяется уровень направления по таблице 3, какие целевые уровни рекомендованы, чем оценка отличается от показателя КЗИ и что должно быть в отчёте.
Читать статью →Чем БДУ ФСТЭК отличается от CVE и как найти соответствие
Сканер выдал список CVE, а от вас требуют идентификаторы БДУ. Разбираем, что это за реестры, кто их ведёт, почему соответствие не всегда один к одному, где ФСТЭК России указывает связанные CVE, что делать с уязвимостями, которых в БДУ нет, и как перевести список из отчёта сканера целиком.
Читать статью →КС напомнил: открытый источник сам по себе не заменяет основание обработки персональных данных
Конституционный Суд отказал в принятии жалобы владельца рекомендательного сервиса выбора врачей на пункты 6 и 7 части 1 статьи 6 152-ФЗ (определение от 30.06.2026 № 2029-О). Общество ссылалось на то, что обрабатывает сведения о враче, ранее раскрытые на сайтах медицинских организаций в силу закона; Роскомнадзор потребовал их удалить, три инстанции признали требования законными. Практический риск шире медицинских сервисов: похожие вопросы возникают у каталогов, отзовиков и форумов, публикующих сведения о людях из открытых источников. Разбираем, что именно произошло, чем ситуация отличается от позиции Конституционного Суда 2021 года и что проверить владельцу сайта.
Подробнее →Персональные данные членов семьи работника: когда нужно согласие, а когда нет
Работник указывает детей в анкете, приносит свидетельство о рождении для вычета, оформляет пособие или ДМС на супруга. Разбираем, кто здесь субъект персональных данных, в каких случаях согласие членов семьи не требуется (обязанности работодателя по НК РФ, 255-ФЗ, Трудовому кодексу, воинскому учёту), когда без согласия обрабатывать нельзя, какие ограничения действуют при обработке без согласия, что говорят суды и Роскомнадзор и чем рискует работодатель.
Читать статью →Как контролировать подрядчиков, обрабатывающих персональные данные: договор, аудит и ответственность
Как оператору персональных данных проверить подрядчика до передачи данных и контролировать его во время договора. Разбираем, чем обработчик по поручению отличается от самостоятельного оператора, какие условия части 3 статьи 6 152-ФЗ обязательны, что вынести в требования к защите, как оформить право на аудит, субподрядчиков, уведомление об инцидентах и уничтожение данных, а также когда проверку можно провести своими силами и когда нужен лицензиат ФСТЭК.
Читать статью →Открыт тест для специалиста по защите информации
25 вопросов по пяти темам: нормативная база и ответственность, свойства безопасности и нарушитель, угрозы и уязвимости, средства защиты и сертификация, процессы и реагирование.
Пройти тест →Что должен знать сотрудник подразделения информационной безопасности
Перечень знаний специалиста по защите информации: свойства безопасности информации (конфиденциальность, целостность, доступность) и их отражение в российских требованиях, нормативная база по направлениям (персональные данные, государственные системы, КИИ, криптография, электронная подпись), средства защиты и их сертификация, моделирование угроз и управление уязвимостями, реагирование на инциденты и сроки уведомлений, а также инфраструктурный фундамент и требования к квалификации.
Читать статью →ФСТЭК опубликовала проект приказа на замену №21: меры защиты ПДн выбирают по угрозам, а не по таблице
Проект приказа «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» проходит общественное обсуждение (ID 169583). Он должен заменить приказ ФСТЭК от 18.02.2013 №21; заявленная дата вступления в силу — 1 сентября 2026 года. Уровни защищённости УЗ-1—УЗ-4 сохраняются, но жёсткая таблица «мера — уровень» уступает место выбору мер по архитектуре системы и актуальным угрозам. Что известно и к чему готовиться.
Подробнее →С чего начать защиту персональных данных: что требует закон и в каком порядке
Короткое введение для оператора, который начинает с нуля: что закон считает персональными данными и обработкой, почему обязанности возникают у любой организации с работниками, какие требования 152-ФЗ базовые (ответственный, политика и локальные акты, уведомление Роскомнадзора, оценка вреда, ознакомление работников, меры защиты систем) и в каком порядке их разумно закрывать.
Читать статью →С 6 августа корыстный мотив и сговор переводят слив персональных данных в тяжкую часть статей 137 и 138 УК
Федеральный закон № 251-ФЗ расширил части 2 статей 137 и 138 УК РФ: помимо использования служебного положения, квалифицирующими признаками стали корыстная заинтересованность и совершение деяния группой лиц по предварительному сговору или организованной группой. Сами санкции не повышались, но для работника без служебного положения потолок фактически вырос с двух до четырёх лет лишения свободы: его действия теперь подпадают под часть 2. Что это значит для оператора и его работников.
Подробнее →Инвентаризация объектов КИИ в 2026 году: перечень типовых отраслевых объектов и границы систем
Инвентаризация КИИ по Правилам в редакции ПП № 1762: какие системы категорировать по перечню типовых объектов, как провести границы и что делать с новыми системами.
Читать статью →ГИС, ИСПДн и КИИ одновременно: как совместить требования без трёх систем защиты
Одна информационная система может одновременно быть ГИС, ИСПДн и объектом КИИ. Разбираем, какие режимы применяются параллельно, чем отличаются класс ГИС, уровень защищённости ПДн и категория значимости КИИ, можно ли сделать одну модель угроз и один комплект мер, как проводить аттестацию и избежать дублирования документов.
Читать статью →Границы ИСПДн: как определить состав системы и ничего не забыть
Практическая методика определения границ ИСПДн: когда CRM, 1С, Excel, почта и облако являются одной или разными системами, нужно ли включать рабочие места, интеграции, журналы, резервные и тестовые копии, как оформить схему, паспорт, ответственность поставщика и пересмотр границ.
Читать статью →Предостережение, запрос или требование Роскомнадзора: как правильно ответить
Что делать оператору персональных данных после письма Роскомнадзора: как отличить предостережение от запроса, требования, предписания и решения о проверке; проверить полномочия и срок, провести внутреннее расследование, подготовить соразмерный ответ и доказательства, устранить нарушение без документов задним числом и обжаловать спорное решение.
Читать статью →Электронное или бумажное хранение: можно ли оставить только сканы документов
Нужно ли хранить бумажные договоры, согласия и документы клиентов и контрагентов, если они отсканированы и внесены в информационную систему? Разбираем разницу между сканом и электронным оригиналом, правила для договоров, бухгалтерской первички и персональных данных, случаи обязательного хранения бумаги и безопасный переход на электронный архив без ненужного дублирования.
Читать статью →Добавлены письма о сроках и об изменениях законодательства
Сервис может присылать на почту сводку задач по вашим организациям: просроченные и приближающиеся сроки, документы к переизданию. Отдельно можно подписаться на изменения законодательства и новости сервиса.
Открыть →Добавлены тесты по должностям
Наборы вопросов под роли: руководитель, кадры, бухгалтерия, продажи, администратор — с разбором случаев из практики.
Открыть →Методика ФСТЭК от 12.04.2026: меры защиты информации
Разбор методического документа ФСТЭК от 12 апреля 2026 года: меры защиты для классов К1–К3, связь с приказом № 117 и порядок действий оператора.
Читать статью →Что такое КЗИ: показатель защищённости информации по методике ФСТЭК
КЗИ — показатель состояния технической защиты информации, введённый методикой ФСТЭК России (утв. 11.11.2025) и приказом №117: одним числом показывает, насколько информационная система реально защищена от базового уровня угроз. Разбираем, что означает КЗИ, как он рассчитывается (взвешенная сумма реализованных мер по четырём группам, нормированное значение — 1), какие зоны защищённости выделяются, как часто он оценивается и куда направляется отчётность.
Читать статью →Добавлено тестирование работников
Проверка знаний по 152-ФЗ и требованиям ФСТЭК России: вопросы с разбором и ссылками на нормы, результат сохраняется по работнику, протокол обучения печатается.
Открыть →Добавлен упрощённый режим кабинета
Короткая настройка по нескольким вопросам и готовый комплект документов по 152-ФЗ. Все разделы остаются в расширенном режиме.
