Утечки персональных данных в IT — это как корпоративный спорт. Есть футбол, есть волейб...
Утечки персональных данных в IT — это как корпоративный спорт. Есть футбол, есть волейбол, а есть «кто сегодня случайно разослал базу клиентов всем, кроме клиентов». Сценарий первый, классический. — У нас случилась утечка персональных данных. — Как так? У нас же защита, аудит, шифрование, политики, тренинги! — Ну… мы положили бэкап на открытый S3, назвали его backup_final_real_last2.zip и забыли. Хорошая новость: хакерам даже не пришлось взламывать, всё лежало как на витрине. Плохая: теперь юристы знают, что такое «инцидент 24/7», а безопасность — что такое «искренний интерес регуляторов». Сценарий второй — «человеческий фактор». Это когда сотрудник уходит из компании с флешкой, ноутбуком и ощущением: «Ну это же тоже немного мои данные, я же с ними работал». Потом эти «немного его данные» всплывают в другом бизнесе, а бывший работодатель публично говорит: — Мы ответственно относимся к защите информации. И добавляет внутри: — Но не к тому, кто куда что тащит. Отдельный жанр — утечки через подрядчиков. Компания строит систему, навешивает регламенты, шифрование, роли, матрицы доступа. Потом подключает какого‑то внешнего «партнёра», который честно кладёт выгрузку с паспортами в Google‑табличку «для удобства». Половина рынка почему‑то находит эту табличку удобной раньше, чем заказчик. IT в этот момент делает круглые глаза: — Мы же всё по уму делали! Да, но в цепочке «клиент — сервис — подрядчик — ещё один подрядчик — фрилансер» самый слабый элемент — обычно тот, кто даже не знает, что у него в руках персональные данные. Он просто «скинул файлик, чтобы было проще работать». Лучшее, конечно, начинается в коммуникациях: — У нас произошёл инцидент с информационной безопасностью. Перевод: «База утекла, но мы очень надеемся, что вы об этом узнаете из нашего письма, а не из новостей». — Утечки персональных данных не повлияли на качество предоставляемых услуг. Ну да, просто ваши данные теперь предоставляются ещё и третьим лицам — бесплатно, без SMS и регистрации. Вишенка на торте — обучение сотрудников. Раз в год всем включают презентацию: «Нельзя передавать базу в мессенджерах», «Нужно ставить сложные пароли», «Не нажимайте на подозрительные ссылки». А через неделю письмо от фишера: «Срочно! Премия за прошлый год, откройте отчёт!» И половина офиса такая: «Ну а вдруг правда премия…» В итоге утечки персональных данных в IT — это не про «злых хакеров в капюшонах». Это про нормальных людей, бизнес, который «надо быстрее», процессы, которые «потом допилим», и вечный рефрен: «Кто же мог подумать, что так выйдет», хотя думать надо было ровно в тот момент, когда кто‑то сказал: «Давайте пока положим всё вот сюда, временно, а потом разберёмся».