Что будет на проверке по закону о ПД и как вы помогаете?

Проверяющий просит подтвердить, что меры защиты персональных данных выполнены: кто назначен ответственным, какие документы и журналы ведутся, закрыты ли найденные уязвимости. KEMEL.TECH готовит комплект документов по каждому юрлицу, сверяет его с проверочным листом и описью доказательств, а при запросе за 24 часа готовит ответ и документы. Наш специалист участвует в проверке как технический специалист по доверенности, объясняет проверяющему исполненные меры и помогает с возражениями на акт. Мы сопровождаем проверку. Представительство в суде и по делам об административных правонарушениях ведёт партнёрская юрфирма.

Какая категория у моей компании?

Посчитайте общее число уникальных людей, чьи персональные данные есть во всех ваших системах: клиенты, сотрудники, кандидаты, подписчики. Это не годовой показатель. До 10 000 — малые, от 10 000 до 500 000 — средние, от 500 000 — крупные. Если вы обрабатываете ПД ограниченного доступа, категория повышается на один уровень. Для группы компаний категория определяется по каждому юрлицу отдельно. Калькулятор на странице «Закон о ПД» даёт ориентировочный результат за 5 минут, а KEMEL.TECH помогает определить категорию и составить план мер бесплатно. Расчёт не является юридической консультацией.

Что такое платформа KEMEL и что нужно установить?

Платформа KEMEL — это кабинет, в котором видны алерты, реестр находок, журналы по закону о ПД и статус готовности к проверке. Устанавливается агент (Fluent Bit и osquery): он работает через исходящее соединение mTLS на порт 443, входящие порты открывать не нужно. Агент ставится за 1 день: мы устанавливаем его или вы ставите сами. Пилот длится 14 дней: сначала мы проводим пентест и выясняем, какие у вас уязвимости, затем включаем агент, подключаем источники и маскируем ПД, после этого фиксируем находки и подгоняем правила под ваши системы. В конце вы получаете отчёт пилота.

Где хранятся мои данные и логи?

IP-адреса, логины, ФИО, иногда ИИН попадают в логи безопасности, а это персональные данные. Закон требует хранить персональные данные в базе на территории Республики Казахстан (ст. 12 Закона РК № 94-V «О персональных данных и их защите»). Платформа KEMEL работает в дата-центре в Казахстане (SaaS) или в вашем собственном контуре (on-prem), а ИИН, телефоны и e-mail маскируются ещё до записи. Не является юридической консультацией.

Сколько стоит сопровождение?

KEMEL GUARD — подписка с платформой, специалистами и документами по закону о ПД. GUARD Start — от 250 000 ₸ в месяц для малых компаний (до 10 000 человек в базе). GUARD Pro — от 500 000 ₸ в месяц для средних (от 10 000 до 500 000 человек), включает мониторинг KEMEL WATCH. GUARD Ultra — для крупных компаний (от 500 000 человек) и холдингов, цена обсуждается индивидуально. GUARD Gov — для госорганов, цена обсуждается индивидуально. Итоговая цена зависит от объёма и фиксируется в договоре. Отдельно: Red Team KEMEL BREACH — от 1 200 000 ₸, дежурная смена — по согласованию.

Что такое пентест простыми словами?

Пентест (тест на проникновение) — это проверка защиты, при которой специалисты по договору с владельцем систем пытаются их взломать так, как это сделал бы настоящий злоумышленник. Цель — найти слабые места раньше злоумышленников, подтвердить их без вреда для данных и работы сервиса и объяснить, как их исправить. По итогам клиент получает отчёт с описанием каждой уязвимости, её опасности и рекомендациями.

Как работает оплата только за найденные уязвимости?

В KEMEL.TECH (Казахстан) клиент платит только за реально найденные уязвимости по фиксированному тарифу. Если уязвимостей не обнаружено, вы получаете PDF-отчёт «периметр чист» бесплатно. Предоплата отсутствует, а дубликаты одной и той же уязвимости не тарифицируются повторно. Стоимость каждой находки определяется её критичностью по шкале CVSS: от 15 000 ₸ за LOW до 600 000 ₸ за CRITICAL.

Законен ли пентест в Казахстане?

Да, пентест в Казахстане легален при наличии письменного разрешения владельца ресурса (Authorization Letter). Без такого разрешения это неправомерный доступ к информации — ст. 205 УК РК. KEMEL.TECH работает строго в рамках закона: по договору с чётким scope и NDA, с учётом Закона РК «О персональных данных и их защите» № 94-V.

