Утечки персональных данных (ПДн) могут происходить по разным причинам. В большинстве случаев они обусловлены недостаточной защитой или человеческими ошибками, но также могут быть следствием злонамеренных действий. Рассмотрим самые распространенные ситуации, с которыми сталкивались клиенты, которые после утечек обращались за помощью к специалистам Б-152. Среди них:
- неосведомленность руководства компаний о необходимости обеспечения информационной безопасности;
- недостаточная защита данных;
- человеческие ошибки;
- целенаправленные вредоносные действия.
Поговорим подробнее о каждой из причин.
Неосведомленность руководства предприятия о необходимости обеспечения информационной безопасностиМногие компании, особенно малые и средние, недооценивают важность информационной безопасности (ИБ) или не осознают масштабы угроз в этой области. Защита данных требует вложений в специалистов, технические средства. Эти затраты напрямую не влияют на доход, поэтому владельцы бизнеса стремятся их минимизировать (или вовсе исключить — ведь раньше бизнес прекрасно работал и без них!). При таком подходе у компании могут возникать следующие проблемы с обеспечением безопасности и соблюдением законов:
- Недостаточное выделение ресурсов. Компании, которые не понимают важность информационной безопасности, не вкладываются в защиту ПДн.
- Отсутствие обучения. Неосведомленность о необходимости обеспечения ИБ может привести к тому, что компания не инвестирует в обучение сотрудников, не нанимает специалистов по информационной безопасности. Это оставляет пространство для ошибок, уязвимостей.
- Несоблюдение стандартов и законов. Многие отраслевые стандарты ИБ и требования законов к обработке ПДн могут не выполняться, если руководство компании не осведомлено о них, не отслеживает изменения. Это приводит к нарушениям, штрафам. Так, согласно действующему законодательству, компании, собирающие персональные данные клиентов, должны не только обеспечивать защиту, но и сообщать в Роскомнадзор об утечках. Если компания является субъектом критической информационной инфраструктуры (КИИ), то она обязана информировать Национальный координационный центр по компьютерным инцидентам (НКЦКИ).
- Утечка ПДн приводит к штрафам. На ноябрь 2023 года они составляют от 60 000 до 300 000 рублей, а для субъектов КИИ — от 250 000 рублей. Высока вероятность, что штрафы увеличатся, так как Правительством Р Ф предварительно одобрен законопроект об оборотных штрафах за утечки ПДн, который предполагает штрафовать на сумму до 3% от годового оборота компании.
- Отсутствие четкой политики безопасности в компании. Недостаток понимания важности ИБ приводит к отсутствию процедур, инструкций для сотрудников, алгоритмов действий во внештатных ситуациях.
Недостаточная защита данныхОрганизации, которые собирают и хранят персональные данные, нередко используют неэффективные меры безопасности (слабые пароли, отсутствие резервного копирования, устаревшие методы шифрования и так далее). Они делегируют работу с ПДн непрофильным сотрудникам (юристам, HR), которые не имеют опыта, квалификации, мотивации, времени для выполнения дополнительных задач, которые не относятся к их основной деятельности.
Человеческие ошибкиСотрудники, работающие с ПДн, могут совершить ошибки, такие как отправка конфиденциальных сведений на неправильный адрес электронной почты, некорректная настройка прав доступа, переход по запрещенным ссылкам, потеря гаджетов с доступами к рабочим аккаунтам.
Вредоносные действияК ним относятся вирусы, программы-шпионы, фишинг. Хакеры могут проводить атаки с целью взлома систем, кражи данных или шантажа организации.