Презентация_ShopFast

1.

ПРАКТИЧЕСКАЯ РАБОТА
Правовое поле и защита
персональных данных
Кейс Б — ShopFast
Интернет-магазин с оплатой картами и зарубежными покупателями
Классификация • регулирование • меры защиты • реагирование
2026

2.

1. Какие данные обрабатывает ShopFast
Обычные персональные
данные
• ФИО, телефон, email
• Адрес доставки
• История заказов
• Данные личного кабинета
Платёжная информация
Дополнительные категории
• Сведения об оплате и статусах
• Идентификатор транзакции
• Данные карты желательно
обрабатывать у платёжного
провайдера, не хранить полный
номер и CVV в ShopFast
• Бонусы и программа лояльности
• Аналитические идентификаторы
и cookie
• Зарубежные покупатели, включая
ЕС
Что не указано в кейсе
Вывод для реестра
Специальные категории ПДн и биометрия не
заявлены. Данные несовершеннолетних отдельно не
обозначены. Их наличие нужно проверить по
фактическим процессам.
Основной массив — иные (обычные) персональные
данные. Платёжные сведения требуют отдельного
режима защиты; состав реквизитов нужно уточнить у
провайдера оплаты.
2/7

3.

2. Предварительная классификация ИСПДн
Категория персональных данных
Субъекты и масштаб
Иные (обычные) ПДн: идентификационные и контактные
сведения, адреса, история заказов. Специальные и
биометрические данные в описании кейса отсутствуют.
Покупатели, зарегистрированные пользователи и
участники программы лояльности. Число субъектов в
кейсе не задано — его нужно определить по
фактической базе.
Тип угроз
Уровень защищённости
Тип угроз (1–3) нельзя достоверно назначить только по
описанию кейса. Нужна модель угроз с учётом
актуальных угроз и возможностей нарушителя.
УЗ-1…УЗ-4 определяется по ПП РФ № 1119 с учётом
категории ПДн, числа субъектов, типа угроз и иных
условий. Итоговый УЗ без этих данных не фиксируется.
Результат: предварительная классификация и перечень данных для окончательного определения типа угроз и УЗ.
3/7

4.

3. Применимое регулирование
НПА / документ
Что регулирует для ShopFast
152-ФЗ «О персональных данных»
Основания обработки, согласие, права субъектов, локализация, поручение обработки, трансграничная передача.
149-ФЗ «Об информации…»
Общие требования к защите информации и информационным системам.
ПП РФ № 1119
Определение требований к защите ПДн и уровня защищённости ИСПДн.
Приказ ФСТЭК № 21
Организационные и технические меры защиты ПДн в ИСПДн.
98-ФЗ «О коммерческой тайне»
Применим, если компания вводит режим коммерческой тайны для соответствующих сведений.
GDPR
Может применяться при обработке данных лиц в ЕС — требуется оценить территориальные основания и роль
ShopFast.
187-ФЗ, 63-ФЗ, приказы ФСБ № 378
Не автоматически: применимость зависит от статуса объекта КИИ, использования ЭП и конкретных
криптографических средств.
4/7

5.

4. Потоки данных и правовые ограничения
Покупатель
ShopFast
Подрядчики
Форма заказа,
личный кабинет
База заказов,
профили, бонусы
Облако, CDN,
аналитика
Платёжный
провайдер
Обработка
платежа
Локализация и подрядчики
Трансграничная передача и ЕС
При сборе ПДн граждан РФ через интернет запись,
систематизация, накопление, хранение, уточнение и
извлечение должны выполняться с использованием баз
данных в РФ (ст. 18 152-ФЗ). Поручение обработки
подрядчику оформляется договором с условиями ст. 6.
Передача данных за рубеж требует соблюдения ст. 12 152ФЗ и предварительной проверки условий. Для
пользователей из ЕС отдельно оценить применимость
GDPR. CDN, облако и аналитика могут создавать
трансграничные потоки.
Практический принцип: минимизировать передаваемые данные и документировать каждого получателя и цель передачи.
5/7

6.

5. Матрица соответствия: требование → мера → доказательство
№
Требование
Мера / доказательство
№
Требование
Мера / доказательство
1
Основание обработки
Определить основание по цели; реестр целей и оснований.
11
Разграничение доступа
Ролевые права и минимум привилегий; матрица доступа.
2
Согласие
Отдельное согласие там, где необходимо; журнал согласий.
12
Аутентификация
MFA для администраторов; настройки и тест.
3
Политика ПДн
Опубликовать политику; ссылка в формах сбора.
13
Защита паролей
Хеширование стойким алгоритмом; конфигурация.
4
Минимизация данных
Собирать только необходимые поля; спецификация форм.
14
Шифрование каналов
TLS для передачи; отчёт проверки конфигурации.
5
Локализация (ст. 18)
Первичная база РФ; схема размещения БД.
15
Резервные копии
Шифрование и контроль доступа; журнал бэкапов.
6
Уведомление РКН (ст. 22)
Проверить обязанность и подать уведомление; копия/реестр.
16
Регистрация событий
Логи входов и действий; примеры журналов.
7
Права субъектов
Процедура запросов и удаления; журнал обращений.
17
Мониторинг
Оповещения об аномалиях; правила и отчёт.
8
Сроки хранения
Установить сроки и удаление/обезличивание; регламент.
18
Управление уязвимостями
Сканирование и исправление; отчёты/тикеты.
9
Поручение подрядчику
Договор по ст. 6 с требованиями; подписанный договор.
19
Безопасная разработка
Code review и тесты; протоколы проверок.
10
Трансграничная передача
Проверить условия ст. 12; документированное заключение.
20
Реагирование на инциденты
План уведомлений 24/72 ч; регламент и акт учения.
6/7

7.

6. Инцидент, документы и итог
Инцидент: утечка базы через SQL-инъекцию
План реагирования
Сценарий из карточки: выгружены 120 тыс. записей (ФИО, email,
телефон, хеши паролей), обнаружено через 3 дня.
1. Ограничить уязвимость и сохранить журналы.
Квалификация: нарушение требований защиты ПДн; возможна
ответственность по ст. 13.11 КоАП РФ. Иные нормы оцениваются
по обстоятельствам.
3. Уведомить РКН: первично — в течение 24 часов, результаты
расследования — в течение 72 часов.
2. Установить состав и объём утечки, причины и затронутых лиц.
4. Сменить скомпрометированные данные доступа, проверить
системы.
Комплект документов к защите
Вывод
• Политика обработки ПДн
• Краткая модель угроз
• Уведомление РКН (если требуется)
• Регламент реагирования на инциденты
• Реестр данных и матрица соответствия
ShopFast должен обеспечить законность обработки,
локализацию баз данных граждан РФ, контроль подрядчиков
и трансграничных потоков, а также доказуемые меры
защиты. Окончательный УЗ устанавливается после
инвентаризации и моделирования угроз.
Источники: задание к практической работе; 152-ФЗ; 149-ФЗ; ПП РФ № 1119; приказ ФСТЭК № 21; GDPR (при применимости).
7/7