В течение месяца приедет налоговый инспектор — что нужно подготовить для аудита кибербезопасности?

Gamze U***10 месяцев назад·77 сообщений·479,6 тыс. просмотровЗакрыто#аудит #комплаенс #подготовка

Gamze U***Участник

Должность: Технический директор
Отрасль: Типография
Тип организации: команда из 8 человек
Дата регистрации: февр. 2024 г.
Сообщение: 270

10 месяцев назад#1

В конце месяца приедет налоговый инспектор. Будет проверять информационные системы (системы, записи). Проведут аудит на соответствие KVKK. Что мне подготовить? Какие вопросы могут задать?

Данные клиентов, данные сотрудников, конфиденциальные данные... будут проверять сроки хранения резервное копирование шифрование. Хватит ли текущей структуры?

Что будет, если во время аудита найдут уязвимость? Штраф? Сколько дней дают на устранение?

PerihanУчастник

Должность: Корпоративные коммуникации
Тип организации: региональный дилер
Дата регистрации: дек. 2023 г.
Сообщение: 118

10 месяцев назадСамый полезный#2

Предмет проверки налоговой инспекции (аудит): соответствие KVKK (ст. 32 — меры безопасности), журналы обработки данных (реестр контроллеров данных), процедура уведомления об утечке данных, обучение персонала, план реагирования на инциденты. Чек-лист подготовки: 1) Проверить, есть ли регистрация в Реестре контроллеров данных (VSS), 2) Инвентарь обработки данных (какие данные, с какой целью, сколько лет хранятся), 3) Документация по политике безопасности (информирование пользователей, политика конфиденциальности, план реагирования на инциденты), 4) IT-контроли (логи доступа, правила файрвола, 2FA), 5) Журналы обучения персонала (обучение по KVKK, когда проводилось), 6) История утечек данных (если были, как обрабатывались), 7) Процедура резервного копирования и тесты (восстановление данных проводилось?). Вопросы, которые может задать инспектор: «Кто имеет доступ к данным клиентов», «Как блокируется доступ при увольнении сотрудника», «При утечке данных кто и куда сообщает». Выявление уязвимостей: если есть нарушения, дается письменная рекомендация по устранению в течение 30 дней (риск административного штрафа $500-5000). Штрафы: ст. 18 KVKK (возможно 5-50 млн TL, но обычно предупреждение + рекомендации). Периодичность: повторная проверка может быть проведена в течение 5 лет.

Yusuf Y***Участник

Должность: Специалист по социальным сетям
Отрасль: Недвижимость
Тип организации: компания в составе холдинга
Дата регистрации: сент. 2024 г.
Сообщение: 79

10 месяцев назад#3

подготовь политики инвентарь данных покажи что зарегистрирован в реестре. покажи защиту в базе данных клиентов. короче собери логи подготовь отчет о тесте бэкапа. если найдут уязвимость, 30 дней на исправление, штраф обычно небольшой...

Tolga K***Участник

Должность: ИТ-директор
Отрасль: Э-коммерция
Тип организации: компания в составе холдинга
Дата регистрации: июль 2024 г.
Сообщение: 76

10 месяцев назад#4

Чек-лист подготовки к аудиту: 1) Документация по KVKK (политики, матрица хранения, реестр обработки данных), 2) Проверка технических средств контроля (выборка логов доступа за 90 дней, экспорт правил firewall, статус шифрования — TLS-сертификаты валидны, процент пользователей с 2FA), 3) Реагирование на инциденты (отчет о тестировании, если проводилось), 4) Журналы обучения сотрудников (даты обучения по KVKK, посещаемость), 5) История утечек данных (если есть — отчеты об инцидентах, таймлайн реагирования), 6) Договоры с субпроцессорами (при наличии аутсорсинга: почта, облачное хранилище), 7) Соответствие требованиям третьих сторон (отчеты по аудиту поставщиков). Доказательства аудиторского следа: экспорт логов доступа (выборка за последние 7–30 дней), правила firewall, записи о сверке учетных записей пользователей, записи об увольнении сотрудников.

Aycan C***Участник

Должность: Разработчик ПО
Отрасль: стекло
Тип организации: Компания на 120 человек
Дата регистрации: нояб. 2025 г.
Сообщение: 122

10 месяцев назад#5

готовься к аудиту бро. подготовь политики, реестр данных регистрацию в реестре. логи доступа отчеты о тестировании бэкапов записи об обучении сотрудников. инспекторы обычно вежливые штрафы за несоответствие небольшие, но если найдут уязвимость — вынесут предписание с 30 днями на устранение...

İlker C***УчастникУчастник сообщества

Дата регистрации: май 2023 г.
Сообщение: 29

10 месяцев назад#6

Подготовка к аудиту: проверка документации (контроль полноты), верификация технических средств контроля (выборка логов применение политик), интервью с заинтересованными сторонами (ИТ-персонал, HR, понимание руководством), отслеживание корректирующих мер (статус замечаний предыдущего аудита). Классификация аудиторских замечаний: Наблюдение (незначительное, информационное), Замечание (пробел в контроле SLA на устранение 30 дней) Несоблюдение (серьезное нарушение требуется немедленное действие, риск штрафа). Стратегия ответа: подготовка плана устранения в течение 30-дневного окна отслеживание внедрения (с доказательствами), информирование аудитора о завершении, запрос подтверждения.