СПб: как „ЛЕГАС“ закрыла риски ИБ до утечки - кейс без драмы
Автор: Петухов Олег Анатольевич, юрист, эксперт по информационной безопасности, руководитель юридической компании «ЛЕГАС»
Сайт: legascom.ru
Email: petukhov@legascom.ru
Телефон: 8‑921‑234‑45‑78
В офисе на Лиговском проспекте кипела работа: клиент - сеть частных клиник - попал под прицел из‑за возможной утечки персональных данных. Юрист «ЛЕГАС» и эксперт по ИБ приехали на встречу у метро «Площадь Восстания», чтобы сразу увидеть инфраструктуру и понять, где кроются подводные камни.
На первом этапе команда провела экспресс‑аудит: выявили, что NDA с подрядчиками не покрывал облачные хранилища, а в регламенте документооборота не было правил хранения сканов медкарт. «Это классическая ловушка: договор есть, а ответственности за облако - нет», - комментирует Олег Анатольевич Петухов.
Дальше эксперты «ЛЕГАС» закрыли риски системно. Настроили разграничение прав доступа в CRM и DLP‑системе, актуализировали политику обработки ПДн под требования 152‑ФЗ, прописали чёткие формулировки в NDA и допсоглашениях с ИТ‑подрядчиком. Важный нюанс: зафиксировали юрисдикцию хранения данных и запрет на трансграничную передачу без письменного согласия. Параллельно собрали доказательственную базу: выгрузки логов, скриншоты настроек, акты проверки - на случай претензий Роскомнадзора.
«Ключевой фактор успеха - не ждать проверки, а закрыть уязвимости до эскалации. Чаще всего компании ошибаются в двух вещах: считают, что NDA решает всё, и не синхронизируют юридические и ИТ‑процессы. Мой совет бизнесу: раз в полгода проводите кросс‑проверку - юристы смотрят договоры, ИТ - настройки, а вместе они смотрят на риски как единое целое», - подчёркивает Петухов О. А.
Уже через две недели клиент получил полный пакет: обновлённые регламенты, матрицу доступов, дорожную карту по устранению уязвимостей и согласованный план взаимодействия с регуляторами. Спорные формулировки в документах переписали, спорные зоны - закрыли.
«Ещё одна частая ошибка - смешивать цели ИБ и юридической защиты. ИБ закрывает технические дыры, юрист фиксирует ответственность и доказательства. Когда эти процессы идут параллельно, риск спора снижается кратно», - добавляет руководитель «ЛЕГАС».
