Почему ИБ школы — отдельная задача
Школа — концентрат факторов риска: персональные данные несовершеннолетних (повышенная чувствительность), десятки сотрудников с разными доступами, сотни учеников с личными устройствами, электронный журнал и дневники как центральная ИСПДн, и всё это на бюджетном финансировании с жёсткими лимитами закупок.
При этом ответственность выросла: утечка персональных данных по ч. 13–14 ст. 13.11 КоАП — штраф для юридических лиц от 3 млн (до 10 тыс. субъектов) до 15 млн ₽ (свыше 100 тыс. субъектов), а для специальных категорий и биометрии — до 20 млн ₽ (нормы введены законом от 30.11.2024 № 420-ФЗ). Повторная утечка — оборотный штраф 1–3% годовой выручки (для школы выручка — приносящая доход деятельность, но штраф применяется к юридическому лицу в целом). По данным Роскомнадзора на август 2026 года, оборотные штрафы пока не применялись ни разу — но это вопрос времени и первого громкого дела.
Карта систем школы: что защищаем
| Система | Тип | Требование |
|---|---|---|
| Электронный журнал/дневник | ИСПДн | Аттестация, режим доступа, журналирование |
| Базы учеников и родителей (СКУД, питание, медкабинет) | ИСПДн | Включение в границы ИСПДн, согласия |
| Сайт школы с формами обратной связи | обработка ПДн | Политика, уведомление РКН, защита формы |
| Системы распознавания лиц (если есть) | биометрия | Отдельные согласия, спецкатегория — штрафы выше |
| Рабочие места учителей, электронная почта | доступ к ПДн | Парольная политика, обучение |
| ИИ-сервисы, используемые персоналом | передача данных третьим лицам | Регламент, список разрешённых |
Чек-лист ИБ школы на 2027 год
Обязательный уровень (норматив):
- ИСПДн школы аттестована, аттестат действует, границы системы актуальны (все базы учеников входят в границы).
- Согласия на обработку персональных данных обучающихся актуальны, для биометрии — отдельные письменные.
- Политика обработки персональных данных опубликована; уведомление об обработке направлено в Роскомнадзор.
- Назначен ответственный за организацию обработки персональных данных.
- Доступ к электронному журналу — по ролям, пароли не на стикерах, уволенные — немедленно отключаются.
- Порядок реагирования на инциденты утверждён: утечка → уведомление РКН в течение 24 часов, итоги расследования — 72 часа.
Рекомендуемый уровень (зрелость):
- Регламент использования ИИ-сервисов: список разрешённых, запрет загрузки данных учеников в публичные сервисы.
- Резервное копирование журнала и баз — с проверкой восстановления.
- Обучение персонала раз в год: фишинг, пароли, работа с данными учеников.
- Двухфакторная аутентификация на администраторские аккаунты журнала.
- Контроль версий и обновлений школьного сайта (частая точка взлома).
- Инвентаризация всех сервисов, куда уходит школьная цифра (включая «бесплатные» инструменты учителей).
Штрафная арифметика для директора
| Событие | Ответственность | Основание |
|---|---|---|
| Утечка ПДн 1–10 тыс. субъектов | 3–5 млн ₽ | ч. 13 ст. 13.11 КоАП |
| Утечка ПДн 10–100 тыс. субъектов | 5–10 млн ₽ | ч. 13 ст. 13.11 КоАП |
| Утечка ПДн свыше 100 тыс. субъектов | 10–15 млн ₽ | ч. 14 ст. 13.11 КоАП |
| Спецкатегории, биометрия | 10–20 млн ₽ | ч. 13–14 ст. 13.11 КоАП |
| Неуведомление РКН об утечке (24 ч / 72 ч) | 1–3 млн ₽ | ч. 12 ст. 13.11 КоАП |
| Повторная утечка | оборотный штраф 1–3% | ч. 15 ст. 13.11 КоАП |
Контекст для директора: один инцидент со средней базой школы — штраф, сопоставимый с годовым бюджетом небольшой школы на всё. Профилактика — аттестация, регламенты, обучение — на порядок дешевле.
Мораторий на проверки: что он меняет и чего не меняет
До 2030 года действует мораторий на плановые проверки (в том числе Роскомнадзора) для большинства организаций. Это не индульгенция: во-первых, внеплановые проверки по инциденту или жалобе остаются; во-вторых, при утечке штраф применяется независимо от моратория — состав административного правонарушения не требует «плановой проверки». Практика показывает: за 1,5 года Роскомнадзор провёл 159,1 тыс. проверок сайтов и нашёл нарушения примерно в 9 из 10 случаев.
Бюджет ИБ школы: как закупить в лимитах
Школа — бюджетное учреждение образования: малые закупки до 600 тыс. ₽ за контракт (п. 4 ч. 1 ст. 93), для учреждений образования — до 3 млн ₽ (п. 5), годовой лимит малых закупок — 2 млн ₽ или 10% СГОЗ. С 01.10.2025 электронные магазины работают по единым правилам, цикл до контракта — 2–3 дня.
Ориентиры цен (рынок, сентябрь 2026): типовая аттестация ИСПДн школы — от 200 тыс. ₽; обследование и приведение документации в порядок — от 60–100 тыс. ₽ по нижней границе рынка. Стратегия на 2027 год: аттестация и обследование — малой закупкой или пунктом плана-графика; обучение и регламенты — в рамках одного договора на сопровождение.
Экспресс-оценку состояния ИБ бюджетной организации можно пройти самостоятельно: тест из 12 вопросов даёт первичную карту разрывов и приоритетов — с чего начать при ограниченном бюджете.
Пять шагов на ближайший месяц
- Собрать список всех систем с данными учеников — включая сервисы, которые «просто используют учителя».
- Проверить аттестат ИСПДн: действует, покрывает ли все базы из списка.
- Назначить ответственных за ИБ и за персональные данные приказом.
- Утвердить регламент использования ИИ-сервисов и памятку для учителей.
- Запланировать на 2027 год: обучение персонала, актуализацию документации, работы по закрытию разрывов чек-листа.
Чем помочь
Мы работаем с бюджетными организациями образования: аттестация ИСПДн школы «под ключ», экспресс-аудит ИБ, регламенты использования ИИ, обучение персонала, сопровождение при инцидентах. Первый шаг — бесплатный экспресс-аудит по 12 вопросам или короткий звонок с разбором вашей карты систем.