Защита персональных данных редко остается задачей только юриста, DPO или CISO. Данные сотрудников находятся в HR-системе, сведения о клиентах — в CRM, копии документов могут проходить через электронную почту, облачные сервисы, резервные копии и системы подрядчиков. Поэтому реальная задача компании — не просто знать требования законодательства, а встроить их в ежедневные процессы.

Именно здесь полезна ISO/IEC 27001. Стандарт устанавливает требования к системе менеджмента информационной безопасности — ISMS — и позволяет управлять информационными рисками через определенные процессы, ответственность, контроль и постоянное улучшение. ISO указывает, что ISO/IEC 27001:2022 применяется организациями разных размеров и отраслей для создания, внедрения, поддержания и постоянного совершенствования ISMS.

Для компаний, изучающих вопросы ISO 27001 в Казахстане, важно сразу провести границу: стандарт не заменяет Закон Республики Казахстан «О персональных данных и их защите» и другие применимые нормативные акты. Он помогает сделать их выполнение управляемым.

Правовые положения в этой статье проверены по ИПС «Әділет» по состоянию на сентябрь 2026 года. В системе закон указан как обновленный, с датой изменения 14 сентября 2026 года. Материал носит информационный характер и не является юридической консультацией; перед принятием юридически значимых решений необходимо дополнительно проверить применимые нормы для конкретной организации.

1. Что регулирует закон, а что дает ISO/IEC 27001

Законодательство отвечает прежде всего на вопрос: какие обязанности должна выполнить организация при сборе, обработке, хранении, передаче и защите персональных данных.

Например, действующая редакция закона требует принимать правовые, организационные и технические меры защиты, предотвращать несанкционированный доступ, своевременно обнаруживать его и минимизировать последствия. Для юридических лиц предусмотрено назначение лица, ответственного за организацию обработки персональных данных.

ISO/IEC 27001 отвечает на другой вопрос: как сделать выполнение подобных обязательств частью управляемой системы.

В ISMS правовая обязанность может быть связана с владельцем процесса, информационным активом, угрозой, оценкой риска, выбранным контролем и конкретным доказательством его выполнения. Получается не папка с политиками «для проверки», а рабочая цепочка.

Поэтому ISMS и персональные данные логично рассматривать вместе. Юрист определяет обязательство, владелец процесса объясняет фактическую обработку, IT и информационная безопасность внедряют технические меры, а ISMS связывает эти элементы и позволяет контролировать результат.

2. Как определить границы ISMS и категории персональных данных

Одна из типичных ошибок — начинать с покупки средств защиты. Сначала полезнее понять, какие данные организация действительно обрабатывает и где они находятся.

Границы ISMS должны учитывать подразделения, информационные системы, процессы и внешних поставщиков, влияющих на безопасность персональных данных. Если HR входит в область ISMS, недостаточно внести в реестр только HRM-систему. Нужно учитывать рабочие станции, файловые хранилища, корпоративную почту, резервные копии, интеграции с бухгалтерией и сервисы подрядчиков.

Закон Казахстана разделяет персональные данные по доступности, а действующие правила отдельно устанавливают меры для персональных данных ограниченного доступа. В частности, правила предусматривают определение целей их обработки, журналирование событий и действий пользователей, меры контроля целостности, защищенную передачу и применение средств защиты.

Практически это означает, что реестр активов ISMS стоит дополнить характеристиками персональных данных: категориями субъектов, перечнем данных, целью обработки, системой хранения, владельцем процесса, пользователями с доступом, сроками хранения и передачей третьим лицам.

3. Как перенести правовые требования в реестр обязательств и рисков

Юридическое требование становится полезным для ISMS только после того, как его можно проверить.

Допустим, компания обязана предотвращать несанкционированный доступ. Для юриста это нормативное обязательство. Для CISO — сценарий риска: бывший сотрудник сохраняет доступ к CRM. Для IT — задача отключать учетные записи. Для аудитора — вопрос: покажите заявку на увольнение, время блокирования учетной записи и запись в журнале.

Так появляется связка «обязательство — риск — контроль — доказательство».

