Что объединяет стандарт и закон, а что разводит
У ISO 27001 и закона о персональных данных общий принцип: ни один из них не даёт готового списка мер на все случаи, оба требуют подобрать меры под реальные риски. Статья 17 Закона №99-З обязывает оператора принимать правовые, организационные и технические меры, необходимые и достаточные для защиты данных, а состав этих мер оператор определяет сам. ISO 27001 устроен так же: организация оценивает риски, выбирает меры из приложения A и фиксирует выбор в заявлении о применимости.
Разводят два обстоятельства: обязательность и предмет защиты. Закон действует для любого оператора, будь то завод, магазин или предприниматель с базой клиентов, а сертификат получают добровольно. Закон оберегает права человека, чьи сведения собраны, а стандарт защищает информацию организации целиком: договоры, чертежи, базы заказчиков. Персональные данные в такой картине лишь один из видов защищаемых активов.
Какие обязательные меры закона закрывает система по стандарту
Почти у каждой обязательной меры из статьи 17 есть близкий аналог в стандарте, поэтому документы и процессы не придётся создавать дважды. Но аналог не равен исполнению: закон требует конкретных документов и действий.
| Мера по закону | Что даёт ISO 27001 | Что остаётся сделать по закону |
|---|---|---|
| Лицо, ответственное за внутренний контроль | Руководство назначает роли и ответственность за систему безопасности | Приказ о назначении, реальные полномочия и ресурсы, план контрольных мероприятий |
| Документы с политикой обработки | Политика информационной безопасности и процедуры | Отдельная политика обработки персональных данных с содержанием, которого требует закон |
| Ознакомление работников | Программа обучения и осведомлённости, записи о ней | Ознакомление с законодательством о персональных данных и локальными актами оператора |
| Порядок доступа | Управление доступом и правами, их регулярный пересмотр | Порядок доступа именно к персональным данным, в том числе в информационном ресурсе |
| Техническая и криптографическая защита | Технологические меры приложения A, включая шифрование | Порядок ОАЦ: класс системы, требования к средствам защиты, аттестация |
Правая колонка важна: по итогам проверок 2023 года центр защиты персональных данных отмечал формальное назначение ответственных, политики, скопированные из шаблонов без учёта специфики организации, и отсутствие плана контрольных мероприятий. Система менеджмента помогает здесь контролем: внутренние аудиты и анализ со стороны руководства превращают проверку мер в регулярную работу. Подготовку обязательных документов и мер мы берём на себя в рамках услуги по защите персональных данных.
Чего сертификат ISO 27001 не подтверждает
Законность обработки сертификат не подтверждает. Аудитор по ISO 27001 оценивает систему менеджмента и не сверяет вашу работу с законом о персональных данных. Поэтому у организации с сертификатом может не быть правового основания для обработки или правильно оформленного согласия. Среди типичных нарушений, о которых пишут по итогам проверок, как раз обработка без правовых оснований и ошибки при получении согласия.
Техническую защиту сертификат тоже не подменяет. Порядок ОАЦ, утверждённый приказом от 20 февраля 2020 года №66, применяется к информационным системам, где обрабатывается информация ограниченного распространения. Собственник системы определяет её класс, разрабатывает политику безопасности и проводит аттестацию системы защиты. Эти шаги идут по правилам ОАЦ, а ISO 27001 их не заменяет.
Права людей остаются отдельной веткой. Человек вправе отозвать согласие, узнать, как обрабатываются его сведения, и потребовать изменить или удалить их. Система по ISO 27001 такого процесса сама не содержит, его придётся описать: кто принимает обращение, как проверяют личность заявителя, кто готовит ответ. Сроки ответа берутся из закона, а не из внутренних договорённостей.
Где стандарт прямо говорит о персональных данных
Мост между ISO 27001 и законом о персональных данных строит мера 5.34 приложения A версии 2022 года: она требует соблюдать правовые и договорные требования к защите таких сведений. В белорусской системе безопасности такой пункт заставляет внести Закон №99-З в перечень действующих требований и перенести его выводы в план внедрения мер. Аудитор вправе спросить, как организация выявила эти требования и как их выполняет.
Остальные меры работают на защиту данных косвенно, но для базы клиентов или кадровых дел они важнее всего: управление доступом, обучение работников, работа с поставщиками, реагирование на инциденты и шифрование (мера 8.24 про использование криптографии). Если какую-то меру вы не внедряете, в заявлении о применимости нужно записать причину, и этот довод должен выдержать проверку.
