Достаточно ли буквального применения текста закона о защите персональных данных для соответствия?

Если пишете политику на бумаге, а сканы паспортов на сервере держите в нешифрованной папке, штраф неизбежен. Шифрование на уровне колонок в базе данных, контроль доступа на файловых серверах и механизм логов, фиксирующий действия системных администраторов — это технический минимум.

Первым делом создайте шаблон реестра данных. Какой отдел какие данные собирает, где хранит, с кем делится и через сколько месяцев удаляет? Когда инспектор придёт в компанию, он захочет увидеть не вашу политику, а именно эту таблицу реестра.

В нашем внутреннем аудите, завершённом в прошлом месяце, первым поймали нарушение — отдел кадров делился фотографиями виз и удостоверений через группы WhatsApp. Сколько бы форм согласия вы ни подписывали, если на объектах данные передаются небезопасно, это считается нарушением законодательства.

Внимательно изучите приложения к регламенту, опубликованному SDAIA, и правила трансграничной передачи данных. Если серверы облачных HR-систем, которые вы используете в компании, находятся за пределами страны, это отдельный юридический процесс, требующий специального разрешения и оценки рисков.

edit: писал с телефона, извините за опечатки.

собрать форму согласия — это самое лёгкое. а вот когда завтра придёт уволенный подрядчик и скажет "удалите мои данные" вам нужно определить, из какой системы, что и как вы технически будете удалять — вот это главное.

Три критических операционных требования, которые проверяют при аудитах: 1) Назначение в компании ответственного за защиту данных или уполномоченного лица, 2) Периодическое обучение всего персонала по осведомлённости о безопасности данных, 3) Обязательства обработчика по безопасности в договорах с подрядными компаниями.

Прочитать PDF с законодательством и перенести его в Excel — это как прочитать учебник по хирургии и оперировать пациента. Без профессионального консультанта вы не сможете сопоставить юридические термины с техническими реалиями ИТ-инфраструктуры не обманывайте себя зря.

Вы делитесь данными удостоверений и сертификатов сотен подрядчиков на объектах напрямую с нефтяными предприятиями, выступающими в роли основного работодателя? Если да, есть ли между вами подписанный договор о совместных контролёрах данных?

В этом пункте я с вами не согласен. Когда пытаешься изменить всё сразу, ничего не приживается.

Оставлю как заметку, пригодится.

я столкнулся с тем же два года назад. если не зафиксировать это письменно с самого начала, потом возникнут споры.

конечно если ваша ситуация отличется всё меняется.

Полностью согласен. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы. Конечно, если ваша ситуация отличается, всё меняется.

Я тоже об этом думал. То, что делают все не значит что это правильно.

Если включена двухфакторная аутентификация украденный пароль бесполезен.

Согласен.

После того случая мой взгляд на вещи изменился. Чем сложнее отменить решение, тем медленнее его принимайте.

Краткое резюме для новичков: Автоматический отчет о сканировании и пентест — это не одно и то же.

Надеюсь, это будет полезно.

При выполнении этого часто совершают одну ошибку. Все кто торопится с закон о защите персональных данных спотыкаются на одном и том же.

Сведу тему в кучу, так как ответов было несколько разных. Все, кто торопится с закон о защите персональных данных, спотыкаются на одном и том же.

Оставлю как заметку, пригодится.

После того случая мой взгляд на вещи изменился. Пытаться сделать это в одиночку — самый дорогой путь.

Конечно, если ваша ситуация отличается, всё меняется.