Пример матрицы

Требование законодательства	Возможный риск	Процесс ISMS	Пример доказательства
Обрабатывать данные для определенных целей и в необходимом объеме	Сбор избыточных данных	Управление активами, оценка рисков, управление требованиями	Реестр обработки, утвержденный перечень данных
Обеспечивать конфиденциальность и защиту от несанкционированного доступа	Доступ сотрудника без служебной необходимости	Управление доступом	Матрица ролей, заявки на доступ, результаты пересмотра прав
Хранить персональные данные в соответствии с применимыми требованиями	Использование инфраструктуры с неподходящим размещением данных	Управление инфраструктурой и поставщиками	Архитектурная схема, договор с провайдером, сведения о ЦОД
Выявлять нарушения безопасности и реагировать на них	Несвоевременное обнаружение утечки	Incident Management	SIEM-журналы, карточка инцидента, отчет расследования
Уничтожать или удалять данные в предусмотренных законом случаях	Бессрочное хранение записей и резервных копий	Управление жизненным циклом информации	Retention schedule, акт удаления, настройки системы
Контролировать передачу данных третьим лицам	Неконтролируемый доступ подрядчика	Supplier Security	Реестр поставщиков, договорные требования, результаты оценки

Такую матрицу удобно использовать и при внутреннем аудите, и при GAP Assessment: она быстро показывает ситуации, когда документ существует, но процесс не работает, либо технический контроль внедрен, но не связан с конкретным обязательством.

4. Контроли доступа, журналирование, резервное копирование и удаление

Контроль доступа к персональным данным начинается не с пароля, а с вопроса: кому и зачем нужен доступ.

Для каждого критичного ресурса полезно определить роли, правила выдачи и отзыва полномочий, периодичность их пересмотра и способ регистрации действий. Актуальные казахстанские правила для данных ограниченного доступа предусматривают, среди прочего, ведение журналов событий систем управления базами и действий пользователей, применение мер контроля целостности и защиту при передаче данных.

Отдельная тема — резервные копии. Backup защищает доступность, но одновременно создает дополнительную копию персональных данных. Поэтому политика резервного копирования должна быть согласована с правилами хранения и удаления: где находятся копии, сколько они существуют, кто имеет доступ и как выполняется удаление после окончания установленного периода.

Закон предусматривает уничтожение или удаление персональных данных, в частности после истечения срока хранения и в ряде других установленных случаев. Это означает, что процесс удаления должен охватывать не только основную базу, но и связанные информационные потоки, насколько это применимо технически и юридически.

5. Облачные сервисы и обработка данных подрядчиками

Облако не отменяет ответственность за данные. Оно лишь меняет архитектуру и добавляет еще одного участника процесса.

Для темы защиты персональных данных в Казахстане особенно важна локализация. Закон предусматривает хранение персональных данных в базе и/или цифровом объекте, находящихся на территории Республики Казахстан. Действующие правила также устанавливают территориальные требования к цифровым объектам и хранению данных. Одновременно статья 16 закона регулирует условия трансграничной передачи персональных данных.

Поэтому перед подключением CRM, HR SaaS или облачной аналитической платформы недостаточно получить от поставщика красивую презентацию о безопасности. Следует разобраться, где физически находятся production-данные, резервные копии и disaster recovery, какие субподрядчики участвуют в обработке, возможен ли удаленный административный доступ из других стран и какие данные передаются через интеграции.

Пример потока данных сотрудника

Представим прием нового сотрудника. HR получает необходимые сведения и вносит их в HR-систему. Часть информации передается в бухгалтерию, учетная запись создается в корпоративной директории, данные могут попадать в систему контроля доступа, сервис обучения и резервные копии.

ISMS должна видеть не только исходную HR-запись, а весь маршрут. Если человек увольняется, процесс должен инициировать блокирование учетных записей, пересмотр необходимости хранения данных и выполнение установленных процедур удаления. Именно анализ потока данных часто обнаруживает «невидимые» копии — Excel-файлы, почтовые вложения или выгрузки подрядчику.

6. Реагирование на инциденты с персональными данными

Обычного плана реагирования на киберинциденты недостаточно, если команда не умеет определить, затронуты ли персональные данные.

Действующий закон предусматривает обязанность уведомить уполномоченный орган о нарушении безопасности персональных данных в течение одного рабочего дня с момента обнаружения. Актуальные правила также содержат соответствующий порядок уведомления.

Следовательно, playbook реагирования должен соединять IT, информационную безопасность, юридическую функцию и ответственного за обработку персональных данных. Техническая команда устанавливает масштаб события, юридическая — применимые обязанности, а руководство получает документированную картину для принятия решений.

