Утечка это не всегда взлом. Чаще это письмо не тому адресату, открытая наружу папка, выгрузка базы уволившимся сотрудником или потерянный ноутбук. Порядок действий при этом одинаковый.
Первый час: зафиксировать и остановить
Задача часа не найти виновного, а прекратить утечку и сохранить доказательства.
Что делают:
- отключают источник: закрывают публичный доступ, блокируют учётную запись, изымают устройство
- фиксируют время обнаружения и того, кто обнаружил
- делают снимки экранов и копии журналов до того, как что-то изменится
- назначают ответственного за инцидент и открывают журнал событий
Чего не делают: не перезагружают серверы, не удаляют логи, не чистят почтовые ящики, не переустанавливают систему. Всё это уничтожает следы и потом трактуется не в вашу пользу.
Первое желание при инциденте это всё почистить и сделать вид, что ничего не было. Это худшая из стратегий: неуведомление и сокрытие наказываются строже самой утечки.
Первые сутки: оценить масштаб
Нужно ответить на четыре вопроса, и ответы фиксируются письменно:
Какие данные ушли. Категории: ФИО, телефоны, адреса, паспортные данные, сведения о здоровье. Чем чувствительнее категория, тем серьёзнее последствия.
Сколько субъектов затронуто. Точное или оценочное число.
Как это произошло. Техническая причина: ошибка настройки, действия сотрудника, взлом.
Продолжается ли утечка. Закрыт ли канал.
Сроки уведомления
Закон устанавливает жёсткие сроки при утечке персональных данных, и они короткие. Уведомить регулятора нужно в течение суток с момента обнаружения инцидента, а затем в течение трёх суток направить результаты внутреннего расследования.
Это означает, что первое уведомление отправляется до того, как вы разобрались во всех деталях. В нём указывается предварительная информация: что произошло, какие данные и сколько субъектов затронуто, какие меры приняты.
| Срок | Действие |
|---|---|
| 24 часа | первичное уведомление регулятора |
| 72 часа | результаты внутреннего расследования |
| без задержки | уведомление субъектов, если есть риск для их прав |
| по ситуации | обращение в правоохранительные органы |
Отдельно решается вопрос об уведомлении самих людей. Если утечка создаёт для них реальный риск, например ушли паспортные данные или данные банковских карт, сообщать нужно.
Внутреннее расследование
Расследование это документ, а не разговор. В нём должно быть:
- хронология: когда произошло, когда обнаружено, когда прекращено
- технические детали: какая система, какая уязвимость или ошибка
- перечень затронутых данных и субъектов
- принятые меры по прекращению и минимизации последствий
- меры по недопущению повторения
- выводы о виновных лицах, если они установлены
Этот документ пригодится и регулятору, и вам: без него невозможно доказать, что вы действовали добросовестно.
Работа с людьми
Если решено уведомлять субъектов, сообщение должно быть коротким и честным: что произошло, какие данные затронуты, что вы уже сделали, что рекомендуете сделать им. Не нужно юридических формулировок и попыток смягчить: они читаются как попытка скрыть.
Внутри компании тоже стоит объяснить произошедшее сотрудникам, особенно если причиной стали чьи-то действия. Инцидент, разобранный спокойно, снижает шанс повторения. Инцидент, за который публично наказали, приводит к тому, что следующий будут скрывать.
Как снизить риск заранее
Три меры закрывают большую часть бытовых утечек:
Разграничение доступа. Менеджер видит своих клиентов, а не всю базу. Выгрузка всей базы доступна двум людям, и она журналируется.
Контроль каналов. Понимание, куда данные могут уйти: почта, мессенджеры, флешки, облака. Технические ограничения там, где это оправдано.
Журналирование. Если нет логов, вы не узнаете об утечке, пока данные не всплывут публично.
Настройку этих мер мы закрываем услугой защита данных от утечек, а постоянный контроль событий обеспечивает мониторинг инцидентов.