Открыть →Законодательство о персональных данных в 2023–2026 годах: хронология изменений и новые обязанности оператора
За три года режим обработки персональных данных перестал быть разовым пакетом документов: появились оценка вреда субъектам, подтверждение уничтожения, новый порядок трансграничной передачи, требования к оформлению согласий, сроки уведомления об инцидентах. Разбираем хронологию по датам вступления в силу и показываем, какие постоянные обязанности с периодичностью из неё выросли.
Читать статью →Внедрение системы защиты значимого объекта: испытания и опытная эксплуатация
Добавлены работы стадии внедрения: установка средств защиты, предварительные испытания, опытная эксплуатация, анализ уязвимостей.
Открыть →Добавлен раздел «Защита ПДн» и акт оценки вреда
Обязанности перед Роскомнадзором собраны в отдельный раздел: ответственный, уведомление, оценка вреда, политика и локальные акты, журналы, внутренний контроль. Добавлен генератор акта оценки вреда.
Открыть →Добавлен калькулятор степени вреда субъектам
Бесплатный калькулятор определяет степень вреда, который может быть причинён людям, чьи данные вы обрабатываете, и даёт формулировки для акта.
Открыть калькулятор →Модель угроз значимого объекта КИИ собирается мастером
Для значимых объектов появился тот же пошаговый мастер: последствия, объекты воздействия, нарушитель, способы реализации, сценарий. Документ выходит заполненным.
Открыть →Мастер модели угроз доведён до методики ФСТЭК России от 05.02.2021
Мастер доведён до полной методики ФСТЭК России от 05.02.2021: добавлены шаги про способы реализации угроз и про сценарий действий нарушителя. Проект модели выходит итоговой таблицей.
Открыть →Добавлена проверка «Вы субъект КИИ?»
Короткая бесплатная проверка помогает понять, относитесь ли вы к субъектам критической информационной инфраструктуры.
Открыть калькулятор →Сроки оценки защищённости попали в «План работ»
По аттестованным государственным системам в плане появились строки со сроком следующей оценки: состояние технической защиты — раз в 6 месяцев, уровень зрелости защиты — раз в 2 года.
Открыть →Напоминания о работах по значимым объектам КИИ
В «Плане работ» появились периодические обязанности этапа эксплуатации: план мероприятий, анализ угроз, проверка настроек и обновлений, отработка нештатных ситуаций, обучение работников, контроль состояния безопасности.
Открыть →Добавлен порядок создания системы защиты значимого объекта
Сервис ведёт по пяти стадиям приказа ФСТЭК России от 25.12.2017 № 239: требования, разработка мер, внедрение и ввод в действие, эксплуатация, вывод из эксплуатации. На каждой стадии собираются свои документы.
Открыть →Добавлены документы системы безопасности КИИ
Сервис собирает три документа по приказу ФСТЭК России от 21.12.2017 № 235: приказ о создании системы безопасности, приказ о назначении ответственного и положение о системе безопасности.
Открыть →Подключение к ГосСОПКА через центр (SOC): аутсорсинг, порядок работы и ответственность субъекта КИИ
Как субъект критической информационной инфраструктуры взаимодействует с ГосСОПКА через ведомственный или корпоративный центр: модели подключения, порядок работы с центром, плюсы и минусы аутсорсинга, сроки уведомления об инцидентах и ответственность.
Читать статью →Инцидент с персональными данными открывается одной кнопкой
Регистрация инцидента сразу открывает уведомление Роскомнадзора со сроками 24 часа о факте и 72 часа о результатах расследования.
Открыть →Добавлен раздел «Регуляторные мероприятия»
Сервис ведёт по шагам то, что делается для регулятора: категорирование объекта КИИ и направление сведений во ФСТЭК России, уведомление Роскомнадзора. Сроки попадают в «План работ», направления записываются в журнал.
Открыть →Модель угроз выходит полноценным документом
Модель угроз выходит полноценным документом: титульный лист с грифом утверждения, оглавление и разделы по методике ФСТЭК России.
Открыть →Модель угроз учитывает нарушителя, объекты воздействия и последствия
Модель угроз стала точнее: учитываются нарушитель, объекты воздействия и негативные последствия.
Открыть →Меры защиты информации в ГИС по приказу № 117: методический документ ФСТЭК от 12 апреля 2026 года
ФСТЭК России утвердила методический документ, который раскрывает состав и содержание мер защиты информации в информационных системах — от идентификации до защиты контейнерных сред, API и облаков. Разбираем структуру документа, связь с приказом № 117 и порядок применения оператором.
Читать статью →Добавлен чек-лист мер защиты государственной системы
У систем, отнесённых к государственным, появился полный список мер защиты — по классу защищённости К1, К2 или К3.
Открыть калькулятор →Добавлен раздел «Безопасность ГИС», меню сгруппировано
У операторов государственных систем появился отдельный раздел с мастером защиты. Меню кабинета сгруппировано по смыслу: организация, режимы защиты, учёт и документы.
Открыть калькулятор →Добавлен мастер организации криптозащиты
Мастер ведёт по порядку Инструкции, утверждённой приказом ФАПСИ от 13.06.2001 № 152: ответственный пользователь, помещения, поэкземплярный учёт, допуск работников и документы.
Открыть →Добавлен мастер режима коммерческой тайны
Мастер ведёт по мерам статьи 10 Федерального закона от 29.07.2004 № 98-ФЗ: перечень сведений, ограничение доступа, порядок обращения, договоры, гриф, учёт допущенных лиц и документы режима.
Открыть →Добавлен учёт аттестата и сроков контроля
В карточке системы можно вести аттестат соответствия и даты оценки защищённости. Сервис заранее напомнит о следующей оценке.
Открыть калькулятор →Добавлен мастер защиты государственной системы
Мастер ведёт по шагам: отнесение системы к государственным, класс защищённости, цели защиты и модель угроз, меры, аттестация, контроль защищённости.
Открыть калькулятор →Добавлен каталог угроз ФСТЭК и подбор угроз
Банк данных угроз доступен прямо в сервисе: каталог с поиском и фильтрами, подбор актуальных угроз и образец модели угроз по типовому решению.
Открыть →Форма сведений о категорировании заполняется сама
Сведения об объекте КИИ вводятся по шагам и сохраняются. Программы, средства защиты, данные организации и категория подставляются из разделов кабинета. Видно, сколько разделов формы уже заполнено.
Открыть →Появились уровни доступа
По умолчанию открыт «Стандарт»: профиль, требования, план работ, документы и их выгрузка. Разделы по КИИ и государственным системам открывает «Полный». Ознакомительный уровень позволяет смотреть документы на экране.
Открыть →Добавлен калькулятор экономического ущерба КИИ
Калькулятор считает показатель № 8 — снижение дохода субъекта КИИ. Форма сведений о категорировании приведена к действующей редакции, в Базе знаний вышли две статьи.
Читать статью →Приказ ФСТЭК № 236: форма сведений о результатах категорирования КИИ — что заполнять по разделам
Подробный разбор формы направления сведений о результатах категорирования объекта КИИ (приказ ФСТЭК России № 236 в редакции № 247 от 11.07.2025): все девять разделов формы, что вносить в каждый пункт, нюансы заполнения для распределённых объектов и эксплуатирующих лиц, обоснование неприменимости показателей значимости, порядок и сроки направления сведений во ФСТЭК России.
Читать статью →Оценка экономического ущерба при категорировании КИИ: показатели № 8, № 9, № 10 и проект методики ФСТЭК
Как субъекту КИИ оценить экономический ущерб при категорировании: показатели экономической значимости № 8 (ущерб субъекту КИИ), № 9 (ущерб бюджетам РФ) и № 10 (прекращение финансовых операций) перечня ПП-127, расчётные соотношения проекта методического документа ФСТЭК, наихудший сценарий и составляющие ущерба, экспертный метод и состав экспертной группы. Почему методика ФСТЭК остаётся проектом, чем руководствоваться до её утверждения и как комиссия по категорированию может правомерно применить расчётные соотношения проекта.
Читать статью →Добавлены документы значимого объекта КИИ
Кроме документов категорирования сервис собирает документы значимого объекта: систему безопасности, взаимодействие с НКЦКИ, план реагирования, модель угроз, техническое задание и меры защиты.
