Аудит персональных данных: что проверить и что делать бизнесу в первые 24 часа после утечки ПДн

Когда компания обнаруживает утечку персональных данных, времени на спокойный анализ процессов уже нет.

За несколько часов нужно понять:

1. что именно произошло;
2. какие данные могли быть скомпрометированы;
3. кто является оператором персональных данных;
4. нужно ли уведомлять Роскомнадзор;
5. кто проведет внутреннее расследование;
6. что говорить клиентам и партнерам;
7. какие документы подтвердят, что компания предпринимала необходимые меры.

В этот момент выясняется, что политика обработки персональных данных на сайте — далеко не главное.

Критичным становится другое:

Понимает ли компания, где хранятся данные, кто имеет к ним доступ и что должен делать каждый участник команды при инциденте?

Именно это должен проверять полноценный аудит персональных данных.

Что считается утечкой персональных данных

В бытовом понимании утечка — это публикация клиентской базы в интернете.

Юридически ситуация шире.

Обязанность уведомить Роскомнадзор возникает при неправомерной или случайной передаче, предоставлении, распространении либо доступе к персональным данным, если это повлекло нарушение прав субъектов персональных данных. Для таких уведомлений Роскомнадзор предусмотрел специальную форму. 

Инцидентом может стать не только масштабная хакерская атака.

Например:

1. сотрудник отправил файл с клиентской базой не тому получателю;
2. подрядчик открыл доступ к CRM;
3. ссылка на документ оказалась публичной;
4. уволенный сотрудник сохранил доступ к системе;
5. база была выгружена на личное устройство;
6. данные стали доступны через ошибку сайта или приложения;
7. произошла компрометация учетной записи;
8. информация попала к лицу, которому компания ее не поручала.

Главная ошибка бизнеса — сначала решить, что инцидент «незначительный», а уже потом пытаться установить факты.

Правильный порядок обратный:

1. Зафиксировать событие.
2. Ограничить дальнейший доступ.
3. Определить состав данных и круг затронутых лиц.
4. Оценить последствия.
5. Принять решение об уведомлении.
6. Провести внутреннее расследование.

Что компания должна сделать в первые 24 и 72 часа

При выявлении инцидента оператор обязан в течение 24 часов сообщить о нем в Роскомнадзор. В первичном уведомлении указываются обстоятельства произошедшего, предполагаемые причины, возможный вред, предпринятые меры и лицо, уполномоченное взаимодействовать с ведомством. В течение 72 часов необходимо сообщить о результатах внутреннего расследования и о виновных лицах, если они установлены. 

На практике эти сроки означают, что регламент нельзя начинать разрабатывать после утечки.

У компании уже должны быть:

1. назначенный ответственный;
2. контакты IT, службы безопасности, юриста и руководства;
3. форма внутреннего сообщения об инциденте;
4. шаблон первичного уведомления;
5. порядок внутреннего расследования;
6. перечень данных, которые нужно собрать;
7. правила сохранения логов и доказательств;
8. порядок взаимодействия с подрядчиками;
9. резервный канал связи;
10. полномочия лица, которое сможет направить уведомление.

Для подачи электронной формы через ЕСИА учетная запись представителя должна быть связана с организацией. Это тоже лучше проверить заранее, а не в последние часы установленного срока. 

Почему при утечке бизнес часто не понимает даже собственную роль

Один из первых вопросов при инциденте:

Кто в этой цепочке является оператором персональных данных?

Многие компании считают себя лишь обработчиками, потому что работают по поручению клиента или используют внешние сервисы.

Но статус определяется не названием договора.

Если компания самостоятельно определяет:

1. цели обработки;
2. состав собираемых данных;
3. порядок их использования;
4. сроки хранения;
5. круг получателей,

она может быть оператором даже тогда, когда в договоре названа исполнителем или подрядчиком.

В цифровом продукте одновременно могут участвовать:

1. владелец платформы;
2. клиент платформы;
3. CRM;
4. сервис рассылок;
5. облачный провайдер;
6. служба доставки;
7. кол-центр;
8. аналитические системы;
9. разработчики;
10. техническая поддержка.

Без заранее составленной карты ролей в первые часы инцидента начинается спор:

Это наша утечка или утечка подрядчика?

А время уже идет.

Аудит персональных данных — это не проверка трех документов

Часто под аудитом понимают проверку:

1. политики обработки персональных данных;
2. согласия на сайте;
3. уведомления в Роскомнадзор.

Это только внешний контур.

Полноценный аудит должен отвечать на три группы вопросов.

1. Какие данные фактически обрабатывает компания

Не в документах, а в реальных процессах.

