Какие результаты оценки рисков персональных данных передать специалистам для моделирования угроз?

Специалистам защиты передают приоритетные процессы, состав и объём данных, получателей и интерфейсы. Результаты модели угроз возвращают в оценку рисков.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2026-04-08

Короткий ответ

Передайте сведения о приоритетных процессах, категориях и объёме данных, третьих лицах и зарубежных интерфейсах. В рекомендации RPPA от 8 апреля 2026 года также предлагается сообщить допустимый остаточный риск.

Эта информация помогает подготовить модель угроз для реальной системы. Обратно в оценку должны поступить сведения об актуальных угрозах, возможном нарушителе и выбранных защитных мерах.

Почему нужен обмен результатами

Организационная оценка показывает, где обработка особенно чувствительна для людей и бизнеса. Технический анализ уточняет, как может произойти нарушение и какие меры способны ему помешать. Если эти работы ведутся изолированно, документы могут описывать разные процессы.

Например, новая передача подрядчику должна быть известна специалистам защиты. В свою очередь, выявленное ограничение технической защиты может изменить первоначальный вывод о приемлемости риска.

Статьи 18.1 и 19 Закона № 152-ФЗ задают организационные обязанности и требования безопасности. Сам экспертный перечень передаваемых сведений не является универсальной обязательной формой.

Начните с проверки фактической обработки и согласуйте единое описание системы. Затем обновляйте обе оценки при изменении данных, получателей или технической схемы.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.