Введение: растущие киберугрозы и ответственность МСП
Для субъектов малого и среднего предпринимательства кибератаки представляют реальную угрозу бизнесу. Согласно исследованию, 74% российских МСП готовы усиливать киберзащиту только через государственное воздействие, а половина компаний не готова к масштабным тратам на информационную безопасность даже под угрозой хакерских атак. При этом средний годовой бюджет МСП на ИБ составляет всего от 100 до 500 тыс. руб., и только 4% компаний выделяют более 5 млн рублей в год.
Федеральная служба по техническому и экспортному контролю (ФСТЭК России) активно проводит проверки соблюдения требований в области информационной безопасности. По данным правоприменительной практики ФСТЭК, в 2024 году было проведено 60 проверок, при этом у 53,4% проверенных организаций выявлены нарушения. Это свидетельствует о том, что бизнес должен быть готов к таким проверкам.
В этой статье мы разберем, как малому и среднему бизнесу подготовиться к проверке ФСТЭК и избежать штрафов, даже при ограниченных ресурсах на информационную безопасность.
Что проверяет ФСТЭК и на что обращает внимание
Основные направления проверок
ФСТЭК России осуществляет контроль за соблюдением требований в области экспортного контроля и защиты информации. В контексте кибербезопасности ключевыми объектами проверок являются:
- ✅ Соблюдение обязательных требований к защите информации, установленных Федеральным законом "Об экспортном контроле" и другими нормативными актами
- ✅ Наличие и правильность оформления документов по информационной безопасности (политики, процедуры, регламенты)
- ✅ Выполнение требований к средствам защиты информации (наличие сертификатов ФСТЭК, правильность настройки)
- ✅ Соблюдение порядка обработки персональных данных в соответствии с законодательством
- ✅ Реализация мероприятий по защите информации в информационных системах и на объектах критической информационной инфраструктуры (КИИ)
Важно: С 2025 года ФСТЭК ужесточила требования по срокам устранения уязвимостей: критические уязвимости необходимо устранять в течение 24 часов, высокие — не позднее 7 рабочих дней.
Особенности проверок МСП
Для субъектов малого и среднего предпринимательства применяется риск-ориентированный подход при проведении проверок. Это означает, что вероятность включения в план проверок зависит от категории риска, присвоенной организации.
Согласно постановлению Правительства РФ, для МСП действует мораторий на плановые проверки до 2030 года, но он распространяется не на все виды контроля. Внеплановые проверки возможны при поступлении жалоб, обращений или при выявлении индикаторов риска в ходе профилактических мероприятий.
Подготовка к проверке ФСТЭК: пошаговый план для МСП
Шаг 1: Аудит текущего состояния информационной безопасности
Перед проверкой необходимо провести внутренний аудит системы защиты информации. Даже с ограниченными ресурсами можно выполнить базовые мероприятия:
- 🔍 Инвентаризация информационных активов: составьте перечень информационных систем, персональных данных и конфиденциальной информации
- 📊 Оценка соответствия требованиям: проверьте, какие нормативные акты ФСТЭК относимы к вашей деятельности
- 🛡️ Анализ защищенности: проведите тестирование на проникновение или анализ уязвимостей (при ограниченном бюджете можно использовать бесплатные инструменты)
Шаг 2: Разработка и актуализация документов
Подготовьте необходимые документы по информационной безопасности. Ключевые документы, которые запрашивает ФСТЭК:
- 📄 Политика информационной безопасности (утверждается руководителем организации)
- 📄 Инструкции и регламенты по работе с персональными данными и конфиденциальной информацией
- 📄 Перечень информационных активов с указанием мер защиты
- 📄 План мероприятий по защите информации и устранению выявленных уязвимостей
- 📄 Отчеты о проведенных внутренних проверках и тестированиях системы защиты
На заметку: Если ваша организация относится к субъектам МСП, убедитесь, что сведения о вас внесены в Единый реестр МСП. Это может повлиять на подход контролирующих органов при проведении проверки.
Шаг 3: Выбор и сертификация средств защиты информации
Для защиты информационных систем необходимо использовать сертифицированные ФСТЭК средства защиты. Процесс сертификации может быть длительным и затратным, но для МСП есть варианты оптимизации:
- ✅ Использование готовых сертифицированных решений от российских вендоров
- ✅ Аутсорсинг защиты информации специализированным организациям
- ✅ Поэтапное внедрение защиты в соответствии с приоритетами рисков
При выборе средств защиты обратите внимание на уровень доверия, указанный в сертификате ФСТЭК. Он должен соответствовать категории вашей информационной системы.
