Штрафы начались снова: как избежать утечки личных данных

С 30 мая вступили в силу изменения в административных преступлениях. Размер штрафа зависит от количества жертв и категорий данных. Для организаций штрафы составляют 3 миллиона рублей в 15 миллионов рублей и для государственных служащих — от 200 000 рублей до 1,5 миллиона рублей. Александр Яров, руководитель информационной безопасности Elma, объяснил, как снизить риск получения штрафных и защиты личных данных.

Утечка личных данных: почему это важно и какие последствия ждут компании

Недавно предмет личных данных все больше и больше утечки в новостях. Что скрыто за этой концепцией и какие риски выполняют?

В соответствии с требованиями Roskomnadzor, утечка личных данных считается ситуацией, когда действия или бездействие организации привели к передаче, положению, распределению, незаконному распределению или страхованию информации, содержащей персональные данные. Важно понимать, что даже передача данных партнерам или менеджерам без соответствующего юридического дизайна может считаться утечкой.

В то же время закон имеет значительное дополнение: теперь организации, которые совершили вторую утечку, могут содержать штрафы от 1 до 3% от общего дохода или своего годового капитала (но не менее 25 миллионов и не более 500 миллионов рублей). Для государственных служащих предоставляется штрафы от 1,5 до 2 миллионов рублей.

Таким образом, дискуссии о размере штрафов для утечек закончились — они действительно привязаны к обороту компании, но с определенным смягчением.

Следует отметить, что штрафы за преждевременное уведомление о Roskomnadzor в начале обработки личных данных и обнаружения из -за утечки также увеличиваются. Теперь организации могут быть приговорены к штрафу в размере от 100 до 300 000 рублей за первое нарушение и от 1 до 3 миллионов рублей за репетицию.

Все эти финансовые последствия могут быть важны для многих компаний. В этом контексте инвестиции в системы безопасности и их развитие, по -видимому, являются благословенными, а мерами, необходимыми для защиты компаний от серьезных рисков. Мы можем с уверенностью утверждать, что защита личных данных становится все более важной задачей, и соответствие требованиям законодательства является не только вопросом репутации, но и гарантией финансовой стабильности.

Большой, средний, малый: какие компании находятся в области риска утечки личных данных

Риск утечек данных для российских организаций значительно увеличился, и предприятия любого размера могут пострадать. Согласно последним положительным технологиям, более половины успешных кибератак приводят к реальной утечке информации.

Пять отраслей были наиболее уязвимыми к утечкам данных:

• государственные учреждения;




• промышленность;




• ИТ -компании;




• финансовые организации;




• Медицинские учреждения.

Около трети всех утечек касается личных данных пользователей, чуть менее четверти падает на коммерческие секреты и конфиденциальную информацию.

В контексте ужесточения законодательства, включая штрафы и узкое внимание Роскомнадзора, риск удовлетворения негативных последствий утечки данных значительно увеличился.

Ситуация в Darknet особенно тревожна: в первой половине 2024 года Персональные данные стали самыми популярными товарамиСделать 83% всех объявлений о продаже или распространении информации. Кроме того, количество предложений по бесплатному распределению данных (64%) почти вдвое превышает количество объявлений о продаже (33%).

Следует отметить, что именно российские компании чаще всего становятся источником бесплатных утечек — 88% всех скомпрометированных данных поступают из России. Это связано с тем, что все злоумышленники не являются основной причиной, чтобы получать средства — часто злоумышленникам нуждается в выкупе для неспособных данных данных, и все организации не готовы или не могут платить.

Следовательно, даже малые предприятия не должны считать себя вне зоны риска. Они могут быть целью мошенников, которые пытаются заменить компанию, чтобы она получила штраф.

Типы популярных кибератак

Понимание того, какие типы атак являются наиболее распространенными, является первым шагом в эффективной защите.

Вредопровод: основной инструмент злоумышленников

Чаще всего пользователи сталкиваются с атаками с использованием вредоносного ПО (VPO). Среди них два типа особенно выдаются.