Читать статью →Пакет документов для значимого объекта КИИ: что проверяет ФСТЭК
Полный перечень документов для значимого объекта критической информационной инфраструктуры (К1-К3), когда объект не является одновременно ИСПДн или ГИС. Правовая рамка (187-ФЗ, ПП-127, приказы ФСТЭК №235 и №239), порядок проверки ФСТЭК по ПП-162 и что именно смотрит регулятор, пять блоков обязательных документов, чего в пакете быть не должно и ответственность за нарушения.
Читать статью →Уничтожение персональных данных: сроки, акт и подтверждение (ст. 21 152-ФЗ, приказ РКН № 179)
Когда и в какие сроки нужно уничтожать персональные данные (статья 21 152-ФЗ), как подтвердить уничтожение актом и выгрузкой из журнала событий по приказу Роскомнадзора № 179, чем отличается уничтожение в ИСПДн от уничтожения бумажных документов, какими способами уничтожают носители, зачем комиссия и когда вместо уничтожения подойдёт обезличивание.
Читать статью →Выгрузка персональных данных из 1С на локальный и общий диск: учёт, уничтожение, акт
Можно ли сотруднику выгрузить персональные данные клиента из ИСПДн на базе 1С на локальный диск и как сделать это правильно: цель и допуск, границы ИСПДн, учёт файла-выгрузки, гарантированное уничтожение и его актирование по приказу Роскомнадзора № 179. Отдельно — выгрузка на общий сетевой диск для коллективной работы: как обеспечить учёт, разграничение доступа, журналирование и сохранность.
Читать статью →Заявление о принятии мер по ограничению доступа к ПДн: форма из приказа Роскомнадзора № 85
Что такое заявление субъекта персональных данных о принятии мер по ограничению доступа к информации, обрабатываемой с нарушением закона (приказ Роскомнадзора № 85 от 22.07.2015, статья 15.5 149-ФЗ): когда его можно подать, зачем нужен судебный акт, какие сведения указываются в форме и что происходит дальше.
Читать статью →Реестр нарушителей прав субъектов ПДн и блокировка сайта: приказ Роскомнадзора № 84
Что такое реестр нарушителей прав субъектов персональных данных, как работает механизм блокировки сайта за незаконную обработку ПДн по приказу Роскомнадзора № 84 от 22.07.2015 и статье 15.5 149-ФЗ: роль судебного акта, взаимодействие Роскомнадзора с провайдером хостинга и операторами связи, сроки удаления информации.
Читать статью →Согласие на распространение персональных данных: приказ Роскомнадзора № 18
Что такое согласие на обработку персональных данных, разрешённых субъектом для распространения (статья 10.1 152-ФЗ, приказ Роскомнадзора от 24.02.2021 № 18, действует до 1 сентября 2027 года), чем оно отличается от обычного согласия, что обязательно должно быть в его содержании, как субъект устанавливает запреты и условия и почему молчание не считается согласием.
Читать статью →Перечень стран с адекватной защитой ПДн: приказ Роскомнадзора № 128
Что такое перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (приказ Роскомнадзора № 128 от 05.08.2022, в силе с 1 марта 2023), как страны делятся на две группы, что это значит для трансграничной передачи данных и уведомления Роскомнадзора и как проверить государство получателя.
Читать статью →Оценка вреда субъектам персональных данных: приказ Роскомнадзора № 178
Оценка вреда субъектам персональных данных по приказу Роскомнадзора № 178 от 27.10.2022 (в силе с 1 марта 2023 по 1 марта 2029): почему оценивается не тяжесть последствий, а закрытый перечень из 13 обстоятельств обработки, все основания высокой, средней и низкой степени, правило о применении более высокой степени, кто проводит оценку и какие реквизиты обязательны в акте оценки вреда.
Читать статью →Информационная безопасность в требованиях по антитеррористической защищённости: паспорт безопасности как ДСП
Требования к антитеррористической защищённости объектов (территорий) утверждаются отраслевыми постановлениями Правительства, и в каждом из них есть блок информационной безопасности: защита служебной информации ограниченного распространения, содержащейся в паспорте безопасности (пометка «Для служебного пользования»), и обеспечение информационной безопасности организации в целом (исключение несанкционированного доступа к информационным ресурсам). Разбираем оба требования, что такое режим ДСП, нужны ли для него положение, инструкции и перечень, и чем этот режим отличается от коммерческой тайны.
Читать статью →Запрет авторизации через иностранные сервисы и российская почта оператора ПДн
Российским сайтам с 1 декабря 2023 года запрещено авторизовать пользователей через иностранные сервисы (вход через Google, Apple и подобные): допустимы номер телефона российского оператора, ЕСИА, ЕБС и иные информационные системы, соответствующие требованиям. Разбираем это требование 406-ФЗ и отдельно — почему оператору персональных данных стоит использовать электронную почту российских провайдеров: локализация данных, трансграничная передача, устойчивость к ограничениям и импортозамещение.
Читать статью →Модель угроз ФСТЭК и реальные угрозы малого бизнеса: как одно ложится на другое
Как формальная модель угроз по методике ФСТЭК 2021 года практически соотносится с типичными угрозами малого бизнеса — фишингом, вредоносными вложениями, шифровальщиками и кражей денег через клиент-банк. Разбираем, кто на самом деле нарушитель для небольшой организации, какие угрозы для неё актуальны и почему грамотная, пропорциональная масштабу модель угроз обосновывает тот же практичный минимум мер, а не бюрократию ради галочки.
Читать статью →Безопасное рабочее место для клиент-банка: защита рабочего места бухгалтера и ключей
Как защитить рабочее место бухгалтера для работы с клиент-банками: характерные угрозы (банковские трояны, кража ключей, подмена платежей), целесообразность выделенного отдельного ноутбука, который включают только на период работы с банками, и требования к хранению и использованию ключей электронной подписи. Организационные и технические меры без больших вложений.
Читать статью →Угрозы ИБ для малого бизнеса и как защититься без больших затрат
Характерные угрозы информационной безопасности для малого бизнеса: фишинг, вредоносное ПО во вложениях и человеческий фактор (низкая грамотность сотрудников). Как руководителю повысить защищённость без серьёзных вложений — типовые организационные и технические меры, которые внедряются силами компании и встроенными инструментами, и зачем закреплять правила приказами и инструкциями с ознакомлением под роспись: это дисциплинирует сотрудников, даёт основание предъявить претензии при нарушении и подтверждает регулятору, что меры принимались.
Читать статью →Личный компьютер для удалённой работы: риски даже при надёжном VPN
Почему надёжный VPN не решает вопрос удалённой работы с личного компьютера сотрудника: VPN защищает канал связи, но не сам компьютер и данные на нём. Разбираем риски неконтролируемого личного ПК (вредоносное ПО, кейлоггеры, оседание персональных данных на диске, доступ третьих лиц), последствия для оператора по 152-ФЗ и как правильно организовать удалённый доступ, чтобы снизить риски.
Читать статью →Как организовать удалённую работу сотрудников: регламенты, инструкции и доступ к 1С
Как правильно организовать дистанционную работу сотрудников с точки зрения оформления и информационной безопасности: какие нужны регламенты и инструкции (положение о дистанционной работе, инструкция по удалённому доступу и ИБ), требования ТК РФ и 152-ФЗ. Кратко о технических решениях для удалённой работы с 1С на сервере организации — терминальный доступ, VPN, веб-клиент, облако.
Читать статью →СЗИ: расшифровка, что это, виды и классы средств защиты информации
СЗИ расшифровывается как «средство защиты информации»: программа или устройство, которое защищает данные от посторонних, атак и вирусов. Чем СЗИ отличается от СКЗИ, что такое наложенные средства защиты, какие бывают виды СЗИ, что значат классы и уровни доверия и когда нужна сертификация ФСТЭК России.
Читать статью →Биометрия и ЕБС: сбор, хранение и согласие по 152-ФЗ и 572-ФЗ
Как организации законно работать с биометрическими персональными данными: биометрия как отдельная категория ПДн (статья 11 152-ФЗ), письменное согласие и добровольность, Единая биометрическая система (ЕБС) и Федеральный закон № 572-ФЗ, требования к носителям биометрии (ПП-512). Когда вправе собирать биометрию и что нельзя делать.
