Школа персональных данных Аудитор ИСПДн.
Сначала факты,
потом галочки выводы
Как в одиночку или небольшой командой провести полноценный аудит информационной системы персональных данных — от постановки задачи до отчета и плана корректирующих действий. За курс вы соберете собственный инструмент аудитора и научитесь проводить им аудит.
Курс в числах
Камерный формат и практика на реальных кейсах: многофилиальная медицинская компания, ее сайт, CRM для работы с пациентами и HR-портал для сотрудников. Системы до 2-го уровня защищенности ПДн. CRM еще имеет 3-ю категорию значимости КИИ.
Аудит — это две неравные фазы
Большинство аудиторов пропускают первую фазу и сразу спрашивают: «покажите, как у вас выполняется требование». Курс учит делать обследование системно и воспроизводимо.
Фаза установления объективного свидетельства
Как планировать, собирать, хранить, использовать, переиспользовать и сравнивать факты о системе. Интервью, документы, наблюдение, настройки ИС и СЗИ.
Фаза оценивания по критериям аудита
Сопоставление собранных свидетельств с требованиями, вывод «соответствует / не соответствует» с указанием конкретного недостатка, рекомендации и план корректирующих действий.
Невозможно защищать то, что не посчитано. Поэтому компоненты системы — интерфейсы, API, базы, логи, СЗИ — считаем в штуках.
Кому подойдет курс
Для специалистов с базовыми и средними навыками в аудите информационных систем. Если вы джун — вырастете до мидла. Если мидл — до синьора. Если синьор — до стафф-инженера.
DPO
Ведут RoPA, оценку вреда, взаимодействие с РКН. Хотят разбираться в ИБ/ИТ и разговаривать с ними на одном языке.
ИТ-юристы
Сопровождают обработку ПДн и хотят понимать устройство систем и правильно интерпретировать требования законодательства.
Специалисты по ИБ
Хотят проводить аудит не по чек-листу, а по фактам о системе.
Аудиторы и комплаенс-менеджеры
Внутренние и внешние, которым нужен воспроизводимый метод.
ИТ-специалисты
Администраторы, DevOps и архитекторы, которые переходят в безопасность.
- Базовое понимание ИТ-инфраструктуры и терминологии ИБ
- Знакомство с 152-ФЗ и подзаконными актами на уровне общей эрудиции
- Аккаунт Google — курс построен вокруг Google Таблиц
- Плюсом — опыт разработки или системного администрирования
Что вы будете уметь
Подробно разберете каждый компонент на примере 3 ИСПДн, научитесь читать схемы C4, разработаете свой инструмент аудита и заполните его, самостоятельно проведете аудит, поучаствуете в интервью и подготовите отчет.
Управлять аудитом как проектом
- Формулировать цель, критерии и scope аудита, оформлять обоснованные исключения
- Получать полномочия и выстраивать отношения с заказчиком и владельцем системы
- Планировать программу, график, роли, доступы и каналы коммуникации
- Проводить kick-off, запрашивать материалы, вести до 15 интервью за ~2 недели
Обследовать систему
- Вести опросный лист по принципу «один слой — одна вкладка»
- Описывать архитектуру послойно: ЦОД → оборудование → АРМ → компоненты → интерфейсы → данные → интеграции
- Собирать процессы: SSDLC, DevOps, сеть, управление доступом, DWH, ИИ, HR, ИБ
- Ловить противоречия в показаниях через дублирующие вопросы
Оценивать и отчитываться
- Сопоставлять свидетельства с критериями и формулировать выводы
- Готовить отчет: описательная часть, методология, таблица соответствия, ключевые недостатки
- Презентовать результаты руководству с бюджетом и сроками устранения
- Вести план корректирующих действий — аудит как стадия Check цикла PDCA
8 модулей за 8 недель
~32 часа видеолекций, 8 часов живых встреч и много часов самостоятельной работы.