Нужно проверить:

1. сайт и формы;
2. мобильное приложение;
3. личные кабинеты;
4. CRM;
5. кадровые системы;
6. системы аналитики;
7. кол-центры;
8. мессенджеры;
9. рассылки;
10. облачные хранилища;
11. записи звонков;
12. заявки кандидатов;
13. договоры с физическими лицами;
14. базы клиентов и контрагентов.

На практике документы часто отстают от бизнеса.

Компания уже запустила:

1. новый продукт;
2. программу лояльности;
3. Telegram-бота;
4. мобильное приложение;
5. интеграцию с новой CRM;
6. новый способ авторизации,

а документы остались от прежней модели.

2. На каком основании обрабатываются данные

Наличие согласия не решает все проблемы. Для каждой цели нужно определить отдельное правовое основание.

Например:

1. исполнение договора;
2. требования закона;
3. согласие субъекта;
4. законный интерес оператора в предусмотренных случаях;
5. обработка по поручению другого оператора.

Особенно часто ошибки возникают, когда одним согласием компания пытается закрыть сразу все:

1. регистрацию;
2. исполнение заказа;
3. аналитику;
4. рекламу;
5. передачу партнерам;
6. публикацию данных;
7. рассылки.

В случае проверки или утечки становится непонятно, что именно человек разрешил и можно ли подтвердить факт получения согласия.

3. Кому и куда передаются данные

Компания может считать, что данные остаются «внутри системы», хотя фактически они уже передаются:

1. в CRM;
2. сервису рассылок;
3. облачному провайдеру;
4. аналитической платформе;
5. рекламному кабинету;
6. подрядчику технической поддержки;
7. бухгалтерскому сервису;
8. внешнему кол-центру;
9. службе доставки;
10. сервису авторизации.

Для каждого получателя нужно определить:

1. его роль;
2. состав данных;
3. цель передачи;
4. правовое основание;
5. место хранения;
6. наличие субподрядчиков;
7. меры безопасности;
8. порядок сообщения об инциденте;
9. срок удаления данных.

Если отношения с обработчиком оформлены формально или вообще не оформлены, при утечке оператор может не получить вовремя даже базовую информацию о произошедшем.

Что мы чаще всего находим при аудите ПДн

В проектах цифровых платформ, маркетплейсов, инвестиционных сервисов, мобильных приложений и IT-компаний повторяются одни и те же ошибки:

1. компания неверно определила себя как обработчика, хотя фактически является оператором;
2. уведомление в Роскомнадзор не подано или не соответствует реальным процессам;
3. подрядчикам передаются данные без полноценного поручения;
4. документы описывают модель, которой больше нет;
5. в CRM обрабатывается больше данных, чем предусмотрено документами;
6. сотрудники используют личные почты, облака и мессенджеры;
7. нет единого перечня информационных систем;
8. рекламные согласия смешаны с согласием на основную услугу;
9. отсутствует порядок реагирования на инциденты;
10. никто не знает, кто должен сообщить юристу об утечке;
11. нет регламента внутреннего расследования;
12. компания не может быстро выгрузить логи и восстановить цепочку событий.

Именно поэтому Роскомнадзор рекомендует проводить внутренний контроль и аудит соответствия фактической обработки требованиям закона, локальным актам и мерам защиты. 

Что проверять в рамках аудита персональных данных

Мы обычно разделяем аудит на несколько контуров.

Внешний контур

Проверяются:

1. сайт;
2. формы обратной связи;
3. регистрация;
4. личный кабинет;
5. согласия;
6. политика;
7. cookie;
8. аналитические сервисы;
9. рекламные механики;
10. пользовательские сценарии;
11. способы фиксации согласия.

Внутренний контур

Проверяются:

1. кадровые процессы;
2. клиентские базы;
3. CRM;
4. записи звонков;
5. доступы сотрудников;
6. локальные нормативные акты;
7. уничтожение и хранение данных;
8. работа с обращениями субъектов;
9. обучение сотрудников;
10. внутренний контроль.

Подрядчики и обработчики

Проверяются:

1. договоры;
2. поручения на обработку;
3. состав передаваемых данных;
4. цели;
5. меры защиты;
6. субподрядчики;
7. сроки уведомления об инциденте;
8. возврат и уничтожение данных;
9. ответственность сторон.

Инциденты и утечки

Проверяются:

1. регламент реагирования;
2. состав кризисной команды;
3. каналы связи;
4. формы уведомлений;
5. сценарии внутренних расследований;
6. порядок фиксации доказательств;
7. взаимодействие с IT и безопасностью;
8. учет инцидентов;
9. действия после завершения расследования.

Аудит сайта и аудит ПДн — не одно и то же

Проверка сайта помогает выявить нарушения во внешнем контуре:

1. неправильные формы;
2. отсутствие согласий;
3. ошибки в политике;
4. некорректную работу cookie;
5. незаконные рекламные механики.

Но утечка чаще возникает не в тексте политики.

