Утечка личных данных

Утечка личных данных способна возникнуть в любой компании, которая занимается хранением и обработкой информации клиентов. Инциденты происходят случайно или намеренно. Виновниками могут стать как собственные сотрудники, так и хакеры. Защита конфиденциальной информации – одна из первоочередных задач любого бизнеса. Последствия и ущерб зачастую бывают критичными, поэтому важно не допустить развития негативного сценария ситуации, использовать комплексный подход к обеспечению информационной безопасности.

Каналы утечки конфиденциальной информации

1. Хакерские атаки. Направленные и подготовленные действия злоумышленников, рассчитанные на захват баз данных компаний, новейшие разработки компании, коммерческую тайну, финансовую отчётность. Осуществляются через взлом устаревших или слабых защитных мер, плохо настроенное ПО, незащищенные каналы связи.

2. Инсайдеры. Подкуп персонала компании конкурентами или продажа ценной информации в поисках личной выгоды – один из главных каналов утечки в организациях. Наибольшую ценность для третьей стороны представляют коммерческая тайна, ноу-хау, финансовая документация.

3. Случайные внутренние утечки. Возникают в случаях игнорирования элементарных защитных мер или по вине персонала, который плохо обучен и подготовлен к работе с конфиденциальной информацией. Происходят путем передачи информации на сменные носители, которые не учтены в системе, копирование документов, использование мессенджеров в незащищенных каналах связи.

4. Фишинговые рассылки. Кража и взлом аккаунтов, помогают злоумышленникам войти в доверие к потенциальным жертвам. Выманить ценную информацию. Таким образом похищают личные данные связанные с банковскими картами, доступом к закрытой информации.

Как снизить риски утечки или кражи личных данных?

• Указывать только минимум необходимых данных о себе. Многие данные пользователей предоставлены в общий доступ, в том числе и персональная информация, как например, имя и фамилия, адрес электронной почты, телефон, фото. Большинство подобных сведений легко собрать через социальные сети, доски объявлений, форумы. Мошенники легко могут использовать подобные данные в личных целях и против владельца.

• Всегда использовать разные и сложные пароли в аккаунтах, сервисах, приложениях. Единый пароль для электронной почты, социальной сети, мобильного приложения – это удобно, но небезопасно. Взлом одного из аккаунтов способен привести к взлому других. Необходимо использовать разные и нестандартные пароли, регулярно обновлять их, не хранить в одном месте.

• Использовать двухфакторную аутентификацию. Защита персональных данных единственным паролем – устаревшая схема защиты, которую легко обойти знающему человеку. Рекомендуется использовать в дополнение контрольный вопрос, подтверждение кода по смс, вторичную авторизацию в приложении.

• Использовать программные способы защиты информации. В этом плане поможет применение антивирусных программ, VPN-сервисов, межсетевых экранов. Посредством таких решений вероятно заблокировать многие внешние угрозы и пресечь перехват личной информации.

Рекомендации ФСТЭК для операторов персональных данных в РФ согласно приказу № 21 от 18.02.2013

• В ходе обработки личной информации в обязательном порядке должны использоваться идентификация и аутентификация пользователей. Присвоение уникальных идентификаторов участникам информационной системы и субъектам данных позволит избежать несанкционированного доступа.

• Ограничить используемую программную среду. Допустимо применение ПО, которое находится в ограниченном и разрешенном перечне. Дополнительно в системе должны быть установлены строгие роли для всех пользователей определяющие их права доступа.

• Использование съемных носителей информации должно быть ограничено и разрешено только с учетом их полного контроля.

• В информационной системе присутствуют антивирусные программы и решения для обнаружения и предотвращения утечек, например DLP-системы.

• Обеспечить регулярный мониторинг информационной защиты, создать и вести журнал аудита.

• Осуществлять постоянный контроль уровня текущей защиты, проводить модернизацию и модификацию защитных систем.

Утечка личных данных – большая проблема как для обычных пользователей сети, так и операторов информации. Не исключено, что инцидент будет обнаружен не сразу, а спустя какое-то время, что не позволит среагировать немедленно и принять ответные меры. Важно поддерживать информационную защиту на стабильно высоком уровне, регулярно обновлять ПО, контролировать доступ к персональным данным. Только так получится предотвратить ИБ и сохранить информацию в неприкосновенности.