Как фитнес-клуб хранил фото и телефоны клиентов в открытой папке
Как фитнес-клуб хранил фото и телефоны клиентов в открытой папке Сеть спортивных клубов два года держала персональные данные посетителей в облаке без пароля — доступ был у любого, кто знал прямую ссылку. Ко мне обратился владелец сети из трёх залов — готовился к проверке Роскомнадзора и хотел на всякий случай пройтись по документам и системам. Формально всё было в порядке: политика обработки данных подписана, согласия клиенты дают на ресепшене. Но когда я попросил показать, где физически лежат эти данные, выяснилось интересное. Фото клиентов для пропускной системы, графики тренировок, результаты замеров тела и даже сканы медицинских справок хранились в облаке — том самом, куда когда-то давно скидывал файлы уволившийся администратор. Папка на всех и без пароля Ссылка на папку была одна на всю сеть, без ограничения доступа. Её пересылали в чатах новым сотрудникам, подрядчикам по установке оборудования, даже клинеру, которому нужно было закинуть акт выполненных работ. За два года ссылку получили минимум 40 человек, из которых в компании работают восемь Никто не следил, кто заходит и что скачивает. При этом в папке лежали не только фото и телефоны, но и данные о здоровье — а это отдельная, более чувствительная категория персональных данных с более жёсткими требованиями по закону. Если бы архив утёк — а рано или поздно так и случается — компанию ждал штраф от Роскомнадзора, плюс отток клиентов: никто не хочет, чтобы фото с ресепшена и данные о здоровье гуляли по сети. Для сети из трёх залов это легко полгода чистой прибыли. Мы перенесли данные в защищённое хранилище на Яндекс Cloud, закрыли доступ по ссылке, настроили именные учётные записи с журналом действий и уведомление руководителю в мессенджер о любой выгрузке большого объёма файлов. Заняло это два дня и обошлось в разы дешевле одного судебного разбирательства по утечке. Проверка Роскомнадзора прошла без замечаний. Но самое ценное — владелец наконец узнал, сколько людей годами имели доступ к личным данным его клиентов. Узнаёте свою компанию в этой истории с общей ссылкой на облако? #утечкаданных #персональныеданные #малыйбизнес Полный разбор с деталями кейса → Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram