Что делать при утечке персональных данных: план действий

Инцидент — это не только опубликованная база. Ошибочная рассылка, открытая резервная копия, украденная учётная запись, доступ бывшего сотрудника или публичная ссылка на документы тоже требуют быстрой оценки.

Первые действия

1. Остановите продолжающийся доступ, не уничтожая доказательства.
2. Зафиксируйте время обнаружения, источник сообщения и затронутые системы.
3. Смените скомпрометированные ключи и завершите активные сессии.
4. Сохраните журналы, снимки настроек и перечень выполненных действий.
5. Назначьте одного координатора и защищённый канал связи.

Определите масштаб

Установите категории и примерное количество людей и записей, период доступности, возможных получателей и вероятные последствия. Отделяйте подтверждённые факты от предположений и обновляйте оценку по мере расследования.

Уведомление Роскомнадзора

Часть 3.1 статьи 21 закона № 152-ФЗ предусматривает уведомление уполномоченного органа об инциденте, повлекшем нарушение прав субъектов: первоначальное — в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Для подачи используйте актуальную форму и инструкции официального портала Роскомнадзора.

Связь с подрядчиками

Немедленно запросите у хостинга, CRM или разработчика журналы и сведения о принятых мерах. Срок их реакции должен быть короче вашего регуляторного срока — это стоит заранее закрепить в договоре.

После локализации

• устраните первопричину, а не только внешний симптом;
• проверьте похожие системы и резервные копии;
• оцените необходимость сообщения затронутым людям;
• обновите модель угроз, доступы и инструкции;
• проведите разбор без публикации лишних персональных данных.

Подготовьтесь заранее

Храните контакты ответственных, шаблон карточки инцидента, список систем и подрядчиков, порядок сохранения журналов и резервный канал доступа. Проведите учебный сценарий: «утекла выгрузка CRM» — и измерьте, сколько времени занимает сбор фактов.

Сроки и обязанности оператора закреплены в статье 21 закона № 152-ФЗ ↗.

Читайте также