Аудит информационной безопасности необходимо проводить для проверки текущего состояния защиты Вашей IT-инфраструктуры, выявления потенциальных угроз и уязвимостей, а также соответствия требованиям регуляторов. По результату аудита выдаётся полноценный отчёт с рекомендациями по устранению выявленных несоответствий, повышению уровня защиты данных и инфраструктуры.

Убедитесь, что Вы принадлежите к одной из следующих сфер:
Здравоохранение; Наука; Транспорт; Связь; Энергетика; Государственная регистрация прав на недвижимое имущество и сделок с ним; Банковская сфера и иная сфера финансового рынка; Топливно-Энергетический Комплекс; Область атомной энергии; Оборонная промышленность; Ракетно-космическая промышленность; Горнодобывающая промышленность; Металлургическая промышленность; Химическая промышленность; Юридическое лицо или ИП, которые обеспечивают взаимодействие указанных систем или сетей.

Минимальными требованиями будет выполнение п. 18.1 и п. 19 Федерального закона от 27.07.2006 №152 "О Персональных данных", а именно:
1. Назначить ответственного за организацию обработки персональных данных;
2. Разработать и утвердить политику оператора в отношении обработки персональных данных (после чего она публикуется на официальном сайте);
3. Оценить соответствия обработки персональных данных требованиям Федерального закона от 27.07.2006 №152;
4. Оценить вред, который может быть причинен субъектам персональных данных, в случае нарушения требований Федерального закона от 27.07.2006 №152;
5. Определить угрозы безопасности персональных данных в информационных системах организации;
6. Применить средства защиты информации, прошедшие оценку соответствия (сертификацию), а именно:
- средcтва антивирусной защиты;
- средства защиты от несанкционированного доступа;
- средcтва анализа защищенности.
В случае работы по сети Интернет, необходимо шифровать передаваемый трафик с использованием средств криптографической защиты информации,  производить мониторинг входящего и исходящего сетевого трафика с помощью межсетевого экрана, обеспечить защиту от неавторизованного доступа в компьютерную систему или сеть при помощи среддства обнаружения вторжений;
7. Организовать учет машинных носителей персональных данных (жесткие диски, твердотельные накопители, usb-flash);
8. Установить правила доступа к персональным данным, а также регистрацию и учет всех действий, совершаемых с персональными данными;
9. Установить уровни защищенности персональных данных для каждой информационной системы и обеспечивать их защищенность. (Постановление Правительства РФ от 01.11.2012 №1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных").

Аттестация информационной системы по требованиям информационной безопасности означает оценку соответствия информационной системы требованиям определенного закона. 

Аттестовать информационную систему можно на соответствие требованиям:

Аттестация информационной системы является лицензируемым видом деятельности. Если Ваша организация не имеет лицензии ФСТЭК на осуществление деятельности по технической защите информации (В соответствии с Постановлением Правительства от 03.02.2012 №79 "О лицензировании деятельности по технической защите конфиденциальной информации"), то для аттестации необходимо привлекать организацию, имеющую необходимую лицензию.

Контроль защиты информации можно провести самостоятельно* при условии соблюдения следующих условий:
1. Вы являетесь Федеральным органом государственной власти, органом государственной власти субъекта РФ, либо органом местного самоуправления
2. Имеются в наличии средства, предназначенные для контроля эффективности защиты информации от несанкционированного доступа (для аттестации информационных систем, автоматизированных систем управления, информационно-телекоммуникационных сетей), а также контрольно-измерительного, производственного и испытательного оборудования (для аттестации защищаемых помещений);
3. Имеются в наличии нормативные правовые акты и методические документы ФСТЭК России по вопросам технической защиты конфиденциальной информации, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденному Указом Президента Российской Федерации от 16 августа 2004 г. №1085, национальные стандарты в области технической защиты информации;
4. Имеются работники, обладающие знаниями и навыками в области технической защиты конфиденциальной информации и аттестации объектов информатизации.
*Согласно Приказу ФСТЭК России от 29.04.2021 г. №77 "Об утверждении Порядка организации и проведении работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну"