Практика. Создание системы защиты персональных данных
Вне зависимости от того, принадлежит ли компания к большому, малому или среднему бизнесу, состоявшаяся это организация или пока еще стартап — вопрос защиты персональных данных актуален для всех. Эта статья посвящена особенностям и средствам такой защиты, а также рекомендациям, которые помогут упростить эту работу и сделать ее более эффективной.
Кто обеспечивает защиту данных?
Сфера защиты данных юридически регулируется информационным правом (одной из подотраслей административного права), нормы которого прописаны в нескольких законодательных актах. Один из основных — Федеральный закон № от 27.07.2006 «О персональных данных», цель которого заявлена как «общее обеспечение защиты конституционных прав и свобод человека и гражданина при обработке персональных данных», таких как право на неприкосновенность частной жизни, личную и семейную тайну.
Реализация мер по защите персональных данных — это зона ответственности оператора, т. е. субъекта, осуществляющего сбор и обработку данных в информационной системе. Как правило, таким субъектом выступает компания, владеющая базами данных своих сотрудников и клиентов либо сторонняя организация, уполномоченная компанией-владельцем.
При невыполнении мер защиты оператор несет законодательно установленную ответственность. Наблюдением и проверками компаний в данном случае занимается Роскомнадзор. В случае если требования законодательства нарушены, оператор несет административную ответственность и обязан заплатить штраф. С 2019 года его размер повысился до сотен тысяч (для юридических лиц — миллионов) рублей — в соответствии с недавними поправками, внесенными в Кодекс РФ об административных правонарушениях.
Общая сумма штрафов, выписанных по итогам проверок, составила более пяти миллионов за предыдущий год.
Что защищать и от чего?
Начнем с вопроса терминологии. Персональные данные представляют собой любую информацию, относящуюся прямо или косвенно к физическому лицу, который в законе прописан как субъект персональных данных. Наиболее распространенные разновидности такой информации:
точное место жительства;
адрес электронной почты.
Фамилия, имя и отчество сами по себе тоже могут являться персональными данными. Попадание этой информации к любым третьим лицам должно быть исключено.
Кроме того, необходимо понимать, что оператор имеет право на обработку данных лишь в некоторых случаях:
если им получено согласие на обработку (необязательно письменное);
планируется заключение договора с субъектом (даже в случае оферты на веб-сайте);
обрабатываются персональные данные своих сотрудников;
в особых случаях, когда обработка нужна для защиты жизни, здоровья и прочих важных интересов человека.
Если компания-оператор не смогла доказать ни одно из перечисленных оснований обработки, на нее также налагается штраф и сбор данных считается незаконным.
Самый важный пункт здесь — само согласие на обработку. Простейший способ, которым пользуются большинство компаний — реализованная тем или иным образом форма быстрого выражения согласия. Обычно это знакомая многим «галочка» под сопровождающим ее текстом о собственно согласии.
Еще один параметр, который нужно учитывать — не стоит обрабатывать персональную информацию, не имеющую непосредственного отношения к предмету договора (скажем, для классического договора купли-продажи не имеют значения профессия, уровень образования или воинская обязанность покупателя). Излишний интерес может быть истолкован надзорными органами как нарушение.
Поскольку время от времени Роскомнадзор проводит внеплановые проверки (чаще всего, если есть жалобы конкретного лица — бывшего сотрудника, конкурирующей компании или клиента, считающего, что его права нарушены), во избежание претензий компании-оператору нужно удостовериться, что:
Политика в отношении персональных данных задокументирована и находится в публичном доступе.
Форма сбора персональных содержит разъясняющую информацию о том для чего они собираются (когда ввод персональных данных необходим для заключения договора, его текст также обязательно должен быть опубликован).
Уже собранные специальные данные человека, включая биометрические (те сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых может быть установлена его личность) не могут быть переданы заграничным компаниям.
Запросы и требования субъектов персональных данных (в том числе об уточнении, удалении, блокировании) всегда удовлетворяются.
Чаще всего проверки Роскомнадзора выявляет нарушения из этого списка. Другая распространенная претензия — недостаточный внутренний контроль за осуществлением обработки и слабая осведомленность сотрудников, которые за нее отвечают о правилах и требованиях ее проведения.
Когда обработка происходит с использованием информационных систем (а значит, и электронных устройств), появляются новые потенциальные угрозы, которые нужно свести к минимуму, а лучше и вовсе исключить. Рассмотрим их.
Угрозой информации считают возможное влияние или воздействие на автоматизированную систему обработки изнутри или извне, которое влечет за собой любые негативные последствия для субъектов этой информации. Обычно информационные системы становятся особо уязвимыми, когда:
программное обеспечение компании несовершенно, давно не обновлялось и содержит уязвимости;
некоторые процессы системы (в частности, защитные) функционируют не в полную силу;
усложнены условия эксплуатации и хранения информации.
Угрозы принято делить на несколько групп (в основе классификации лежит природа угрозы):
Объективная. Она напрямую зависит от того, насколько грамотно подобрано оборудование для хранения и обработки, работает ли должным образом защитное ПО.
неисправность технических средств,
слабые антивирусы, отсутствие шлюзов безопасности,
невозможность зрительного контроля за серверами и доступом к ним.
Предусмотреть все возможные сбои и неполадки невозможно, но важно знать где и почему они могут потенциально произойти — и подстраховаться.
Случайная. Эта группа включает в себя непредвиденные обстоятельства, различные ЧП и системные сбои. В данном случае важно быть готовыми оперативно их устранить (любые неисправности технических средств на всевозможных уровнях системы, в том числе тех, которые отвечают за контроль доступа, устаревание и износ отдельных микросхем, носителей данных, линейных соединений, неисправность в работе антивирусных, сервисных и прикладных программ).
Субъективная. Как правило, под такими угрозами понимают неправильные действия сотрудников, осуществляющих техническую обработку, хранение и защиту информации. Они могут ошибаться в соблюдении правил безопасности и допускать утечки при загрузке программного обеспечения или в момент активного использования системы, при различных манипуляциях с базами данных, при включении и выключении аппаратуры. Также к этой группе относятся неправомерные действия бывших сотрудников, у которых остался несанкционированный доступ к данным.
Специалисты компании-оператора должны учитывать все типы угроз. Во внимание следует принять критерии, которые помогут понять, какова реальная возможность угрозы того или иного типа (а также вероятность поломки или успешного обхода защитных алгоритмов):
Доступность. Этот критерий демонстрирует, насколько просто злоумышленник может получить доступ к нужной ему информации или к инфраструктуре организации, где хранятся эти данные.
