Как организовать защиту персональных данных в условиях повышенного уровня киберугроз?

Последний год для российского рынка стал рекордным по масштабу и количеству утечек персональных данных — эксперты заявляют об утечках размером более 10 млн строк. Кроме того, внесение изменений в Федеральный закон № 152-ФЗ «О персональных данных» и продвигаемые Минцифры инициативы введения оборотных штрафов за их утечку также являются важными предпосылками для внедрения усиленных практик защиты информационных систем.

Искандар Косимов, эксперт в сфере управления информационной безопасностью, поделился мнением с аудиторией блога MAKVES о том, что необходимо сделать, чтобы глобально изменить ситуацию с масштабами утечек и выбрать оптимальный комплекс мер по защите персональных данных для компании любого размера.

При этом, от атак страдают не только крупные компании, такие как Сбер или Яндекс, но даже малый и средний бизнес, который долгое время откладывал внедрение практик по защите персональных данных. А откладывалось все по причине того, что раньше было достаточно спокойно — мы работали на другом оборудовании и не было настолько большого потока кибератак на российские компании.

Сегодня мы живем в абсолютно новой реальности. Еще год назад у наших специалистов по информационной безопасности был доступ к международным базам, где проводился мониторинг атак и активностей злоумышленников. И поскольку сейчас нас отключили от таких баз, отечественные компании превратились в киберполигон для хакеров со всего мира. При этом, как показывает практика, хакеры, которые сегодня осуществляют атаки, зачастую не являются профессионалами и допускают множество ошибок технического плана.

— У западных коллег есть хорошая база, в которой публикуется информация о различных утечках. Это помогает предупреждать другие компании и быть более бдительными. У российских компаний, к большому сожалению, информация о взломах и утечках часто остается в рамках определенного круга лиц.

И если бы мы могли делиться утечками и их причинами хотя бы в рамках ИБ-сообщества, это бы значительно улучшило качество организации защиты. Было бы намного проще подобрать технические инструменты и обосновать затраты на них.

Мы часто посещаем конференции, где вендоры показывают красивые графики и демонстрируют преимущества отдельных продуктов. Но редко кто рассказывает, как они применяются на деле в формате живого кейса. Например, сотрудник получил фишинговое письмо, или был открыт временный доступ к информационным ресурсам, о котором забыли — через эти каналы злоумышленники смогли проникнуть в инфраструктуру и наращивать свою активность. И при наличии комплекса программных решений (к примеру, антивирус, DLP и DCAP) на различных этапах можно выявить эту уязвимость.

Конечно, если компания новая, в которой предусмотрен большой поток персональных данных клиентов, то будет намного проще. А если речь идет о крупных компаниях, существующих на рынке длительное время, нужно обязательно внедрять обе системы единовременно или друг за другом с разрывом не более года.

— На самом деле публикация таких исследований — это уже хорошо. Конечно, подробная информация о том, что есть затраты на репутационные издержки и восстановление ИТ-инфраструктуры после взлома, была бы очень полезной для руководителей и собственников бизнеса в том числе.

Специалистам информационной безопасности было бы проще выстроить стратегию по кризисному случаю. Сейчас такой информации очень не хватает, и приходится изучать инциденты зарубежных коллег.

С другой стороны, компании не готовы делиться неудачами из-за возможных репутационных рисков. К примеру, простой после взлома для средней компании размером до 1000 сотрудников может длиться от 10 до 30 дней, по причине того, что все резервные копии, которые хранились на серверах были зашифрованы. И вряд ли в компании, где на несколько дней могут отключиться клиентские сервисы, увеличится поток покупателей.

— Да, это действительно так. Утечка служебных или персональных данных дает возможность злоумышленникам использовать их в фишинговых и социальных атаках на сотрудников компании, с целью добиться от них выполнения опасных действий, включая предоставление доступа к информационной инфраструктуре компании. Как правило это происходит через рабочее место сотрудника, данные которого оказались не защищены должным образом.

— В России есть много компаний, где штат сотрудников составляет 10−15 человек. Для таких компаний организация процедуры является сложно организуемой и дорогой.

Потому что речь идет не только о хранении данных в информационных системах, но и о физической безопасности: нужно организовывать отдельное помещение, где будет храниться информация на бумажных носителях. Этот процесс требует определенных ресурсов, и не каждый руководитель готов в них вложиться.

Есть и техническая сторона защиты: нужно организовать рабочее место с установленным лицензионным ПО. И опять же в маленьких компаниях с этим беда. Ну и покупать специализированный софт для защиты персональных данных в такой компании точно никто не будет.


В компаниях с численностью штата более 100 человек есть умелые инженеры, которые пишут скрипты, с помощью который можно провести разовый аудит. Но это очень трудоемкий рутинный процесс, который может занимать длительное время. Нужно отсканировать сеть, файловые хранилища, оттуда выгрузить информацию в таблицу и вручную обрабатывать. На это может уйти несколько дней, а в крупных компаниях — даже несколько месяцев, поэтому лучше его автоматизировать. И с этой задачей отлично справляются решения класса DCAP.