Что проверять в личном кабинете и закрытых разделах сайта?
Проверим вместе, что проверять в личном кабинете и закрытых разделах сайта. Отделим общее правило от исключений и подскажем, какие подтверждения стоит сохранить.
Короткий ответ
Проверьте регистрацию, изменение профиля, историю заказов, выгрузку, удаление, уведомления и восстановление доступа. Для проверки публичного пользовательского сценария достаточно тестового аккаунта обычного пользователя; административные пароли аудитору передавать не нужно. Чтобы оценить разграничение доступа сотрудников и подрядчиков, одного пользовательского аккаунта недостаточно: нужны отдельные тестовые роли, настройки и документы либо совместная демонстрация уполномоченным сотрудником.
Отдельно оцените, остаются ли файлы доступны после выхода и удаляются ли данные фактически. Проверку доступа к чужим идентификаторам и сведениям проводите только с разрешения владельца системы, в согласованных границах и на тестовых данных. Оператор обязан принимать необходимые правовые, организационные и технические меры защиты (ст. 19 Закона №152-ФЗ), но закон не предписывает конкретный способ тестирования.
Что ещё полезно знать
Полезные связанные страницы
- Документы по персональным данным для сайта и бизнеса - как определить состав документов после описания процессов.
- Согласия на рекламу и обработку персональных данных - как разделить две разные цели и действия пользователя.
- Согласие на трансграничную передачу персональных данных - когда основанием выбрано согласие и как оформить его для передачи конкретному иностранному получателю.
Проверим один сайт или приложение и расставим правки по приоритету
- Если самостоятельной проверки недостаточно, мы проведем ограниченный аудит сайта или приложения по 152-ФЗ.
- Изучим проект со стороны пользователя, основные формы и документы, затем запросим только те сведения о фактическом процессе, которые нельзя увидеть снаружи, и сопоставим внешнюю часть с внутренними процессами.
- Зафиксируем заметные несоответствия и подготовим список первоочередных правок.
Частые вопросы по теме
Может ли автоматический сканер подтвердить соответствие сайта требованиям 152-ФЗ?
Разберёмся, может ли автоматический сканер подтвердить соответствие сайта требованиям 152-ФЗ. Поясним, от чего зависит ответ, где чаще всего возникает риск и что лучше зафиксировать заранее.
Как составить карту потоков персональных данных?
Разберём по шагам, как составить карту потоков персональных данных. Покажем безопасный порядок действий и подскажем, какие доказательства или уведомления подготовить заранее.
Что проверить в CRM и договорах с подрядчиками по 152-ФЗ?
Подскажем, что проверить в CRM и договорах с подрядчиками по 152-ФЗ. Покажем минимально необходимый набор и дополнительные меры, которые действительно снижают риск.
Можно ли хранить заявки с сайта бессрочно?
Разберёмся, можно ли хранить заявки с сайта бессрочно. Поясним, от чего зависит ответ, где чаще всего возникает риск и что лучше зафиксировать заранее.
Как часто нужно повторять проверку по 152-ФЗ?
Разберём по шагам, как часто нужно повторять проверку по 152-ФЗ. Покажем безопасный порядок действий и подскажем, какие доказательства или уведомления подготовить заранее.