Фатальность. Эта характеристика предполагает оценку степени глубины влияния угрозы на общее функционирование системы и способность специального персонала компании справиться с последствиями от влияния этого фактора.
Количество. Это параметр, подразумевающий собой определение количества потенциально уязвимых деталей системы хранения и обработки данных.
Точный расчет вероятности воздействия той или иной угрозы производится математически — это могут сделать аналитические эксперты компании. Такой самоанализ позволяет объективно оценить риски и предпринять дополнительные меры защиты: закупить более совершенное оборудование, провести дополнительное обучение работников, перераспределить права доступа и т. д.
Существует несколько других, более подробных классификаций внутренних и внешних угроз, которые будут полезны для систематизации всех факторов. Рассмотрим и их.
угроза, вызванная небрежностью сотрудников, работающих с информационной системой;
угроза, инициируемая субъектами извне с целью получения личной выгоды.
искусственная угроза, созданная при участии человека;
природная, неподконтрольная человеку (чаще всего — стихийные бедствия).
Непосредственная причина угрозы:
человек, разглашающий строго конфиденциальные сведения;
природный фактор (вне зависимости от масштаба);
специализированное вредоносное программное обеспечение, нарушающее работу системы;
удаление данных случайным путем из-за отказа техники.
Момент воздействия угрозы на информационные ресурсы:
в момент обработки информации (обычно это происходит из-за рассылок вирусных утилит);
при получении системой новой информации;
независимо от степени активности работы системы (например, при направленном взломе шифров или криптозащиты).
Существуют и другие классификации, учитывающие среди параметров возможность доступа работников к самой системе или ее элементам, способ доступа к основным частям системы и конкретные способы размещения информации.
Значительную часть всех угроз эксперты связывают с объективными внешними факторами и информационным вторжением со стороны конкурентов, злоумышленников и бывших сотрудников. Особую опасность представляют те из них, кто знаком с правилами функционирования конкретной системы, обладает знаниями на уровне разработчика программ и имеет сведения о том или ином уязвимом месте в системе.
Построение системы защиты персональных данных
Классификация уровней защиты
Информационная безопасность подразумевает четыре уровня защиты от угроз:
Первый уровень. Наиболее высокий, предполагает полную защиту специальных персональных данных (национальная и расовая принадлежность, отношение к религии, состояние здоровья и личная жизнь).
Второй уровень. Предполагает защиту биометрических данных (в том числе фотографии, отпечатки пальцев).
Третий уровень. Представляет собой защиту общедоступных данных, то есть тех, к которым полный и неограниченный доступ предоставлен самим человеком.
Четвертый уровень. Это сборная группа, в которую включают все данные, не упомянутые в предыдущих трех пунктах.
Таким образом, все данные, собранные в информационной базе компании, могут быть четко распределены по уровням защиты.
Обеспечение защиты
Защита информации по уровням в каждом случае состоит из цепочки мер.
Четвертый уровень. Означает исключение из помещения, где находится информационное оборудование, посторонних лиц, обеспечение сохранности носителей данных, утверждение четкого списка работников, которые имеют допуск к обработке данных, а также использование специальных средств защиты информации.
Третий уровень. Подразумевает выполнение всех требований, предусмотренных для предыдущего уровня, и назначение ответственного за информационную безопасность должностного лица.
Второй уровень. Помимо выполнения требований предыдущего уровня, включает в себя ограничение доступа к электронному журналу безопасности.
Первый уровень. Кроме всех требований, которым необходимо следовать на втором уровне, включает обеспечение автоматической регистрации в электронном журнале безопасности полномочий сотрудников, имеющих доступ к данным, в случае изменения этих полномочий, а также возложение ответственности за информационную безопасность на специально созданное подразделение.
Должное выполнение прописанных в законодательстве мер защиты персональных данных в соответствии с уровнями обеспечивает максимальную эффективность общей стратегии защиты информации, принятой в компании-операторе.
Средства защиты информации
Подробный список технических и организационных мер по обеспечению безопасности также определен юридически. К ним относятся процедура идентификации и аутентификации субъектов и объектов доступа, цепочка управления доступом, ограничение программной среды, надежная защита машинных носителей информации, антивирусная защита, предотвращение и обнаружение вторжений, аналитика степени защищенности среды наряду с обеспечением доступности данных и выявлением событий, которые потенциально приведут к сбоям в работе системы. Кроме того, закон обязывает в случае технической невозможности реализации каких-либо мер разрабатывать другие, компенсирующие меры по нейтрализации угроз.
Технические средства защиты также имеют отдельную классификацию и должны выбираться в зависимости от требуемого уровня защиты. Средства определены официальным документом, составленным Федеральной службой по техническому и экспортному контролю (орган исполнительной власти, занимающийся защитой информации). Документ доступен на официальном ресурсе службы. Каждый из классов имеет минимальный набор требований по защите.
Криптографические средства защиты информации
Одним из наиболее действенных способов защиты персональных данных является использование средств криптографии. Если упростить, то речь идет о шифровании текста с помощью цифрового кода.
К криптографическим средствам относятся аппаратные, программные и комбинированные устройства и комплексы, способные реализовывать алгоритмы криптографического преобразования информации.
Они предназначены одновременно для защиты информации при передаче по каналам связи и защиты ее от неразрешенного доступа при обработке и хранении. Логика проста: злоумышленник, который не знает кода, не сможет воспользоваться данными, даже если получит к ним доступ, поскольку не прочтет их. Для него они остануться бессмысленным набором как будто случайных цифр.
Регламент использования криптографических средств определяется Федеральной службой безопасности и документирован в соответствующем приказе.
Рекомендации по защите персональных данных
Как видим, поддержание системы информационной безопасности силами отдельной компании представляется довольно трудоемкой задачей. Далеко не каждый бизнес или государственная компания могут позволить себе штат профильных специалистов. Во многих случаях проще отдать эту задачу на аутсорс, нанять сторонних специалистов, которые помогут подобрать и установить подходящее оборудование, проконсультирую персонал, окажут поддержку с написанием политики конфиденциальности и внутренних регламентов по обращению с засекреченной информацией.
Такое сотрудничество всегда требует большой вовлеченности со стороны руководящего звена компании и всех ее сотрудников. Невнимательность и недостаточно серьезное отношение к соблюдению мер защиты могут закончиться кражей данных, крупными штрафами, судебными разбирательствами и репутационными потерями.
Регулярно проводите оценку эффективности выбранных мер защиты, оперативно вносите коррективы, следите за изменениями в законодательстве. Предупредить угрозу в разы проще (и дешевле), чем бороться с ее последствиями.
