Произошла утечка. Что делать?

Для небольших компаний кибератаки, утечка или утрата данных могут казаться маловероятными и далёкими. Можно подумать, что крупные корпорации больше привлекают внимание злоумышленников, однако крупный бизнес имеет более серьёзные (и, откровенно говоря, дорогостоящие) системы защиты.

Малые и средние предприятия зачастую не имеют ни комплексных систем безопасности, ни специализированных технологий и квалифицированных специалистов. Это делает их максимально уязвимыми для взломов, которые становятся проще и легче осуществить.

Когда необходимо реагировать

Если персональные данные теряют свою конфиденциальность и это приводит к нарушению прав их владельца, компания обязана в течение 24 часов уведомить об этом Роскомнадзор и начать внутреннее расследование.

Примеры ситуаций, требующих реакции

• взлом информационных систем, в результате которого злоумышленники получили доступ к базе клиентов компании;
• неосторожность сотрудников, приведшая к попаданию копии базы данных клиентов в интернет;
• оставление сотрудником документов со сканами паспортов клиентов на рабочем столе, что позволило следующим посетителям их сфотографировать;
• случайная отправка кадровиком справки о размере заработной платы по ошибочному адресу электронной почты.

Независимо от количества людей, чьи данные были разглашены, компания обязана уведомить Роскомнадзор, если произошло нарушение прав хотя бы одного субъекта персональных данных. Это касается даже случаев, когда информация стала доступна ограниченному кругу лиц.

Однако не каждый инцидент, связанный с безопасностью персональных данных, считается утечкой. Например, если сотрудник намеренно удалил базу данных, это классифицируется как инцидент безопасности, но не требует уведомления об утечке, поскольку конфиденциальность данных не была нарушена.

Действия компании при утечке персональных данных 

Что предпринять, если произошла утечка?

Уведомить Роскомнадзор 

Это можно сделать в электронном виде на сайте. Не нужно придумывать собственную форму, так как утвержденной формы нет. Это позволит сэкономить время на отправке уведомления по почте.

В уведомлении следует указать следующую информацию:

1. какие и чьи данные утекли;
2. из каких информационных систем произошла утечка; предполагаемые причины инцидента;
3. вред, нанесенный утечкой;
4. меры, принятые для устранения последствий;
5. указать Ф.И. О., адрес электронной почты, адрес и номер телефона контактного лица, которое будет взаимодействовать с Роскомнадзором по поводу утечки.

Провести внутреннее расследование

Его необходимо инициировать в течение первых 24 часов после обнаружения утечки. На само расследование у компании есть трое суток.

Для проведения расследования обычно создают рабочую группу сотрудников и руководителей, которые непосредственно используют утекшие данные в своей работе и несут за них ответственность.

Результаты работы рабочей группы необходимо зафиксировать в акте.

Отчитаться о результатах расследования в течение 72 часов

После того как компания уведомит Роскомнадзор об утечке персональных данных, ей также необходимо будет направить ещё одно уведомление  — о результатах проведенного внутреннего расследования. Это нужно сделать в течение 72 часов после выявления инцидента.

К уведомлению рекомендуется приложить все имеющиеся доказательства, например, копию акта или протокола о результатах расследования, а также выгрузки из информационных систем. Документы можно направить как в бумажном, так и в электронном виде.

Чтобы избежать потери времени на организацию расследования и своевременное уведомление Роскомнадзора, компании рекомендуется принять регламент, определяющий порядок действий при утечке персональных данных. Такой регламент также продемонстрирует регулятору, что компания предприняла все необходимые меры после инцидента. В регламенте следует чётко определить зоны ответственности между различными подразделениями компании.

Срок уведомления Роскомнадзора об утечке персональных данных

Срок для уведомления Роскомнадзора об утечке персональных данных начинает исчисляться с момента, когда о произошедшем узнаёт оператор (Вы), Роскомнадзор или любое третье лицо, включая конкурентов и общественные организации по защите прав субъектов.

Закон не предусматривает отсрочек для исполнения обязанности по уведомлению об утечке.

Это означает, что если утечка персональных данных была обнаружена в пятницу, то уведомить Роскомнадзор и начать расследование необходимо в выходные дни. Это же правило применяется и к другим нерабочим дням.

Теоретически, недобросовестные конкуренты или потребители могут подать жалобу в Роскомнадзор о возможной утечке, даже если у них недостаточно информации для такой квалификации. В ответ на это Роскомнадзор может потребовать предоставить сведения о предполагаемой утечке.

Если компания не выявила утечку самостоятельно, она может попытаться обосновать, что срок для уведомления начинается с момента получения запроса от Роскомнадзора или с момента проверки обстоятельств для подготовки ответа.

Пример регламента на случай утечки персональных данных

1. Каждый работник Организации обязан незамедлительно уведомить лицо, ответственное за организацию обработки персональных данных, о ставшем ему известном готовящемся или свершившемся инциденте в отношении персональных данных (далее — ПДн) установленным в Организации способом.
2. Уведомление о свершившемся инциденте в отношении ПДн должно содержать следующую информацию: источник получения информации, дату и время инцидента с ПДн, информацию о категориях ПДн и информационных системах персональных данных (далее — ИСПДн), в отношении которых произошел инцидент, и иные обстоятельства, известные работнику.
3. Ответственное лицо незамедлительно осуществляет предварительный анализ обстоятельств, сообщенных работником на основании п. 2, и в случае, если факт инцидента подтвержден, незамедлительно:
   а) информирует руководство Организации о случившемся факте;
   б) инициирует проведение внутреннего расследования с обязательным привлечением заинтересованных подразделений Организации;
   в) выявляет предполагаемые причины инцидента;
   г) проводит оценку предполагаемого вреда, нанесенного правам субъектов ПДн.
4. В срок не позднее 24 часов с момента выявления инцидента ответственное лицо уведомляет Роскомнадзор о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов ПДн, и предполагаемом вреде, нанесенном правам субъектов ПДн, о принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Организацией на взаимодействие с Роскомнадзором по вопросам, связанным с выявленным инцидентом.
5. При получении от ответственного лица информации об инциденте руководитель Организации незамедлительно осуществляет внутреннее расследование инцидента в рамках предусмотренных процедур Организации с привлечением заинтересованных подразделений.
6. По результатам расследования руководитель направляет ответственному лицу информацию о результатах расследования, но не позднее 60 часов с момента выявления инцидента.
7. По факту получения информации ответственное лицо незамедлительно, но не позднее 72 часов с момента выявления инцидента уведомляет Роскомнадзор о результатах внутреннего расследования инцидента, а также предоставляет сведения о лицах, действия которых стали его причиной (при наличии).