Сводка готовности
Картина готовности по потокам данных, мерам и процессу реагирования.
Услуга · Персональные данные
Данные, которых вы не видите — риск, которым вы не управляете
Оценка рисков в области приватности для организаций, обрабатывающих персональные и чувствительные данные — где данные появляются, куда текут, где оседают и кто к ним имеет доступ.
Обзор даёт инженерную и процессную картину готовности, но не заменяет индивидуальную юридическую консультацию по обработке персональных данных и уведомлениям.
ХОД_РАБОТЫ
Жизненный цикл обзора
Структурированный обзор, а не пентест.
- 01 Определение объёма
- 02 Обзор потоков данных
- 03 Оценка разрывов в контролях
- 04 Сводка рисков
- 05 Приоритизированные действия
Когда нужна
Когда компания обрабатывает персональные данные, особые категории данных или хочет снизить риски в области приватности.
Объём
Потоки и жизненный цикл данных, организационные и технические меры, готовность к уведомлениям.
Стандарты
NIST CSFCIS ControlsЗакон РА о персональных данных
Характер
Структурированный обзор процессов и артефактов, не пентест.
01 — Данные, которых вы не видите
Почти каждая организация обрабатывает больше данных, чем осознаёт
Данные клиентов и сотрудников живут не только в основной системе, но и в резервных копиях, аналитических выгрузках, тестовых средах с «боевыми» данными, таблицах в общих папках, журналах приложений, у подрядчиков и в облачных сервисах. Каждая копия — поверхность утечки, а вместе они образуют картину, которую внутри компании обычно никто не держит целиком в голове.
Обзор начинается именно с того, чтобы эту картину восстановить: где данные появляются, куда текут, где оседают и кто к ним имеет доступ.
Регуляторное событие
В Армении закон «О защите персональных данных» подкреплён правоприменительной практикой — административными производствами и штрафами, а по ряду сценариев существует обязанность уведомления. Утечка — это не только инцидент безопасности, но и обязательства перед субъектами данных и уполномоченным органом.
02 — Что именно оценивается
Технический и процессный взгляд на обработку
Технический каркас проверки контролей сверяется с NIST CSF и приоритизацией CIS Controls. Раскройте область для деталей.
Какие категории данных обрабатываются (включая специальные категории), где они собираются, хранятся, копируются и удаляются; соблюдается ли минимизация или данные накапливаются «на всякий случай».
03 — Как проходит работа
Структурированный обзор по этапам
01 · Определение объёма
Определяем согласованную область обзора. Любые материалы передаются через согласованный защищённый канал вне сайта.
Фокус обзора
С фокусом на потоки данных обзор восстанавливает, где данные появляются, куда текут и где оседают — включая теневые копии вне основной системы.
Все три фокуса — части одного обзора; акцент зависит от того, где для вашего бизнеса больше риска.
04 — Типичные классы разрывов
Где утечка становится обязательством
По каждому классу — какой сценарий потерь и обязательство перед субъектами и регулятором за ним стоит.
F1 Теневые копии данных. Персональные данные в тестовых средах, выгрузках и общих папках без контроля — самый частый источник утечек, не видимый в основной системе. ВЫС
F2 Избыточный доступ. К данным имеют доступ те, кому это не нужно для работы; один скомпрометированный аккаунт превращается в массовую утечку. ВЫС
F3 Отсутствие минимизации и сроков хранения. Данные, которые давно пора удалить, остаются активом атакующего и обязательством перед субъектами. СРЕД
F4 Незащищённые каналы передачи подрядчикам. Данные уходят из-под контроля организации без соответствующих условий и защиты. СРЕД
F5 Отсутствие процесса на случай инцидента. Когда утечка случается, время тратится на выяснение «что делать», а не на реагирование и уведомление. ВЫС
05 — Что вы получаете
Сводка готовности и приоритеты
Рекомендации учитывают реальные ресурсы организации.
Наблюдения о рисках обработки
Наблюдения о рисках обработки с привязкой к бизнес-последствию.
Приоритизированные действия
Что закрыть в первую очередь — обычно неконтролируемые копии и избыточный доступ.
06 — Результаты и приоритизация
Что закрыть в первую очередь
В первую очередь
Неконтролируемые копии данных и избыточный доступ — самые опасные разрывы.
Процессы
Ответственность, правила, минимизация, сроки хранения, процесс уведомления.
Техническая защита
Обзор дополняется оценкой регуляторной готовности, если задача шире приватности.
07 — Регуляторный контекст и источники
В Армении закон «О защите персональных данных» действует и подкреплён правоприменительной практикой — административными производствами и штрафами, а по ряду сценариев существует обязанность уведомления. Обзор помогает подготовиться заранее, снизив уязвимость и убрав самые опасные разрывы.
Не юридическая консультация
Материалы сайта и результаты обзора не заменяют индивидуальную юридическую консультацию по обработке персональных данных, уведомлениям и обязательствам перед субъектами данных и уполномоченными органами.
Объём работ и защищённый канал
Материалы передаются через согласованный защищённый канал вне сайта. Выводы относятся к согласованному объёму работ и моменту проверки.
08 — Куда дальше
Восстановить картину данных до того, как случится утечка
Обсудим область обзора. Материалы передаются через согласованный защищённый канал вне сайта; обзор не заменяет юридическую консультацию.