Анализируем рекомендации по защите персональных данных и ИБ — на что стоит обратить внимание
На днях мы рассмотрели целый ряд книг о рисках в ИТ, социальной инженерии, вирусах и истории хакерских группировок. Сегодня попробуем перейти от теории к практике и посмотрим, что каждый из нас может сделать для защиты персональных данных. На Хабре и в СМИ можно найти большое количество базовых советов: от использования менеджеров паролей и двухфакторной аутентификации до внимательного отношения к письмам и потенциальным признакам фишинга.
Несомненно, эти меры важны в качестве основы кибергигиены, но не стоит ограничиваться только ими. Рассказываем о менее очевидных моментах, касающихся ИБ при работе с интернет-сервисами.
Фото — Bianca Berg — Unsplash
Парольные фразы вместо паролей
Менеджеры для работы со сложными паролями исключают необходимость их запоминать. Однако password manager — это всегда компромисс между удобством и надежностью. У разработчиков порой случаются утечки. Например, в 2015 году хакеры украли у LastPass электронные адреса и секретные вопросы пользователей.
С учетом этого ряд экспертов по ИБ (в том числе представители отделения ФБР в Портленде) отдает предпочтение альтернативному варианту работы с аутентификаторами — парольным фразам. Их проще запомнить, чем цифробуквенные пароли со специальными символами.
При этом они считаются более надежными — еще в 2015 году специалист в области информатики Евгений Панферов математически доказал, что для усиления защиты от брутфорс-атак необходимо удлинять идентификатор, а не увеличивать его сложность за счет цифр, решеток и звёздочек (стр.2). Эту концепцию также проиллюстрировал автор комикса xkcd про будни разработчиков.
Фото — Erik Mclean — Unsplash
Поддерживают идею с парольными фразами и инженеры из Фонда электронных рубежей (EFF). Они даже предложили необычный способ их генерации — с помощью игральной кости. В EFF составили список из 60 тыс. английских слов, сопоставив с каждым определенную последовательность цифр, выпадающих на кубике.
Достаточно выбрать шесть слов, чтобы получить случайный идентификатор из 25–30 знаков. Кидать кубик рекомендуют потому, что человеческий мозг не способен сгенерировать случайную последовательность чисел. Мы подсознательно стремимся выбирать цифры, которые имеют для нас какое-либо значение. Поэтому еще в 1890 году английский психолог Фрэнсис Гальтон (Francis Galton) писал, что игральная кость — это наиболее эффективный «генератор случайности».
Ротация паролей не нужна
Все мы сталкивались с требованиями менять пароль от какого-либо аккаунта раз в месяц или полгода. Но глава ИБ-компании Spycloud Тэд Росс (Ted Ross) говорит, что подобная ротация бессмысленна.
Она подталкивает пользователей лишь незначительно модифицировать пароли и переиспользовать прошлые идентификаторы. Все это вредит безопасности учетной записи. Также считают и в Национальном институте стандартов и технологий США (NIST). Там разрабатывают новый фреймворк для работы с паролями. К слову, его уже внедрили в Microsoft — с прошлого года Windows перестала требовать от пользователей регулярно придумывать новые аутентификационные данные.
Менять идентификаторы следует лишь в том случае, если они скомпрометированы. Для проверки этого факта существуют специальные инструменты — например, знакомый многим сервис Have I been Pwned. Достаточно ввести адрес своей почты, и он покажет, был ли email «засвечен» в каких-либо утечках. Также можно настроить уведомления — в случае нового «слива», поступит нотификация.
Фото — Nijwam Swargiary — Unsplash
Заменить утекшие в сеть пароли следует и для аккаунтов, которые долгое время не были активны. Но лучше вообще удалить эти учетные записи. Оставленные без внимания, они могут стать причиной компрометации персональных данных. Даже небольшой фрагмент информации поможет злоумышленникам собрать недостающие сведения о «жертве» в остальных сервисах.
На некоторых ресурсах процедура закрытия учетных записей не так проста. Иногда приходится общаться с техподдержкой, а иногда — подолгу искать нужную кнопку в интерфейсе. Однако существуют инструменты, способные упростить и эту задачу. Например, JustDeleteMe — каталог кратких инструкций и ссылок для отключения учетных записей. Это — расширение для Chrome, добавляющее в омнибар специальную кнопку. По клику на неё откроется страница для отключения аккаунта на текущем ресурсе (если это возможно). Дальше остается следовать инструкциям.
Работа с документами на специальной ОС
Примерно 38% вирусов выдают себя за док-файлы. Сегодня это один из самых распространенных векторов хакерских атак. Защититься от зловредов, распространяемых подобным образом, можно, если открывать подозрительные документы в облачных редакторах. Эксперты EFF отмечают, что в этом случае можно практически наверняка предотвратить установку вредоносного ПО. Но такой метод не подходит для конфиденциальных документов — есть риск сделать их публичными. Например, в 2018 году в общий доступ попали личные гугл-документы пользователей — их проиндексировала поисковая система.
Инженеры из Фонда электронных рубежей говорят, что одним из способов обезопасить себя от вирусов в PDF и DOC может стать установка специальной операционной системы (можно в облаке IaaS-провайдера) для чтения электронных документов — например, Qubes. В ней действия ОС и пользователя выполняются на отдельных виртуальных машинах. Поэтому, если один из компонентов будет скомпрометирован, вредоносное ПО окажется изолировано и не сможет получить доступ ко всей системе.
(НЕ) автоматическая установка обновлений
ИБ-эксперты — например, инженеры из Tech Solidarity и FOSS Linux — рекомендуют настраивать автоматическую установку обновлений безопасности для операционных систем и приложений. Однако эту точку зрения разделяют не все.
Фото — Rostyslav Savchyn — Unsplash
Значительной части взломов ИТ-систем действительно можно избежать, если вовремя их обновить. Ярким примером может быть утечка персональных данных 140 млн резидентов США из бюро Equifax. Злоумышленники использовали уязвимость во фреймворке Apache Struts (CVE-2017-5638), связанную с ошибкой в обработке исключений. Патч для неё появился за два месяца до атаки на Equifax. Но автоматическое обновление может привести к не самым приятным последствиям. Возникают ситуации, когда свежие «заплатки», решая одну проблему, создают другую — более серьезную. В 2018 году Microsoft пришлось остановить распространение новой версии операционной системы из-за ошибки, удаляющей личные файлы пользователей.
Можно сделать вывод, что обновления нужно ставить как можно скорее, но при этом проявлять осмотрительность. Прежде чем «накатывать» патч, стоит изучить его поведение, почитать отзывы и принимать решение уже исходя из найденной информации.
В следующий раз мы продолжим рассказывать о необычных рекомендациях, которые помогут защитить ИТ-системы от вмешательства злоумышленников. Нам также интересно послушать, какие решения для повышения информационной безопасности используете вы, — делитесь ими в комментариях.
