Документы по информационной безопасности для оператора связи в Сургуте

Оператор связи в Сургуте одновременно находится в двух зонах пристального внимания: он обрабатывает персональные данные абонентов и, как правило, является субъектом критической информационной инфраструктуры. При этом документы по ИБ во многих компаниях не обновлялись годами: политика обработки ПДн лежит на сайте «для галочки», приказ об ответственном не подписан, а про категорирование КИИ вспоминают только после запроса ФСТЭК или РКН.

Ниже разберём, какие организационно-распорядительные документы обязательны именно для оператора связи, что можно отнести к рекомендациям, кто вправе их проверять и как получить комплект без лишних затрат и без иллюзии «у нас всё под ключ» там, где закон требует лицензиата ФСТЭК.

Какие документы по ИБ обязательны: оператор связи

Состав обязательных документов зависит от того, какие системы и данные вы обрабатываете. Ключевые контуры: персональные данные абонентов (152-ФЗ) и критическая информационная инфраструктура (187-ФЗ). Тайна связи регулируется отдельным законодательством о связи, но в контексте этой статьи её правовой режим частично пересекается с ПДн и конфиденциальностью.

Обратите внимание: техническая часть по ИСПДн — акт определения уровня защищённости, модель угроз, система защиты, инструкции администратора, оценка эффективности — это работы по технической защите информации. По закону они выполняются с привлечением лицензиата ФСТЭК или методически сопровождаются. Для оператора связи, который является субъектом КИИ, любые работы по ИБ для значимых объектов также выполняются только лицом с лицензией ТЗКИ.

Состав комплекта для вашей организации

Ниже — практический набор, который закрывает обязательные требования и снижает риски при проверках и инцидентах.

Кто проверяет и что смотрят

Контроль ведут несколько органов, и у каждого свой фокус.

• Роскомнадзор — соблюдение 152-ФЗ: политика на сайте, локальные акты, ответственный, согласия, уведомление, ответы на запросы субъектов, уничтожение ПДн. Может запросить документы по ч. 4 ст. 18.1.
• ФСТЭК России — выполнение требований к значимым объектам КИИ: наличие ОРД, план мероприятий, внутренний контроль, категорирование. Для коммерческих ИСПДн ФСТЭК не проверяет (ч. 8 ст. 19 152-ФЗ).
• ФСБ / НКЦКИ — взаимодействие с ГосСОПКА, план реагирования на инциденты для значимых объектов, своевременность информирования об атаках.

Типовые вопросы и запросы при проверке:

• Где опубликована политика обработки ПДн и соответствует ли она фактическим целям обработки абонентских данных?
• Кто назначен ответственным за организацию обработки ПДн? Есть ли приказ и должностные обязанности?
• Какие меры защиты персональных данных реализованы? Есть ли перечень лиц с доступом, журналы, согласия?
• Проводилось ли категорирование объектов КИИ? Есть ли акт, направленный во ФСТЭК? Если объект значимый, предоставьте утверждённые ОРД.
• Как организовано реагирование на компьютерные инциденты? Кто уведомляет РКН и НКЦКИ в установленные сроки?
• Если вы субъект КИИ — назначен ли заместитель руководителя по ИБ и создано ли подразделение ИБ?

Как мы готовим комплект

Работаем дистанционно по всей России. Документы адаптируем под ваши процессы, а не отдаём пустой шаблон; утверждает их руководитель вашей организации.

Отдельно: если у вас значимый объект КИИ или вы попадаете под Указ № 250, работы по ИБ для КИИ выполняет только партнёр-лицензиат ФСТЭК. Мы помогаем с правовой частью (ПДн, коммерческая тайна) и организационной подготовкой, а технический контур остаётся за лицензиатом.

Особенности, о которых забывают

✓ ПДн абонентов — это не только ФИО и паспорт. Детализация звонков, IP-адреса, история платежей, данные биллинга — всё это персональные данные. Для каждой цели обработки должен быть отдельный локальный акт и согласие, если оно требуется.

✓ Не каждый оператор связи автоматически субъект КИИ, но проверить обязан. Сфера «связь» есть в перечне сфер (ст. 2 187-ФЗ). Типовые объекты перечислены в распоряжении № 360-р, отраслевые особенности категорирования — в постановлении № 402. Если системы соответствуют, вы субъект КИИ, и даже без значимых объектов должны исполнить Указ № 250.

