Документы по информационной безопасности для ИТ-компании и SaaS в Серпухове

Руководитель ИТ-компании или SaaS-сервиса сталкивается с ситуацией: крупный заказчик перед подписанием договора запрашивает пакет документов по информационной безопасности — политику ИБ, регламенты доступа, порядок реагирования на инциденты, а также документы по защите персональных данных. Без этого пакета контракт могут перенести или вовсе не согласовать. Складывается ощущение, что требования непрозрачны, а сроки поджимают.

Разберём, какие документы по ИБ действительно обязательны для ИТ-компании и разработчика SaaS в Серпухове, а какие — рекомендация, продиктованная практикой заказчиков. Покажем, как собрать комплект без лишних затрат и к каким проверкам готовиться.

Какие документы по ИБ обязательны: ИТ-компания, разработчик SaaS или интегратор

Для ИТ-компании применимы три блока норм. Первый — Федеральный закон № 152-ФЗ «О персональных данных», если компания обрабатывает ПДн клиентов, сотрудников или пользователей SaaS. Второй — требования заказчиков, которые вытекают из договоров и отраслевых норм (например, для подрядчиков госсектора и субъектов КИИ). Третий — добровольные стандарты, такие как ГОСТ Р 56939-2024 по безопасной разработке и ГОСТ Р ИСО/МЭК 27001-2021 по системам менеджмента ИБ.

Состав комплекта для вашей организации

Ниже — типовой набор документов, который покрывает требования 152-ФЗ и ожидания корпоративных заказчиков. Для каждой позиции указано, что внутри и кто утверждает или знакомит.

Кто проверяет и что смотрят

Основной контролирующий орган для ИТ-компании, работающей с персональными данными, — Роскомнадзор. Он вправе запросить документы и локальные акты по статье 18.1 152-ФЗ: политику, положения, приказ об ответственном, сведения об ознакомлении работников. ФСТЭК планово проверяет только государственные информационные системы, значимые объекты КИИ и лицензиатов. Если ваша компания не относится к этим категориям, плановой проверки ФСТЭК по коммерческой ИСПДн не будет. ЦБ контролирует лишь банки и некредитные финансовые организации.

Что обычно запрашивают при проверке или в анкете заказчика:

• Есть ли опубликованная политика обработки ПДн на страницах сбора данных?
• Назначен ли ответственный за организацию обработки ПДн и где приказ?
• Согласия оформлены отдельными документами, а не пунктом в договоре?
• Заключены ли поручения с подрядчиками, которым передаются данные?
• Какой порядок уведомления РКН об инцидентах и кто отвечает за 24-часовой срок?
• Есть ли политика ИБ и регламент доступа к клиентской инфраструктуре?

Как мы готовим комплект

Работаем дистанционно по всей России, в том числе с организациями из Серпухове. Сначала вы заполняете опросный лист (DOCX) о деятельности, целях обработки ПДн, системах, сотрудниках и контрагентах. При необходимости проводим короткий созвон для уточнения процессов.

Если требуется техническая часть — модель угроз, определение уровня защищённости ИСПДн, оценка эффективности — мы оказываем методическое сопровождение (шаблон, указания, консультации, проверка). Сам документ готовит и утверждает специалист заказчика. Для ГИС, значимых объектов КИИ и подрядчиков этих систем работы выполняем совместно с партнёром-лицензиатом ФСТЭК.

Особенности, о которых забывают

• ✓ Требования заказчиков. Крупные компании перед договором всё чаще запрашивают политику ИБ, регламент доступа и порядок реагирования на инциденты. Это не прихоть, а их внутренняя процедура оценки подрядчика.
• ✓ Узи подрядчиков. С 01.03.2027 для допуска к ГИС и значимым объектам КИИ вводится оценка уровня зрелости (Узи) подрядчика. Если работаете с госсектором или субъектами КИИ, готовьтесь заранее.
• ✓ ГОСТ 27001 — добровольно, но полезно. Сертификация по ГОСТ Р ИСО/МЭК 27001-2021 не обязательна по закону, но часто является условием тендеров и договоров с иностранными партнёрами.
• ✓ Поручения на обработку. Если SaaS получает данные от оператора (например, клиники или интернет-магазина), обязательно оформить поручение по ч. 3 ст. 6 152-ФЗ. Без него обработка незаконна, и штраф может получить обе стороны.
• ✓ Удалённая работа. Регламент удалённого доступа (VPN, MFA, запрет личных облаков) не прописан в законе как обязательный, но по ст. 312.3 и 312.6 ТК РФ работодатель обязан обеспечить безопасность при дистанционном труде. На практике такой документ снимает риски утечек.

Разбор на примере: SaaS-сервис для клиник

Что будет без документов

Ответственность за нарушения в сфере персональных данных установлена статьёй 13.11 КоАП РФ. Прямого штрафа «за отсутствие комплекта ОРД» нет, но отдельные составы применяются на практике:

• Не опубликована политика ПДн — ч. 3 ст. 13.11: для юридических лиц штраф от 30 000 до 60 000 ₽.
• Обработка ПДн без правового основания — ч. 1 ст. 13.11: юрлица от 150 000 до 300 000 ₽.
• Обработка без письменного согласия — ч. 2 ст. 13.11: юрлица от 300 000 до 700 000 ₽.
• Не подано уведомление в РКН — ч. 10 ст. 13.11: юрлица от 100 000 до 300 000 ₽.
• Не уведомили РКН об утечке за 24 часа — ч. 11 ст. 13.11: юрлица от 1 000 000 до 3 000 000 ₽.
• Утечка спецкатегорий ПДн (например, медицинских) — ч. 16 ст. 13.11: юрлица от 10 000 000 до 15 000 000 ₽, повторно — оборотный штраф.

Кроме административных рисков, отсутствие документов по коммерческой тайне не позволит доказать режим КТ в суде: при разглашении бывшим сотрудником суд не увидит перечень сведений, гриф и расписки. Увольнение по п. 6 «в» ч. 1 ст. 81 ТК РФ за разглашение тайны тоже требует доказательств, что сведения были охраняемыми. Если компания не ввела режим КТ всеми пятью мерами ст. 10 98-ФЗ, увольнение может быть оспорено.

Чем поможем и сколько это стоит

Готовим под ключ правовой и организационный пакет:

• Политика обработки ПДн (для сайта и внутренняя), положение об обработке ПДн, положение о ПДн работников, приказ об ответственном, формы согласий отдельными документами, поручения на обработку, регламент ответов на запросы субъектов, порядок уничтожения.
• Внутренняя политика ИБ и правила использования ИТ для коммерческой компании, регламент удалённого доступа и NDA.
• При необходимости — режим коммерческой тайны (положение, перечень сведений, приказ, обязательства, гриф, журналы).
• Методическое сопровождение по модели угроз — шаблон, указания, проверка.

Цена ниже среднего сегмента, потому что мы используем отработанные типовые решения и работаем дистанционно без выезда специалиста. Документы готовит специалист; вы получаете адаптацию под ваши процессы, а не пустой шаблон.

Частые вопросы

Если нужно собрать комплект документов по ИБ под конкретный запрос заказчика или подготовиться к проверке, начните с услуги по разработке документов по информационной безопасности. Для технической части может быть полезна методическая помощь по модели угроз. Ознакомиться с примерами документов можно в разделе образцов.