Мы в 1cloud.ru предлагаем услугу «Частное облако». Вы можете арендовать виртуальную инфраструктуру для своих проектов. Новым клиентам — бесплатное тестирование. 
Мы используем оборудование enterprise-класса от Cisco, Dell, NetApp. Виртуализация построена на гипервизоре VMware vSphere.
Меры по защите персональных данных сотрудников
За рубежом сложились два основных подхода к определению персональных данных: в некоторых государствах (Нидерланды, Швеция, Новая Зеландия и др.) они отождествляются с любой информацией, имеющей отношение к конкретному лицу, в других — прослеживается детализация, установление определенных критериев отнесения информации к указанной категории (Великобритания и др.).
В Великобритании не допускается сбор данных о расовом происхождении, политических, религиозных и прочих взглядах работников, их физическом и умственном здоровье, сексуальной жизни, судимости. В США многие штаты приняли законы, запрещающие предпринимателям проводить расследования прошлого нанимаемых работников. Согласно этим законам, прежде чем вступить в контакт с прежним работодателем, новый наниматель должен получить согласие на это кандидата на рабочее место.
У нас в соответствии с ТК РФ под персональными данными подразумевается информация, необходимая работодателю в связи с установлением трудовых отношений и касающаяся конкретного работника (ст. 85). При этом законодатель не устанавливает перечня таких сведений.
А это означает, что круг сведений и вид информации, которые составляют персональные данные работника, компаниям следует определять в локальном нормативном акте, но в пределах, установленных федеральным законодательством.
Другой документ, где дается характеристика персональным данным, — это ФЗ № 152 «О персональных данных». В нем указывается, что персональные данные — это любая информация, относящаяся к определенному или определяемому на ее основе физическому лицу (субъекту персональных данных). Она включает фамилию, имя, отчество, число, месяц, год и место рождения, а также адрес, сведения о семейном, социальном, имущественном положении, об образовании, профессии, доходах и иные.
Обязательное и добровольное предоставление данных
Предоставление данных может быть обязательным и добровольным. Обязательное предусмотрено федеральными законами (например, ФЗ от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования») в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (перечень приведен в п. 2 ст. 9 ФЗ «О персональных данных»).
Без получения согласия субъекта может осуществляться обработка его персональных данных в целях исполнения договора, одной из сторон которого он является, либо в случае, если это необходимо для доставки почтовых отправлений и т. п. Полный перечень таких исключений приведен в п. 2 ст. 6 ФЗ № 152
Соблюдения конфиденциальности не требуется и в отношении общедоступных персональных данных.
Так, столичный мировой суд отказал советнику Президента РФ Сергею Дубику в претензиях к порталу «Гражданский контроль», обнародовавшему неправомерно, по мнению чиновника, его персональные данные. Суд признал законной публикацию на сайте «Гражданский контроль» фамилии и должности советника Путина, и судья постановила, что использование в публикациях информации об именах и должностях госслужащих не является нарушением закона.
Является ли ваша компания оператором?
Если организация, например, передает данные работника в банк для выпуска «зарплатной» карты, то она является оператором. Если у фирмы есть клиенты — физические лица, то ее также следует считать оператором. Если предприятие осуществляет передачу персональных данных в другие
организации, любым лицам, то и оно — оператор.
Статья 22 Федерального закона «О персональных данных» закрепила за операторами обязанность до начала обработки персональных данных сообщать в уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять такой процесс. Уведомления должны быть посланы в письменной форме и подписаны уполномоченным лицом или отправлены в электронном виде и подписаны электронной цифровой подписью Операторам необходимо зарегистрироваться в Реестре операторов персональных данных на сайте Роскомнадзора и указать цель обработки персональных данных.
Это может быть, например, кадровый учет сотрудников по трудовому договору; исполнение трудового договора; подбор кадров; поддержка иностранных сотрудников; продвижение товаров на рынке; продажа рекламных мест; возврат утерянных паспортов; учет обращений в медицинский кабинет; организация пропускного режима; автоматизация обмена почтовыми сообщениями.
Стать экспертом кадрового учета — легко!
Мы создали курс профессиональной переподготовки «Кадровик с нуля до профи: все навыки от ТК до 1С: ЗУП» , в котором научим с нуля всем тонкостям кадрового учета: от приема и увольнения сотрудников по новым правилам 2023 года до ведения воинского учета и работе в 1С: ЗУП.
Скидка 78% на обучение до 17 сентября, 29900 6499 руб., успейте записаться .
Что касается оснований, при которых работодатель вправе обрабатывать персональные данные без уведомления Роскомнадзора, то они перечислены в ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
В частности, это можно делать, если персональные данные работника используются в соответствии с трудовым законодательством. Обрабатывать такие данные разрешается исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, оказания содействия работникам в трудоустройстве, обучении и продвижении по службе, создания условий для личной безопасности персонала и сохранности имущества организации, контроля качества выполняемой работы (ст. 86 ТК РФ).
Итак, направлять уведомления об обработке персональных данных в Роскомнадзор нет необходимости в том случае, когда персональные данные работников обрабатываются согласно трудовому законодательству.
При этом, если работодатель планирует в рамках совместного с банком «зарплатного» проекта выплачивать зарплату работнику через банковскую карту или оформить ему договор добровольного медицинского страхования, то такие отношения выходят за рамки трудового законодательства. В такой ситуации необходимо отослать в Роскомнадзор уведомление установленного образца.
Защита персональных данных
Любое юридическое лицо в силу требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обязано принимать меры по защите персональных данных, при этом перечень таких мер оно вправе определять самостоятельно.
Мероприятия по защите персональных данных можно разделить на две большие подгруппы: по внутренней и внешней защите персональных данных.
К мерам по внутренней защите персональных данных относятся следующие действия:
ограничение числа работников (с регламентацией их должностей), которым открыт доступ к персональным данным. Кого может включать этот перечень? Абсолютно всех, кто имеет доступ к личным делам, т. е. сотрудников отделов кадров или ответственных за кадровое делопроизводство, работников бухгалтерии, секретарей-делопроизводителей, специалистов, которые заключают договоры с физическими лицами, а также инженеров, программистов, юристов;
назначение ответственного лица, обеспечивающего исполнение организацией законодательства в рассматриваемой сфере;
утверждение перечня документов, содержащих персональные данные;
издание внутренних документов по защите персональных данных, осуществление контроля за их соблюдением;
ознакомление работников с действующими нормативами в области защиты персональных данных и локальными актами; проведение систематических проверок соответствующих знаний работников, обрабатывающих персональные данные, и соблюдения ими требований нормативных документов по защите конфиденциальных сведений. Следует иметь в виду, что все сотрудники, которые имеют доступ к персональным данным других людей, должны быть ознакомлены с особенностями законодательства в области защиты персональных данных;
рациональное размещение рабочих мест для исключения несанкционированного использования защищаемой информации;
утверждение списка лиц, имеющих право доступа в помещения, в которых хранятся персональные данные;
утверждение порядка уничтожения информации;
выявление и устранение нарушений требований по защите персональных данных;
проведение профилактической работы с сотрудниками по предупреждению разглашения ими персональных данных.
