01 / О КЛИЕНТЕ
Компания оказывает ИТ-услуги для операторов связи. Выручка от 300 млн. рублей.
02 / КОНТЕКСТ ПРОЕКТА
Клиент столкнулся с внешней атакой на информационную систему, в которой хранились персональные данные. В результате злоумышленник получил доступ к части данных и сообщил компании, что выгрузил практически всю базу.
Подтвердить реальный объем полученной информации не удалось. При этом злоумышленник располагал сведениями о клиентах компании и направил подтверждающие материалы, после чего потребовал выкуп в криптовалюте в обмен на отказ от дальнейшего распространения данных.
Ситуация осложнялась тем, что компания не могла точно установить, какие данные были скопированы, сколько субъектов затронуто и были ли данные уже где-либо опубликованы. При этом дальнейшие действия компании могли повлиять на развитие ситуации и на последующую оценку инцидента контролирующими органами.
03 / ЧТО ТРЕБОВАЛОСЬ
Необходимо было определить безопасную тактику поведения в ситуации, когда:
злоумышленник утверждает, что получил значительный объем персональных данных, но подтвердить это невозможно; существует угроза дальнейшего распространения информации;
злоумышленник требует денежную выплату;
необходимо учитывать возможное взаимодействие с Роскомнадзором и последующее административное расследование;
одновременно нужно исключить повторный несанкционированный доступ к информационной системе.
04 / ПОТЕНЦИАЛЬНЫЕ РИСКИ
Распространение персональных данных: не было достоверно известно, какой объем информации оказался у злоумышленника и передавал ли он ее третьим лицам.
Продолжение атаки: после первоначального взлома сохранялась вероятность новых попыток получить доступ к системе и выгрузить дополнительные данные.
Взаимодействие с Роскомнадзором: при подтверждении инцидента и последующем взаимодействии с Роскомнадзором компании необходимо было быть готовой подтвердить обстоятельства произошедшего и объем скомпрометированных данных.
Риски при выплате выкупа: перевод денег не гарантировал прекращения шантажа и мог привести к новым требованиям со стороны злоумышленника.
05 / ЧТО МЫ СДЕЛАЛИ
1. Определили тактику взаимодействия с шантажистом
Рекомендовали не вступать с ним в переговоры и не соглашаться на выплату выкупа. Вместо этого была выстроена тактика, при которой для злоумышленника снижалась ценность дальнейшего использования и распространения уже скомпрометированных данных.
2. Подготовили клиента к возможному взаимодействию с Роскомнадзором
Проработали сценарий уведомления об инциденте и дальнейшего административного расследования, включая необходимость подтвердить фактический объем и состав данных, которые могли быть скомпрометированы. Такой подход позволял не оставлять компанию без подготовленной позиции в случае запроса со стороны регулятора.
3. Обратили внимание на необходимость усилить защиту информационной системы
После инцидента клиент дополнительно проверил возможности повторного взлома и усилил меры защиты. Последующие атаки продолжались несколько дней, но уже не привели к получению новых данных.
4. Помогли оценить фактическую защищенность данных
Существенным фактором в ситуации стало то, что доступ к CRM был жестко разграничен, а объем хранящихся в ней персональных данных был минимизирован до необходимого для исполнения договоров. Это ограничивало потенциальный объем последствий при компрометации системы.
5. После разрешения ситуации провели аудит процессов обработки персональных данных
В рамках последующего проекта скорректировали отношения оператора и обработчика, подготовили необходимые формы документов и дали рекомендации по оформлению договорных отношений.
06 / РЕЗУЛЬТАТЫ ДЛЯ КЛИЕНТА
В результате выбранной тактики компания не выплатила выкуп злоумышленнику.
Шантажист прекратил требовать деньги, а информация о публикации информации в открытом доступе подтверждена не была.
Последующие попытки атаки не привели к получению новых данных: клиент усилил защиту системы и пересмотрел доступы.
Отдельным результатом стала дальнейшая корректировка процессов обработки персональных данных.
Проведенный после инцидента аудит позволил скорректировать отношения с обработчиками, обновить документы и устранить выявленные организационные недостатки.
07 / ПРАКТИЧЕСКАЯ ЗНАЧИМОСТЬ ПРОЕКТА
1. Выбор правильной тактики действий и управление ситуацией
При шантаже после компрометации персональных данных ключевой задачей становится не попытка договориться со злоумышленником, а управление ситуацией сразу по нескольким направлениям:
защита системы от повторной атаки;
оценка фактического объема скомпрометированных данных;
работа с угрозой дальнейшего распространения информации и оценка потенциального взаимодействия с контролирующими органами.
нивелирование ценности распространения скомпрометированных данных для шантажиста.
2. Соблюдение принципа минимизации данных
У клиента в CRM хранился только объем информации, необходимый для исполнения договоров, а доступы к системе были существенно ограничены. Поэтому даже при успешной внешней атаке потенциальный объем скомпрометированной информации оказался ограничен.
Произошедший в компании инцидент - отправная точка для системной корректировки процессов обработки персональных данных — от договорных отношений с обработчиками до используемых форм документов и организационных процедур.
