Защита персональных данных и безопасная разработка для разработчика ПО
Разработчик ПО — оператор персональных данных своих работников и контактов, а заказчики из госсектора и КИИ всё чаще требуют безопасную разработку по ГОСТ Р 56939-2024. Разберём, откуда берутся требования и что подготовить.
Знакомые ситуации
- •Госзаказчик вписал в ТЗ ГОСТ Р 56939-2024 — что именно сдавать вместе с программой.
- •ПО ставят на значимый объект КИИ — какие материалы нужны для приёмки в проект.
- •При сопровождении видим данные заказчика — кто за них отвечает.
Что нужно по 152-ФЗ
Уведомление Роскомнадзора
Уведомить надзорный орган об обработке нужно до её начала (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ); если обработка уже идёт, уведомление подают, не откладывая. Исключение осталось за обработкой исключительно без средств автоматизации — то есть за полностью бумажным учётом. Для ИТ-компании это данные работников, соискателей и контактных лиц заказчиков.
Безопасная разработка по договору
Если договор или техническое задание требуют соответствия ГОСТ Р 56939-2024, выполняются все требования стандарта, кроме рекомендаций (пункт 4.14); для НИОКР — процессы, явно перечисленные в ТЗ (пункт 4.15). Для государственных систем требования могут быть включены в ТЗ по решению руководителя (ответственного лица) заказчика (абзац третий пункта 50 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117).
ПО для значимых объектов КИИ
К прикладному ПО, которое внедряют при создании, модернизации, реконструкции или ремонте значимого объекта и которое обеспечивает его функции, пункт 29.3 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239, предъявляет собственные требования: в частности, руководство по безопасной разработке, анализ угроз, статический анализ, фаззинг-тестирование, процедуры отслеживания и исправления уязвимостей. Выполнение оценивают на этапе проектирования по материалам разработчика (пункт 29.4).
Сертификация процессов для средств защиты
Изготовитель средства защиты информации может сертифицировать процессы разработки на соответствие ГОСТ Р 56939-2024 по Порядку, утверждённому приказом ФСТЭК России от 01.12.2023 № 240; сертификат выдаётся на срок до пяти лет.
Данные заказчика при сопровождении
Роль разработчика зависит от того, кто определяет цели обработки. Если при внедрении и сопровождении он обрабатывает персональные данные по поручению заказчика-оператора, нужно поручение с условиями части 3 статьи 6 152-ФЗ; перед субъектом отвечает оператор, а обработчик — перед оператором (часть 5 статьи 6).
С чего начать
Нужен ли ГОСТ Р 56939-2024 →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Частые вопросы
Обязан ли разработчик ПО выполнять ГОСТ Р 56939-2024?
Сам стандарт добровольный. Обязательным он становится, если его требует договор или техническое задание заказчика. Для ПО значимых объектов КИИ обязательны собственные требования пункта 29.3 приказа ФСТЭК России № 239, а не весь стандарт; на практике их подтверждают процессами стандарта.
Нужно ли разработчику ПО уведомлять Роскомнадзор?
Да, если он оператор персональных данных — например, своих работников с использованием средств автоматизации. Уведомление подаётся до начала обработки (часть 1 статьи 22 152-ФЗ); исключения части 2 статьи 22 узкие.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.