«Слитая карта данных “Яндекс.Еды” появилась в сети». «Delivery Club сообщила об утечке информации о заказах». «СДЭК стал объектом хакерских атак».
Подобными громкими заголовками уже сложно кого-то удивить в наши дни. Постепенно обнародованные утечки данных компаний-гигантов перестают быть новостями «из ряда вон» и превращаются в «обычное дело». Единственное, что не перестает удивлять, это то, насколько тщательно компании скрывают неприятную информацию от потребителей, опасаясь последствий. По статистике, 70% организаций предпочитают вовсе не уведомлять клиентов об утечках их данных. Однако, как нас учили в детстве, рано или поздно все тайное становится явным, и подобные истории не являются исключением.
Когда наконец компании оказываются рассекреченными, шквал негатива в их сторону возрастает в несколько раз. Это чистая психология — никто не любит, когда его обманывают. В случае клиентов они не просто оказываются жертвами лжи, но и подвергаются реальной опасности, ведь большинство их персональных данных, вплоть до серии паспорта и номера машины, оказываются в свободном доступе. А значит, кто угодно может ими воспользоваться в любых целях. Так, люди начинают ежедневно сталкиваться с множеством неприятностей, самыми мелкими из которых являются назойливые звонки от сомнительных личностей, и даже не осознают, что причиной всему этому служит обыкновенный слив.
Конечно, компании тоже можно понять. Вспомните себя маленькими, когда, вы знатно напроказничав, выкидывали ненавистную мамину яичницу за диван. А потом с абсолютно честным лицом отдавали ей пустую тарелку, мол, все съели. Но не проходило и дня, как яичница давала о себе знать весьма специфичным ароматом, и вы немедленно оказывались разоблаченным. Подумайте, на что в такие моменты больше злилась мама? На то, что вы не съели яичницу, или на то, что обманули ее? Кажется, ответ очевиден.
Абсолютно естественно, что ни одна компания, особенно большая, не захочет признаваться в своей оплошности, ведь на кону стоят деньги, доверие пользователей, годами заработанная репутация — слишком многое. Поэтому некоторые предпочитают молчать и скрывать случаи с утечками. Но вспомним еще одну пословицу: «Хороша ложка к обеду». Чем дольше компания замалчивает неприятную ситуацию, тем больше негативных последствий это вызовет. Ошибки прощаются гораздо проще, нежели ложь — так устроена человеческая психика. Согласно PwC в России, многие потребители действительно обеспокоены атаками в компаниях и хотят о них знать. 89% опрошенных считают, что лучше известить об утечках данных клиентов, нежели промолчать.
Хорошо, когда все это остается на уровне размышлений. Но давайте представим реальную ситуацию. Вы — владелец одной компании, не слишком большой, но и не слишком маленькой, — средней. Вы полностью доверяете своим сотрудникам, и совершенно не задумываетесь о том, что кто-то из них может слить секретную информацию. А потому не сильно обременяете себя вопросами обеспечения информационной безопасности. Однако однажды происходит нечто, чего никто не мог ожидать — один из ваших сотрудников, решив отомстить за то, что Вы отказали ему в повышении, выкладывает конфиденциальные данные на всеобщее обозрение — в Интернет. Ваши действия?
Реакция может быть совершенно разной, ведь первоначально человек испытывает бурю эмоций: шок, непонимание, разочарование, страх, стресс. Однако в любом случае решение остается за вами, ведь на кону, возможно, существование компании. О варианте замалчивания мы рассказали выше. Но как поступить, если вы все же нашли в себе мужество сообщить всем о случившемся?
- Не медлите!
Вторым этапом придется рассказать клиентам, сотрудникам и другим пострадавшим лицам. Действовать надо быстро, чтобы они успели предпринять все необходимые меры. Не стоит как преуменьшать масштабы случившегося, так и рассыпаться в извинениях — это ничего не изменит. Следует коротко изложить информацию и дать конкретные рекомендации по тому, какие действия можно предпринять в сложившихся обстоятельствах, чтобы обезопасить себя.
В завершение надо рассказать СМИ, отталкиваясь от той позиции, которую вы считаете верной. Если вы не хотите, чтобы новость прошла через «испорченный телефон» и попала в массы в недостоверном виде, то стоит поспешить и сообщить медиа о случившемся первыми. Можно даже дать комментарий, где сказать о том, что вам искренне жаль, что так произошло, но вы обязательно разберетесь с инцидентом и постараетесь предотвратить подобные случаи в будущем.
- Соберите свидетельства инцидента.
Не лишним будет привлечь специально обученных специалистов к исследованию инцидента. Чтобы провести качественную проверку, необходимо обладать специальными навыками, компетенциями и знаниями. Когда удастся обнаружить, где именно была уязвимость, нужно заняться ее устранением для восстановления безопасной работы системы.
- Обезопасьте себя и живите дальше.
В качестве второго способа можно рассмотреть ограничение прав доступа людям, работающим с конфиденциальной информацией. Для этого можно использовать два класса решений. В первую очередь, это DLP (data leak prevention) решения. Это системы, которые позволяют защитить информацию, ограничивая определенные действия пользователя. Второй путь защиты – это IRM решения (Information Rights Management). Это управление правами пользователя, т.е. одному пользователю дают работать с документом, содержащим конфиденциальную информацию, а другому нет.
Если вы в поисках более эффективного подхода, рассмотрите технологию EveryTag. В основе решений EveryTag лежит запатентованный алгоритм маркировки, который создает уникальную копию отображения информации для каждого сотрудника компании или контрагента при каждом обращении к документу. Копия визуально ничем не отличается от оригинала, маркировка не видна невооруженным глазом, распознать ее можно лишь, использовав инструмент экспертизы. В случае утечки скомпрометированный документ загружается в систему для проведения экспертизы и поиска источника утечки. Так, если сотрудник сделает фотографию, копию или скрин документа, инструмент всегда позволит определить, кто именно является его владельцем. Это и станет той чертой, за которую сотрудники не захотят переступать. Их никто не станет ограничивать при работе с документами, но они будут наверняка знать, что при любой утечке их найдут и идентифицируют. В этом случае это обернется для сотрудника карьерным самоубийством.
Если в вашей компании произошла утечка, это не конец света. При правильном реагировании на инцидент и вынесении бесценного опыта из произошедшей ситуации вы сможете не только вернуть доверие клиентов, но и приумножить свои ресурсы, ведь теперь вы не совершите предыдущих ошибок. Будьте внимательнее и не пренебрегайте вопросами информационной безопасности:)
