Как не допустить утечку персональных данных и коммерческой тайны

Утечку дешевле предотвратить, чем потом платить оборотный штраф за персональные данные и терять коммерческую тайну. При этом большинство утечек — это не хакеры, а свои сотрудники и обычная небрежность: пересланный не туда файл, флешка, доступ уволенного работника. Поэтому профилактика — это режим из связанных мер, а не один антивирус. Разберём, что реально снижает риск.

Шаг 1. Понять, что именно защищаем

Нельзя защитить то, что не описано. Составьте два перечня: какие персональные данные вы обрабатываете и где они хранятся, и какие сведения составляют коммерческую тайну (статьи 5 и 10 98-ФЗ о коммерческой тайне). Без этих перечней меры будут бить мимо цели.

Шаг 2. Ограничить доступ по принципу минимальных привилегий

Каждый сотрудник должен иметь доступ только к тем данным, которые нужны для его работы, и не больше. Индивидуальные учётные записи вместо общих, разграничение прав в CRM и файловых папках, отдельные роли — это самая дешёвая и самая эффективная мера против внутренних утечек.

Шаг 3. Ввести режим коммерческой тайны и NDA

Для защиты КТКоммерческая тайна — Режим конфиденциальности сведений, позволяющий получить коммерческую выгоду; устанавливается по 98-ФЗ. нужен формальный режим: гриф «Коммерческая тайна» на документах, учёт допущенных лиц, соглашения о неразглашении (NDA) с работниками и контрагентами. Без введённого режима закон не считает информацию охраняемой, и взыскать ущерб за её разглашение не получится.

Шаг 4. Работать с человеческим фактором

Большинство инцидентов — ошибки людей. Регулярный инструктаж, понятные правила (что нельзя пересылать на личную почту, выкладывать в мессенджеры, копировать на личные флешки), культура внимательности дают больший эффект, чем дорогие технические средства. И отдельный критичный момент — порядок при увольнении: доступы отзываются сразу, а не через неделю.

Шаг 5. Технические меры

• сильные пароли и двухфакторная аутентификация для важных систем;
• шифрование носителей и каналов связи;
• регулярное резервное копирование (защита и от утечки, и от шифровальщиков);
• контроль съёмных носителей и исходящей почты, для тех, кто может — DLPСистема предотвращения утечек данных — Класс решений для контроля и блокировки несанкционированной передачи данных (Data Loss Prevention).;
• логирование и мониторинг доступа, чтобы видеть, кто и к чему обращался;
• своевременные обновления и антивирус.

Шаг 6. Контролировать подрядчиков

Передавая данные в CRM, облако или на аутсорс, вы расширяете периметр утечки. Минимизируйте состав передаваемых данных и оформляйте поручение на обработку с условиями о конфиденциальности и безопасности. Утечка у обработчика — это и ваша ответственность тоже.

Не забывайте про бумагу

Утечь может и бумажный документ. Запираемые шкафы, правило чистого стола, уничтожение черновиков и невостребованных копий — это часть режима, см. статью про бумажную безопасность.

Если утечка всё же произошла

Стопроцентной защиты не бывает, поэтому план реагирования должен быть готов заранее: сроки уведомления Роскомнадзора 24 и 72 часа очень короткие. Порядок действий — в статье про алгоритм при утечке.

Главное

Профилактика утечки ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). и коммерческой тайны держится на трёх китах: знать, что защищаешь; ограничить доступ и оформить режим; работать с людьми. Технические средства это усиливают, но не заменяют.