+7 499 113-⁠71-⁠05 Написать в MAX Telegram @protocol_it info@protocol-it.ru

protocol-⁠it.ru/zashchita редакция от 24.10.2026

Меры защиты

Что мы уже сделали для защиты данных и систем заказчика и своих, и чем каждую меру проверить без нас

ИсполнительИП Михайлов Станислав Анатольевич, ИНН 272052010564
Сверено24.10.2026, по коду сайта, настройкам сервера и документам
Комусобственнику клиники или финансовой компании, который отдаёт нам доступ к своим системам
1

Зачем этот лист

Подрядчик по ИТ получает доступ к медицинским картам или данным заёмщиков. Собственник вправе спросить, что подрядчик сделал, чтобы данные не утекли, и чем это подтверждено. На этом листе перечень сделанного на 24.10.2026. У каждой меры записано, что она даёт вам и чем её проверить без нас. Чего мы не делаем, названо в разделе 4.

Если мера на листе разошлась с тем, что вы увидели в источниках, напишите на info@protocol-it.ru или в Telegram @tech_ash_it. Лист поправим в тот же день.

2

Ваши системы и данные пациентов

Действует с первого дня работы по договору. Все формы этого раздела лежат на сайте, юрист может прочитать их до первого разговора.

2.1Договор и соглашение о конфиденциальности до доступа

Что сделано
Доступ к вашим системам открывается после подписания договора и соглашения о конфиденциальности, пункт 6.5 договора требует второго до доступа. Соглашение действует весь срок договора и пять лет после него. За каждый случай разглашения штраф, копии вашей информации уничтожаются в десять рабочих дней после окончания договора, об инциденте с персональными данными мы уведомляем вас немедленно.
Что это вам даёт
Обязательства и штраф подписаны раньше, чем мы увидим хоть одну запись.
Чем проверяется
Шаблоны договора (PDF, 240 КБ) и соглашения (PDF, 190 КБ), пункт 6.5 договора и пункты 3.2, 5.1, 6.2 и 7.1 соглашения. «Порядок работы», пункты 2.4 и 11.1.

2.2Поручение на обработку персональных данных

Что сделано
Форма поручения по части 3 статьи 6 закона 152-⁠ФЗ идёт приложением № 3 к договору. В ней цели и перечень действий, запрет собирать данные самим, передавать третьим лицам и выносить за пределы ваших систем, базы только в России, сообщение о подозрении на утечку не позднее часа с обнаружения, уничтожение рабочих копий в десять рабочих дней и акт по вашему запросу.
Что это вам даёт
Клиника остаётся оператором, мы обрабатываем данные только по её поручению, в её системах и под её проверкой.
Чем проверяется
Форма поручения (PDF, 220 КБ), пункты 4.2, 5.3, 5.4, 5.6 и 6.1. Договор, пункты 5.1 и 5.3.

2.3Опись доступов и матрица ролей

Что сделано
Доступ выдаётся поимённо и в минимальном объёме, общих учётных записей нет. Каждая выдача и каждый отзыв записываются в опись в тот же день, с датой и тем, кто выдал. Карты пациентов и данные заёмщиков для всей команды по умолчанию закрыты и открываются отдельной строкой под конкретную работу. При выходе документация, пароли и доступы передаются вам по описи, наши доступы отзываются, копии уничтожаются, стороны подписывают акт.
Что это вам даёт
В любой день видно, у кого какой доступ, и любой из них закрывается за один день.
Чем проверяется
Форма описи (PDF, 240 КБ), правила в разделе 1 и матрица в разделе 3, договор, пункты 5.2 и 11.4, и «Порядок работы», пункт 8.3.

2.4Порядок на случай утечки

Что сделано
Регламент реагирования, действующий документ команды. Подтверждение и класс инцидента в течение часа в рабочее время, сообщение вам о подозрении на утечку не позднее часа с обнаружения. Проект уведомления в Роскомнадзор, 24 часа о факте и 72 часа о результатах разбора по части 3.1 статьи 21 закона 152-⁠ФЗ, готовим мы, для финансовой организации так же проект уведомления в Банк России. План восстановления заполняется на диагностике, копии по правилу трёх, учения у заказчика раз в квартал с актом.
Что это вам даёт
Ваши 24 часа на уведомление не уходят на выяснение, что случилось.
Чем проверяется
Регламент реагирования (PDF, 220 КБ), раздел 6, план восстановления (PDF, 270 КБ), разделы 2 и 5, и образец акта учений (PDF, 220 КБ).