Перечень активов: как найти в нём персональные данные
Оценка рисков для сертификата начинается с перечня активов: баз данных, программ, носителей, бумажных архивов. Мы советуем добавить в него колонки о том, есть ли в активе персональные данные, чьи они (работников, клиентов, соискателей) и кто имеет к ним доступ. Тогда один документ отвечает сразу на два вопроса: что защищать по стандарту и где лежат персональные данные по закону. Если вы только планируете сертификат, такой перечень удобно собирать на старте внедрения ISO 27001.
Выгода в том, что работа делается один раз. Без общего перечня данные легко описать дважды разными людьми, и расхождения между двумя описаниями потом приходится объяснять.
Как встроить срок уведомления об утечке в порядок реагирования
Оператор обязан уведомить Национальный центр защиты персональных данных незамедлительно, но не позднее трёх рабочих дней с момента, когда ему стало известно о нарушении (статья 16). Уведомление нужно, если сведения незаконно распространены или предоставлены либо изменены, заблокированы или удалены без возможности восстановить доступ. К таким случаям центр относит не только кибератаки, но и случайную передачу или раскрытие по ошибке сотрудника.
Порядок реагирования на инциденты, который нужен для ISO 27001, обычно описывает, кто принимает сообщение, как инцидент классифицируют и кто решает об эскалации. Добавьте в классификацию один вопрос: затронуты ли персональные данные и подпадает ли случай под уведомление. Тогда отсчёт трёх дней начинается с регистрации инцидента, а не с момента, когда юрист случайно узнал об утечке.
Какие записи системы пригодятся при проверке центра
Проверяющему мало услышать, что меры приняты: нужны следы их выполнения. Центр по итогам проверок 2023 года отмечал, что в большинстве организаций контроль за обработкой данных не осуществлялся, а плана и результатов контрольных мероприятий не было. В системе по ISO 27001 такие следы появляются в ходе обычной работы.
Годятся журнал обучения работников с датами, отчёты о внутренних аудитах с найденными замечаниями, протоколы анализа системы руководством, реестр инцидентов и записи о пересмотре прав доступа. Важно, чтобы в этих записях звучала и тема персональных данных: в программе аудита отдельной строкой стоят порядок доступа к ним и выполнение политики обработки. Тогда ответ на вопрос о контроле лежит в одной папке, а не собирается за день до проверки.
Поставщики и уполномоченные лица: один договор вместо двух
Стандарт требует управлять безопасностью у внешних исполнителей через договорные условия и контроль. Закон добавляет своё понятие: уполномоченное лицо обрабатывает данные по поручению оператора, а оператор остаётся ответственным перед человеком за его действия. Формальные отношения с уполномоченными лицами тоже входят в число типичных нарушений.
Поэтому условия для бухгалтерского аутсорса, хостинга или поставщика CRM удобно писать один раз. В договор вносят и требования стандарта (доступ, инциденты, возврат и удаление данных), и условия обработки персональных данных по поручению. Поставщик подписывает один документ, а оператор получает один пакет доказательств и для аудитора, и для проверки.
Нужен ли ISO 27701, если есть ISO 27001
Для задач именно с персональными данными существует отдельный стандарт ISO/IEC 27701. Версия 2019 года была надстройкой над ISO 27001, а редакция, вышедшая 14 октября 2025 года, стала самостоятельной: сертифицироваться по ней можно без ISO 27001.
Выбор могут определять требования заказчиков или партнёров, но не норма права. Для проверки в Беларуси 27701, как и ISO 27001, остаётся стандартом управления: соответствие Закону №99-З оператор показывает своими мерами и документами.
С чего начать компании с сертификатом и без него
Если сертификата нет, порядок такой: сначала меры закона о персональных данных, потом ISO 27001. Обязательные меры статьи 17 нужны каждому оператору и составляют основу будущей системы: ответственное лицо, политика, обучение, доступ. Идти к ISO 27001 есть смысл, когда об этом просят заказчики или когда защищать нужно информацию шире, чем персональные данные. Если в компании уже работает ISO 9001, процедуры удобно собирать в интегрированную систему без дублирования.
Если сертификат есть, проведите сверку по таблице выше. В первую очередь проверьте основание и согласие на обработку, политику обработки в том виде, как её требует закон, приказ о назначении ответственного, порядок доступа к персональным данным, класс системы и аттестацию по правилам ОАЦ, срок уведомления об утечке в регламенте инцидентов. Каждый недостающий пункт добавляется к действующей системе, а не создаёт новую.
Где вам пригодится помощь
Мы работаем с 2011 года: готовим документы для операторов и внедряем системы менеджмента по ISO. Стоимость и срок зависят от размера организации, числа информационных систем и того, что уже внедрено, поэтому рассчитываются индивидуально после оценки документов. Начать можно со сверки: покажите действующие документы, и мы отметим, какие меры закона они уже закрывают, а каких не хватает, и в каком порядке закрывать пробелы.
