Инвентаризация данных
Находим все места, где живут персональные данные: базы, таблицы, почта, облака, подрядчики. Половина этих мест обычно становится открытием для самой компании.
Одна утечка данных — штраф до 500 млн ₽
С 30 мая 2025 года штрафы за персональные данные считают от оборота компании. Обязанности одинаковы для всех, кто хранит контакты клиентов или анкеты сотрудников: отдельной, щадящей статьи для малого бизнеса в законе нет.
Первичный аудит за две недели покажет каждое нарушение и сумму, которую за него выпишут. Дальше мы устраняем найденное сами: готовим документы, подаём уведомление в Роскомнадзор, настраиваем права доступа и переписываем места в коде, где собираются лишние данные.
Первый созвон — 30 минут. Оценка объёма работ бесплатная.
500млн ₽
потолок оборотного штрафа за повторную утечку
24часа
на уведомление Роскомнадзора об инциденте
2недели
первичный аудит от старта до защиты отчёта
За что штрафуют операторов персональных данных
Ставки для юридических лиц по статье 13.11 КоАП в редакции закона 420-ФЗ. Все суммы действуют с 30 мая 2025 года.
| Утечка данных 1 000 – 10 000 человек | 3 – 5 млн ₽ |
| Утечка 10 000 – 100 000 человек | 5 – 10 млн ₽ |
| Утечка более 100 000 человек | 10 – 15 млн ₽ |
| Утечка данных о здоровье, взглядах, судимости | 10 – 15 млн ₽ |
| Утечка биометрии | 15 – 20 млн ₽ |
| Повторная утечка | 1 – 3% выручки, 20 – 500 млн ₽ |
| Роскомнадзор не уведомлён об утечке | 1 – 3 млн ₽ |
| Уведомление об обработке не подано находят чаще всего | 100 – 300 тыс ₽ |
| Обработка с нарушением установленного порядка находят чаще всего | 150 – 300 тыс ₽ |
Шесть вопросов, на которых спотыкаются чаще всего
За каждым пунктом стоит отдельный состав из таблицы выше. Если хотя бы на два вопроса ответ «нет» — проверка найдёт ровно то же самое.
- Уведомление об обработке данных подано в Роскомнадзор и не устарело?
- Согласия клиентов собираются, хранятся и отзываются по регламенту?
- Вы знаете все системы, где лежат персональные данные, и у кого есть доступ?
- С подрядчиками, которые видят ваши данные, подписаны поручения на обработку?
- Есть регламент на случай утечки: кто уведомляет Роскомнадзор в первые сутки?
- Действия сотрудников с данными записываются в журнал?
Первичный аудит персональных данных
Аудит идёт две недели и проходит удалённо. Мы разбираем ваши документы и системы, говорим с сотрудниками, которые работают с данными каждый день. В конце вы получаете перечень нарушений, цену каждого из них и план устранения по срокам.
Документы по 152-ФЗ
Проверяем уведомление в Роскомнадзор, политику обработки, формы согласий, поручения подрядчикам, приказы и журналы. Показываем, чего нет и что оформлено с ошибками.
Технический контур
Проверяем, у кого есть доступ к данным, записываются ли действия сотрудников, зашифрованы ли базы и резервные копии, отделены ли рабочие системы от тестовых. Ровно эти пункты смотрит и Роскомнадзор.
Процессы
Разбираем приём и увольнение сотрудников, работу с подрядчиками, реакцию на инциденты. Проверяем на практике: за сколько дней вы удалите данные по требованию клиента.
Отчёт с планом работ
Каждое нарушение — со ссылкой на статью, суммой штрафа и способом устранения. План разбит на три очереди: что закрыть немедленно, что успеть за месяц, а что заложить в бюджет на следующий год. Отчёт защищаем на созвоне и отвечаем на вопросы вашего юриста.
Найденное устраняем сами
Аудитор оставляет отчёт и уходит. Мы остаёмся: за нами команда разработки MRB Digital, поэтому правим и документы, и сами системы.
Документы под ключ
Готовим пакет по 152-ФЗ и подаём уведомление в Роскомнадзор от вашего имени.
Технические меры
Настраиваем в ваших системах права доступа, запись действий с данными, шифрование и резервное копирование.
Правки в коде
Если сайт собирает лишние данные, а CRM хранит их открытым текстом, наши инженеры переписывают эти места сами.
Сопровождение
Через полгода проверяем повторно, обучаем сотрудников и оставляем готовый регламент на случай утечки.
Четыре шага до отчёта
-
Созвон, 30 минут
Вы рассказываете о бизнесе и системах. Мы называем срок и фиксированную цену — она не изменится по ходу работы.
-
NDA и доступы
Подписываем соглашение о неразглашении, получаем доступы только на чтение и говорим с кадрами, продажами и разработкой.
-
Две недели аудита
Проходим по чек-листам Роскомнадзора и заглядываем в сами системы. О критичных находках сообщаем сразу, не дожидаясь отчёта.
-
Отчёт и решение
Разбираем находки на созвоне. Дальше вы либо устраняете нарушения по плану сами, либо передаёте эту работу нам.
Инженеры, которые сами строят такие системы
MRB Security — направление информационной безопасности компании MRB Digital. В команде двадцать инженеров, аналитиков и продуктовых специалистов, за плечами больше десяти корпоративных проектов: банки, дистрибуция, электронная коммерция, LegalTech.
Мы каждый день разрабатываем системы, в которых хранятся персональные данные, и сдаём их заказчикам под проверки. Поэтому смотрим не только в документы, но и в код — там находится половина нарушений.
- 20инженеров и аналитиков в команде
- 10+корпоративных проектов сдано
- 5лет опыта в разработке под проверки
- mrbdigital.ruосновная компания
Что спрашивают чаще всего
Если вашего вопроса здесь нет — задайте его в форме ниже, ответим письмом.
Мы небольшая компания. Нас это касается?
Касается. Оператором персональных данных считается любая организация, которая обрабатывает данные клиентов или сотрудников. Уведомление в Роскомнадзор обязано подать почти каждое юридическое лицо, а размер штрафа за утечку зависит от числа пострадавших записей, а не от вашей выручки.
У нас уже была утечка. Что делать?
Действовать быстро. Повторный инцидент переводит компанию в категорию оборотных штрафов — от 20 млн ₽. Разберём, как произошла первая утечка, закроем причину и подготовим регламент уведомления, чтобы уложиться в отведённые сутки.
Нужна ли для этого лицензия ФСТЭК?
Для аудита соответствия 152-ФЗ, подготовки документов и доработки ваших систем лицензия не нужна. Если задача потребует лицензируемых работ, привлечём лицензиата и останемся ответственными за результат перед вами.
Сколько стоит аудит?
Цену называем после получасового созвона: она зависит от числа систем и количества сотрудников, работающих с данными. Ориентир простой — аудит обходится в разы дешевле самого маленького штрафа из таблицы выше. Оценка бесплатная.
Что будет с нашими данными во время аудита?
Работаем по NDA, доступы берём только на чтение и по согласованному списку. Материалы аудита храним в закрытом контуре, после защиты отчёта передаём их вам и удаляем у себя. Мы живём по тем же правилам, которые проверяем.
Расскажите, с какими данными работаете
На созвоне за полчаса разберём вашу ситуацию, назовём срок и стоимость аудита. Презентаций про комплексную кибербезопасность не будет.
«Заявки читаю сам. Напишите, чем занимается компания и какими системами пользуетесь, — отвечу, с чего начинать и во сколько это обойдётся».
Юрий Оганисян
генеральный директор MRB Digital