01 / О КЛИЕНТЕ
Клиент — крупный интернет-магазин, работающий около 12 лет. За это время в его информационных системах накопились данные более чем о 600 тыс. покупателей.
02 / КОНТЕКСТ ПРОЕКТА
Клиенты регистрировались в личном кабинете на сайте и оформляли заказы. Данные с сайта передавались в CRM-систему, где сохранялась история взаимодействия с покупателями.
Компания заподозрила, что злоумышленник получил доступ к CRM через уязвимость, связанную с личным кабинетом: в течение нескольких дней он выгружал данные из системы.
О факте компрометации стало известно после обнаружения на стороннем ресурсе информации о клиентах компании, при этом дату первой публикации установить не удалось. В выгрузке содержались, в частности, ФИО, дата и сумма заказа, адрес доставки, телефон и сведения о заказах. При этом точный объем выгруженных данных и обстоятельства их дальнейшего использования установить не удалось, так как в выгрузке были данные, которыми компания не владела
Компания самостоятельно устранила выявленную уязвимость и обратилась за правовой консультацией: требовалось определить, как оценивать произошедшее и какие действия предпринимать дальше.
03 / ЧТО ТРЕБОВАЛОСЬ
Перед нами стояло несколько задач:
оценить обстоятельства обнаружения данных и понять, можно ли подтвердить факт их утечки;
определить возможный объем затронутых персональных данных;
оценить риски с учетом того, что в системе хранилась многолетняя история заказов;
определить дальнейшую тактику взаимодействия с субъектами персональных данных;
оценить риски административного расследования и возможного взаимодействия с Роскомнадзором и НКЦКИ.
Особую сложность создавала правовая неопределенность: компания обнаружила данные своих клиентов на стороннем ресурсе, но не могла достоверно установить, какие именно данные были выгружены злоумышленником, в каком объеме и когда они появились в открытом доступе.
04 / ПОТЕНЦИАЛЬНЫЕ РИСКИ
Риск привлечения к ответственности по ч. 11 ст. 13.11 КоАП РФ со штрафом до 3 миллионов рублей.
Риск привлечения к ответственности по ч. 14 ст. 13.11 КоАП РФ со штрафом от 5 миллионов рублей.
В CRM сохранялась история покупок клиентов за длительный период. Компания не удаляла старые данные, поэтому даже клиент, который не совершал покупки несколько лет, мог иметь в системе сведения о предыдущих заказах, что увеличивало количество идентификаторов: критерия повышения штрафных санкций.
Существовал риск ошибочного включения в предполагаемый объем утечки данных, которые фактически не принадлежали клиенту. В частности, один из пользователей обнаружил свои данные в стороннем ресурсе, хотя никогда не был клиентом магазина. Это означало, что размещенные на стороннем ресурсе базы могли содержать сведения из разных источников и не обязательно отражали реальный объем данных конкретного оператора. Оператор в этом случае может понести ответственность выше реально предусмотренной.
Сверка большого количества данных - ресурсозатратное мероприятие.
05 / ЧТО МЫ СДЕЛАЛИ
1. Оценили обстоятельства обнаружения данных
Проанализировали имеющуюся у клиента информацию о взломе, способе получения доступа и данных, обнаруженных на стороннем ресурсе.
Оценили и описали обстоятельства в пользу клиента. Это имело практическое значение: сторонняя база могла быть сформирована из нескольких источников и дополнена сведениями, не относящимися к компании.
2. Подготовили рекомендации по дальнейшим действиям
Предоставили карту действий в случае получения претензий от контролирующих органов и субъектов персональных данных.
В качестве долгосрочной меры обозначили необходимость пересмотра подходов к хранению персональных данных: в информационных системах не должны сохраняться сведения, для которых больше нет целей обработки или необходимости в дальнейшем хранении.
06 / РЕЗУЛЬТАТЫ ДЛЯ КЛИЕНТА
Клиент получил правовую позицию и сценарий действий в ситуации, в которой масштаб компрометации сложно было установить.
Получил позицию, при которой отсутствовал состав административного правонарушения по ч. 11 ст. 13.11 КоАП РФ.
Получил рекомендации, имеющие юридическую значимость, по логированию и учету данных, позволяющие определять факты утечек.
Клиент получил возможность принимать дальнейшие решения с учетом реального объема доступной информации, а не исходя из максимального сценария.
Дополнительно инцидент выявил системную проблему, характерную для бизнеса с длительной историей клиентских отношений: многолетнее хранение данных увеличивает потенциальный масштаб последствий при компрометации системы. Поэтому в качестве направления дальнейшей работы была обозначена минимизация состава и сроков хранения персональных данных.
07 / ПРАКТИЧЕСКАЯ ЗНАЧИМОСТЬ ПРОЕКТА ДЛЯ РЫНКА
1. Определение фактических обстоятельств "утечки"
При обнаружении персональных данных в сторонних базах не всегда возможно сразу определить фактический масштаб утечки.
Для оценки ситуации важно установить:
какие данные действительно принадлежат конкретному оператору;
какие сведения могли быть получены в результате конкретного инцидента;
насколько актуальны данные и за какой период они хранились;
можно ли подтвердить факт и обстоятельства их выгрузки;
какие действия необходимо предпринимать в зависимости от развития ситуации;
связать вышеперечисленное с юридической значимостью.
2. Значимость организации процессов обработки данных
Проекты по уничтожению и минимизации данных вполне можно связать с контролем актуальности, учета движения данных, правовым обоснованием длительного хранения. Правильные подходы к проектам по персональным данным не вызовут ощущение, что удаляются необходимые данные в которые инвестировал бизнес.