Среди мер по внешней защите персональных данных следует выделить такие:
введение пропускного режима, порядка приема и учета посетителей;
внедрение технических средств охраны, программных средств защиты информации на электронных носителях и др.
Несмотря на то что законом не установлены конкретные требования к количеству и содержанию локальных актов, принимаемых в организации по вопросам обработки и защиты персональных данных, практика реализации данного нормативного акта сформировала необходимый минимум документов, которые должны быть разработаны в компании:
общий документ, определяющий политику фирмы в отношении обработки персональных данных, например положение о персональных данных;
список лиц, обрабатывающих персональные данные;
приказ о назначении сотрудника, ответственного за организацию обработки персональных данных. Указанное лицо должно осуществлять внутренний контроль за соблюдением компанией и ее работниками законодательства о персональных данных, в том числе требований к их защите, доводить до сведения персонала положения законодательства о персональных данных, локальных актов по вопросам их обработки, а также требования к защите таких данных, организовывать прием и обработку обращений и запросов субъектов персональных данных и (или) контролировать прием и обработку таких обращений и запросов;
положение о правовых, организационных и технических мерах защиты персональных данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных. В данном положении рекомендуется прописать конкретные меры по защите персональных данных (введение пропускного режима, применение программных средств защиты информации — паролей, антивирусных программ, хранение персональных данных обособленно от других сведений, на отдельных материальных носителях и в специально оборудованных помещениях с ограниченным доступом и т. д.);
локальный акт, устанавливающий процедуры,направленные на предотвращение и выявление нарушений законодательства в сфере защиты персональных данных, устранение последствий таких нарушений. Так, в компании могут быть разработаны план мероприятий по внутреннему контролю безопасности персональных данных, инструкция о порядке проведения служебного расследования по фактам нарушений законодательства в сфере защиты персональных данных, вестись журнал антивирусных проверок и контроля работы с персональными данными, журнал обучения, инструктажа и аттестации по вопросам защиты персональных данных.
Иные организационные и технические меры, направленные на защиту персональных данных
Следует позаботиться также об организационных и технических мерах, предназначенных для защиты персональных данных. Вот как может выглядеть их список:
утверждение требований к помещению, где хранятся персональные данные.
Следует иметь в виду, что законодательством они не установлены. Однако если исходить из имеющихся аналогичных законов, учитывать положения Трудового кодекса РФ, то во избежание несанкционированного доступа к персональным данным на бумажных носителях необходимо оборудовать помещение, где они хранятся, запирающимися шкафами.
В локальном нормативном акте следует установить требования к помещению, где хранятся персональные данные, а также издать приказ об определении помещений, где обрабатываются персональные данные, и утвердить перечень лиц, имеющих допуск туда;
обеспечение программной защиты информационной системы организации.
При использовании электронных систем обработки персональных данных необходимо учитывать требования по обеспечению безопасности таких данных, установленные в Положении об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных. В том числе следует ограничить доступ к определенным сведениям в информационных системах (например, установить пароли и т. д.).
Целесообразно также ограничить доступ к электронным базам данных, содержащим персональные данные акционеров, двухуровневой системой паролей: на уровне локальной компьютерной сети и на уровне баз данных. Пароли должны устанавливаться администратором баз данных и администратором сети соответственно и сообщаться индивидуально сотрудникам, имеющим доступ к персональным данным, при этом их следует как можно чаще (например, ежемесячно) менять;
ведение журнала учета работы с персональными данными.
В целях соблюдения конфиденциального режима работы с персональными данными целесообразно вести журнал учета выдачи персональных данных другим лицам, организациям и государственным органам. В нем следует регистрировать поступающие запросы, а также фиксировать сведения о лице, направившем запрос, дате передачи персональных данных или факте уведомления об отказе в их предоставлении, а также отмечать, какая именно информация была передана.
Передача персональных данных третьим лицам
Поводов для передачи персональных данных третьим лицам может быть масса — заключение договоров дополнительного медицинского страхования, получение «зарплатных» банковских карт и т. д. Если организация большая — несколько тысяч работников, то получение с каждого из них согласия на обработку персональных данных может занять много времени. Да и сами работники от этого будут не в восторге. Таким образом, возникает вопрос: можно ли заранее решить эту проблему, включив данный пункт в трудовой договор?
По своему опыту скажу, что собирать со всех согласие на передачу данных в любом случае придется. В трудовой договор, конечно, можно включить соответствующий пункт, но все равно необходимо будет выполнить требование о получении согласия работника. Причем проще будет оформить это согласие отдельно.
Сделайте коллективный договор с работниками и перечислите там всех тех третьих лиц, которым будут передаваться персональные данные, указав их наименование, адрес, цель передачи им данных, включив перечень их возможных действий с персональными данными и обозначив срок, в течение которого они будут обрабатывать эти данные. Все работники распишутся — и дело будет закрыто.
Какие контрольные органы вправе затребовать персональные данные
Суды и другие правоохранительные органы могут беспрепятственно получать от компаний персональные данные сотрудников, клиентов или контрагентов без согласия последних. Но ответ на вопрос о том, имеют ли аналогичные права другие контролирующие структуры и какие именно, приходится искать не только в законах, но и в судебной практике.
Так, Девятый арбитражный апелляционный суд в своем постановлении от 25.06.09 г. по делу № А40-76345/08-122-112 указал, что сотрудник службы судебных приставов не имеет права запрашивать и получать сведения, содержащие личные данные граждан. В частности, суд отметил, что ни Федеральный закон от 21.07.1997 № 118-ФЗ «О судебных приставах», ни Федеральный закон от 02.01.2007 № 229-ФЗ «Об исполнительном производстве» не предоставляют судебным приставам-исполнителям права получать персональные данные без согласия их субъектов, не устанавливают условия получения таких данных, не определяют круг субъектов, персональные данные которых подлежат обработке, а также полномочия судебного приставаисполнителя по их обработке.
Трансграничные передачи
Если ваша компания осуществляет передачу персональных данных в другую страну, то возникает проблема защиты персональных данных при их трансграничных перемещениях.
