Документы по информационной безопасности для промышленного предприятия в Нурсултан

Ситуация знакомая: завод соединил АСУ ТП цеха с корпоративной сетью, чтобы управлять станками и собирать телеметрию. Служба безопасности требует регламенты доступа и политику ИБ. Юрист спрашивает, есть ли приказ об ответственном за ПДн. Руководитель хочет понять, какие бумаги обязательны, а какие — «для галочки», и во сколько это обойдётся.

В этой статье разберём, какие документы по информационной безопасности нужны именно промышленному предприятию в Нурсултан: что прямо предписывает закон, что рекомендуется практикой, кто утверждает комплект и кто может его проверить. Отдельно покажем, как подготовить документы без лишних затрат и где нужен лицензиат ФСТЭК.

Какие документы по ИБ обязательны: промышленное предприятие

Набор документов зависит от трёх факторов: обрабатывает ли предприятие персональные данные, вводит ли режим коммерческой тайны и является ли субъектом критической информационной инфраструктуры (КИИ). Последнее особенно важно для заводов, потому что металлургия, химия, горнодобыча, ОПК и ракетно-космическая отрасль прямо включены в перечень сфер 187-ФЗ.

Ниже — честная таблица: где норма, а где рекомендация.

Если предприятие не входит в сферы КИИ и не обрабатывает ПДн, прямых законных требований к «политике ИБ» нет. Но на практике без неё сложно выстроить хотя бы базовую защиту, а при инциденте — объяснить проверяющим, что меры принимались.

Состав комплекта для вашей организации

Мы готовим правовой и организационный пакет, который закрывает персональные данные, коммерческую тайну и базовую дисциплину ИБ. Техническую часть по ИСПДн и АСУ ТП — только методически или через партнёра-лицензиата.

Для предприятий с ИСПДн техническая часть (акт определения уровня защищённости, модель угроз, инструкции по средствам защиты) разрабатывается специалистом заказчика или партнёром-лицензиатом. Мы можем предоставить шаблон и методические указания, проверить документ.

Кто проверяет и что смотрят

Для промышленных предприятий основные контролёры:

• Роскомнадзор — по персональным данным. Может запросить политику, локальные акты по целям, приказ об ответственном, документы об ознакомлении работников (ч. 4 ст. 18.1 152-ФЗ).
• ФСТЭК — по значимым объектам КИИ: проверяет наличие ОРД, планов, актов внутреннего контроля, исполнение приказов 235 и 239. Для не-КИИ коммерческого завода ФСТЭК не контролирует документы по ПДн.
• ФСБ (НКЦКИ) — по взаимодействию с ГосСОПКА для владельцев значимых объектов: план реагирования на инциденты, регламент информирования (приказ ФСБ № 547).
• Отраслевые регуляторы (Минпромторг, Минэнерго и др.) — могут проверять достоверность сведений о категорировании и исполнение отраслевых особенностей.

Типовые запросы при проверке документов по ПДн:

• «Покажите политику обработки ПДн и подтверждение её публикации на сайте».
• «Кто назначен ответственным за организацию обработки ПДн? Приказ и должностные обязанности».
• «Какие локальные акты определяют цели, категории ПДн, сроки хранения и порядок уничтожения?»
• «Есть ли листы ознакомления работников с политикой и локальными актами?».
• «Как оформлены поручения на обработку ПДн третьим лицам (подрядчики, облачные сервисы)?».

Как мы готовим комплект

Работаем дистанционно. Сначала заполняете опросный лист о деятельности, целях обработки ПДн, используемых системах, сотрудниках и контрагентах. При необходимости созваниваемся и уточняем детали. Затем специалист готовит проекты документов под ваши процессы, а не отдаёт пустой шаблон.

Если нужна техническая часть по ИСПДн (модель угроз, акт уровня защищённости, инструкции по СЗИ) или работы по значимому объекту КИИ, мы привлекаем партнёра-лицензиата ФСТЭК. В этом случае документы технического контура готовит и утверждает специалист заказчика или партнёр, а мы оказываем методическое сопровождение.

