Аудит приватности: как проверить практики

Аудит приватности: как проверить практики

Аудит отвечает на простой вопрос: совпадает ли то, что записано в правилах, с тем, что происходит на самом деле. Формальный аудит ограничивается проверкой папок, полезный — смотрит на реальные процессы.

Разберём, как провести проверку.

Область аудита

Определите, какие проекты и системы проверяются.

Укажите период.

Не пытайтесь охватить всё сразу: выберите приоритеты.

Документы

Проверьте наличие согласий, политик, планов управления данными.

Сверьте версии и даты.

Убедитесь, что документы соответствуют текущей практике.

Интервью

Поговорите с теми, кто работает с данными.

Спросите, как они поступают в конкретных ситуациях.

Расхождение между словами и документами — сигнал.

Техническая проверка

Посмотрите права доступа и журналы.

Проверьте, включено ли шифрование.

Убедитесь, что резервные копии защищены.

Выборка

Проверьте несколько записей или файлов вручную.

Сравните с документацией.

Выборка не заменяет полную проверку, но показывает практику.

Работа с подрядчиками

Проверьте договоры и условия обработки.

Уточните, кто отвечает за инциденты.

Убедитесь, что доступ ограничен.

Отчёт

Опишите, что проверено, что найдено и насколько это критично.

Разделите критичные и некритичные замечания.

Укажите сроки исправления.

План исправлений

Для каждого замечания назначьте ответственного и срок.

Проверьте выполнение.

Повторный аудит должен показать динамику.

Коммуникация

Результаты обсуждаются с руководством и командой.

Не превращайте аудит в поиск виновных.

Цель — исправить процессы, а не наказать отдельных сотрудников.

Ошибки

• проверка только документов;
• отсутствие интервью;
• нет сроков исправления;
• отчёт без приоритетов;
• аудит раз в несколько лет.

Практический пример

Аудит небольшого проекта начинается с вопроса: где лежат данные. Ответ «на ноутбуке и в облаке» требует уточнения: какие папки синхронизируются, кто имеет доступ, включено ли шифрование. Проверка показывает, что часть файлов осталась в личной папке сотрудника, а доступ к облачной папке открыт по ссылке.

Далее проверяются согласия и их соответствие фактическому сбору данных. Интервью выявляет, что анкеты содержат поля, которых нет в протоколе. Техническая проверка подтверждает: резервные копии не шифруются.

Отчёт делит замечания на критичные и некритичные. Для каждого назначается срок и ответственный. Через месяц проводится повторная проверка, чтобы убедиться, что исправления выполнены, а не только запланированы.

Как выбрать выборку для проверки

Полная проверка всех записей почти никогда не нужна. Выборка должна покрывать разные типы данных и разные этапы обработки: сбор, хранение, передачу и удаление. Полезно включить хотя бы один старый проект и один новый, чтобы увидеть, изменилась ли практика.

Ориентируйтесь на риск: если в проекте есть видеозаписи или биоматериалы, проверяйте их внимательнее. Для каждого файла из выборки проследите весь путь: откуда он появился, где хранится, кто имеет доступ и когда будет удалён. Если на каком-то шаге ответа нет, это и есть замечание.

Результаты выборки не доказывают отсутствие проблем во всём массиве, но показывают типичные ошибки. Отчёт должен содержать не только перечень, но и выводы: какие процессы работают, а какие нужно менять.

Как поддерживать результат

Аудит бесполезен, если после отчёта ничего не меняется. Назначьте ответственного за план исправлений и точку контроля. Включите исправления в обычные процессы: обновление инструкций, обучение сотрудников, изменение настроек доступа.

Через несколько месяцев проверьте, сохранились ли изменения. Люди возвращаются к привычным действиям, если контроль ослаб. Повторная проверка может быть короче первой: достаточно убедиться, что критичные замечания закрыты.

Какие доказательства собирать

Замечание без доказательства легко оспорить. Поэтому к каждому пункту прикладывают подтверждение: скриншот настройки, копию политики, выдержку из журнала, ссылку на файл.

Для интервью достаточно краткой записи: кто, когда, о чём говорили. Не нужно дословно фиксировать разговор, но факт обсуждения должен быть виден.

Доказательства хранятся вместе с отчётом и не содержат лишних персональных данных. Если в скриншоте видны имена, их закрывают. Сам аудит не должен создавать новую утечку: копии отчёта хранятся в защищённом месте, а доступ к ним ограничен теми, кто участвует в исправлении замечаний.

Как отличить замечание от рекомендации

Замечание описывает расхождение с требованием или собственным правилом организации: данные лежат в личной папке, срок хранения не определён, доступ открыт по ссылке.

Рекомендация описывает улучшение, которое не обязательно нарушает правила: например, перейти на более удобный инструмент или сократить число согласований.

Разделение помогает расставить приоритеты. Критичные замечания закрывают в первую очередь, рекомендации — по мере возможности, и в отчёте это разделение должно быть видно без дополнительных пояснений. Смешивать их в одном списке без пометок неудобно: руководителю трудно понять, что действительно требует действий, а что можно отложить до следующего цикла.

Чек-лист

• Область определена.
• Документы проверены.
• Интервью проведены.
• Техническая проверка выполнена.
• Выборка просмотрена.
• Отчёт подготовлен.
• План исправлений утверждён.

Частые вопросы

Кто должен проводить аудит?

Человек, не отвечающий за проверяемый процесс.

Как часто?

Обычно раз в год и при существенных изменениях.

Нужен ли внешний аудит?

Иногда да, особенно для крупных проектов.