Что будет на проверке по закону о ПД и как вы помогаете?

Проверяющий просит подтвердить, что меры защиты персональных данных выполнены: кто назначен ответственным, какие документы и журналы ведутся, закрыты ли найденные уязвимости. KEMEL.TECH готовит комплект документов по каждому юрлицу, сверяет его с проверочным листом и описью доказательств, а при запросе за 24 часа готовит ответ и документы. Наш специалист участвует в проверке как технический специалист по доверенности, объясняет проверяющему исполненные меры и помогает с возражениями на акт. Мы сопровождаем проверку. Представительство в суде и по делам об административных правонарушениях ведёт партнёрская юрфирма.

Какая категория у моей компании?

Посчитайте общее число уникальных людей, чьи персональные данные есть во всех ваших системах: клиенты, сотрудники, кандидаты, подписчики. Это не годовой показатель. До 10 000 — малые, от 10 000 до 500 000 — средние, от 500 000 — крупные. Если вы обрабатываете ПД ограниченного доступа, категория повышается на один уровень. Для группы компаний категория определяется по каждому юрлицу отдельно. Калькулятор на странице «Закон о ПД» даёт ориентировочный результат за 5 минут, а KEMEL.TECH помогает определить категорию и составить план мер бесплатно. Расчёт не является юридической консультацией.

Что такое платформа KEMEL и что нужно установить?

Платформа KEMEL — это кабинет, в котором видны алерты, реестр находок, журналы по закону о ПД и статус готовности к проверке. Устанавливается агент (Fluent Bit и osquery): он работает через исходящее соединение mTLS на порт 443, входящие порты открывать не нужно. Агент ставится за 1 день: мы устанавливаем его или вы ставите сами. Пилот длится 14 дней: сначала мы проводим пентест и выясняем, какие у вас уязвимости, затем включаем агент, подключаем источники и маскируем ПД, после этого фиксируем находки и подгоняем правила под ваши системы. В конце вы получаете отчёт пилота.

Где хранятся мои данные и логи?

IP-адреса, логины, ФИО, иногда ИИН попадают в логи безопасности, а это персональные данные. Закон требует хранить персональные данные в базе на территории Республики Казахстан (ст. 12 Закона РК № 94-V «О персональных данных и их защите»). Платформа KEMEL работает в дата-центре в Казахстане (SaaS) или в вашем собственном контуре (on-prem), а ИИН, телефоны и e-mail маскируются ещё до записи. Не является юридической консультацией.

Сколько стоит сопровождение?

KEMEL GUARD — подписка с платформой, специалистами и документами по закону о ПД. GUARD Start — от 250 000 ₸ в месяц для малых компаний (до 10 000 человек в базе). GUARD Pro — от 500 000 ₸ в месяц для средних (от 10 000 до 500 000 человек), включает мониторинг KEMEL WATCH. GUARD Ultra — для крупных компаний (от 500 000 человек) и холдингов, цена обсуждается индивидуально. GUARD Gov — для госорганов, цена обсуждается индивидуально. Итоговая цена зависит от объёма и фиксируется в договоре. Отдельно: Red Team KEMEL BREACH — от 1 200 000 ₸, дежурная смена — по согласованию.

Что такое пентест простыми словами?

Пентест (тест на проникновение) — это проверка защиты, при которой специалисты по договору с владельцем систем пытаются их взломать так, как это сделал бы настоящий злоумышленник. Цель — найти слабые места раньше злоумышленников, подтвердить их без вреда для данных и работы сервиса и объяснить, как их исправить. По итогам клиент получает отчёт с описанием каждой уязвимости, её опасности и рекомендациями.

Как работает оплата только за найденные уязвимости?

В KEMEL.TECH (Казахстан) клиент платит только за реально найденные уязвимости по фиксированному тарифу. Если уязвимостей не обнаружено, вы получаете PDF-отчёт «периметр чист» бесплатно. Предоплата отсутствует, а дубликаты одной и той же уязвимости не тарифицируются повторно. Стоимость каждой находки определяется её критичностью по шкале CVSS: от 15 000 ₸ за LOW до 600 000 ₸ за CRITICAL.

Законен ли пентест в Казахстане?

