В этом году наша компания провела несколько аудитов крупных холдингов в области безопасности персональных данных.
С чем же был связан такой ажиотаж и интерес со стороны заказчиков?
Как видно по статистике, бить стали реже, но сильнее.
Причин достаточно много:
1. Естественное желание бизнеса оптимизировать все и вся — технические ресурсы, энергопотребление, аренду, людей и т. п. — приводит не только к позитивным изменениям в части централизованного управления и хранения информации в инфраструктуре заказчика, но и делает его более интересной целью для злоумышленника.
2. Отсутствие культуры «цифровой безопасности» при взаимодействии с активами холдинга или подрядчиками. Не зря регуляторы в 2025 году начали активно уделять внимание этому аспекту.
3. Отсутствие технологических решений, направленных на безопасность баз данных.
4. Отсутствие контроля за чувствительной информацией и слабое разграничение прав доступа.
Что же делать?
Помимо «классических» требований по ИБ и СЗИ, мы рекомендуем обратить внимание на следующие классы решений.
DCAP/DAG — класс систем защиты информации, который фокусируется на аудите и защите неструктурированных данных в корпоративных хранилищах, а также на упорядочивании прав доступа к данным в организации.
Главная идея подхода — выстраивать защиту вокруг самих данных, а не только вокруг инфраструктуры: сетей, серверов и приложений.
Такое решение помогает заказчику «ухаживать» за своей инфраструктурой и подходит для решения задач как ИБ-, так и ИТ-специалистов: одни получают инструмент для контроля данных и прав доступа, другие — для оптимизации пространства и харденинга прав доступа.
DAM (Database Activity Monitoring) — класс решений для мониторинга и контроля активности в базах данных.
В отличие от DAG/DCAP, которые в основном работают с файлами и правами доступа к ним, DAM «смотрит» внутрь СУБД и анализирует, что именно пользователи делают с данными на уровне запросов.
Этот класс решений подходит заказчикам с большим объемом баз данных.
Одна из особенностей DAM — вариативность внедрения. Такие решения могут работать с копией трафика, однако в этом случае возможности по блокировке будут ограничены, либо устанавливаться в разрыв.
DLP помогает контролировать движение чувствительных данных и предотвращать их утечку до того, как она нанесет ущерб бизнесу.
Чем еще может помочь DLP?
Согласно части 3.1 статьи 21 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», в случае установления факта неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан в течение 24 часов уведомить уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор — о произошедшем инциденте и предоставить информацию:
— о предполагаемых причинах
— предполагаемом вреде, нанесенном правам субъектов персональных данных
— принятых мерах по устранению последствий инцидента
— лице, уполномоченном на взаимодействие с Роскомнадзором по вопросам, связанным с выявленным инцидентом.
Результаты внутреннего расследования инцидента, а также сведения о лицах, действия которых стали его причиной, необходимо предоставить в течение 72 часов.
Для оперативного реагирования и выполнения требований по обязательному информированию Роскомнадзора о компьютерных инцидентах, повлекших неправомерную передачу персональных данных, можно применять системы контроля утечек информации.
Безопасность ПДн — бескрайнее море для дискуссий. И тем для продолжения здесь точно хватит не на одину историю.
Наши соцсети: ВК | МАХ | ТГ