2.5Запись в реестре операторов персональных данных

Что сделано
Уведомление в Роскомнадзор подано 31.08.2026, запись № 27-⁠26-⁠024180 внесена 04.09.2026. Этого требует статья 22 закона 152-⁠ФЗ от каждого, кто обрабатывает персональные данные, в том числе от подрядчика с собственной базой заявок.
Что это вам даёт
Статью 22 закона 152-⁠ФЗ мы выполнили у себя раньше, чем просим этого от вас.
Чем проверяется
Реестр Роскомнадзора, поиск по ИНН 272052010564, и раздел 2 листа «Проверка».
3

Наш сайт, почта и панель

Здесь лежат ваша заявка с сайта, переписка с нами и копии наших документов. Снаружи видна только часть мер, остальное показываем с экрана на разговоре.

3.1Шифрование и заголовки сайта

Что сделано
Сайт и почта работают только по защищённому соединению, сертификат продлевается сам. Браузеру запрещено заходить на сайт без шифрования в течение года после первого захода (HSTS). Заголовки ответа запрещают встраивать сайт в чужие страницы и подменять тип файлов, камеру, микрофон и геолокацию сайт не запрашивает.
Что это вам даёт
То, что вы вводите в форму, идёт по шифрованному каналу, а наш сайт нельзя подложить внутрь чужой страницы.
Чем проверяется
Замок у адреса в браузере. Заголовки ответа видны в инструментах разработчика браузера и в сервисе securityheaders.com.

3.2Данные на сервере в России

Что сделано
База заявок, почта и резервные копии лежат на сервере в России, трансграничной передачи нет. Бот заявок в Telegram снят 08.09.2026. В уведомление в Telegram уходят номер заявки, сфера, источник и ссылка на карточку в панели, имя, контакт и комментарий не уходят.
Что это вам даёт
Имя и телефон из вашей заявки не попадают в иностранные сервисы.
Чем проверяется
Политика обработки персональных данных, раздел 3 и пункт 4.1. Адрес сервера виден в DNS-⁠записи домена protocol-⁠it.ru, его принадлежность российскому хостингу проверяется в базе RIPE.

3.3Второй фактор в панели

Что сделано
В панель, где лежат заявки и переписка, входят по паролю и коду из приложения на телефоне. Второй фактор обязателен для каждой учётной записи, на случай потери телефона выдаются коды восстановления. Каждый неудачный вход пишется в журнал, после пяти попыток в минуту вход закрывается.
Что это вам даёт
Украденный пароль сам по себе панель не открывает.
Чем проверяется
Политика, пункт 4.1, доступ поимённый и заход в панель в журнале. Экран входа с запросом кода показываем на разговоре.

3.4Перебор паролей и сканеры

Что сделано
После 8 неудачных входов за 10 минут адрес закрывается на час на уровне файрвола сервера, так же закрывается спам в форму заявки. С одного адреса сервер пропускает не больше 10 запросов в секунду, всплеск до 50, сверх того ответ 429. Запросы к файлам чужих движков получают 404 от самого сервера, до кода сайта не доходя.
Что это вам даёт
Перебор пароля и массовое сканирование останавливает сам сервер, без участия людей.
Чем проверяется
Откройте адрес чужого движка на нашем сайте, например wp-⁠login.php, придёт короткое 404 от сервера без страницы сайта. Журнал блокировок и ответ 429 показываем на разговоре.

3.5Веб-⁠почта за пропуском

Что сделано
Почта в браузере открывается только с устройства, которое один раз получило пропуск по паролю. Без пропуска сервер отвечает 404 и не показывает даже страницу входа, роботам поиска почта закрыта. Попыток пароля не больше 10 в минуту с адреса, перебор паролей к почтовому серверу блокируется отдельно.
Что это вам даёт
Чужой не найдёт даже дверь в почту, где лежит переписка с вами.
Чем проверяется
Откройте mail.protocol-it.ru, ответ 404.

3.6Подписи писем

Что сделано
Письма от нас подписываются ключом домена (DKIM), в DNS стоят записи SPF и DMARC. DMARC пока в режиме наблюдения, p=none, получатель видит подделку по подписи и присылает нам отчёт. Запрет доставки подделок включим после двух недель чистых отчётов, тогда этот пункт обновится.
Что это вам даёт
Письмо от нашего имени с чужого сервера получатель отличит по подписи.
Чем проверяется
Записи домена в любом сервисе проверки DNS, например dns.google по имени _dmarc.protocol-it.ru.