Читать статью →ГОСТ VPN: когда нужен и как выбрать средство защиты каналов
Что такое ГОСТ VPN и когда он обязателен: защита каналов связи сертифицированным ФСБ России средством криптографической защиты (СКЗИ) с алгоритмами ГОСТ. Разбираем, в каких случаях криптозащита каналов обязательна (передача ПДн вне контролируемой зоны, подключение к ГИС, значимые объекты КИИ), как выбрать класс СКЗИ и на что смотреть при выборе решения.
Читать статью →Управление уязвимостями по ФСТЭК: БДУ, процесс и почему обновление стало риском
Как построить процесс управления уязвимостями (vulnerability management) по требованиям ФСТЭК: анализ уязвимостей как мера защиты (АНЗ в приказе №21, АУД в приказе №239), Банк данных угроз (БДУ), методический документ ФСТЭК 2023 года. Пошаговый процесс — инвентаризация, мониторинг, оценка критичности, устранение и контроль — и почему в текущих условиях само обновление ПО стало отдельным риском.
Читать статью →Импортозамещение СЗИ и ПО: запрет иностранного, реестр отечественного и что делать оператору
Кого и с каких сроков касается запрет иностранных средств защиты информации и программного обеспечения: Указ Президента РФ от 01.05.2022 № 250 (СЗИ из недружественных государств), Указ №166 и 187-ФЗ (иностранное ПО на значимых объектах КИИ), реестр российского ПО и госзакупки. Практические шаги для оператора по переходу на отечественные сертифицированные решения.
Читать статью →Добавлены инструкции для работников
Появились готовые инструкции, с которыми работников знакомят под подпись: работа в информационной системе, средства криптографической защиты, пароли, антивирус, действия при инциденте, памятка по защите данных и уведомление при увольнении.
Открыть →Когда информационная система становится ГИС: признаки, кто определяет статус и последствия
Что делает информационную систему государственной по 149-ФЗ, кто определяет её статус и какие требования действуют с 1 марта 2026 года: приказ ФСТЭК №117, классификация К1–К3, аттестация ГИС, показатели КЗИ и Узи. Почему подключение к чужой ФГИС не превращает собственную систему в ГИС и как совмещаются режимы ГИС, ИСПДн и КИИ.
Читать статью →Требования по ИБ в России и за рубежом: сравнение с GDPR (ЕС) и США
Чем требования по информационной безопасности и защите персональных данных в России отличаются от европейского GDPR и подхода США. Сравнительные таблицы по надзору, локализации данных, уведомлению об утечках и штрафам, разбор уникальности требований Роскомнадзора и ФСТЭК и того, где российский правовой режим строже, а где мягче.
Читать статью →Аудит информационных систем: как часто, кем и чем регламентирован (ИСПДн, ГИС, КИИ)
Что понимают под аудитом информационных систем в сфере защиты информации, чем он регламентирован и как часто проводится. Разбираем отличия для ИСПДн, ГИС и КИИ, нужен ли аудит для ИСПДн малого бизнеса на уровнях защищённости УЗ-3 и УЗ-4 и можно ли проводить проверку самостоятельно или требуется лицензиат ФСТЭК.
Читать статью →Аттестация рабочего места для подключения к ГИС и ФГИС: нужна ли, что это и как часто
Нужно ли аттестовать рабочее место для работы с ГИС или ФГИС, почему АРМ аттестуют «как ГИС К1», что проверяет орган по аттестации, сколько действует аттестат и что делать при замене компьютера или переезде. Разбор на двух реальных регламентах: региональная система здравоохранения требует аттестат, API Госуслуг — нет.
Читать статью →Требования к ГИС класса защищённости К1
Что такое класс защищённости государственной информационной системы (ГИС), как он определяется и когда системе присваивается высший класс К1, а также какие требования предъявляет К1: полный набор мер защиты, сертифицированные средства защиты информации, приказ ФСТЭК №117 и числовой показатель защищённости КЗИ.
Читать статью →УБИ ФСТЭК: список угроз и работа с БДУ
Что такое УБИ, где найти список угроз ФСТЭК и как использовать БДУ при разработке модели угроз. Отличия угрозы, уязвимости, идентификаторов BDU и CVE.
Читать статью →Достаточность и обоснованность персональных данных: как понять, сколько собирать
Что такое достаточность и обоснованность персональных данных с точки зрения Роскомнадзора: принципы статьи 5 152-ФЗ (соответствие объёма целям и недопустимость избыточности, достаточность данных для цели) и как оператору понять, в каком объёме собирать данные. Практический алгоритм определения состава под цель, частые ошибки избыточного сбора и как обосновать состав документально.
Читать статью →Сколько хранить персональные данные
Сколько времени оператор должен хранить персональные данные: почему единого срока в 152-ФЗ нет, как срок зависит от цели обработки, основания и требований других законов (налоговых, бухгалтерских, кадровых), ориентиры по типам данных (кадры по перечню Росархива, бухгалтерия и налоги — 5 лет, договоры — срок исковой давности), что делать по истечении срока (уничтожение или обезличивание) и как составить номенклатуру сроков.
Читать статью →Права субъекта персональных данных и как оператору на них отвечать
Какие права 152-ФЗ даёт субъекту персональных данных (доступ к своим данным, уточнение, блокирование и уничтожение, отзыв согласия, возражение против рекламной рассылки, обжалование) и как оператору правильно и вовремя на них отвечать: в какие сроки (10 и 5 рабочих дней, 30 дней на уничтожение), что должно быть в запросе, когда можно отказать и как выстроить процесс обработки обращений.
Читать статью →Добавлен документ об объёме персональных данных
Документ показывает, что вы собираете только те данные, которые нужны для дела. Есть и образец.
Открыть →Новые статьи о сроках хранения и объёме данных
В Базе знаний вышли два разбора: сколько хранить персональные данные и как понять, что вы собираете лишнее.
Смотреть материалы →Журнал посетителей и выдачи ключей на проходной: это обработка ПДн? Как выполнить требования РКН
Являются ли журналы посетителей и выдачи ключей сотрудникам, которые ведёт охрана на проходной, обработкой персональных данных и как выполнить требования Роскомнадзора. Разбираем, почему это ПДн даже на бумаге, кто оператор и при чём здесь ЧОП, на каком основании ведётся обработка, нужно ли согласие и как организовать минимизацию, информирование, хранение и сроки.
Читать статью →Зарубежные токены и криптосредства: это СКЗИ? Приказы ФСБ №378 и ФАПСИ №152
Считается ли использование зарубежного токена или криптосредства использованием СКЗИ и попадает ли оно под приказ ФСБ №378 и Инструкцию ФАПСИ №152. Разбираем, почему регуляторный режим (поэкземплярный учёт и меры защиты) построен вокруг сертифицированных ФСБ России СКЗИ, почему несертифицированное зарубежное средство не закрывает требования по защите ПДн и когда оно прямо запрещено (Указ №250).
Читать статью →Домашняя лаборатория для обучения информационной безопасности
Как собрать домашнюю лабораторию для безопасной и легальной практики по ИБ: зачем она нужна, какие требования к железу, из каких компонентов состоит (атакующая машина, уязвимые учебные цели, средства защиты и мониторинга), как изолировать лабораторию от домашней сети, что отрабатывать и какие бесплатные ресурсы использовать. Тренироваться можно только на своих системах — чужие тестировать нельзя.
Читать статью →План самостоятельного изучения нормативной базы по ИБ
Программа самостоятельного изучения нормативки по информационной безопасности в логичном порядке: от базовых понятий (триада CIA) к персональным данным (152-ФЗ, ПП-1119), модели угроз и мерам (приказ ФСТЭК №21), затем по применимости — ГИС (приказ №117), СКЗИ (ФАПСИ №152, ФСБ №378) и КИИ (187-ФЗ, приказы №235 и №239, Указ №250), и наконец организация, документы и контроль. Со ссылками на разборы и первоисточники.
