Перед подключением к ГИС «Профилактика» и после него учреждения редко задают себе главный вопрос ИБ: «А готовы ли наши средства защиты информации к тому, что в системе будут копиться персональные данные несовершеннолетних на годы вперёд?». Сведения хранятся в системе не менее 5 лет (п. 25 Положения № 411), работать система должна круглосуточно (п. 38), а данные — чувствительные. Ниже — практический чек-лист аудита готовности СЗИ: что проверять, на какие нормы ссылаться и что делать, если пункт проверки «провален».
Чек-лист аудита: 6 пунктов
| Пункт проверки | Норма | Если не выполнено |
|---|---|---|
| УКЭП всех сотрудников, работающих в системе, действительна | п. 22 ПП-411 | перевыпуск в УЦ, перерегистрация средств доступа (5 раб. дней, п. 46) |
| Средства доступа зарегистрированы, круг пользователей актуален | пп. 46, 50–51 ПП-411 | уведомление оператору об увольнениях — 3 раб. дня (п. 51) |
| СКЗИ на рабочих местах лицензированы и работают | требования к УКЭП; рынок — приказ ФСТЭК № 21 | продление лицензий, переустановка, проверка подписи |
| Состав мер защиты персональных данных оценен (уровень защищённости) | 152-ФЗ; приказ ФСТЭК России № 21 | актуализация модели угроз и документов по 152-ФЗ |
| Внутренний порядок внесения сведений соблюдается (сроки 5 раб. дней) | п. 13 ПП-411 | регламент передачи сведений ответственному, еженедельная сверка |
| Известен порядок действий при блокировке доступа | пп. 52–54 ПП-411 | контакт оператора, план устранения причин, резервное время |
Почему это проверять надо до проверки
Сводный отчёт оператора о полноте размещаемой информации (п. 60 Положения) показывает пробелы каждого поставщика на федеральном уровне, а прокуратура системно проверяет учреждения системы профилактики: только в Курской области по итогам одной проверки внесено 123 представления. В этой логике аудит СЗИ — не формальность, а способ не дать проверке зацепиться. Второй мотив — финансовый: утечка персональных данных карается по ст. 13.11 КоАП штрафами до 15 млн ₽, при повторном нарушении — оборотными штрафами от 20 млн ₽. Третий — операционный: блокировка доступа (пп. 52–54) парализует и внесение сведений, и выгрузку отчётов.
Мини-методика: как провести за один день
- Соберите реестр: кто из сотрудников имеет доступ, чьи УКЭП зарегистрированы, когда истекают сертификаты и лицензии СКЗИ.
- Сверьте с кадровыми данными: все ли «доступные» учётные записи принадлежат действующим работникам (уведомления при увольнении — 3 раб. дня, п. 51).
- Проверьте сроки внесения: выборка последних документов — уложились ли в 5 рабочих дней (как считается срок — здесь).
- Оцените документы по 152-ФЗ: актуальны ли приказы, модель угроз, политика обработки ПДн; рынок предлагает типовые комплекты (в том числе «8 документов по 152-ФЗ» и сопровождение по 2-му уровню защищённости — что такое УЗ-2 простыми словами).
- Зафиксируйте план устранения с датами и ответственными — этот документ и есть ваш «щит» при проверке.
Смежные материалы: установка КриптоПро для УКЭП, аудит документов для подключения, аттестация ИСПДн: руководство. Базовые термины — в словаре, системный контекст — в руководстве 2026 и материале о входе в личный кабинет.
Частые вопросы
Что проверяет аудит готовности СЗИ к ГИС «Профилактика»?
Действительность УКЭП сотрудников (п. 22 ПП-411), актуальность средств доступа (пп. 46, 50–51), лицензии и работу СКЗИ, состав мер защиты ПДн по приказу ФСТЭК № 21, соблюдение сроков внесения сведений и готовность к блокировкам (пп. 52–54).
Нужно ли аттестовать рабочие места для работы в системе?
Состав мер защиты персональных данных определяется по 152-ФЗ и приказу ФСТЭК России № 21; на рынке для участников системы распространено сопровождение по 2-му уровню защищённости (УЗ-2). Конкретный объём зависит от организации и её информационных систем.
Чем грозит работа с просроченной УКЭП?
Внесение сведений невозможно — размещение требует действующей УКЭП (п. 22). Накопившиеся документы всё равно должны попасть в систему за 5 рабочих дней со дня получения (п. 13), поэтому простой с подписью превращается в долг по внесению.
Как часто проводить такой аудит?
Минимум ежеквартально: за квартал успевают истечь отдельные сертификаты, смениться сотрудники и накопиться просрочки внесения. Плюс внепланово — после кадровых изменений и обновлений нормативки (правила правились уже посреди эксплуатации — ПП-1908 от 27.11.2025).
Какие штрафы мотивируют заняться СЗИ всерьёз?
За утечку персональных данных — ст. 13.11 КоАП: до 15 млн ₽, при повторном нарушении оборотные штрафы от 20 млн ₽. Плюс неполнота данных в системе видна оператору (п. 60) и используется при прокурорских проверках.
Не успеваете следить за регламентами — сделаем за вас
Аудит готовности, сопровождение и обучение сотрудников можно согласовать отдельно. Состав и стоимость каждого вида работ фиксируются в КП и договоре.
Получить консультацию →