01Введение в аудит: методология и организационный контекст
- Терминология по ГОСТ Р ИСО 19011: объективное свидетельство, критерии аудита
- Две фазы аудита, метафора «песок и сито», типичные ошибки
- Место аудита в цикле PDCA и переиспользование результатов
- Источники свидетельств и их достоверность
- Инструмент аудитора: почему Google Таблицы, а не GRC-система
- Вкладки План, Роли, Проект, Компания, Штат, Требования, Офисы
- Принцип адекватной безопасности
02Паспорт информационной системы
- Регуляторный ландшафт: ФСТЭК, ФСБ, Банк России, 152-ФЗ
- Домены требований и аргументированное заключение по каждому
- Ограничения и риски аудита, включая саботаж
- Восемь сценариев пользы опросника, в том числе подача данных в LLM
- Вкладка Система: владельцы, пользователи, архитектурные признаки
- Классификация: уровень защищенности, категория КИИ, класс СКЗИ
- Вкладки Бизнес-функциональность, Данные, Угрозы
03Архитектура ИС: инфраструктурный слой
- Разбор заполненного опросника на кейсе медицинской CRM
- Лицензирование: ФСТЭК и ФСБ, «для собственных нужд»
- ЦОД: colocation, IaaS, PaaS и разделение ответственности
- Оборудование, АРМ, АСУ ТП
- Роли и учетные записи: привилегии, MFA, ревизия прав
- Внешние ИС, третьи стороны, коммунальные сервисы
04Архитектура ИС: прикладной слой, СЗИ и данные
- СЗИ: 9 категорий и более 50 классов решений
- Каналы передачи данных, сегменты сети, DMZ
- GUI и админ-панели — самая объемная вкладка
- API, бэкенд, базы данных, S3, логи
- Криптография: пять функций и «серая зона» СКЗИ
- ИИ как компонент системы, уязвимости, инциденты, документы
05Процессы ИТ
- От «что есть» к «как это работает»
- Разработка и SSDLC: доступ к коду, секреты, open source
- DevOps: CI/CD, CMDB, change management, мониторинг
- Резервное копирование: «непротестированный бэкап — отсутствие бэкапа»
- Управление сетью: МЭ, IDS/IPS, WAF, анти-DDoS
- Управление доступом: жизненный цикл УЗ, SSO, PAM, матрица доступа
06Процессы данных, поддержки, HR и ИБ
- DWH и управление данными, роль Data Steward
- Работа с противоречивыми данными и ранжирование источников
- AI Management: prompt injection, риск-аппетит, поставщики моделей
- Поддержка пользователей и защита от социальной инженерии
- HR: жизненный цикл работника и отзыв доступов
- Governance, InfraSec, AppSec, SOC, DPO & Privacy, Compliance
07Расширения инструмента: отраслевая специфика и справочники
- Модульный принцип: ~80% вкладок обязательны
- КИИ, SaaS и мультитенантность, удостоверяющий центр, CCSS
- Инструменты по ПДн: RoPA, аудит сайта, оценка вреда, уведомление РКН
- Нормативные калькуляторы и чек-листы
- Справочники: реестры регуляторов, распарсенная БДУ ФСТЭК
- Опросник как база для RAG и работа с LLM
08Жизненный цикл аудита на практике. Отчет и корректирующие действия
- Постановка задачи, полномочия, скоупинг
- Kick-off, запрос материалов, предварительный анализ
- Интервью: не больше часа и одного интервью с человеком в день
- Пропорции свидетельств: интервью ~70–75%, наблюдение ~15%, настройки ~10%
- Отчет по приказу ФСТЭК № 21 и презентация руководству
- План корректирующих действий и контроль исполнения
Ваш собственный опросник
Универсальный многослойный опросный лист — буфер между сырыми материалами и отчетом и «цифровой двойник» проверяемой системы на конкретную дату.
Каждый падаван собирает свой световой меч
Файл Google Sheets с версией и названием проекта в заголовке: массовый инструмент, гранулярный доступ, гиперссылки, выпадающие списки. Для каждой информационной системы — свой файл.
