152-ФЗ не про формальности — он про ответственность.
Если в вашей CRM накапливаются “висячие” доступы, забытые интеграции и никто не ведёт логи — утечка лишь вопрос времени.
Аудит информационной безопасности — способ не оправдываться после, а предотвратить заранее.
Всё начинается с уверенности: «У нас всё нормально»
Бизнес сегодня — это CRM. Через неё идут клиенты, заявки, звонки, чаты, рассылки. Всё, что дорого.
Но в этой системе тоже работают люди. Они увольняются, забывают, ошибаются. А система живёт своей жизнью:
— старые токены не удалены,
— боты с доступом висят,
— Telegram-интеграции остались от бывших подрядчиков,
— логов нет, кто что удалил — непонятно.
И вот уже данные ушли. Клиенты получили фишинг. А вы — штраф.
Закон тоже не дремлет
Есть такой — 152-ФЗ. Про персональные данные.
С 2025 года за его нарушение можно получить штраф до 15 миллионов рублей.
Причём, виноватой будет не “Айти”, не “тот парень, что настраивал CRM”, а сама компания. Даже если всё случилось через подрядчика или уволенного админа.
Один кейс из жизни
Компания с филиалами. У всех — отдельные порталы Битрикс24.
Их обслуживал один удалённый админ. Уволили — доступ не отозвали. Через 2 недели пошли письма клиентам с фейковыми ссылками.
Реакция:
– удар по репутации,
– 350 000 ₽ штрафа от Роскомнадзора,
– и банальное: «мы не думали, что такое возможно».
5 вещей, из-за которых утечки случаются чаще всего
- Права “как у всех” — новенькому выдали полный доступ «по аналогии», забыв отключить ненужное.
- Старые токены и вебхуки — висят годами, никто не проверяет.
- Интеграции без контроля — настроили, забыли, ушли.
- Нет логов действий — кто выгрузил базу? Неизвестно.
- Все админы — у каждого менеджера права администратора. Зачем? “На всякий случай”.
Почему даже айтишники не всегда замечают
Они не ленивые. Просто фокус у всех — на внедрение, автоматизацию, “чтобы работало”. А безопасность кажется чем-то излишним… пока не взорвётся.
Как выйти из этого замкнутого круга
Самый простой и честный способ — провести аудит.
Просто посмотреть:
— кто к чему имеет доступ,
— какие внешние сервисы подключены,
— работают ли процессы при увольнении.
В 9 случаях из 10 мы находим “бомбы замедленного действия”. Иногда одна настройка может спасти миллионы.
Когда стоит сделать аудит?
– если вы меняли подрядчика,
– если подключали внешние сервисы,
– если недавно был массовый найм или увольнение,
– или просто не проверяли систему больше года.
Что дальше?
Если у вас в бизнесе есть CRM, персональные данные и желание спать спокойно — начните с аудита. Это шаг, который не видно клиенту, но он защищает всё, что вы строите.
Вы уверены, что в вашей CRM всё под контролем? Вот 7 ситуаций, когда пора срочно провести аудит безопасности. Посмотрите — возможно, это как раз ваш случай.