Читать статью →Как стать пентестером (специалистом по тестированию на проникновение)
Как войти в профессию пентестера: что такое тестирование на проникновение и почему оно законно только с разрешения, какой минимальный набор знаний нужен (сети, Linux, Windows, веб, скрипты), какие инструменты и направления бывают, где практиковаться легально (CTF, киберполигоны, багбаунти), какие сертификации и переподготовку пройти и как пентест встроен в российские требования по защите информации.
Читать статью →Как перейти в информационную безопасность из другой ИТ-специальности
Как войти в информационную безопасность из смежной ИТ-области (администрирование, разработка, сети, DevOps): какой минимальный набор знаний нужен, какие направления ИБ выбрать под свой бэкграунд, какое переобучение и переподготовку пройти (ДПО и программы, согласованные с ФСТЭК) и какие основные требования предъявляют к специалистам по ИБ — профстандарты, приказ ФСТЭК №235, Указ №250, лицензионные требования.
Читать статью →Является ли сертификат сайта СКЗИ
Нужно ли вести поэкземплярный учёт TLS/SSL-сертификата сайта как средства криптозащиты? Разбираем, чем сертификат отличается от СКЗИ, почему обычный HTTPS-сертификат не требует учёта по Инструкции ФАПСИ №152, когда возникает режим СКЗИ (ГОСТ-криптография) и что именно подлежит учёту — сертификат, закрытый ключ или криптопровайдер.
Читать статью →Требования к специалистам по информационной безопасности: Указ № 250, КИИ, ГИС
Какие требования предъявляют к специалисту по информационной безопасности: сводная таблица по ролям — заместитель руководителя по Указу № 250, силы безопасности значимых объектов КИИ (приказ ФСТЭК России № 235), подразделение по защите ГИС (приказ ФСТЭК России № 117), лицензиат ФСТЭК России, ответственный за ПДн. Образование, переподготовка, повышение квалификации, обязанности и обучение персонала.
Читать статью →BDU ФСТЭК, CVE и NVD: чем отличаются базы уязвимостей
Какие бывают базы уязвимостей: BDU ФСТЭК, CVE и NVD, а также CVSS, CWE и каталог KEV. Чем они отличаются, какую ФСТЭК России считает главной и как управлять уязвимостями.
Читать статью →Триада CIA (КЦД): три свойства информационной безопасности
Триада информационной безопасности CIA, или КЦД, — конфиденциальность, целостность и доступность. Что значит каждое свойство, где оно закреплено в законе и как его защищают.
Читать статью →КЗИ — показатель защищённости: что это и как его считают по методике ФСТЭК
КЗИ — показатель защищённости: одно число от 0 до 1, которое показывает, достигла ли организация минимального уровня защиты от типовых угроз. Оценивать его требует приказ ФСТЭК России от 11.04.2025 № 117, а считают по методике ФСТЭК России от 11.11.2025. Формула, четыре группы мер с весами, зоны защищённости, пример расчёта, сроки отчётности и калькулятор.
Читать статью →Требования РКН и ФСТЭК для малого бизнеса на 1С: пошаговый алгоритм
Пошаговый план выполнения требований по защите персональных данных для небольшой компании, которая ведёт в 1С кадры и бухгалтерию своих сотрудников и учёт клиентов и контрагентов, сдаёт отчётность через УКЭП руководителя и МЧД бухгалтера, а с банком работает по ЭЦП. Организационные обязанности перед Роскомнадзором, отдельный блок технических мер по приказу ФСТЭК №21 (антивирус, межсетевой экран, идентификация и аутентификация и т. д.) и порядок учёта СКЗИ. Что именно нужно сделать и как.
Читать статью →Приказ ФСТЭК России № 117 вместо № 17: что изменилось в требованиях к защите государственных систем
С 1 марта 2026 года защиту информации в государственных информационных системах, а также в иных ИС государственных органов, ГУП и государственных учреждений регулирует приказ ФСТЭК России №117 — он заменил приказ №17 и меняет сам подход к защите. Разбор по первоисточнику: расширение сферы действия, переход от базового набора мер по классу к целям защиты и актуальным угрозам, новые требования к кадровому обеспечению (в том числе не менее 30% специалистов с профильным образованием по ИБ), измеримые показатели защищённости (Кзи) и зрелости (Узи) с отчётностью во ФСТЭК, контроль уровня защищённости и непрерывное управление по всему жизненному циклу. И почему этот подход, вероятно, распространят на КИИ и ИСПДн.
Читать статью →Школа собирает данные родителей через Яндекс Форму: как сделать это по закону
Какие данные родителей школа вправе собирать, когда нужен СНИЛС родителя и как законно собирать анкеты через Яндекс Форму: основание для каждого поля, политика на странице формы, отдельное согласие, поручение сервису, минимум полей и срок хранения.
Читать статью →Как вести школьный чат и не нарушить 152-ФЗ
Родительские и классные чаты переполнены персональными данными: ФИО и телефоны, фотографии детей, оценки, сведения о здоровье. Разбираем, кто здесь оператор и применяется ли 152-ФЗ (личные нужды против официального чата школы), что категорически нельзя публиковать без согласия (фото детей, диагнозы, успеваемость, чужие контакты) и как вести чат аккуратно, чтобы не нарушить права других.
Читать статью →НКЦКИ и ГосСОПКА: что это, в чём разница и кто обязан подключаться
НКЦКИ — центр ФСБ России по компьютерным инцидентам, ГосСОПКА — система, которую он координирует. Кто из субъектов КИИ обязан с ними работать и когда сообщать об инциденте.
Читать статью →Субъект КИИ: касается ли вас 187-ФЗ — чек-лист
Кто такой субъект критической информационной инфраструктуры по 187-ФЗ, по каким сферам деятельности определяется этот статус и чем он отличается от наличия значимого объекта. Простой чек-лист, чтобы понять, относятся ли к вашей организации требования по КИИ, и что делать, если да.
Читать статью →Персональные данные в школе и детском саду: согласие родителей и требования
Как образовательной организации (школе, детскому саду) законно обрабатывать персональные данные детей и родителей: когда основанием служит закон об образовании, а когда нужно согласие законного представителя, как быть с данными о здоровье и фотографиями, что оформить и какие ошибки ведут к претензиям.
Читать статью →Cookie и баннер согласия на сайте: что требует российский закон
Нужен ли на сайте баннер согласия на cookie по российскому закону, являются ли cookie персональными данными, чем требования 152-ФЗ отличаются от европейского GDPR, что писать в баннере и политике и почему важны иностранные счётчики и локализация. Практический разбор для владельцев сайтов.
Читать статью →Видеонаблюдение и персональные данные: что требует закон
Когда видеозапись — персональные данные, а когда биометрия: узнаваемая запись подпадает под общее определение (пункт 1 статьи 3 152-ФЗ), а биометрией становится, когда её используют для установления личности (статья 11). На каком основании можно вести наблюдение, как информировать людей табличками и политикой, сколько хранить записи и кому давать доступ. Что оформить и типичные ошибки.
Читать статью →Трансграничная передача персональных данных (статья 12 152-ФЗ): когда можно и что нужно
Что такое трансграничная передача персональных данных, чем она отличается от локализации, когда нужно подать уведомление в Роскомнадзор и какие условия соблюсти. Передача в страны с адекватной защитой и в прочие государства, типичные ситуации (иностранные облака, сервисы, головной офис за рубежом) и ошибки.
Читать статью →ПКЗ-2005 (приказ ФСБ России № 66): что это и что требует от оператора СКЗИ
Что такое ПКЗ-2005 — Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации, утверждённое приказом ФСБ России от 09.02.2005 № 66. Кого оно касается, что требует от организации, которая просто эксплуатирует СКЗИ (электронную подпись, VPN), и как связано с Инструкцией ФАПСИ № 152 и приказом ФСБ № 378.
Читать статью →Как самозанятому соблюсти требования по персональным данным
Касаются ли самозанятого требования 152-ФЗ по защите персональных данных? Если вы ведёте базу клиентов для своей деятельности — да, вы оператор персональных данных, и формальное «я просто самозанятый» не освобождает. Но объём требований небольшой и соразмерный: у самозанятого нет работников, нет ГИС и КИИ, обычно нет сложной информационной системы. Разбираем минимальный набор: правовое основание, уведомление Роскомнадзора, политика и согласие на сайте, базовая защита данных и чего точно делать не нужно.
