Что будет на проверке по закону о ПД и как вы помогаете?

Проверяющий просит подтвердить, что меры защиты персональных данных выполнены: кто назначен ответственным, какие документы и журналы ведутся, закрыты ли найденные уязвимости. KEMEL.TECH готовит комплект документов по каждому юрлицу, сверяет его с проверочным листом и описью доказательств, а при запросе за 24 часа готовит ответ и документы. Наш специалист участвует в проверке как технический специалист по доверенности, объясняет проверяющему исполненные меры и помогает с возражениями на акт. Мы сопровождаем проверку. Представительство в суде и по делам об административных правонарушениях ведёт партнёрская юрфирма.

Какая категория у моей компании?

Посчитайте общее число уникальных людей, чьи персональные данные есть во всех ваших системах: клиенты, сотрудники, кандидаты, подписчики. Это не годовой показатель. До 10 000 — малые, от 10 000 до 500 000 — средние, от 500 000 — крупные. Если вы обрабатываете ПД ограниченного доступа, категория повышается на один уровень. Для группы компаний категория определяется по каждому юрлицу отдельно. Калькулятор на странице «Закон о ПД» даёт ориентировочный результат за 5 минут, а KEMEL.TECH помогает определить категорию и составить план мер бесплатно. Расчёт не является юридической консультацией.

Что такое платформа KEMEL и что нужно установить?

Платформа KEMEL — это кабинет, в котором видны алерты, реестр находок, журналы по закону о ПД и статус готовности к проверке. Устанавливается агент (Fluent Bit и osquery): он работает через исходящее соединение mTLS на порт 443, входящие порты открывать не нужно. Агент ставится за 1 день: мы устанавливаем его или вы ставите сами. Пилот длится 14 дней: сначала мы проводим пентест и выясняем, какие у вас уязвимости, затем включаем агент, подключаем источники и маскируем ПД, после этого фиксируем находки и подгоняем правила под ваши системы. В конце вы получаете отчёт пилота.

Где хранятся мои данные и логи?

IP-адреса, логины, ФИО, иногда ИИН попадают в логи безопасности, а это персональные данные. Закон требует хранить персональные данные в базе на территории Республики Казахстан (ст. 12 Закона РК № 94-V «О персональных данных и их защите»). Платформа KEMEL работает в дата-центре в Казахстане (SaaS) или в вашем собственном контуре (on-prem), а ИИН, телефоны и e-mail маскируются ещё до записи. Не является юридической консультацией.

Сколько стоит сопровождение?

KEMEL GUARD — подписка с платформой, специалистами и документами по закону о ПД. GUARD Start — от 250 000 ₸ в месяц для малых компаний (до 10 000 человек в базе). GUARD Pro — от 500 000 ₸ в месяц для средних (от 10 000 до 500 000 человек), включает мониторинг KEMEL WATCH. GUARD Ultra — для крупных компаний (от 500 000 человек) и холдингов, цена обсуждается индивидуально. GUARD Gov — для госорганов, цена обсуждается индивидуально. Итоговая цена зависит от объёма и фиксируется в договоре. Отдельно: Red Team KEMEL BREACH — от 1 200 000 ₸, дежурная смена — по согласованию.

Что такое пентест простыми словами?

Пентест (тест на проникновение) — это проверка защиты, при которой специалисты по договору с владельцем систем пытаются их взломать так, как это сделал бы настоящий злоумышленник. Цель — найти слабые места раньше злоумышленников, подтвердить их без вреда для данных и работы сервиса и объяснить, как их исправить. По итогам клиент получает отчёт с описанием каждой уязвимости, её опасности и рекомендациями.

Как работает оплата только за найденные уязвимости?

В KEMEL.TECH (Казахстан) клиент платит только за реально найденные уязвимости по фиксированному тарифу. Если уязвимостей не обнаружено, вы получаете PDF-отчёт «периметр чист» бесплатно. Предоплата отсутствует, а дубликаты одной и той же уязвимости не тарифицируются повторно. Стоимость каждой находки определяется её критичностью по шкале CVSS: от 15 000 ₸ за LOW до 600 000 ₸ за CRITICAL.

Законен ли пентест в Казахстане?

