Аудит ПДн для НКО: как закрыть «слепые зоны» в работе с подрядчиками
Infosecurity выявила скрытые риски в обработке персональных данных фонда «Друзья», проверив не только документы, но и реальные рабочие процессы с подрядчиками. Это демонстрирует, что для малого бизнеса аудит — инструмент защиты от штрафов, а не формальность.
Компания Infosecurity (входит в ГК Softline) завершила аудит процессов обработки персональных данных (ПДн) в Благотворительном фонде «Друзья». Специалисты выявили несоответствия текущих практик требованиям законодательства РФ и подготовили полный комплект организационно-распорядительной документации. Проект включал не только проверку документов, но и анализ реальных рабочих процессов, включая взаимодействие с внешними подрядчиками.
Для небольших организаций наличие формальных документов часто не гарантирует безопасности: важно, чтобы они отражали реальную картину работы с данными. В фонде «Друзья» часть необходимой документации отсутствовала, а оценка действующих процессов требовала актуализации. Эксперты Infosecurity провели интервью с ключевыми сотрудниками, описали используемые информационные системы и определили зоны риска.
Аутсорсинг кадрового учета создает «слепую зону» для контроля: без привлечения представителей подрядчика к аудиту невозможно оценить полную цепочку обработки данных и границы ответственности сторон.
Работа с аутсорсингом и документацией
Особое внимание в проекте уделили процессам, переданным на аутсорсинг, в частности — кадровому учету. Чтобы оценить эти процессы объективно, аудиторы подключили представителей внешнего подрядчика и провели с ними отдельное интервью. Это позволило рассмотреть всю цепочку обработки ПДн от момента сбора до передачи данных третьей стороне.
По итогам работ для фонда разработали комплект документов. Часть из них подготовили в двух вариантах:
- Под текущие, действующие в организации цели обработки данных.
- Под рекомендованные экспертами цели, которые помогут оптимизировать процессы в будущем.
Такой подход позволил не только зафиксировать текущее состояние, но и сформировать ориентиры для дальнейшего развития системы защиты информации.
Практические итоги проекта
Для Благотворительного фонда «Друзья» результатом стала не просто отчет о нарушениях, а рабочая база для системной деятельности. Организация получила:
- Понятную картину текущего уровня соответствия требованиям законодательства.
- Конкретные рекомендации по устранению выявленных пробелов.
- Готовый комплект документов, адаптированный под реальные бизнес-процессы.
- План дальнейших шагов по внедрению новых регламентов.
Для НКО и малого бизнеса аудит ПДн — это не формальность для регулятора, а инструмент снижения операционных рисков: понимание того, где именно теряется контроль над данными, позволяет избежать штрафов и репутационных потерь.
Контекст:Группа компаний Softline (ПАО «Софтлайн») является публичной компанией с оборотом более 132 млрд рублей в 2025 году. Штат насчитывает 10,3 тыс. сотрудников, более половины из которых — инженеры и разработчики. Компания работает в России, Казахстане, Узбекистане, Вьетнаме и ОАЭ, фокусируясь на ИИ, производстве оборудования и информационной безопасности.
Подтверждение: softline.ru