Что такое трансграничная передача данных? Это передача персональных данных оператором через государственную границу Российской Федерации органу власти, физическому или юридическому лицу иностранного государства. В Российской Федерации одним из критериев оценки государства с точки зрения организации им адекватного уровня защиты может выступать факт ратификации им Конвенции о защите прав физических лиц при автоматизированной обработке персональных данных от 28 января 1981 г., ETS № 108.
До начала передачи оператор должен убедиться в том, что на территории иностранного государства обеспечена адекватная защита прав субъектов персональных данных.
Камнем преткновения является формулировка «адекватная защита», так как критерии адекватности нигде не определяются, при этом здравый смысл подсказывает, что адекватной можно считать защиту, которая соответствует российскому законодательству.
Присоединение иностранного государства к Конвенции о защите физических лиц при автоматизированной обработке персональных данных (Страсбург, 1981 г.; с изменениями 1999 г.) позволяет причислять его к числу тех, кто гарантирует вполне адекватную защиту.
Для обоснования адекватности защиты персональных данных при передаче их в зарубежный филиал компании необходимо реализовать ряд мероприятий, включая разработку документа (или нескольких), который отражает следующие основные моменты:
общие положения (организационная структура компании; страна (страны), в которую передаются персональные данные; цель передачи и обработки персональных данных за границей);
правовое обоснование трансграничной передачи персональных данных (перечень нормативно-правовых документов, на основаникоторых осуществляется передача и обработка персональных данных);
описание объекта защиты;
характеристики передаваемых персональных данных (категории персональных данных, отправляемых за границу; категории субъектов персональных данных; способы обработки данных: автоматизированная, неавтоматизированная, смешанная);
регламент обеспечения безопасного информационного обмена персональными данными с зарубежными филиалами (представительствами) (описание информационных систем персональных данных, из которых они передаются, а также ИСПДн, куда они передаются, перечисление каналов передачи данных, стандартов и протоколов передачи данных и т. д.). Описание мероприятий и средств обеспечения защиты передаваемых данных (организационные меры; технические средства защиты информации, в том числе криптографические);
состав законодательства иностранного государства, отражающего вопросы защиты персональных данных;
заключительные положения (обязательства зарубежного филиала соблюдать законодательство по обработке персональных данных страны, в которой он находится; обеспечивать соответствующую защиту полученных и обрабатываемых персональных данных, заверенные подписью ответственных лиц головной организации и зарубежного филиала).
Эти мероприятия позволят минимизировать риски реализации угроз для персональных данных при их трансграничной передаче, повысить ответственность должностных лиц за соблюдением установленных норм информационной безопасности.
Сколько хранить?
Режим конфиденциальности персональных данных снимается в случаях их обезличивания или по истечении 75-летнего срока их хранения, если иное не определено законом.
Согласно ФЗ-152, персональные данные должны быть уничтожены оператором по достижении цели их обработки. А, например, первичные документы по кадровому учету и заработной плате необходимо хранить в течение 75 лет. Но они должны находиться в архиве, а ФЗ-152 на архив не распространяется в соответствии с законом об архиве. Таким образом, после сдачи документов в архив организация уже не может хранить эти сведения у себя.
Что касается больничных листов, то это касается субъекта. К примеру, если работник уволился, заново никуда устроиться не успел и заболел, то больничный рассчитывается ему на основании дохода по последнему месту работы. А в организации в соответствии с налоговым законодательством обязаны хранить все финансовые документы за пять прошедших лет для налоговой проверки.
Причем отсчет срока хранения ведется от начала нового финансового года или даты передачи дела в архив, а это тоже обычно происходит в конце года. И кстати, до пяти лет допускается хранение документов в организации, без передачи их в архив.
Постановление Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
Итак, постановление Правительства РФ 2007 г. № 781 утратило силу. В новом постановлении № 1119 объединены два проекта, один из которых определяет уровни защищенности информации, содержащей персональные данные, а второй — требования к их безопасности.
По сути дела, мало что изменилось. Та же оценка соответствия, тот же непонятный электронный журнал, те же требования об утверждении списка допущенных лиц, установлении режима безопасности в помещениях, та же отсылка к нормативным документам ФСТЭК и ФСБ. Постановление определяет, что набор средств защиты оператор должен выбирать самостоятельно, основываясь на ранее принятых нормативных актах ФСБ и ФСТЭК.
Согласно документу, актуальными угрозами для безопасности персональных данных являются условия и факторы, создающие потенциаль-ную опасность несанкционированного доступа к базам данных при их обработке, в результате которого данные могут быть уничтожены, изменены, заблокированы или предоставлены третьим лицам, не имеющим к ним права доступа. Кроме того, в постановлении определены три типа угроз информационным системам, содержащим пользовательские базы данных, а также четыре уровня защищенности информационных систем.
Пункт 13 постановления № 1119 требует, чтобы в помещениях, где производится обработка персональных данных, был обеспечен режим безопасности в соответствии с 4-м (минимальным) уровнем защищенности. При выполнении этой нормы документа становится практически невозможным использование мобильных устройств для обработки персональных данных за пределами помещения, где обеспечен режим безопасности. Следовательно, применение сотрудниками ГИБДД, таможенниками или врачами планшетов и смартфонов за пределами своих офисов оказывается также неправомерным.
Теперь подробной классификации угроз нет, поэтому проводим их оценку самостоятельно и устанавливаем соответствующий уровень защищенности в целях их нейтрализации. Для обеспечения нужного уровня защищенности необходимо реализовать ряд организационных и технических мероприятий по выбору средств защиты информации, причем сделать это надо, ориентируясь на документы ФСБ и ФСТЭК.
Есть ли какие-либо ограничения по применению средств защиты для различных уровней защищенности? Данный вопрос не раскрыт ни в ФЗ-152, ни в постановлении Правительства РФ № 1119.
Как защитить личные данные от мошенников
Назойливые спам-звонки, сообщения от друзей в соцсетях с просьбой выручить до зарплаты, взломанные личные страницы — каждый хотя бы раз сталкивался с подобным. Есть ли управа на мошенников и как защитить персональные данные в сети — об этом наш текст.
Личные данные — мишень для мошенников. Номера телефонов, пароли от почтовых ящиков и приложений, данные карт, адреса — список можно продолжать долго. Представить жизнь современного человека без телефона и компьютера с доступом в сеть невозможно. А значит, каждый из нас рискует, что его персональные данные окажутся в открытом доступе или, того хуже, — в руках злодея.
Звучит безнадежно, но выход есть. Разбираем по полочкам, как обезопасить себя и свои данные в интернете.