Что делать, если произошла утечка?

Уведомить уполномоченный орган — Комитет по информационной безопасности МИИЦР — в течение одного рабочего дня с момента обнаружения. В уведомлении указываются контакт ответственного лица, принятые меры и данные пострадавших: ФИО, ИИН или номер телефона. Граждан затем уведомляет оператор «электронного правительства». Порядок действий: обнаружение, оценка (что утекло и чьи данные), уведомление, меры и протокол. KEMEL.TECH заранее разрабатывает регламент и шаблон уведомления, а при инциденте подключается от 4 часов и помогает подготовить уведомление в срок.

Работаете ли вы с госорганами?

Да. Для госорганов, квазигосударственного сектора и владельцев критической ИКТ-инфраструктуры есть GUARD Gov: платформа KEMEL разворачивается on-prem в контуре заказчика, данные не покидают ваш контур. В него входят подготовка к новым требованиям по информационной безопасности, интеграция и выгрузки для взаимодействия с НКЦИБ, пентест и Red Team, журналы по закону о ПД и обучение штатных специалистов. Подготовку к испытаниям на соответствие мы проводим, сами испытания проводит уполномоченная организация. Для запроса технической спецификации используйте форму на странице «Госсектор».

Чем пентест отличается от аудита безопасности?

Пентест проверяет, можно ли реально взломать систему, а аудит сверяет документы, процессы и меры защиты с требованиями. Они дополняют друг друга.

Сколько стоит Red Team?

От 1 200 000 ₸, итог зависит от объёма и фиксируется в договоре. Работа занимает 2–4 недели.

Что лучше для небольшой компании?

Начните с пентеста сайта, личного кабинета и API. Оплата только за подтверждённые уязвимости помогает не платить заранее за результат, который неизвестен.

Пентест, аудит безопасности и Red Team: в чём разница

KEMEL.TECH · Обновлено 16 октября 2026 г.

Анализ уязвимостей находит известные слабые места по списку, пентест подтверждает их эксплуатацией в согласованных границах, аудит сверяет документы и процессы с требованиями, а Red Team воспроизводит атаку от начала до конца и проверяет, заметила ли её команда. Для большинства компаний с сайтом или личным кабинетом начинать стоит с пентеста; Red Team нужен зрелой защите.

Сравнение коротко

Анализ уязвимостей: автоматический поиск известных проблем. Быстро и недорого, но возможны ложные срабатывания, а логику приложения он не проверяет.
Пентест: специалисты вручную подтверждают уязвимости и показывают, чем они грозят. От 48 часов до 10 рабочих дней. В KEMEL.TECH — оплата за подтверждённое, 0 ₸ если чисто.
Аудит ИБ: проверка документов, процессов и мер защиты на соответствие требованиям (закон о ПД, ISO 27001). Показывает, что оформлено, а не что реально взламывается.
Red Team: имитация целевой атаки, включая фишинг и социальную инженерию, с проверкой реакции команды. 2–4 недели, от 1 200 000 ₸.

Что выбрать

Есть сайт, личный кабинет или API и вы ни разу не проверяли защиту: начните с пентеста.
Нужно подтвердить соответствие закону о ПД: определите категорию, затем меры. Для крупных операторов закон требует пентест и независимый аудит.
Защита уже выстроена, есть мониторинг и команда: Red Team проверит, как всё работает под настоящей атакой.
Нужны постоянные проверки, а не разовые: подписка KEMEL GUARD с пентестом раз в квартал и ежемесячной проверкой периметра.

Частые ошибки

Принимать отчёт сканера за пентест: автоматика пропускает ошибки логики.
Проверять один раз и считать вопрос закрытым: после каждого крупного релиза появляются новые риски.
Не оформить разрешение и границы работ: это юридический риск для обеих сторон.

Частые вопросы

Чем пентест отличается от аудита безопасности?: Пентест проверяет, можно ли реально взломать систему, а аудит сверяет документы, процессы и меры защиты с требованиями. Они дополняют друг друга.
Сколько стоит Red Team?: От 1 200 000 ₸, итог зависит от объёма и фиксируется в договоре. Работа занимает 2–4 недели.
Что лучше для небольшой компании?: Начните с пентеста сайта, личного кабинета и API. Оплата только за подтверждённые уязвимости помогает не платить заранее за результат, который неизвестен.

Скачать КП на пентест