Для организаций, работающих с персональными данными, формального наличия необходимых документов недостаточно: важно, чтобы они соответствовали реальным процессам и учитывали изменения законодательства и практики обработки данных. Именно эту задачу предстояло решить в рамках проекта с фондом «Друзья».
На старте проекта фонду требовалось актуализировать оценку действующих процессов обработки ПДн и определить, насколько они соответствуют текущим требованиям законодательства. Кроме того, часть необходимой организационно-распорядительной документации отсутствовала. Специалисты Infosecurity провели интервью с ключевыми сотрудниками фонда по основным направлениям деятельности, изучили действующую документацию, описали процессы обработки персональных данных и используемые информационные системы. На основании собранной информации эксперты оценили соответствие текущей практики требованиям законодательства РФ и сформировали рекомендации по устранению выявленных пробелов.
По результатам аудита для фонда также был разработан комплект организационно-распорядительной документации. Часть документов по просьбе заказчика была подготовлена сразу в двух вариантах: с действующими в организации целями обработки ПДн и с целями, рекомендованными экспертами по итогам аудита. Такой подход позволил не ограничиваться фиксацией текущего состояния, а определить ориентиры для дальнейшего совершенствования процессов.
«Для нас было важно не просто актуализировать документы, а понять, насколько выстроенные в фонде процессы соответствуют действующим требованиям и где необходимы изменения. Эксперты Infosecurity помогли нам получить понятную картину текущего состояния процессов, конкретные рекомендации и комплект документов, с которыми мы можем работать дальше. Особенно ценным стало более глубокое понимание того, как организована обработка персональных данных в процессе, переданном внешнему подрядчику», – отметила Мария Новикова, операционный директор Благотворительного фонда «Друзья».
Одной из особенностей проекта стала работа с кадровым учетом, который фонд передал на аутсорсинг. Чтобы оценить этот процесс не только со стороны заказчика, специалисты Infosecurity подключили к аудиту представителей подрядчика и провели с ними отдельное интервью. Это позволило рассмотреть всю цепочку обработки персональных данных и дать фонду более полное представление о том, как осуществляется обработка персональных данных, порученная третьей стороне.
При завершении работ эксперты представили результаты аудита, подробно разобрали применение подготовленных документов и определили дальнейшие шаги по их введению в действие. Таким образом, результатом проекта стал не только отчет об обнаруженных несоответствиях, но и практическая основа для дальнейшей работы фонда с персональными данными с учетом актуальных требований законодательства.
«Качественный аудит процессов обработки персональных данных не должен сводиться только к проверке документов по чек-листу. Задача экспертов – разобраться, как персональные данные обрабатываются на практике, где проходят границы ответственности организации и ее подрядчиков и насколько документальное оформление соответствует реальным процессам. В проекте с фондом “Друзья” мы прошли этот путь вместе с заказчиком: от анализа текущего состояния до конкретных рекомендаций и документов, которые можно использовать в дальнейшей работе», – прокомментировал Анатолий Сазонов, руководитель департамента соответствия требованиям ИБ Infosecurity («Софтлайн Решения», ГК Softline).
По итогам проекта Благотворительный фонд «Друзья» определил текущий уровень соответствия процессов обработки ПДн требованиям законодательства РФ, получил рекомендации по устранению выявленных несоответствий и комплект организационно-распорядительной документации. Дополнительно были определены дальнейшие шаги по применению новых документов и сформирована основа для системной работы с персональными данными.