Особенности, о которых забывают

• ✓ Граница офис–цех. АСУ ТП и корпоративная сеть должны быть сегментированы. Если это не зафиксировано регламентом, ИТ-служба и АСУ-инженеры будут решать доступ «на глазок», а при инциденте виноватых не найти.
• ✓ Подрядчики АСУ ТП. Сервисные организации, которые обслуживают станки и контроллеры, получают доступ к технологической сети. Им нужно подписывать NDA, поручения на обработку ПДн (если они видят данные), и определять порядок удалённого подключения.
• ✓ КИИ-статус. Если предприятие относится к металлургии, химии, горнодобыче, ОПК или ракетно-космической отрасли, скорее всего, оно субъект КИИ. Тогда необходимо категорирование объектов и, при присвоении категории значимости, выполнение требований ФСТЭК. Проверьте, нужно ли вам категорирование.
• ✓ Документы для увольнения. Режим коммерческой тайны без перечня сведений, расписок и грифа не работает. Если инженер уйдёт с чертежами, доказать разглашение и уволить по пп. «в» п. 6 ст. 81 ТК РФ будет почти невозможно.
• ✓ Уведомление РКН. С 01.09.2022 исключение для «ПДн работников» отменено. Подать уведомление нужно до начала обработки, а в нём описать меры защиты — то есть сослаться на ваши же документы.

Разбор на примере: машиностроительный завод

Что будет без документов

Прямого штрафа «за отсутствие комплекта ОРД» нет. Ответственность привязана к конкретным нарушениям.

• Неопубликованная политика ПДн — ч. 3 ст. 13.11 КоАП: юрлица 30 000–60 000 ₽.
• Обработка ПДн с нарушением закона (например, без правового основания или несовместимо с целями) — ч. 1 ст. 13.11: юрлица 150 000–300 000 ₽. Если локальных актов нет, РКН может квалифицировать по этой части, но судебная практика неоднозначна.
• Обработка ПДн без согласия в письменной форме (когда оно обязательно) — ч. 2 ст. 13.11: юрлица 300 000–700 000 ₽.
• Неподача или несвоевременная подача уведомления в РКН — ч. 10 ст. 13.11: юрлица 100 000–300 000 ₽.
• Несообщение об инциденте с ПДн (утечке) — ч. 11 ст. 13.11: юрлица 1 000 000–3 000 000 ₽.
• Разглашение коммерческой тайны лицом, получившим доступ по службе — ст. 13.14 КоАП: юрлица 100 000–200 000 ₽. Возможна и уголовная ответственность по ст. 183 УК (штраф до 1 млн ₽).
• Нарушение требований к безопасности значимого объекта КИИ — ч. 1 ст. 13.12.1 КоАП: юрлица 50 000–100 000 ₽; за непорядок информирования об инцидентах — до 500 000 ₽.

Кроме штрафов, есть риски в суде и кадрах. Если режим коммерческой тайны не оформлен (нет перечня, расписок, грифа), суд не признает сведения охраняемой тайной — нельзя будет взыскать убытки или уволить работника по пп. «в» п. 6 ст. 81 ТК РФ. В случае утечки ПДн отсутствие документов о принятых мерах станет отягчающим обстоятельством.

Чем поможем и сколько это стоит

Мы готовим правовой и организационный пакет:

• Политика обработки ПДн (для сайта и внутренняя) + положение о ПДн работников
• Приказ об ответственном за организацию обработки ПДн
• Формы согласий отдельными документами (по ст. 9 152-ФЗ)
• Поручения на обработку ПДн подрядчикам
• Регламент ответов на запросы субъектов и порядок уничтожения ПДн
• Политика ИБ и правила использования ИТ для коммерческой компании
• Режим коммерческой тайны: положение, перечень сведений, приказ, обязательства, гриф, журналы, NDA
• Документы по удалённой работе и регламент удалённого доступа

Почему дешевле: у нас отработанные типовые решения под разные типы производств, дистанционный формат без выезда инженера и документы готовит специалист, а не «конструктор». Вы платите за адаптацию под ваши процессы, а не за название бренда.

Частые вопросы

Чтобы не запутаться в требованиях, начните с документов по персональным данным — это минимум почти для любого предприятия. Затем оцените риски коммерческой тайны и АСУ ТП. Если нужен статус КИИ, пройдите категорирование. Полный список услуг и нормативной базы смотрите в разделе документов по ИБ или свяжитесь с нами.