3.7Копии каждую ночь, учения раз в месяц

Что сделано
Копия базы сайта снимается каждую ночь, хранятся 14 последних. Раз в месяц последняя копия поднимается в отдельную базу, замеряется время и сверяются контрольные числа с боевой базой, акт пишется при любом исходе и выходит на лист статуса. Копия старше 26 часов и учения старше 45 дней лист статуса показывает как сбой.
Что это вам даёт
Ваша заявка и переписка переживут потерю сервера, и это видно без нашего слова.
Чем проверяется
Лист «Статус», строки «Гигиена» и таблица «Акты учений», и образец акта учений (PDF, 220 КБ).

3.8Проверки каждые пять минут

Что сделано
Сайт, почта и приём заявок проверяются с нашего сервера каждые 5 минут. Результат на листе статуса, доступность по дням и по месяцам, список сбоев с длительностью и лента сбоев в формате Atom, а красная строка уходит владельцу письмом.
Что это вам даёт
О сбое мы узнаём раньше вас, а вы видите, сколько он длился.
Чем проверяется
Лист «Статус» и лента сбоев.

3.9Версия PHP закреплена

Что сделано
21.10.2026 вышли исправления двух уязвимостей самого PHP (CVE-⁠2026-⁠109618 и CVE-⁠2026-⁠109619), через которые чужой код выполняется на сервере без входа. 22.10.2026 образ сайта закреплён на исправленной версии 8.4.27 точным номером, обновление делается правкой одной строки.
Что это вам даёт
Исправление уязвимости в самом PHP стояло на сайте на следующий день после выхода.
Чем проверяется
Дата выхода 8.4.27 на php.net. Версию на сервере показываем на разговоре.

3.10Проверка чужих библиотек

Что сделано
Сборка сайта в конвейере заканчивается сверкой библиотек с базой уязвимостей Packagist. Находка красит сборку жёлтым, а в строгом режиме закрывает выкат, пока уязвимый пакет не обновлён. Для проверки без наших правок в конвейере стоит отдельная задача по недельному расписанию. Проверка появилась 17.10.2026 после того, как шесть уязвимостей, среди них медленный разбор заголовка Cache-Control, нашлись случайно при обновлении, в тот же день они закрыты.
Что это вам даёт
Уязвимость в чужой библиотеке находится проверкой каждую неделю, без ожидания случая.
Чем проверяется
Отчёт конвейера показываем на разговоре.
4

Чего здесь нет

Часть работ по защите по закону делают организации с лицензией. Мы их не делаем и не заявляем.

4.1Лицензий ФСТЭК и ФСБ нет. Аттестацию систем персональных данных проводит лицензиат ФСТЭК, средства криптографической защиты (СКЗИ) и защищённые каналы ставит организация с лицензией ФСБ. Лицензиата называем до начала работ, его договор и счёт заключаются с вами напрямую. Границы по шагам на листах «Готовность» и «Готовность к проверке ЦБ», раздел 3 на каждом.
4.2Аттестации по 152-⁠ФЗ у наших систем нет. Сайт и панель хранят заявки и переписку. Частной организации закон аттестацию не предписывает, нужна оценка эффективности мер защиты, аттестация лишь один из её способов. Такую оценку с привлечением лицензиата для своих систем мы не проводили.
4.3Статуса медицинского изделия нет. Программ, которые ставят диагноз или подсказывают решение врачу, мы не делаем. Такие программы регистрирует как медицинские изделия их разработчик.
4.4Обещания, что утечки не случится, нет. Вместо него порядок на случай утечки в пункте 2.4 и срок сообщения вам в один час.

Написать нам

Сфера

Можно сразу позвонить или написать +7 499 113-⁠71-⁠05 MAX Telegram, @tech_ash_it

Что будет дальше

  • Ответим в течение 1 часа в рабочее время, пн–⁠пт, 9:00–⁠18:00 по Москве.
  • Сначала разговор на 30 минут до старта. К нему готовимся по вашему сайту и открытым данным, на разговоре подберём формат диагностики.
  • Диагностика платная, цену по объёму фиксируем до старта. Если договор сопровождения подписан в течение 30 дней после отчёта, её стоимость засчитываем в оплату.
  • Договор и NDA подписываем до доступа к вашим системам, электронно через Контур.Диадок.

Отчёт остаётся у вас при любом решении, с ним можно работать без нас.