Полезно заранее определить, кто классифицирует инцидент, кто собирает журналы, кто принимает решение об эскалации и какие сведения фиксируются в карточке события. Тогда при реальном инциденте команда не начинает обмениваться сообщениями в стиле «а кто вообще должен этим заниматься?».

7. Какие доказательства готовить для внутренней проверки и аудита

Сильная ISMS отличается от формальной тем, что организация может показать не только политику, но и выполнение политики.

Если процедура требует ежеквартального пересмотра доступа, доказательством будет не само положение о доступе, а результаты последнего пересмотра. Если существует процесс оценки поставщиков — понадобятся заполненные оценки. Если предусмотрено удаление информации — нужны записи о выполнении.

При проверке полезно собирать доказательства по одной логике: утвержденное требование, назначенный ответственный, работающий процесс, техническая запись и результат контроля.

Это особенно важно потому, что сертификат ISO/IEC 27001 сам по себе не является автоматическим доказательством полной правовой соответствия законодательству Казахстана. ISO рассматривает ISO/IEC 27001 как стандарт требований к ISMS, а в официальных разъяснениях ISO отдельно указывается, что законодательство имеет приоритет перед добровольными стандартами и стандарты могут дополнять правовые требования.

Сертификация показывает, что в определенной области сертификации действует система менеджмента информационной безопасности, соответствующая применимым требованиям стандарта. Но юридическую применимость конкретных норм, конкретные процессы обработки и фактическое соблюдение законодательства необходимо оценивать отдельно.

8. Пошаговый план интеграции юридической и ISMS-команд

Необязательно создавать параллельную «систему управления персональными данными», если организация уже развивает ISO/IEC 27001. Чаще эффективнее встроить правовые требования в существующие процессы ISMS.

Рабочая последовательность может выглядеть так:

• определить область ISMS и фактические потоки персональных данных;
• составить реестр применимых правовых и договорных требований;
• связать требования с активами, процессами и владельцами;
• определить сценарии риска и оценить существующие меры;
• проверить управление доступом, журналирование, хранение, удаление и резервные копии;
• провести оценку облачных сервисов, подрядчиков и трансграничных потоков;
• интегрировать требования к персональным данным в Incident Response;
• определить набор доказательств и провести внутреннюю проверку.

Результатом должна стать единая управляемая модель, в которой юристу понятно, как выполняется требование, CISO видит связанные с ним риски, IT понимает технические задачи, а руководство получает подтверждаемую картину состояния защиты.



_________________________________________________________________________

FAQ

Заменяет ли ISO/IEC 27001 выполнение закона о персональных данных?

Нет. ISO/IEC 27001 задает требования к системе менеджмента информационной безопасности и помогает организовать риск-ориентированное управление защитой информации. Применимые требования законодательства Казахстана необходимо определять и выполнять отдельно.

Нужно ли включать персональные данные сотрудников в ISMS?

Если HR-процессы, системы или инфраструктура входят в область ISMS и влияют на информационные риски организации, данные сотрудников необходимо учитывать при инвентаризации активов, оценке рисков и выборе мер защиты. Конкретная область ISMS определяется самой организацией с учетом ее контекста.

С чего начать, если в компании уже есть ISO/IEC 27001, но отдельно соответствие требованиям по персональным данным не проверялось?

Начать стоит с совместного GAP Assessment. Необходимо сопоставить актуальные правовые требования с областью ISMS, реестром активов, информационными потоками, рисками, контролями и фактическими доказательствами выполнения.

От требований к работающей системе

Основная ценность ISO/IEC 27001 в контексте персональных данных — возможность превратить разрозненные обязанности в повторяемый управленческий процесс. Правовое требование становится записью в реестре обязательств, затем — риском и контролем, у контроля появляется ответственный, а у организации — доказательство его работы.

BALTUM BUREAU может провести совместный GAP Assessment ISMS и практик защиты персональных данных, чтобы определить, насколько текущие процессы информационной безопасности связаны с применимыми требованиями Казахстана, где остаются пробелы и какие действия целесообразно включить в план улучшений.

Такой анализ особенно полезен перед внедрением или сертификацией ISO/IEC 27001, изменением облачной инфраструктуры, подключением новых подрядчиков или внутренним аудитом. Он помогает смотреть на защиту персональных данных не как на набор отдельных документов, а как на систему, которую можно контролировать, проверять и последовательно улучшать.