Читать статью →Как распределить обязанности по информационной безопасности в небольшой организации
Кто и за что отвечает за информационную безопасность в маленькой компании: должен ли директор делать всё сам, какие роли назначить приказом (ответственный за организацию обработки ПДн, ответственный за безопасность в ИСПДн, ответственный за СКЗИ), можно ли совмещать роли, допустимо ли поручить ведение журнала учёта СКЗИ бухгалтеру и что делать, если системный администратор не в штате, а приходящий или на аутсорсе. Разбираем поручение на обработку, лицензию подрядчика и типичные ошибки.
Читать статью →Приказ ФСТЭК № 21 в 2026 году: разбор мер защиты персональных данных и что известно о замене
Разбор приказа ФСТЭК России от 18.02.2013 № 21: к кому применяется, как выбрать меры (базовый набор по уровню защищённости, адаптация, уточнение по модели угроз, компенсирующие меры), сколько мер на каждом уровне, оценка эффективности раз в три года, документы и частые заблуждения. Отдельно — статус проекта приказа на замену № 21 и что делать оператору до его принятия.
Читать статью →Таблица Excel с персональными данными — это ИСПДн?
Список клиентов или сотрудников в Excel — это уже информационная система персональных данных (ИСПДн) со всеми требованиями 152-ФЗ или просто файл? Короткий ответ: чаще всего да, это ИСПДн, потому что Excel автоматизированно обрабатывает данные (поиск, сортировка, фильтры). Разбираем, когда таблица считается автоматизированной обработкой, какой нужен уровень защищённости и меры, почему пугаться не стоит, чем особенно рискован Excel (почта, облако, общий доступ) и что делать на практике.
Читать статью →Личная подпись и МЧД у бухгалтера: как объяснить сотруднику, что это не страшно
С 1 сентября 2024 года сотрудники сдают отчётность личной электронной подписью физлица вместе с машиночитаемой доверенностью (МЧД), а не подписью директора. Бухгалтеры часто этого боятся: кажется, что личная подпись = личная ответственность и что подписывать должен директор. Разбираем, как на самом деле устроены личная ЭП и МЧД, почему сотрудник не берёт на себя налоги компании, почему директор не может просто подписать всё сам и как руководителю спокойно объяснить это бухгалтеру.
Читать статью →Персональные данные в 1С: кто оператор, облако или свой сервер и как не попасть на штраф
В 1С почти всегда есть персональные данные — зарплата и кадры, клиенты, контрагенты-физлица. Значит, это ИСПДн со своими требованиями 152-ФЗ. Разбираем, кто здесь оператор (вы, а не фирма 1С и не хостер), чем с точки зрения закона отличается локальная 1С на своём сервере от облачной аренды (1С в облаке, хостинг, 1С:Фреш), почему облачный провайдер — это обработчик и нужно поручение на обработку с локализацией данных в России, какие документы оформить и на чём экономия превращается в штраф.
Читать статью →Уведомление в Роскомнадзор об обработке персональных данных: кому обязательно и как подать
Уведомление об обработке персональных данных — первый и самый дешёвый шаг к соответствию 152-ФЗ. После реформы 2022 года почти все операторы обязаны подавать его, включая ИП и работодателей, обрабатывающих данные своих сотрудников. Разбираем, кто обязан уведомлять и какие исключения статьи 22 ещё остались, как подать уведомление бесплатно через сайт Роскомнадзора или Госуслуги, что в нём указать и какой штраф грозит за неподачу (статья 13.11 КоАП РФ).
Читать статью →Роскомнадзор автоматически проверяет сайты: что сканируют, сверяют ли с политикой и как пройти без предписания
Как Роскомнадзор дистанционно проверяет открытую часть сайтов в рамках наблюдения без взаимодействия: что подтверждено законом, а что известно только из сообщений рынка. Политика, формы и основания обработки, реестр операторов, локализация, иностранные сервисы, cookie и самостоятельная проверка сайта без ожидания предостережения.
Читать статью →Документы по защите информации: ПДн, ИСПДн, ГИС, КИИ и СКЗИ — какой комплект нужен
Обзор документов по защите информации в разрезе режимов: персональные данные (152-ФЗ), ИСПДн (ПП-1119 и приказ ФСТЭК №21), государственные информационные системы (приказ ФСТЭК №117, ранее №17), критическая информационная инфраструктура (187-ФЗ, ПП-127, приказы №235 и №239) и СКЗИ (ПКЗ-2005, Инструкция, утверждённая приказом ФАПСИ от 13.06.2001 №152, приказ ФСБ №378). Что обязательно у любого оператора, что добавляется при автоматизированной обработке, в ГИС, у субъекта КИИ и при использовании криптографии. Перечни базовые и уточняются по конкретной системе, классу и уровню защищённости.
Читать статью →Как хранить Рутокен и JaCarta с электронной подписью
Правила хранения токенов электронной подписи Рутокен и JaCarta: поэкземплярный учёт, сейф, PIN-код, ответственный за СКЗИ, выдача, возврат и запрет передачи токена.
Читать статью →Бумага и ИСПДн: что хранить, сколько и когда уничтожать персональные данные
Клиент подписал согласие и договор на бумаге, а данные внесли в информационную систему. Нужно ли после этого уничтожать оригиналы документов и сколько их хранить? Когда и как удалять данные из ИСПДн? Разбираем жизненный цикл персональных данных на двух носителях сразу: зачем хранить бумажный оригинал как доказательство законности обработки, какие сроки хранения у согласий и договоров, когда наступает обязанность уничтожить данные (30 дней по статье 21 152-ФЗ) и как оформить уничтожение по Приказу Роскомнадзора № 179.
Читать статью →Обработка персональных данных соискателей при найме: согласие, кадровый резерв и сроки
Как работодателю законно обрабатывать персональные данные соискателей на этапе найма: на каком основании можно рассматривать резюме без отдельного согласия, почему хранение резюме в кадровом резерве требует отдельного согласия и срока, когда нужно согласие на проверку кандидата, принцип минимизации данных и сроки удаления после отказа. Типичные нарушения, за которые штрафует Роскомнадзор.
Читать статью →Согласие на обработку персональных данных работников: когда нужно, а когда нет
Разбираемся, когда работодателю действительно нужно согласие работника на обработку персональных данных, а когда хватает закона и трудового договора. Главная ошибка — брать согласие на всё подряд. Что изменилось с 1 сентября 2025 года (отдельный документ), требования ТК РФ и 152-ФЗ, что обязательно должно быть в согласии и типичные нарушения работодателей.
Читать статью →Минцифры: второе заседание экспертного совета по электронной подписи
Экспертный совет при Минцифры (Минцифры, ФСБ, ФНС, Сбербанк, КриптоПро и другие) обсудил развитие электронной подписи: интеграцию ЕСИА и реестра ФНС для машиночитаемых доверенностей, фиксацию момента подписания, доверенную третью сторону и трансграничное доверие, стандарт подписи с дополнительными свойствами (AdES) и подготовку к постквантовой криптографии.
Подробнее →Политика обработки ПДн для сайта на внешнем хранилище Яндекса: передача данных третьим лицам
Разбор на конкретном примере: как сайту, который хранит персональные данные во внешнем облаке Яндекса (Yandex Object Storage, Яндекс Облако), правильно оформить передачу данных. Почему облако — это поручение обработки, а не слив данных на сторону, как закрывается локализация, что отразить в политике, что должно быть в согласии и в договоре поручения с провайдером. С примерами формулировок.
Читать статью →Как разработать политику обработки персональных данных: требования и типичные нарушения
Пошаговое руководство по разработке политики обработки персональных данных под рекомендации Роскомнадзора: чем регламентирован документ (часть 2 статьи 18.1 152-ФЗ), чем политика отличается от положения об обработке, какие шесть разделов должны быть внутри по рекомендуемой структуре, где и как её публиковать, как составить под реальные процессы компании, а также подводные камни и характерные нарушения, за которые штрафуют по статье 13.11 КоАП.
