Что будет на проверке по закону о ПД и как вы помогаете?

Проверяющий просит подтвердить, что меры защиты персональных данных выполнены: кто назначен ответственным, какие документы и журналы ведутся, закрыты ли найденные уязвимости. KEMEL.TECH готовит комплект документов по каждому юрлицу, сверяет его с проверочным листом и описью доказательств, а при запросе за 24 часа готовит ответ и документы. Наш специалист участвует в проверке как технический специалист по доверенности, объясняет проверяющему исполненные меры и помогает с возражениями на акт. Мы сопровождаем проверку. Представительство в суде и по делам об административных правонарушениях ведёт партнёрская юрфирма.

Какая категория у моей компании?

Посчитайте общее число уникальных людей, чьи персональные данные есть во всех ваших системах: клиенты, сотрудники, кандидаты, подписчики. Это не годовой показатель. До 10 000 — малые, от 10 000 до 500 000 — средние, от 500 000 — крупные. Если вы обрабатываете ПД ограниченного доступа, категория повышается на один уровень. Для группы компаний категория определяется по каждому юрлицу отдельно. Калькулятор на странице «Закон о ПД» даёт ориентировочный результат за 5 минут, а KEMEL.TECH помогает определить категорию и составить план мер бесплатно. Расчёт не является юридической консультацией.

Что такое платформа KEMEL и что нужно установить?

Платформа KEMEL — это кабинет, в котором видны алерты, реестр находок, журналы по закону о ПД и статус готовности к проверке. Устанавливается агент (Fluent Bit и osquery): он работает через исходящее соединение mTLS на порт 443, входящие порты открывать не нужно. Агент ставится за 1 день: мы устанавливаем его или вы ставите сами. Пилот длится 14 дней: сначала мы проводим пентест и выясняем, какие у вас уязвимости, затем включаем агент, подключаем источники и маскируем ПД, после этого фиксируем находки и подгоняем правила под ваши системы. В конце вы получаете отчёт пилота.

Где хранятся мои данные и логи?

IP-адреса, логины, ФИО, иногда ИИН попадают в логи безопасности, а это персональные данные. Закон требует хранить персональные данные в базе на территории Республики Казахстан (ст. 12 Закона РК № 94-V «О персональных данных и их защите»). Платформа KEMEL работает в дата-центре в Казахстане (SaaS) или в вашем собственном контуре (on-prem), а ИИН, телефоны и e-mail маскируются ещё до записи. Не является юридической консультацией.

Сколько стоит сопровождение?

KEMEL GUARD — подписка с платформой, специалистами и документами по закону о ПД. GUARD Start — от 250 000 ₸ в месяц для малых компаний (до 10 000 человек в базе). GUARD Pro — от 500 000 ₸ в месяц для средних (от 10 000 до 500 000 человек), включает мониторинг KEMEL WATCH. GUARD Ultra — для крупных компаний (от 500 000 человек) и холдингов, цена обсуждается индивидуально. GUARD Gov — для госорганов, цена обсуждается индивидуально. Итоговая цена зависит от объёма и фиксируется в договоре. Отдельно: Red Team KEMEL BREACH — от 1 200 000 ₸, дежурная смена — по согласованию.

Что такое пентест простыми словами?

Пентест (тест на проникновение) — это проверка защиты, при которой специалисты по договору с владельцем систем пытаются их взломать так, как это сделал бы настоящий злоумышленник. Цель — найти слабые места раньше злоумышленников, подтвердить их без вреда для данных и работы сервиса и объяснить, как их исправить. По итогам клиент получает отчёт с описанием каждой уязвимости, её опасности и рекомендациями.

Как работает оплата только за найденные уязвимости?

В KEMEL.TECH (Казахстан) клиент платит только за реально найденные уязвимости по фиксированному тарифу. Если уязвимостей не обнаружено, вы получаете PDF-отчёт «периметр чист» бесплатно. Предоплата отсутствует, а дубликаты одной и той же уязвимости не тарифицируются повторно. Стоимость каждой находки определяется её критичностью по шкале CVSS: от 15 000 ₸ за LOW до 600 000 ₸ за CRITICAL.

Законен ли пентест в Казахстане?

Да, пентест в Казахстане легален при наличии письменного разрешения владельца ресурса (Authorization Letter). Без такого разрешения это неправомерный доступ к информации — ст. 205 УК РК. KEMEL.TECH работает строго в рамках закона: по договору с чётким scope и NDA, с учётом Закона РК «О персональных данных и их защите» № 94-V.

Что делать, если произошла утечка?

Уведомить уполномоченный орган — Комитет по информационной безопасности МИИЦР — в течение одного рабочего дня с момента обнаружения. В уведомлении указываются контакт ответственного лица, принятые меры и данные пострадавших: ФИО, ИИН или номер телефона. Граждан затем уведомляет оператор «электронного правительства». Порядок действий: обнаружение, оценка (что утекло и чьи данные), уведомление, меры и протокол. KEMEL.TECH заранее разрабатывает регламент и шаблон уведомления, а при инциденте подключается от 4 часов и помогает подготовить уведомление в срок.

Работаете ли вы с госорганами?

Да. Для госорганов, квазигосударственного сектора и владельцев критической ИКТ-инфраструктуры есть GUARD Gov: платформа KEMEL разворачивается on-prem в контуре заказчика, данные не покидают ваш контур. В него входят подготовка к новым требованиям по информационной безопасности, интеграция и выгрузки для взаимодействия с НКЦИБ, пентест и Red Team, журналы по закону о ПД и обучение штатных специалистов. Подготовку к испытаниям на соответствие мы проводим, сами испытания проводит уполномоченная организация. Для запроса технической спецификации используйте форму на странице «Госсектор».

Нужен ли пентест малой компании?

Законом для малых операторов пентест не требуется, но проверка сайта и личного кабинета помогает найти уязвимости до утечки.

Как часто обучать сотрудников?

Для средних компаний закон предусматривает периодическое обучение работников. Периодичность закрепляется во внутренних документах.

Чек-лист по закону о ПД для малой и средней компании

KEMEL.TECH · Обновлено 16 октября 2026 г.

Малой компании (до 10 000 человек в базе) закон требует базовых мер: ответственное лицо, внутренние документы, разграничение доступа, журналы, резервные копии, антивирус и защищённые каналы. Средней (10 000 – 500 000) дополнительно нужны анализ уязвимостей, обучение работников, порядок реагирования на инциденты и внутренний контроль.

Базовые меры (малые компании)

Назначить ответственного за защиту персональных данных.
Утвердить внутренние документы о ПД.
Разграничить доступ: сотрудники видят только то, что нужно для работы.
Вести журналы доступа и событий.
Настроить резервное копирование и проверить восстановление.
Установить антивирус и обновлять системы.
Использовать защищённые каналы передачи данных.

Дополнительно для средних компаний

Проводить анализ уязвимостей и устранять найденное.
Периодически обучать работников.
Утвердить порядок реагирования на инциденты и уведомления об утечке (срок — 1 рабочий день).
Организовать внутренний контроль соблюдения закона.

Данные ограниченного доступа

Если вы обрабатываете такие данные, категория повышается на один уровень, а сбор и обработка допускаются только на цифровых объектах в РК.

Частые вопросы

Нужен ли пентест малой компании?: Законом для малых операторов пентест не требуется, но проверка сайта и личного кабинета помогает найти уязвимости до утечки.
Как часто обучать сотрудников?: Для средних компаний закон предусматривает периодическое обучение работников. Периодичность закрепляется во внутренних документах.

Определить категорию