01 / О КЛИЕНТЕ
Клиент — крупный интернет-магазин, работающий около 12 лет. За это время в его информационных системах накопились данные более чем о 600 тыс. покупателей.
02 / КОНТЕКСТ ПРОЕКТА
Клиенты регистрировались в личном кабинете на сайте и оформляли заказы. Данные с сайта передавались в CRM-систему, где сохранялась история взаимодействия с покупателями.
Компания обнаружила, что злоумышленник получил доступ к CRM через уязвимость, связанную с личным кабинетом. В течение нескольких дней он выгружал данные из системы.
О факте компрометации стало известно после обнаружения на стороннем ресурсе информации о клиентах компании. В выгрузке содержались, в частности, ФИО, дата и сумма заказа, адрес доставки, телефон и сведения о заказах. При этом точный объем выгруженных данных и обстоятельства их дальнейшего использования установить не удалось.
Компания самостоятельно устранила выявленную уязвимость и обратилась за правовой консультацией: требовалось определить, как оценивать произошедшее и какие действия предпринимать дальше.
03 / ЧТО ТРЕБОВАЛОСЬ
Особую сложность создавала неопределенность: компания обнаружила данные своих клиентов на стороннем ресурсе, но не могла достоверно установить, какие именно данные были выгружены злоумышленником, в каком объеме и когда они появились в открытом доступе.
Перед нами стояло несколько задач:
оценить обстоятельства обнаружения данных и понять, можно ли подтвердить факт их утечки;
определить возможный объем затронутых персональных данных;
оценить риски с учетом того, что в системе хранилась многолетняя история заказов;
определить дальнейшую тактику взаимодействия с субъектами персональных данных;
оценить риски административного расследования и возможного взаимодействия с Роскомнадзором и НКЦКИ.
04 / ПОТЕНЦИАЛЬНЫЕ РИСКИ
Масштаб данных, которые потенциально могли оказаться у злоумышленника: в CRM сохранялась история покупок клиентов за длительный период. Компания не удаляла старые данные, поэтому даже клиент, который не совершал покупки несколько лет, мог иметь в системе сведения о предыдущих заказах.
Ошибочное включение в предполагаемый объем утечки данных, которые фактически не принадлежали клиенту: один из пользователей обнаружил свои данные в стороннем ресурсе, хотя никогда не был клиентом магазина. Это означало, что размещенные на стороннем ресурсе базы могли содержать сведения из разных источников и не обязательно отражали реальный объем данных конкретного оператора.
05 / ЧТО МЫ СДЕЛАЛИ
1. Оценили обстоятельства обнаружения данных
Проанализировали имеющуюся у клиента информацию о взломе, способе получения доступа и данных, обнаруженных на стороннем ресурсе.
Обратили внимание на необходимость проверять принадлежность обнаруженных данных конкретному оператору.
Это имело практическое значение: сторонняя база могла быть сформирована из нескольких источников и дополнена сведениями, не относящимися к компании.
2. Подготовили рекомендации по дальнейшим действиям
Оценили сценарий возможного выявления инцидента контролирующими органами и необходимость быть готовыми подтвердить обстоятельства произошедшего и фактический объем данных.
В качестве долгосрочной меры обозначили необходимость пересмотра подходов к хранению персональных данных: в информационных системах не должны сохраняться сведения, для которых больше нет целей обработки или необходимости в дальнейшем хранении.
06 / РЕЗУЛЬТАТЫ ДЛЯ КЛИЕНТА
Клиент получил правовую позицию и сценарий действий в ситуации, в которой масштаб компрометации сложно было установить.
Вместо автоматической оценки всей многолетней клиентской базы как потенциально скомпрометированной был сформирован более точный подход: учитывать подтвержденные обстоятельства, проверять принадлежность обнаруженных данных и отделять факты от предположений о масштабах утечки. Это позволило клиенту принимать дальнейшие решения с учетом реального объема доступной информации, а не исходя из максимального сценария.
Дополнительно инцидент выявил системную проблему, характерную для бизнеса с длительной историей клиентских отношений: многолетнее хранение данных увеличивает потенциальный масштаб последствий при компрометации системы. Поэтому в качестве направления дальнейшей работы была обозначена минимизация состава и сроков хранения персональных данных.
07 / ПРАКТИЧЕСКАЯ ЗНАЧИМОСТЬ ПРОЕКТА ДЛЯ РЫНКА
1. Определение фактических обстоятельств "утечки"
При обнаружении персональных данных в сторонних базах не всегда возможно сразу определить фактический масштаб утечки.
Для оценки ситуации важно установить:
какие данные действительно принадлежат конкретному оператору;
какие сведения могли быть получены в результате конкретного инцидента;
насколько актуальны данные и за какой период они хранились;
можно ли подтвердить факт и обстоятельства их выгрузки;
какие действия необходимо предпринимать в зависимости от развития ситуации.
2. Значимость организации процессов обработки данных
Чем дольше компания хранит накопленную за годы информацию без удаления/уничтожения, тем больше потенциальный объем скомпрометированных данных.
Поэтому минимизация данных — не только требование к организации процессов обработки персональных данных, но и один из практических инструментов снижения масштаба потенциальных последствий при инциденте.