✓ Документы не согласуются с регулятором. Политики, положения, ОРД утверждает руководитель организации. В РКН подаётся уведомление, во ФСТЭК — сведения о категорировании. Только модель угроз для ГИС согласуется с ФСТЭК/ФСБ, но это не ваш случай, если вы коммерческий оператор связи.

✓ Техническая часть — только лицензиат или методическое сопровождение. Акт определения уровня защищённости, модель угроз ИСПДн, инструкции по СЗИ, оценка эффективности — это техническая защита информации. МелданаСБ готовит шаблон и даёт консультации, но сам документ разрабатывает и утверждает ваш специалист, либо вы привлекаете лицензиата ФСТЭК.

✓ Режим коммерческой тайны защищает абонентскую базу от утечек через персонал. Без утверждённого перечня сведений, расписок и грифа вы не сможете в суде доказать, что информация была охраняемой, и не сможете уволить виновного по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ.

Разбор на примере: региональный провайдер

Как строилась работа:

• Заполнили опросный лист, выяснили, что обрабатываются ПДн абонентов (договоры, биллинг, детализация) и есть собственная система мониторинга сети, подпадающая под типовой объект КИИ.
• Провели первичную оценку: система соответствует показателю 4а (12 тыс. абонентов — III категория значимости), значит, объект значимый и требует ОРД по приказам ФСТЭК 235 и 239.
• Правовой пакет по ПДн (политика, положения, приказы, согласия, уведомление) подготовили мы. Параллельно партнёр-лицензиат разработал техническую часть — модель угроз и регламенты для значимого объекта.
• Объединили правовой и технический контуры, утвердили у руководителя, ознакомили сотрудников по спискам.
• Оформили сведения для ФСТЭК по категорированию и реестру, назначили заместителя директора по ИБ.

Что будет без документов

Ответственность по закону не за «отсутствие папки», а за конкретные нарушения.

• Неопубликованная политика обработки ПДн — штраф на юрлицо 30–60 тыс. ₽ (ч. 3 ст. 13.11 КоАП РФ).
• Обработка ПДн с нарушением закона (например, без локальных актов, определяющих цели и порядок) — 150–300 тыс. ₽ (ч. 1 ст. 13.11 КоАП РФ).
• Утечка персональных данных — для юрлиц от 3 до 20 млн ₽, при повторной утечке — оборотный штраф от 1% до 3% выручки, минимум 20–25 млн ₽ (ч. 12–18 ст. 13.11 КоАП РФ).
• Нарушение требований к безопасности значимого объекта КИИ — 50–100 тыс. ₽ (ч. 1 ст. 13.12.1 КоАП). Нарушение порядка информирования об инцидентах на значимом объекте — 100–500 тыс. ₽ (ч. 2 ст. 13.12.1).
• Без режима коммерческой тайны вы не сможете уволить сотрудника за разглашение по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ и не взыщете убытки. Понадобится доказать, что сведения были охраняемой тайной — а без перечня и грифа это почти невозможно.

Чем поможем и сколько это стоит

Готовим «под ключ» правовой и организационный пакет:

• Политика обработки ПДн для сайта и внутренняя, положение об обработке ПДн абонентов и работников;
• Приказ об ответственном за организацию обработки ПДн, формы согласий отдельными документами;
• Поручения на обработку (биллинг, колл-центр), регламент ответов субъектам, порядок уничтожения;
• Общая политика ИБ и правила использования ИТ для коммерческой компании;
• Режим коммерческой тайны (положение, перечень, приказ, обязательства, гриф, журналы) — опционально, со скидкой в составе комплекта;
• Регламент удалённого доступа и NDA для подрядчиков.

Цена ниже среднерыночной потому, что мы работаем дистанционно, используем отработанные типовые решения и не закладываем расходы на выезды и офисные встречи. При этом документы готовит специалист, а не конструктор: каждая политика и положение адаптируются под ваши процессы.

Частые вопросы

Если вы только начинаете наводить порядок в документах, начните с комплекта по информационной безопасности и отдельно запросите документы по персональным данным. Если нужен только шаблон для технической части — посмотрите методическое сопровождение модели угроз. И помните: документы утверждает руководитель, а не регулятор, и их ценность не в толщине, а в соответствии вашим реальным процессам.