Что такое персональные данные
Начнем с главного: что же такое персональные данные. К ним относится любая информация о человеке: ФИО, дата рождения, адрес проживания, место работы и учебы, номера телефонов, почтовые адреса, покупки в интернете, личные фотографии и многое другое, что мы когда-то оставили в сети.
Эти данные не появляются в интернете сами по себе. Как правило, мы сами их туда добавляем: регистрируемся на сайтах, оплачиваем покупки, ведем страницы в соцсетях, ищем работу или новые знакомства.
Доверяя информацию о себе очередному сайту, увы, мы становимся уязвимыми для мошенников. Утечка данных и хакерские атаки случаются чаще, чем мы думаем.
Однако это не означает, что нужно перестать пользоваться интернетом — в современном мире это вряд ли возможно. Главное, не забывать о безопасности в сети, так же, как в реальной жизни мы помним о правилах дорожного движения или учим детей не разговаривать с незнакомцами.
Кто и зачем собирает данные о пользователях
Поисковые страницы, соцсети, мобильные приложения, сайты частных компаний и госучреждений, которые мы посещаем, собирают, обрабатывают и хранят информацию о нашем пользовательском поведении: что искали, какие товары просматривали, по каким ссылкам переходили и прочее.
Эти сведения нужны, чтобы анализировать интересы и покупательскую способность потребителей. Так компаниям проще определять свою целевую аудиторию, настраивать рекламу и продавать товары и услуги.
Для пользователя тоже удобно, что браузер запоминает данные. Легко искать сайты, которые недавно посещали, возвращаться к отложенным на время покупкам, читать и просматривать закрепленные страницы. А еще не нужно постоянно вводить пароли.
Чем опасна утечка данных
Многие привыкли жить под постоянной атакой звонков липовых участковых, банковских служащих и не обращать внимания на подозрительные письма. Думать, что ничего страшнее не произойдет, ошибочно. Сегодня звонят мошенники, а завтра — настоящий коллектор с требованием вернуть кредит, который вы не брали. Поэтому к защите своих персональных данных стоит относиться внимательно.
В зависимости от того, какая именно информация оказалась в руках мошенников, может случиться следующее:
- кража денег с банковской карты или со счета;
- оформление кредита по украденным паспортным данным;
- регистрация фирмы для отмывания денег или ведения незаконной деятельности;
- регистрация на сайтах знакомств или в онлайн-казино от вашего имени;
- шантаж с целью вынудить заплатить.
По сравнению с перечисленным, надоедливые звонки и почтовые письма лишь цветочки.
Павел Кузнецов, директор по продуктам компании «Гарда Технологии»:
«Чаще всего данные не воруют, а приобретают в Даркнете массивы утекших персональных данных. Основное последствие — располагая более полной информацией о человеке-цели, мошенники могут точнее подобрать социотехнический подход для последующей атаки на него. По телефону или посредством электронных сообщений — уже не столь важно.
Также стоит вспомнить о случаях утечек учетных записей. Тогда последствиями может стать как атака на контакты в социальной сети, так и потеря конкретных ресурсов, в случае, если злоумышленник приобрел к ним доступ».
В то время как мошенники трудятся над своими коварными схемами, специалисты по кибербезопасности работают над защитой информации. Эта относительно новая профессия в IT-сфере набирает обороты. В Skillbox или Алгоритмике освоить ее можно меньше, чем за полгода, а оплатить в рассрочку Халвой от Совкомбанка. Оформить карту можно онлайн.
Карта «Халва» — универсальный финансовый инструмент. Используйте свои средства, получайте кешбэк с покупок до 10% и доход на остаток собственных средств по карте до 15%, а также открывайте вклады под выгодный процент. Вы можете взять заемные средства и потратить их на покупки в рассрочку до 24 месяцев. Оформите Халву в пару кликов, и курьер привезет ее вам!
Методы защиты персональных данных
Сведения сохраняют с благими намерениями. Но это оборачивается неприятностями, как только информация оказывается в руках злоумышленников. Специалисты по кибербезопасности рекомендуют придерживаться определенных правил поведения в сети и предлагают проверенные способы защиты.
Павел Кузнецов, директор по продуктам компании «Гарда Технологии»:
«Помимо стандартного набора методов защиты, помогает парадигма нулевого доверия ко всем новым для себя ресурсам. Особенно, если они требуют ввести любые личные данные. Стоит минимизировать подобную активность, сократить собственный “цифровой след”».
Пароли
Надежный пароль — базовый метод защиты персональных данных. Доступ к почте, приложениям, страницам в соцсетях и личным кабинетам на сайтах возможен только с вводом пароля. Но есть нюанс — опасность взлома. Именно поэтому к паролям есть ряд требований/рекомендаций.
- Пароль должен быть надежным. Гарант надежности — сложность. Неслучайно те пароли, которые сайты генерируют автоматически, состоят из длинной комбинации букв, цифр и символов. Придумывая пароль, позаботьтесь о том, чтобы его было сложно подобрать.
- Созданный пароль лучше всего запомнить — нет более надежного места, чем голова. Если это сложно, запишите на бумагу и спрячьте от посторонних глаз. Хранить коды в заметках телефона или файлах на компьютере с соответствующим названием «пароли» небезопасно — так вы упрощаете жизнь мошенникам.
- Лучше не использовать в пароле даты рождения и имена (ваши или близких людей), данные документов, телефонные номера или адреса. Вся эта информация относится к личной, которая также может оказаться в руках мошенников. Имейте в виду, что подбирать пароль они начнут с использованием именно этих сведений.
- Для разных сайтов и приложений используйте отличающиеся пароли — не нужно ставить один для всего. Подобрав «ключик» к почте, преступники непременно проверят, подходит ли он к другим сетевым ресурсам.
- Используйте двухфакторную аутентификацию — это двухслойный тип защиты, когда после ввода пароля нужно ввести еще код доступа, который высылают на почту или номер мобильного.
- Каким бы надежным не был пароль, специалисты рекомендуют периодически его обновлять, соблюдая все перечисленные выше правила.
Настройки браузера
Каждый интернет-пользователь оставляет в сети цифровой след. Начинается путь с открытия браузера, где в поисковой строке вы вбиваете свой запрос. С этого момента за вами тянется цифровая история: что искали, какие страницы посещали, какие действия совершали.
По умолчанию браузеры настроены так, как удобно их разработчикам, чтобы можно было собирать нужные сведения. Однако базовые настройки можно заменить.
- Активируете в настройках безопасное соединение. С этой опцией через браузер будут открываться только безопасные сайты, которые прошли сертификацию. Визуально такой сайт можно отличить с помощью латинской буквы «s» в адресной строке после htt Протокол https и знак замочка слева от строки говорят, что сайт безопасен.