Читать статью →Как не допустить утечку персональных данных и коммерческой тайны
Профилактика утечек персональных данных и коммерческой тайны: почему большинство утечек идёт от своих сотрудников и небрежности, а не от хакеров, и какие организационные и технические меры реально снижают риск. Разграничение доступа, режим коммерческой тайны, NDA, контроль носителей и подрядчиков, обучение людей и порядок при увольнении.
Читать статью →Обезличивание персональных данных: что это, зачем и как сделать
Что такое обезличивание персональных данных и чем оно отличается от удаления и псевдонимизации. Зачем оно бизнесу. Какие методы установил приказ Роскомнадзора от 19.06.2025 № 140. Что за режим передачи обезличенных данных государству появился в статье 13.1 152-ФЗ и чем опасно мнимое обезличивание.
Читать статью →Может ли малый бизнес сам выполнить требования РКН, ФСТЭК и ФСБ
Честный разбор: что в защите персональных данных малый бизнес реально делает своими силами и бесплатно, а где нужен лицензиат. По трём регуляторам — Роскомнадзор (организационная часть), ФСТЭК (техническая защита ИСПДн, лицензия и аттестация) и ФСБ (СКЗИ и криптография). Когда подрядчик действительно необходим, а когда это лишние расходы.
Читать статью →Биометрия в фитнес-клубе: вход по лицу или отпечатку — что требует закон
Что обязан сделать фитнес-клуб, если пускает клиентов по отпечатку пальца или распознаванию лица. Пошагово: почему это биометрические персональные данные, зачем отдельное письменное согласие, как биометрия поднимает уровень защищённости до УЗ-3 по ПП-1119, требования 572-ФЗ и ЕБС, документы и меры. И почему многим клубам проще обойтись картой или браслетом.
Читать статью →Персональные данные в салоне красоты и барбершопе: пошаговый алгоритм
Минимальный, но полный алгоритм для салона красоты, барбершопа или студии: как небольшому бизнесу с онлайн-записью и CRM законно работать с персональными данными клиентов. По шагам — от 152-ФЗ и оснований обработки до расчёта уровня защищённости по ПП-1119 (обычно УЗ-4), уведомления Роскомнадзора, документов, мер по приказу ФСТЭК № 21 и поручений сервисам записи.
Читать статью →Персональные данные в стоматологии: пошаговый алгоритм для частной клиники
Полный алгоритм действий частной стоматологической клиники по защите персональных данных пациентов: от признания себя оператором (152-ФЗ) и определения уровня защищённости по ПП-1119 (спецкатегория «здоровье» даёт УЗ-3) до уведомления Роскомнадзора, комплекта документов, мер по приказу ФСТЭК № 21, поручений обработчикам и врачебной тайны. Характерный пример для малого бизнеса в медицине.
Читать статью →Как правильно хранить персональные данные в приложении: чек-лист для разработчика
Практические правила для разработчиков, чтобы хранение ПДн в приложении соответствовало 152-ФЗ и приказу ФСТЭК №21: минимизация данных, разграничение доступа, шифрование, хеширование паролей, обезличивание для тестовых сред, ПДн в логах, удаление по запросу субъекта, локализация базы в РФ и журналирование доступа.
Читать статью →Утечка персональных данных: пошаговый алгоритм действий
Что делать оператору при утечке персональных данных: как зафиксировать инцидент, уведомить Роскомнадзор в течение 24 часов и о результатах расследования за 72 часа (статья 21 152-ФЗ), провести внутреннее расследование, устранить последствия и зафиксировать всё в журнале. Пошаговый план, чтобы не получить отдельный штраф за молчание.
Читать статью →Штрафы за персональные данные в 2025 году: новые суммы и за что
Что изменилось в ответственности за персональные данные с 30 мая 2025 года (Федеральный закон от 30.11.2024 № 420-ФЗ): новые размеры штрафов по статье 13.11 КоАП, отдельная ответственность за утечки по числу субъектов, оборотные штрафы за повтор, штраф за неуведомление Роскомнадзора, уголовная ответственность за незаконный оборот ПДн и что снижает риск.
Читать статью →Персональные данные для интернет-магазина: что нужно оператору
Как интернет-магазину законно работать с персональными данными покупателей: какие данные собираются и на каких основаниях, нужно ли согласие на оформление заказа, cookies и аналитика, уведомление Роскомнадзора, поручение обработки CRM и службам доставки, трансграничная передача и типичные ошибки, которые ведут к штрафу.
Читать статью →Учёт и хранение СКЗИ: орган криптографической защиты, журнал поэкземплярного учёта, сейф
Орган криптографической защиты, журнал поэкземплярного учёта, хранение в сейфе и требования к помещениям — по Инструкции, утверждённой приказом ФАПСИ от 13.06.2001 № 152, и приказу ФСБ России от 10.07.2014 № 378. Кто выполняет функции органа криптозащиты в небольшой организации, какие графы у журнала учёта СКЗИ, можно ли хранить токены в общем сейфе и какие документы нужны.
Читать статью →Проверочный лист Роскомнадзора (приказ № 253): по чему проверяют операторов ПДн
Что такое проверочный лист Роскомнадзора, утверждённый приказом от 24.12.2021 № 253: список контрольных вопросов, по которым инспектор проверяет соблюдение 152-ФЗ. Что о проверочных листах говорит 248-ФЗ, какие темы он охватывает и как использовать его для самопроверки до прихода регулятора.
Читать статью →Обработка персональных данных с использованием средств автоматизации (ИСПДн): требования и порядок
Что обязан сделать оператор при обработке ПДн с использованием средств автоматизации (в информационных системах, ИСПДн): статья 19 152-ФЗ, ПП-1119 и уровни защищённости, приказ ФСТЭК №21, модель угроз, СЗИ и СКЗИ по приказу ФСБ №378. Порядок действий, на что обращать внимание, какие учёты и документы вести.
Читать статью →Обработка ПДн без средств автоматизации (на бумаге): требования ПП-687
Как законно вести обработку ПДн без средств автоматизации (на бумаге и иных материальных носителях) по Положению, утверждённому Постановлением Правительства РФ № 687, и статье 18.1 152-ФЗ: что считается неавтоматизированной обработкой, принципы обособления и хранения, требования к формам и бланкам, какие учёты и журналы вести и на что смотрит Роскомнадзор.
Читать статью →Какие журналы проверяет Роскомнадзор
Какие журналы учёта смотрит Роскомнадзор при проверке соблюдения 152-ФЗ: журнал обращений субъектов ПДн, передачи данных третьим лицам, учёта материальных носителей, ознакомления работников, согласий и инцидентов. Что они подтверждают и какие ещё документы запрашивает РКН.
Читать статью →Контрагент или ведомство требует УКЭП руководителя вместо МЧД: что делать
Почему контрагенты и информационные системы иногда требуют подпись (УКЭП) руководителя вместо машиночитаемой доверенности (МЧД), законно ли подписывать электронной подписью сотрудника с МЧД и как объяснить это контрагенту или проверяющему.
Читать статью →Требования к паролям ФСТЭК в 2026 году: длина, блокировка и смена для ИСПДн и ГИС
Какие требования к паролям действуют в 2026 году: что требует приказ ФСТЭК № 21 по уровням защищённости ИСПДн, какие числа задаёт методический документ ФСТЭК от 12.04.2026 (12 символов, 5 попыток, блокировка на 15 минут, смена раз в 90 дней), когда нужна двухфакторная аутентификация, как настроить политику паролей и что записать в инструкцию по парольной защите.
Читать статью →Класс защищённости ГИС К1, К2, К3: что это, как определить и какие требования
Класс защищённости — характеристика информационной системы, от которой зависит состав мер защиты. У ГИС три класса: К1 (самый высокий), К2 и К3. Как определить класс по приказу ФСТЭК России от 11.04.2025 № 117: таблица, требования к К1, К2 и К3, аттестация, отличие от уровней защищённости ПДн и категорий КИИ.
Читать статью →Почему руководитель не должен передавать свою ЭЦП и как МЧД защитит его
Чем рискует директор, передавая электронную подпись (УКЭП) бухгалтеру или сотруднику: всё подписанное считается подписанным лично им. Как машиночитаемая доверенность (МЧД) позволяет делегировать подписание без передачи ключа и что изменилось с 1 сентября 2024 года.
