Аудит процессов обработки персональных данных для крупной образовательной организации

Заказчик проекта – крупная российская образовательная организация, осуществляющая деятельность по дополнительному профессиональному образованию, входит в крупную структуру с головной организацией в Москве.

Компании требовалось провести ежегодный аудит процессов обработки персональных данных с привлечением внешнего независимого интегратора.

Аудит, выполненный другим подрядчиком, оставил множество несоответствий и неактуальную документацию. Компания столкнулась с тем, что задекларированные 17 процессов обработки персональных данных не отражают реальной операционной деятельности организации. Это создавало риски при проверках Роскомнадзора и не позволяло эффективно управлять процессами.

Было необходимо привести документацию в порядок и получить практические рекомендации по оптимизации всех процессов.

Задачи

Провести интервью со всеми структурными подразделениями для выявления процессов обработки персональных данных (ПДн).
Актуализировать реестр процессов обработки ПДн и привести его в соответствие с законодательством.
Разработать и актуализировать пакет организационно-распорядительной документации (ОРД), включая Политику обработки персональных данных.
Провести инвентаризацию и оценку рисков, связанных с обработкой ПДн.
Наполнить актуальными данными внутреннюю платформу автоматизации Compliance Platform.
Устранить замечания, выданные ранее отделом кибербезопасности головной организации.
Подготовить отчет с рекомендациями по оптимизации процессов и повышению уровня зрелости ИБ.

Подробнее о проекте и его решении

Задать вопрос

Реализованное нами решение

Проект был разделен на несколько этапов.

Обследование и планирование
На первом этапе специалисты ICL Services ознакомились с техническим заданием, запросила организационную структуру для составления детального плана-графика интервью. Был разработан и согласован с заказчиком опросный лист для проведения интервью.

Сбор информации
Далее, ключевым этапом стало проведение серии интервью с сотрудниками. Эксперт центра ИБ-экспертизы ICL Services провел 42 интервью с представителями различных департаментов и подразделений, включая школы бизнеса, блоки обучения, инноваций, ИТ-отдел и операционный блок.

Всего в ходе интервью было опрошено порядка 300 сотрудников, что позволило получить полную картину операционной деятельности и выявить все точки сбора и обработки персональных данных.

Анализ данных
Полученная информация была систематизирована. По каждому процессу были зафиксированы цели обработки, правовые основания, используемые информационные системы и перечень операций с ПДн. В ходе анализа было выявлено, что фактическое количество процессов обработки выросло с 17 до 23.

Разработка и актуализация документации
На основе собранных данных был актуализирован Реестр процессов обработки персональных данных и разработан документ «Описание технологических процессов обработки персональных данных». Также были приведены в соответствие все организационно-распорядительные документы, включая Политику обработки персональных данных.

Наполнение платформы
Также одной из задач проекта было наполнение внутренней системы Compliance Platform актуальными данными и проведение оценки рисков с использованием ее функционала. В рамках этого этапа также была проведена инвентаризация и оценка регуляторных рисков.

Подготовка рекомендаций
По итогам аудита был сформирован подробный отчет, содержащий выявленные несоответствия и практические рекомендации. Так, среди ключевых предложений ICL Services была оптимизация процедуры согласования договоров с участием отдела кибербезопасности и рекомендация по расширению штата для эффективного контроля за обработкой ПДн.

Результаты

Реализация проекта позволила заказчику создать основу для безопасного и эффективного управления персональными данными.
Актуализирован реестр процессов и все необходимые документы, что минимизирует риски при проверках Роскомнадзора и штрафных санкций.
Количество выявленных процессов выросло с 17 до 23, а категорий субъектов ПДн — с 6 до 15. Это позволило руководству получить реальную картину обработки данных в организации.
Разработанные рекомендации по изменению процедур и распределению ответственности позволят повысить эффективность работы и снизить нагрузку на ключевых сотрудников.
Наполнение платформы Compliance Platform актуальными данными перевело управление рисками и документацией в автоматизированный формат.

Предоставленные услуги и решения

Аудит персональных данных: проверка на соответствие требованиям 152‑ФЗ

Напишите нам

Связаться с нами

Аудит процессов обработки персональных данных для крупной образовательной организации

Задачи

Обследование и планирование

Сбор информации

Анализ данных

Разработка и актуализация документации

Наполнение платформы

Подготовка рекомендаций

Результаты

Предоставленные услуги и решения

Напишите нам

Узнайте больше о наших проектах