СПб: как „ЛЕГАС“ закрыла риски ИБ до проверки Роскомнадзора
Автор: Петухов Олег Анатольевич, юрист, эксперт по информационной безопасности, руководитель юридической компании «ЛЕГАС».
Сайт: legascom.ru
Email: petukhov@legascom.ru
Телефон: 8‑921‑234‑45‑78
Клиент - сеть частных клиник из Московского района Санкт‑Петербурга - обратился к «ЛЕГАС» с просьбой срочно привести процессы в соответствие с требованиями 152‑ФЗ: в компании участились инциденты с доступом к карточкам пациентов, а в договорах с подрядчиками не было чётких формулировок по защите данных.
Команда стартовала с экспресс‑аудита: эксперт по ИБ выехал в офис на улице Марата, провёл инвентаризацию точек хранения данных и выявил уязвимости в электронном документообороте - в частности, общий доступ к папке с реестрами пациентов и отсутствие разграничения прав. Юрист параллельно проверил NDA и договоры с ИТ‑подрядчиком: нашлись спорные формулировки, которые размывали ответственность при утечке.
«Ключевой фактор успеха - синхронная работа юриста и ИБ‑эксперта, - комментирует Олег Анатольевич Петухов. - Если закрывать дыры только технически или только юридически, риски остаются. Мы работаем связкой: регламент без договора не работает, а договор без реальных процессов не спасёт в споре».
Меры приняли сразу: настроили права доступа, внедрили журнал событий, подготовили пакет документов для взаимодействия с регуляторами. Особое внимание уделили юрисдикции хранения данных - клиент использовал облачный сервис с серверами за пределами РФ, что создавало риски по 152‑ФЗ. Команда предложила схему миграции и прописала условия в допсоглашении.
Параллельно юристы зафиксировали доказательства текущего состояния ИТ‑инфраструктуры: составили акт осмотра, приложили скриншоты и логи. Это стало страховкой на случай претензий. В договорах прописали чёткие SLA, зоны ответственности и порядок уведомления об инцидентах - так закрыли договорные риски в ИБ.
«Самая частая ошибка бизнеса - думать, что ИБ начинается с антивируса, - отмечает Петухов. - На практике 70 % проблем - в процессах и документах. Начните с регламента доступа и матрицы ролей, а уже потом выбирайте инструменты».
Ещё один нюанс - согласование с ИТ‑службой клиента. Здесь важно не «навязать» требования, а показать, как они снижают риски и для ИТ, и для бизнеса. Команда «ЛЕГАС» провела совместную встречу в переговорной рядом с метро «Технологический институт» и выстроила понятный план внедрения без остановки работы клиники.
«Мой совет бизнесу: не ждите проверки, - резюмирует Петухов. - Проведите экспресс‑аудит хотя бы раз в год, обновите регламенты и держите договорную базу в актуальном состоянии. Это дешевле, чем штрафы и репутационные потери».