К каждой вкладке даются теги и ориентиры, вопросы и столбцы вы формулируете сами. Таблицы слушателей похожи на авторскую, но у каждого своя.
| Вкладка | Содержание | Роль | |
|---|---|---|---|
| Plan | План работ, ответственные | Auditor | |
| Proj | Информация по проекту | PM | |
| Company | Информация о компании | PM | |
| Req | Применимые требования | LawCompliance | |
| Sys | Общие сведения об ИС | CTO | |
| Data | Данные, обрабатываемые в ИС | BackendAuditor | |
| Ugroz | Риски и негативные последствия | CTO | |
| Hardw | Аппаратное обеспечение ИС | DevOpsInfra | |
| SrZI | Средства защиты информации | InfraSec | |
| API | Программные интерфейсы ИС | Backend |
ИИ-ассистент аудитора
Опросник с самого начала проектировался так, чтобы его можно было подать в LLM. На курсе я показываю, как ИИ-агенты берут на себя рутину аудита, а у аудитора остаются проверка и выводы.
- Материалыобзоры, схемы, интервью
- ИИ-агентыизвлекают факты
- Опросникответ + источник
- Findings · Gapsнаблюдения и запросы
- Сводный анализпо всем аудитам
Заполнение опросника
ИИ-агенты переносят факты из обзоров, схем и документов ИС во вкладки опросника. У каждого ответа есть ссылка на источник, поэтому любой ответ можно перепроверить.
Findings и Gaps
ИИ собирает наблюдения по ИБ и список недостающих данных. Список Gaps — готовый запрос заказчику к следующему кругу интервью.
Сводный анализ
Результаты разных аудитов сводятся в графики и диаграммы: где у систем общие слабые места и как меняется картина от аудита к аудиту.
ИИ ускоряет аудит, но не подписывает отчет. Каждый ответ проверяем по источнику, а выводы и ответственность остаются за аудитором.
Домашние задания
Принцип «не накормить, а дать удочку»: после каждого модуля вы добавляете в свой инструмент новый слой. В лекциях — заполненный опросник на кейсе, пример интервью и реальный отчет, а на живых встречах разбираем ваши решения.
Завести аккаунт Google, получить персональную папку, создать пустую таблицу-опросник
Организационный блок: План, Роли, Проект, Компания, Штат, Требования, Офисы
Паспорт ИС: Система, Бизнес-функциональность, Данные, Угрозы
Инфраструктурный слой: ЦОД, Оборудование, АРМ, Роли и УЗ, Внешние ИС, Третьи стороны
Прикладной слой: СЗИ, Сегменты, GUI, API, БД, Логи, Криптография, ИИ, Инциденты
Процессы ИТ: Разработка, DevOps, Сеть, Управление доступом
Процессы ИБ: DWH, AI Management, HR, Governance, AppSec, SOC, DPO & Privacy, Compliance
Собственная вкладка, которой нет у преподавателя: справочник, чек-лист или калькулятор
Предложения по доработке структуры опросника — лучшие идеи попадают в методику
Итоговая работа. Провести аудит произвольной информационной системы собственным инструментом и заполнить опросник.
после модуля 8 · срок 1 месяц
Методика из ежедневной практики
- DPO/DSO и ITSec Compliance
- Ранее — DPO/DSO в OK.RU (VK)
- Сертифицированный аудитор ГОСТ Р 57580 и ISO 27001
- Читает лекции по ИБ в БАУМАНТЕХе
- Основатель Школы персональных данных №1
- Участвовал в работе ПК 1 ТК 122 ФСТЭК «Безопасность (банковских) финансовых операций» и РГ Ассоциации АБИСС по СДС аудиторов ИБ
Опросник, который вы научитесь собирать, я использую каждый день. Сейчас в нем больше 70 вкладок и 1000 вопросов и столбцов. Я разрабатываю его с 2022 года: за это время он прошел больше 100 итераций и продолжает развиваться. Я покажу, как он устроен и как собрать такой же под ваши задачи.
Как проходит обучение
Онлайн-школа: смотрите видеолекции в удобное время, выполняете задания в своем рабочем пространстве, а раз в неделю встречаемся вживую, чтобы разобрать домашку и ответить на вопросы.
Одна неделя на курсе
В любое удобное время, с компьютера или телефона.