- Никогда не используйте автоматическое запоминание паролей. Да, это удобно, когда не нужно постоянно вводить пароль при входе в почту или соцсети. Однако небезопасно. Пусть все пароли будут записаны исключительно на жесткий диск вашего головного мозга, а не компьютера.
- Не разрешайте сайтам сохранять данные банковской карты. Обычно заветная галочка стоит по умолчанию — всегда убирайте ее. Да, каждый раз при оплате придется вписывать все реквизиты снова, зато их не будет знать никто, кроме вас.
- В настройках браузера можно включить режим «инкогнито». При его активации куки, кеши, пароли и история посещения сайтов не будут сохраняться.
- Периодически очищайте куки и кеш. Первые помогают компаниям собирать данные о ваших предпочтениях и подсовывать «правильную» рекламу, а вторые сохраняют всю информацию, которую вы когда-либо смотрели в интернете. Это нужно для того, чтобы при повторном открытии материала он мгновенно загрузился — своего рода долговременная память.
Как мошенники могут использовать СНИЛС
Электронная почта
Мошенники обожают использовать электронную почту с целью выудить у человека персональные данные. Чтобы обезопасить себя, специалисты по кибербезопасности советуют завести два почтовых ящика. Один использовать для регистрации на сайтах, в соцсетях и приложениях. А второй — исключительно по работе или в личных целях.
Метод рабочий, но что делать тем, чей адрес электронной почты уже «гуляет» по сети?
- Настройте в почтовой программе «анти-спам». Нежелательная почта будет «падать» в соответствующую папку и отмечаться значком.
- Если вас беспокоят письма с незнакомых адресов, отпишитесь от их рассылки, а если не поможет — пожалуйтесь в Роскомнадзор.
- Будьте осторожны с «фишинговыми» письмами. «Фишинг» в переводе с английского — рыбалка. Злоумышленник отправляет письмо, цель которого — поймать вас на крючок: заставить открыть вложенный файл, перейти по ссылке или прислать пароль от почты. Отправители таких писем обычно маскируются под полицию, банк, партнера по бизнесу, заказчика услуг или даже начальника. Совет один: не открывайте файлы и не переходите по ссылкам из подозрительных писем с незнакомых адресов.
Кстати, вредоносные ссылки могут присылать и по телефону в виде SMS или через мессенджеры.
Социальные сети
Страницы в соцсетях, куда мы добровольно выкладываем личную информацию и фотографии, смотрят не только наши друзья. Это безграничный источник сведений для преступников. Так, безобидные фото из отпуска оповещают, что вас нет дома. А хвалебные посты о дорогостоящих покупках сориентируют вора в ваше отсутствие.
Чтобы не стать жертвой, делитесь сокровенными моментами своей жизни только с друзьями и близкими, а для этого закройте страницы соцсетей. Если вы ведете блог и не хотите ограничивать доступ к нему, следуйте правилам безопасности.
- Не используйте геолокацию. Особенно не отмечайте на фото адрес дома или работы.
- Никогда не выкладывайте фотографии с билетами или документами, где видно их данные. Если уже выложили, удалите.
- Вход на сайты через учетную запись соцсети чреват тем, что страницу могут украсть.
- Соцсети — не место, чтобы обмениваться важными документами, даже через личные сообщения. Поэтому никогда не отправляйте там фото паспорта или рабочие файлы с ценной информацией.
- Когда завершаете сессию, нажимайте кнопку «выход» со всех аккаунтов.
Покупки в интернет-магазинах
Онлайн-покупки прочно вошли в нашу жизнь. Это удобно и быстро, но не всегда безопасно. Одно дело, когда вы оформляете интернет-заказ, а саму покупку оплачиваете курьеру. Другое, когда оплатить нужно на сайте магазина.
- Для оплаты вам потребуется ввести данные карты, которую сайт предложит сохранить для последующих платежей — ни в коем случае не разрешайте. Сегодня сайт безопасен, а завтра — подвергся хакерской атаке, и персональные данные клиентов утекли в сеть.
- Прежде чем приступить к оплате, проверьте адрес сайта — он должен начинаться с https, где ключевое значение имеет буква «s». Она означает, что у сайта есть сертификат безопасности.
- Еще один метод проверки безопасности сайта — наличие слева от адресной строки знака «замок».
- При оплате используйте данные сотового оператора или домашней сети. Подключение через WI-FI в общественных местах небезопасно и может привести к утечке данных.
Если у вас в планах крупные покупки, оплатить их будет легко с выгодным кредитом от Совкомбанка. Комфортный для себя ежемесячный платеж можно рассчитать заранее, используя удобный кредитный калькулятор.
Как действовать, если персональные данные украли
Защита персональных данных граждан гарантирована законом. По факту нарушения обращайтесь в Роскомнадзор или полицию.
Также помогут следующие действия:
- обновите логины/пароли от почты и соцсетей;
- заблокируйте банковскую карту при утечке ее данных;
- напишите в поддержку поисковиков, если данные о вас можно найти через поисковый запрос.
Павел Кузнецов, директор по продуктам компании «Гарда Технологии»:
«Если вы уже перевели деньги мошеннику, то обратитесь в правоохранительные органы. Так вы поможете установить и задержать преступную группу.
Если мы говорим об утечке, первое, что стоит сделать, — убедиться в безопасности своих аккаунтов: сменить пароли, соблюдая достаточную сложность. Если заметили взлом страницы в социальных сетях, уведомите об этом виртуальных друзей — им могли приходить сообщения от злоумышленника, который завладел аккаунтом».
Если вам известно, с какого именно ресурса произошла утечка, можно предъявить иск этой компании. По закону за сохранность данных отвечает та организации, которой вы их предоставили. Ответственность за утерю также за ней. Однако законодательство несовершенно, и пока что нерадивой компании грозит только штраф, сумма которого для крупных фирм безобидна.
Вот что по этому поводу говорит Александр Зубриков, генеральный директор ITGLOBAL.COM Security (услуги по информационной безопасности):
«На данный момент ответственность компаний за утечки минимальна. В нашумевшей недавно истории с сервисом «Яндекс. Еда» компания заплатила чуть больше одного рубля за каждого пользователя, чьи данные оказались в общем доступе.
Но почти мгновенная реакция правительства на это событие говорит о том, что так, конечно, никто не задумывал. В итоге мы оказались на пороге появления закона об оборотных штрафах за утечки персональных данных — его с огромной вероятностью примут в 2023 году, что поднимет верхнюю планку наказания до полумиллиарда рублей.
Эта инициатива назревала уже давно, а последние громкие утечки и минимальные штрафы фактически стали спусковым механизмом для запуска этого процесса».