Читать статью →Минимальные технические меры для выполнения требований РКН и ФСТЭК
Какой минимальный набор технических средств защиты нужен оператору ПДн, чтобы выполнить требования 152-ФЗ и приказа ФСТЭК №21: антивирус, межсетевой экран, защита от НСД, резервное копирование, СКЗИ. Сопоставление групп мер с сертифицированными российскими решениями.
Читать статью →Зачем нужна «бумажная безопасность»: организационные меры, а не только антивирус
Почему для защиты персональных данных недостаёт технических средств (антивирус, резервное копирование), и закон требует организационных мер — политик, приказов, регламентов и журналов. Что в первую очередь проверяет Роскомнадзор, а в государственных системах — ещё ФСТЭК и ФСБ.
Читать статью →Нужно ли ИП и компании регистрироваться оператором персональных данных
Когда индивидуальный предприниматель или организация обязаны подать уведомление в Роскомнадзор и встать в реестр операторов ПДн, какие остались исключения (ст. 22 152-ФЗ), какая ответственность по ст. 13.11 КоАП и что делать в зависимости от видов обработки.
Читать статью →Уровни защищённости персональных данных (УЗ-1 — УЗ-4) по ПП-1119: таблица и как определить
Как определить уровень защищённости персональных данных по постановлению Правительства РФ от 01.11.2012 № 1119: категории данных, тип актуальных угроз, порог в 100 тысяч субъектов и данные сотрудников. Полная таблица УЗ-1 — УЗ-4, требования к каждому уровню, связь с приказами ФСТЭК № 21 и ФСБ № 378, акт определения уровня и частые ошибки.
Читать статью →БДУ ФСТЭК: что это за банк данных угроз и как им пользоваться
БДУ ФСТЭК (bdu.fstec.ru) — банк данных угроз: перечень угроз УБИ, база уязвимостей и способы реализации угроз. Как в нём искать и как применять его в модели угроз.
Читать статью →Режим коммерческой тайны по 98-ФЗ: пошаговое введение
Как ввести режим коммерческой тайны по 98-ФЗ: меры статьи 10, перечень сведений, учёт допущенных лиц и документы. Без режима убытки за разглашение взыскать нельзя.
Читать статью →Согласие на обработку персональных данных: когда оно обязательно и как оформить
Исчерпывающий разбор согласий на обработку персональных данных: когда достаточно закона или договора, а когда согласие обязательно; обычное, письменное, рекламное и отдельное согласие на распространение; специальные категории, биометрия и автоматизированные решения; можно ли объединить несколько целей в одной форме, как доказать электронное согласие и что происходит после отзыва.
Читать статью →Поручение на обработку персональных данных: что должно быть в договоре
Когда нужно поручение на обработку ПДн (ст. 6 ч. 3 152-ФЗ), какие условия включить в договор с обработчиком и как вести их учёт.
Читать статью →МЧД и минимизация УКЭП руководителя: как делегировать подписание сотрудникам
Что такое машиночитаемая доверенность (МЧД), что изменилось в законодательстве об электронной подписи и как снизить использование УКЭП руководителя за счёт делегирования полномочий сотрудникам.
Читать статью →Категорирование объектов КИИ в 2026 году: порядок, комиссия, акт и сроки по новой редакции ПП-127
Как субъекту КИИ провести категорирование по 187-ФЗ и Правилам, утверждённым постановлением Правительства РФ от 08.02.2018 № 127, в редакции от 07.11.2025 № 1762: отбор объектов по перечню типовых отраслевых объектов, состав комиссии, исходные данные, расчёт показателей по наихудшему сценарию, что теперь должно быть в акте категорирования, сведения во ФСТЭК в течение 10 рабочих дней, проверка, пересмотр и документы.
Читать статью →Класс СКЗИ для защиты персональных данных: как определить КС1, КС2, КС3, КВ или КА по приказу ФСБ № 378
Как оператору персональных данных определить класс средства криптографической защиты: нижняя граница по уровню защищённости и типу угроз, выбор между КС1, КС2 и КС3 по возможностям нарушителя, документ «совокупность предположений», где класс указан в сертификате и какие ошибки обходятся дороже всего.
Читать статью →Методика оценки угроз ФСТЭК 2021: что в ней и как по ней строится модель угроз
Разбор Методики оценки угроз безопасности информации, утверждённой ФСТЭК России 05.02.2021: для каких систем она обязательна, что заменила, три этапа оценки, нарушители Н1–Н4, способы и интерфейсы, тактики Т1–Т10, сценарии, структура модели угроз, облако и подрядчики, когда модель пересматривать.
Читать статью →Проверка Роскомнадзора по персональным данным: как подготовиться оператору
Как в 2026 году проходит контроль Роскомнадзора за обработкой персональных данных: наблюдение без взаимодействия, профилактический визит, инспекционный визит, документарная и выездная проверки; риск-ориентированный подход, проверочный лист № 253, документы и фактические доказательства, права оператора, результаты, предписание и досудебное обжалование.
Читать статью →Российские сайты могут бесплатно получить TLS-сертификаты
При отзыве международных сертификатов российские владельцы сайтов — физлица, ИП и организации — могут бесплатно получить отечественный TLS-сертификат (типы DV и OV, алгоритмы RSA и ГОСТ) у Национального удостоверяющего центра Минцифры через Госуслуги.
Подробнее →Новые меры против кибермошенников: что важно бизнесу
В России поэтапно вводят пакеты мер против кибермошенничества: маркировка звонков организаций, запрет информировать клиентов через иностранные мессенджеры, самозапрет на договоры и международные звонки, обмен данными о мошеннических номерах между банками, операторами и госорганами.
Подробнее →Проект ФСТЭК: изменения приказов №235 и №239 по КИИ (общественное обсуждение)
ФСТЭК вынесла на обсуждение поправки к приказам №235 и №239: периодический расчёт показателей защищённости и зрелости с уведомлением руководителя и ФСТЭК, дополнительные меры защиты при ограничениях используемых средств. Касается субъектов КИИ.
Подробнее →С 1 марта 2026 года действует приказ ФСТЭК №117: новый подход к защите ГИС
Приказ ФСТЭК России №117 заменил приказ №17 и сменил подход к защите государственных и муниципальных информационных систем: вместо разовой аттестации — числовой показатель защищённости (КЗИ) и непрерывный контроль. Ранее выданные аттестаты действуют при неизменности конфигурации.
Подробнее →Новый подход ФСТЭК к оценке защищённости: показатель КЗИ (методика 2025)
ФСТЭК России утвердила методический документ (11 ноября 2025 г.) с порядком расчёта числового показателя состояния технической защиты информации — КЗИ. Это часть смены подхода: от разовой аттестации к периодической количественной самооценке защищённости.
Подробнее →С 01.09.2025 — согласие на обработку ПДн отдельным документом
Согласие должно оформляться отдельным документом с конкретными целями и сроками обработки; запрещено «зашивать» его в другие документы и формулировать цели расплывчато.
Подробнее →С 01.07.2025 — локализация первичного сбора ПДн граждан РФ
Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ при первичном сборе должны выполняться с использованием баз данных, размещённых на территории РФ.
Подробнее →Реформа ответственности за персональные данные 2025: смена акцентов
В 2025 году обновлён подход к ответственности операторов: появились отдельные составы за утечки и оборотные санкции за повторные нарушения. Главный смысл — сместить акцент с формальных документов на реальную защиту данных, и выстроить процессы заранее выгоднее, чем устранять последствия.
Подробнее →Реестр операторов персональных данных: кто обязан уведомить Роскомнадзор
После реформы 2022 года уведомлять Роскомнадзор и состоять в реестре операторов обязаны почти все, кто обрабатывает персональные данные, включая ИП и работодателей. Уведомление бесплатно и подаётся до начала обработки.
Подробнее →Курс на отечественные средства защиты информации
Для органов и организаций из сферы Указа Президента №250, включая субъектов КИИ, с 1 января 2025 года средства защиты информации из недружественных государств не применяются. Это закрепляет курс на отечественные сертифицированные решения и меняет подход к выбору и закупке СЗИ.
Подробнее →Подписаться: RSS-лента обновлений. Смотрите также Новости законодательства и библиотеку НПА.