Добавляете новый слой в свой опросник в рабочем пространстве.
Смотрим ваши решения, обсуждаем сложные места, отвечаю на вопросы.
Грейды аудитора ИСПДн
Сертификация доступна в тарифах «Продвинутый» и «Экспертный». По итогам курса вы получаете сертификат Middle или Senior — в зависимости от выполненных практических заданий.
Middle аудитор ИСПДн
Выполнил практическое задание: создал собственный опросник аудитора.
Senior аудитор ИСПДн
Создал опросник и самостоятельно провел аудит в рамках учебного курса.
Techlead аудитор ИСПДн
Владеет как минимум одной технологией ИТ или ИБ: контейнеризация, SOC, пентест и т.п.
Teamlead аудитор ИСПДн
Требования Techlead + доказанный опыт руководства аудиторами: проверяющей группой в рамках проекта или аудита либо структурным подразделением.
Mentor аудитор ИСПДн
Требования Teamlead + учит других специалистов: проводит внутренние или внешние курсы по аудиту или другим областям ИБ и ИТ.
Нормативка и стандарты
Курс не привязан к одному стандарту: опросник проектируется так, чтобы одно обследование давало материал для оценки по любому фреймворку.
Методическая основа
- ГОСТ Р ИСО 19011 — аудит от планирования до отчета
- Цикл Шухарта — Деминга (PDCA)
- Нотация C4 для описания архитектуры
- Методика оценки угроз ФСТЭК (2021) и БДУ ФСТЭК
Российская нормативка
- 152-ФЗ «О персональных данных»
- Приказ ФСТЭК № 21, № 117, № 239
- ПП РФ № 1119
- ГОСТ Р 57580.1 и 57580.2
- Требования по КИИ
Международные стандарты
- ISO/IEC 27001
- PCI DSS
- CIS Controls v8
- GDPR
- CCSS
Что говорят выпускники
Отзывы слушателей первого потока курса.
Теории было мало, а практики много. По итогу я построила свой собственный опросник из более 50 вкладок — реестр проведения аудита ИСПДн в компании.
Мне было нелегко — несмотря на то, что я уже почти 18 лет работаю юристом в ИТ и ИБ и проходила не один курс в области безопасности и персданных. Много новой информации получила именно в области безопасности.
Читать полностью ↓
Глобально мне показалось, что курс направлен на аудит не только ИСПДн, но в целом любой ИС.
Думала, когда заходила на курс, что работа аудитора намного проще. В любом случае я рекомендую всем проходить курс, так как, как минимум, вы точно поймете, хочется ли вам вообще быть аудитором, ваше ли это, хочется ли вам идти в безопасность и интересно ли это.
Александру хочется сказать отдельное спасибо за то, что дал окунуться в аудит, за ответы на вопросы и обратную связь.
Курс аудитора ИСПДн для меня был очень полезен и интересен. Понравился подход Александра: все четко, структурировано, по делу. Многие тонкости аудита были учтены и стали для меня приятным открытием, удалось узнать много нового. Александр всегда был на связи, отвечал на наши вопросы.
На курсе детально разобрали опросник для аудита информационных систем, отметил для себя, какие детали важно фиксировать при проведении аудита. Получил представление, как задавать нужные вопросы и подкреплять ответы конкретными фактами.
Выберите тариф
Во всех тарифах — полная программа курса: видеолекции, 8 живых встреч, домашние задания и разбор кейсов. Тарифы отличаются уровнем практики и итоговыми документами.
Методика и собственный инструмент аудитора
- Все видеолекции, живые встречи и домашние задания
- Диплом о повышении квалификации
- Доступ в закрытую тг-группу аудиторов ИСПДн — выпускников и участников курса
Самостоятельный аудит под присмотром преподавателя
Первым трем — «Экспертный» в подарок- Все, что входит в тариф «Базовый»
- Сертификат уровня middle или senior
- Индивидуальные консультации по любым вопросам аудита в течение курса
Год работы с наставником
- Все, что входит в тариф «Продвинутый»
- опцияСопровождение наставника в течение года
Частые вопросы
Собрал ответы на то, что чаще всего спрашивают перед записью на курс.