• ШиринойПолем Эти программы блокируют доступ к вашим данным, шифруют их и требуют выкупа для декодирования. Атаки с использованием шифрования, таких как WannaCry или Petya, нанесли серьезный ущерб предприятиям по всему миру.




• PO для дистанционного управления (крыса)Полем Эти вирусы позволяют злоумышленникам полностью контролировать зараженное устройство, отображать файлы, перехватывать данные и даже управлять камерой и микрофоном. Это делает его опасными инструментами для кражи конфиденциальной информации и шпионажа.

Социальная инженерия: обман как ключ к успеху

Тем не менее, простого присутствия вреда недостаточно — злоумышленникам нужен способ его распространить. И здесь, социальная инженерия приходит на помощь — манипулируя людьми, чтобы иметь доступ к конфиденциальной информации или инфекции устройств VPO.

Социальная инженерия может принимать различные формы.

• Рыбальные электронные письмаПолем Ложные буквы, замаскированные под сообщения от известных компаний (банки, интернет -магазины и т. Д.) Содержит ссылки на вредоносные сайты или файлы, прикрепленные к вирусам.




• Вредные сайтыПолем Сайты, которые используют юридические ресурсы, могут заразить устройство просто при посещении или запросе конфиденциальной информации.




• Атаки против социальных сетей и посланниковПолем Злоумышленники используют социальные сети и посланников для распространения вредоносных ссылок, ложных учетных записей и обмана пользователя. Обычно они обычно могут получить знания или представителей, чтобы обрести уверенность.

Как защитить компанию от утечки личных данных и штрафов

Из всех вышеперечисленных становится ясно, что штрафы увеличились, чеки становятся все сложнее, и у него меньше и меньше возможностей отказаться от ответственности. Что делать с бизнесом в этой ситуации? Вы можете различить несколько ключевых шагов, которые помогут минимизировать риски и избежать серьезных санкций.

Первый уровень защиты: основание безопасности

Чтобы снизить риски, сначала возьмите следующие меры.

1. Зарегистрируйтесь в Реестре операторов, занимающихся обработкой персональных данных. Это обязательное требование закона 152-зз. Проверьте и введите данные в ваш бизнес (и все дочерние компании) Портал Роскомнадзор. Это простая и быстрая процедура, которая будет избежать штрафа на этом этапе.




2. Проверьте наличие текущей документации в соответствии с 152-футовой. Убедитесь, что у вас есть все необходимые политики, правила и инструкции.




3. Убедитесь, что реальная реализация защитных мер. Документы хороши, но важно, чтобы предписанные меры безопасности действительно работали на практике. Заказы о защите личных данных являются директивой по обучению системы безопасности.




4. Минимизируйте сбор и обработку данных. Удалить, деперсонализировать или скрыть данные, которые не необходимы для достижения конкретных целей. Чем менее личная информация вы обрабатываете, тем ниже риски.

Второй уровень безопасности: строить надежную внутреннюю защиту

После выполнения основных шагов необходимо разработать внутреннюю систему безопасности.

• Создать команду безопасности. Желательно отличить менеджера по информационной безопасности (CISO), который может эффективно объединить коммерческие потенциал и управление рисками.




• Привлечь внешних экспертов. На начальном этапе полезно связаться с специалистами, чтобы оценить текущее состояние и разработать стратегию обороны.




• Оценка цифровых активов и критических процессов. Определите, какие данные и системы являются наиболее важными для вашего бизнеса, а также оцените потенциальные последствия их потери или компромисса (RTO, RPO, стоимость простоя).




• Анализ риска и определение риска аппетита. Понимание событий IT / IB неприемлемо для компаний, вам позволит вам определить необходимые приоритеты и ресурсы.




• Разработка планов инцидентов. Заранее подумайте в случае утечки данных или других чрезвычайных ситуаций, чтобы быстро минимизировать ущерб и обеспечить непрерывность бизнес -процессов.

Уважение этих рекомендаций поможет компании адаптироваться к новым реалиям регулирования и защитить себя от потенциальных рисков, связанных с обработкой личных данных.

Оригинальная статья о Seonews