Да, пентест в Казахстане легален при наличии письменного разрешения владельца ресурса (Authorization Letter). Без такого разрешения это неправомерный доступ к информации — ст. 205 УК РК. KEMEL.TECH работает строго в рамках закона: по договору с чётким scope и NDA, с учётом Закона РК «О персональных данных и их защите» № 94-V.

Работаете ли вы с госорганами?

Да. Для госорганов, квазигосударственного сектора и владельцев критической ИКТ-инфраструктуры есть GUARD Gov: платформа KEMEL разворачивается on-prem в контуре заказчика, данные не покидают ваш контур. В него входят подготовка к новым требованиям по информационной безопасности, интеграция и выгрузки для взаимодействия с НКЦИБ, пентест и Red Team, журналы по закону о ПД и обучение штатных специалистов. Подготовку к испытаниям на соответствие мы проводим, сами испытания проводит уполномоченная организация. Для запроса технической спецификации используйте форму на странице «Госсектор».

В какой срок нужно сообщить об утечке персональных данных?

В течение одного рабочего дня с момента обнаружения. Это правило касается всех категорий операторов.

Куда направлять уведомление об утечке?

В уполномоченный орган — Комитет по информационной безопасности МИИЦР. Граждан затем уведомляет оператор инфраструктуры «электронного правительства».

Какая ответственность за нарушение?

Ответственность предусмотрена ст. 79 КоАП РК.

Утечка персональных данных: что делать в первый рабочий день

Q: Что делать, если произошла утечка?

Уведомить уполномоченный орган — Комитет по информационной безопасности МИИЦР — в течение одного рабочего дня с момента обнаружения. В уведомлении указываются контакт ответственного лица, принятые меры и данные пострадавших: ФИО, ИИН или номер телефона. Граждан затем уведомляет оператор «электронного правительства». Порядок действий: обнаружение, оценка (что утекло и чьи данные), уведомление, меры и протокол. KEMEL.TECH заранее разрабатывает регламент и шаблон уведомления, а при инциденте подключается от 4 часов и помогает подготовить уведомление в срок.

KEMEL.TECH · Обновлено 16 октября 2026 г.

При утечке персональных данных в Казахстане нужно уведомить уполномоченный орган — Комитет по информационной безопасности МИИЦР — в течение одного рабочего дня с момента обнаружения. В уведомлении указывают контакт ответственного лица, принятые меры и данные пострадавших (ФИО, ИИН или номер телефона). Граждан затем уведомляет оператор «электронного правительства».

Порядок действий

Обнаружение: зафиксировать время и источник, кто и как заметил утечку.
Оценка: что именно утекло, чьи данные, сколько человек затронуто.
Остановка: закрыть уязвимость или доступ, сменить ключи и пароли.
Уведомление: отправить сообщение в уполномоченный орган в течение 1 рабочего дня.
Меры и протокол: описать принятые меры, сохранить журналы и доказательства.

Что указать в уведомлении

Правила уведомления о нарушении безопасности ПД утверждены приказом № 481/НҚ. Срок и порядок одинаковы для всех категорий операторов.

Контакт ответственного лица.
Принятые меры.
Данные пострадавших: ФИО и (или) ИИН и (или) номер телефона.

Почему регламент нужен заранее

За один рабочий день сложно придумать процесс с нуля: нужно знать, кто решает, кто пишет в орган, где лежат журналы и как быстро поднять доказательства. Поэтому регламент и шаблон уведомления лучше подготовить до инцидента.

Назначены ответственные и их замены.
Журналы событий хранятся и доступны для разбора.
Шаблон уведомления заполнен реквизитами компании.
Раз в год проводится учебная тревога.

Как помогает KEMEL.TECH

Мы заранее разрабатываем регламент и шаблон уведомления, а при инциденте подключаемся от 4 часов и помогаем подготовить уведомление в срок.

Частые вопросы

В какой срок нужно сообщить об утечке персональных данных?: В течение одного рабочего дня с момента обнаружения. Это правило касается всех категорий операторов.
Куда направлять уведомление об утечке?: В уполномоченный орган — Комитет по информационной безопасности МИИЦР. Граждан затем уведомляет оператор инфраструктуры «электронного правительства».
Какая ответственность за нарушение?: Ответственность предусмотрена ст. 79 КоАП РК.

Подготовиться к закону о ПД