Шаг 4: Подготовка персонала
Обучение сотрудников основам информационной безопасности — ключевое требование ФСТЭК. Даже с минимальным бюджетом можно организовать:
- 👥 Регулярный инструктаж сотрудников по правилам работы с информацией
- 📚 Использование бесплатных образовательных ресурсов и вебинаров по кибербезопасности
- 🎯 Разработка памяток и инструкций по действиям в случае кибератак
Помните, что по данным исследований, каждая третья российская компания МСП пострадала от последствий ИТ-атак. Обученный персонал может стать вашим первым рубежом обороны.
Действия во время проверки ФСТЭК
Встреча проверяющих и правильное поведение
При проведении проверки соблюдайте следующие правила:
- ✅ Проверьте полномочия: попросите предъявить служебные удостоверения и распоряжение о проведении проверки
- ✅ Фиксируйте процесс: ведите протокол всех действий проверяющих, запрашиваемых документов и задаваемых вопросов
- ✅ Обеспечьте сопровождение: назначьте ответственного сотрудника для сопровождения проверяющих
- ✅ Не препятствуйте проверке, но пресекайте выходящие за рамки полномочий действия
Важный момент: Срок проведения внеплановой проверки не может превышать 20 рабочих дней. Для малых предприятий установлены сокращенные сроки — не более 50 часов в год, для микропредприятий — не более 15 часов в год.
Типичные нарушения и как их избежать
По данным обзора правоприменительной практики ФСТЭК, типичными нарушениями являются:
- ❌ Отсутствие документов по защите информации или их формальное составление
- ❌ Использование несертифицированных средств защиты информации
- ❌ Невыполнение требований по устранению уязвимостей в установленные сроки
- ❌ Нарушение порядка обработки персональных данных
- ❌ Несоблюдение требований экспортного контроля при передаче технической информации
Чтобы избежать этих нарушений, рекомендуется провести предварительную самооценку по чек-листу ФСТЭК и устранить выявленные недостатки.
Что делать после проверки: результаты и обжалование
По результатам проверки составляется акт проверки в двух экземплярах. Внимательно ознакомьтесь с этим документом перед подписанием. Если вы не согласны с выводами проверки, вы можете изложить свои возражения в письменной форме и приобщить их к акту.
При выявлении нарушений может быть выдано предписание об их устранении с указанием сроков. За нарушения обязательных требований предусмотрена административная ответственность в виде штрафов:
- Для должностных лиц — от 2 000 до 20 000 рублей
- Для индивидуальных предпринимателей — от 2 000 до 20 000 рублей или приостановление деятельности до 90 суток
- Для юридических лиц — от 10 000 до 300 000 рублей или приостановление деятельности до 90 суток
Если вы не согласны с результатами проверки, вы можете обжаловать действия проверяющих в вышестоящий орган ФСТЭК или в суд в течение трех месяцев с момента, когда вам стало известно о нарушении ваших прав.
Профилактика кибератак и проверок ФСТЭК
Лучший способ подготовиться к проверке ФСТЭК — всегда быть готовым к ее проведению. Соблюдайте несколько простых правил:
- 📊 Регулярно проводите внутренний аудит системы защиты информации
- 📚 Следите за изменениями в законодательстве в области защиты информации и экспортного контроля
- 📞 Организуйте эффективную работу с инцидентами информационной безопасности
- 🛡️ Используйте сертифицированные средства защиты информации
- 📋 Весь персонал должен быть соответствующим образом обучен основам информационной безопасности
Помните, что внеплановая проверка по жалобе или по данным о нарушении может быть проведена в любой момент. Поэтому грамотная организация защиты информации — лучшая профилактика внеплановых проверок.
Заключение
Проверка ФСТЭК — это серьезное испытание для любого бизнеса, особенно для субъектов МСП с ограниченными ресурсами на информационную безопасность. Однако при грамотной подготовке и знании своих прав и обязанностей можно успешно пройти эту процедуру с минимальными потерями.
Главное — сохранять спокойствие, действовать профессионально и не паниковать. Помните, что проверка — это не только контроль, но и возможность улучшить систему защиты информации, сделать свой бизнес более устойчивым к кибератакам.
*Статья подготовлена юридическим сервисом "Внештатник". Получить консультацию по подготовке к проверкам ФСТЭК и защите от кибератак вы можете по телефону +7 (926) 410-08-58.*