Она возникает:

1. в CRM;
2. через доступ подрядчика;
3. из-за ошибки сотрудника;
4. в облачном хранилище;
5. через скомпрометированную учетную запись;
6. в мобильном приложении;
7. при неправильной настройке прав доступа.

Поэтому компания может иметь аккуратный сайт и при этом быть совершенно не готовой к реальному инциденту.

Как должен выглядеть результат аудита

Слабый результат аудита — папка из десятков документов, которую никто не использует.

Рабочий результат должен включать:

1. карту процессов обработки данных;
2. карту информационных систем;
3. распределение ролей оператора и обработчиков;
4. перечень нарушений;
5. приоритизацию рисков;
6. дорожную карту исправлений;
7. перечень документов;
8. технические задачи для IT;
9. изменения в договорах;
10. регламент реагирования на утечки;
11. шаблоны уведомлений;
12. инструкции для сотрудников.

И главное — разделение задач на три группы.

Критические

То, что нужно исправить немедленно:

1. отсутствие уведомления;
2. открытый доступ к данным;
3. отсутствие основания обработки;
4. неоформленная передача подрядчику;
5. отсутствие контроля доступа;
6. отсутствие порядка реагирования.

Значимые

То, что может привести к претензиям или увеличить последствия инцидента:

1. несоответствие документов процессам;
2. избыточный сбор данных;
3. отсутствие подтверждения согласия;
4. неправильные сроки хранения;
5. слабая договорная защита.

Организационные

То, что делает систему неуправляемой:

1. сотрудники не обучены;
2. нет владельцев процессов;
3. никто не обновляет документы;
4. новые сервисы подключаются без проверки;
5. нет регулярного внутреннего контроля.

Чек-лист готовности к утечке персональных данных

Компания должна уметь ответить «да» на следующие вопросы:

1. Назначен ли ответственный за организацию обработки ПДн?
2. Есть ли актуальная карта процессов и систем?
3. Понятно ли, где компания является оператором?
4. Оформлены ли поручения обработчикам?
5. Соответствует ли уведомление в Роскомнадзор реальным процессам?
6. Есть ли список лиц, которым нужно сообщить об инциденте?
7. Подготовлена ли форма внутреннего сообщения?
8. Есть ли шаблоны уведомлений на 24 и 72 часа?
9. Может ли IT быстро сохранить логи?
10. Определено ли, кто проводит внутреннее расследование?
11. Проверены ли полномочия для подачи уведомления через ЕСИА?
12. Знают ли сотрудники, что нельзя скрывать даже небольшой инцидент?
13. Есть ли порядок работы с запросами клиентов и контрагентов?
14. Проводились ли учебные сценарии реагирования?

Если компания не может уверенно ответить хотя бы на несколько вопросов, проблема уже существует — просто пока не произошла утечка.

Что делать, если утечка уже произошла

Первое правило — не начинать с поиска виноватого.

Сначала нужно остановить развитие инцидента и сохранить информацию.

Практический алгоритм:

1. Ограничить несанкционированный доступ.
2. Не уничтожать логи и следы инцидента.
3. Зафиксировать время обнаружения.
4. Определить источник информации об утечке.
5. Установить категории и примерный объем данных.
6. Определить затронутых субъектов.
7. Установить системы и подрядчиков, связанные с инцидентом.
8. Подключить юридическую и IT-команды.
9. Оценить необходимость уведомления Роскомнадзора.
10. Подготовить первичное уведомление.
11. Начать внутреннее расследование.
12. Зафиксировать все предпринятые меры.
13. Подготовить коммуникацию с клиентами и партнерами.
14. После расследования изменить процессы, а не только закрыть техническую уязвимость.

Даже при недостатке информации лучше честно зафиксировать текущие данные и план уточнения, чем потерять время, пытаясь сначала восстановить полную картину.

Почему аудит нужно проводить до утечки

Аудит персональных данных нужен не для того, чтобы у компании было больше документов.

Он нужен, чтобы в критической ситуации бизнес мог быстро ответить:

1. какие данные затронуты;
2. на каком основании они обрабатывались;
3. кто имел доступ;
4. кому они передавались;
5. какие меры защиты применялись;
6. кто отвечает за инцидент;
7. что нужно сообщить регулятору;
8. как снизить последствия.

Если этих ответов нет, утечка превращается одновременно в:

1. технический кризис;
2. юридический риск;
3. репутационную проблему;
4. конфликт с клиентами;
5. угрозу сделке или инвестициям;
6. внутренний управленческий хаос.

Именно поэтому аудит ПДн — это не проверка документов.

Это проверка того, насколько компания управляет собственными данными.

Если вы хотите больше узнать о том как законно обрабатывать ПДн и что делать в случае утечки -посмотрите наш вебинар.