Антиштраф помог ООО «ЛАБИТЕК ДЕВЕЛОПМЕНТ» выстроить систему защиты персональных данных для IT-продукта с базой более 100 000 пользователей

ООО «ЛАБИТЕК ДЕВЕЛОПМЕНТ» развивает IT-продукт, в котором обрабатываются и хранятся персональные данные более 100 000 пользователей. Антиштраф провел комплексную работу по 152-ФЗ: разобрал категории данных, описал процессы обработки, проверил хранение информации, определил уровень защиты и оценил технические и организационные меры безопасности.

Что произошло

ООО «ЛАБИТЕК ДЕВЕЛОПМЕНТ» - IT-компания, которая развивает цифровой продукт с большой пользовательской базой.

Внутри продукта обрабатываются и хранятся персональные данные более 100 000 пользователей.

При таком объеме данных компании важно понимать не только, какие документы должны быть подготовлены по 152-ФЗ, но и как персональные данные фактически движутся внутри продукта: где они собираются, где хранятся, кто получает к ним доступ и какие меры защиты применяются.

С какой задачей обратились

Перед Антиштрафом стояла задача провести комплексную работу по 152-ФЗ для IT-продукта с большим объемом пользовательских данных.

Необходимо было определить:

• какие персональные данные обрабатываются в продукте;
• какие данные собираются через сайт, личный кабинет и внутренние сервисы;
• где и как хранятся пользовательские данные;
• кто имеет доступ к персональным данным;
• какой уровень защиты требуется для информационной системы;
• какие технические и организационные меры необходимо усилить.

Что сделал Антиштраф

1. Разобрали категории персональных данных

Определили, какие данные пользователей обрабатываются внутри IT-продукта.

В анализ вошли регистрационные данные, контактные сведения, данные аккаунтов, технические идентификаторы и иные сведения, необходимые для работы сервиса.

2. Описали процессы обработки данных

Зафиксировали путь персональных данных внутри продукта: от момента регистрации пользователя и заполнения форм до хранения, использования, изменения, передачи и удаления информации.

Это позволило увидеть весь жизненный цикл пользовательских данных, а не рассматривать отдельные формы и документы изолированно.

3. Проверили хранение персональных данных

Отдельно проработали вопрос хранения пользовательской информации.

Проверили, где размещаются данные, кто имеет доступ к базам, как организовано разграничение прав и какие правила применяются сотрудниками при работе с пользовательской информацией.

4. Определили уровень защиты

Проанализировали информационную систему, объем обрабатываемых данных и характер процессов, чтобы определить применимый уровень защиты персональных данных.

Это позволило связать требования к защите не с абстрактной документацией, а с реальной архитектурой и масштабом IT-продукта.

5. Проверили технические меры безопасности

В рамках проекта оценили техническую часть работы с пользовательскими данными.

Проверили доступы, роли пользователей, права сотрудников, порядок администрирования, защиту учетных записей, работу с базами данных и общую логику ограничения доступа к персональной информации.

6. Подготовили документы по 152-ФЗ

По итогам анализа был сформирован комплект документов, описывающий порядок обработки персональных данных, распределение ответственности и применяемые меры защиты.

Документы были адаптированы под фактическую работу IT-компании и цифрового продукта.

7. Определили слабые места

По результатам проверки были определены участки, где процессы требовали усиления.

Отдельное внимание уделили доступам, внутренним регламентам, порядку хранения данных, внутреннему контролю и описанию технических мер безопасности.

Отдельный фокус - более 100 000 пользователей

Главная особенность проекта - масштаб пользовательской базы.

Когда внутри IT-продукта хранится информация более чем о 100 000 пользователях, ошибка в доступах, хранении или внутренних правилах может затронуть сразу большой объем данных.

Поэтому в проекте основной акцент сделали на системности: документы должны соответствовать реальной работе продукта, а организационные и технические меры - учитывать фактический объем пользовательских данных.

Результат

ООО «ЛАБИТЕК ДЕВЕЛОПМЕНТ» получило выстроенную систему работы с персональными данными пользователей.

Для IT-компании персональные данные - часть самого продукта. Когда сервис хранит информацию о более чем 100 000 пользователях, важно понимать, как данные движутся внутри системы, где они хранятся, кто имеет к ним доступ и какие меры применяются для защиты. Антиштраф помог ООО «ЛАБИТЕК ДЕВЕЛОПМЕНТ» выстроить такую систему и сформировать основу для дальнейшего развития продукта.