Да, пентест в Казахстане легален при наличии письменного разрешения владельца ресурса (Authorization Letter). Без такого разрешения это неправомерный доступ к информации — ст. 205 УК РК. KEMEL.TECH работает строго в рамках закона: по договору с чётким scope и NDA, с учётом Закона РК «О персональных данных и их защите» № 94-V.

Что делать, если произошла утечка?

Уведомить уполномоченный орган — Комитет по информационной безопасности МИИЦР — в течение одного рабочего дня с момента обнаружения. В уведомлении указываются контакт ответственного лица, принятые меры и данные пострадавших: ФИО, ИИН или номер телефона. Граждан затем уведомляет оператор «электронного правительства». Порядок действий: обнаружение, оценка (что утекло и чьи данные), уведомление, меры и протокол. KEMEL.TECH заранее разрабатывает регламент и шаблон уведомления, а при инциденте подключается от 4 часов и помогает подготовить уведомление в срок.

Работаете ли вы с госорганами?

Да. Для госорганов, квазигосударственного сектора и владельцев критической ИКТ-инфраструктуры есть GUARD Gov: платформа KEMEL разворачивается on-prem в контуре заказчика, данные не покидают ваш контур. В него входят подготовка к новым требованиям по информационной безопасности, интеграция и выгрузки для взаимодействия с НКЦИБ, пентест и Red Team, журналы по закону о ПД и обучение штатных специалистов. Подготовку к испытаниям на соответствие мы проводим, сами испытания проводит уполномоченная организация. Для запроса технической спецификации используйте форму на странице «Госсектор».

Чем пентест отличается от сканирования уязвимостей?

Сканер автоматически находит известные проблемы и даёт много ложных срабатываний. При пентесте специалист вручную подтверждает уязвимость и показывает, что можно сделать с её помощью.

Нужен ли пентест малому бизнесу?

Законом для малых операторов персональных данных пентест не требуется. Он полезен, если у вас есть сайт, личный кабинет или приложение с данными клиентов.

Как выбрать компанию для пентеста в Казахстане: 8 вопросов подрядчику

KEMEL.TECH · Обновлено 19 октября 2026 г.

Чтобы выбрать подрядчика для пентеста, проверьте восемь вещей: договор и границы работ, методологию (например, OWASP), ручное подтверждение находок, понятный отчёт, бесплатный ретест, обращение с вашими данными, прозрачную цену и готовность участвовать в проверке регулятора. Обязательное условие в Казахстане: письменное разрешение владельца ресурса, иначе работа считается неправомерным доступом (ст. 205 УК РК).

8 вопросов подрядчику

Есть ли договор, NDA и письменное разрешение с чёткими границами (scope)?
По какой методологии проводится проверка: OWASP Top-10, проверка API, бизнес-логики?
Подтверждаются ли находки вручную, или вы получите выгрузку автоматического сканера?
Что в отчёте: описание, уровень по CVSS, шаги воспроизведения, рекомендации для разработчиков?
Включён ли ретест после исправлений и платный ли он?
Как подрядчик обращается с данными, которые увидел при тесте, и где они хранятся?
Как формируется цена и что происходит, если уязвимостей нет?
Поможет ли подрядчик на проверке по закону о ПД и объяснит ли результаты проверяющему?

Тревожные признаки

Обещание «взломать за час» без письменного разрешения.
Отчёт состоит из выгрузки сканера без ручной проверки.
Предоплата без чётко описанного результата.
Подрядчик не готов фиксировать границы работ в договоре.

Как это устроено в KEMEL.TECH

Работа идёт по договору с NDA и чёткими границами, находки подтверждаются вручную, оплата только за подтверждённые уязвимости по CVSS, ретест бесплатный, а при проверке по закону о ПД специалист участвует как технический специалист по доверенности.

Частые вопросы

Чем пентест отличается от сканирования уязвимостей?: Сканер автоматически находит известные проблемы и даёт много ложных срабатываний. При пентесте специалист вручную подтверждает уязвимость и показывает, что можно сделать с её помощью.
Нужен ли пентест малому бизнесу?: Законом для малых операторов персональных данных пентест не требуется. Он полезен, если у вас есть сайт, личный кабинет или приложение с данными клиентов.

Заказать пентест