Подойдет ли курс, если я не технический специалист?
Да. Основная аудитория курса — DPO и ИТ-юристы, которые хотят разбираться в ИТ и ИБ и говорить с техническими командами на одном языке.
На входе нужно базовое понимание ИТ-инфраструктуры и терминологии ИБ и общее знакомство с 152-ФЗ. Опыт разработки или администрирования — плюс, но не обязательное условие.
Нужен ли опыт проведения аудитов?
Курс рассчитан на специалистов с базовыми и средними навыками в аудите информационных систем. Если вы джун — вырастете до мидла, если мидл — до синьора. Методику, опросник и отчет мы собираем с нуля, шаг за шагом.
Сколько времени нужно в неделю?
Курс идет 8 недель, всего около 40 часов: в среднем 5 часов в неделю на видеолекции и живую встречу по средам в 19:00 МСК. Сверх этого — время на домашнее задание: каждую неделю вы добавляете в свой опросник новый слой.
Лекции записаны, их можно смотреть в удобное время с компьютера или телефона.
Что если я пропущу живую встречу?
Ничего страшного: все живые встречи записываются, и запись будет доступна участникам группы. Вопросы по пропущенной теме можно задать и в чате группы в Telegram.
Я получу готовый опросник аудитора?
Нет, и это принцип курса: вы собираете собственный инструмент в Google Таблицах. К каждой вкладке даются теги и ориентиры, а в лекциях показан заполненный авторский опросник на сквозном кейсе. Вопросы и столбцы вы формулируете сами — так инструмент остается вашим и после курса.
Какой документ я получу по итогам?
- «Базовый» — диплом о повышении квалификации.
- «Продвинутый» и «Экспертный» — диплом и сертификат Middle или Senior.
Middle — вы подготовили собственный инструмент аудитора. Senior — дополнительно самостоятельно провели аудит под присмотром преподавателя. Грейды Techlead, Teamlead и Mentor — отдельная сертификация по запросу.
Будет ли на курсе про ИИ?
Да. Опросник спроектирован так, чтобы его можно было подать в LLM. На курсе я показываю, как ИИ-агенты заполняют опросник по материалам системы со ссылкой на источник, собирают Findings и Gaps и помогают со сводным анализом нескольких аудитов. Подробнее — в блоке «ИИ в аудите».
Какие сервисы понадобятся?
- Аккаунт Google — рабочее пространство и опросник в Google Таблицах.
- Скиллспейс — видеолекции.
- Яндекс.Телемост — живые встречи.
- Telegram — чат группы.
Что будет после окончания курса?
После модуля 8 у вас есть месяц на итоговую работу: аудит произвольной информационной системы собственным инструментом. У всех участников остается доступ в закрытую тг-группу аудиторов ИСПДн — выпускников и участников курса. В тарифе «Экспертный» есть опция сопровождения наставника в течение года.
Как работает акция «Экспертный» в подарок?
Первые три участника, которые запишутся на тариф «Продвинутый», получат тариф «Экспертный». Чтобы узнать, остались ли места по акции, напишите автору в Telegram.
Можно ли оплатить обучение от компании?
Да. Обучение можно оплатить от юридического лица по счету: заключим договор и предоставим закрывающие документы. Напишите автору в Telegram, чтобы получить договор и счет.
Есть ли рассрочка?
Пока нет: сейчас мы прорабатываем возможность оплаты в рассрочку. Если вам это важно, напишите автору в Telegram — сообщим, как только она появится.
Можно ли вернуть деньги?
Да. Если вы решите прекратить обучение, мы вернем деньги пропорционально неделям курса, которые вы еще не прошли. Чтобы оформить возврат, напишите автору в Telegram.
Как записаться на курс?
Напишите автору курса в Telegram и забронируйте место. Следующий поток стартует 1 декабря 2026 года, в группе 12–16 человек.
Соберите свой инструмент аудитора
Группа — до 16 человек. Следующий поток стартует 1 декабря 2026 года. Напишите автору курса в Telegram, чтобы забронировать место.