Мелкий бизнес и оборотные штрафы за утечку ПДн

Появилась новость о том, что теперь за утечку ПДн организации могут получать оборотные штрафы: от 5 до 500 млн рублей, или до 3% от годового оборота. И самый интересный вопрос: при принятии решения регулятор будет руководствоваться принципом "что больше", или "что меньше"?

Например, построил человек небольшой домик на 4 отдельных входа, и решил сдавать его, как гостевой, чтобы не простаивал зря. Зарегистрировался, как ИП (кстати, к ним это применимо?). Место живописное, но не особо раскрученное, поэтому установлена цена 5 000р за ночь за комнату, 20 000р за весь дом. Предпринимателю настолько сопутствовала удача, что каким-то чудом все секции были заняты каждую ночь в году.

Сколько заработает за 1 год такой бизнес в идеальном случае:

20 000р х 365 = 7 300 000р

Чтобы из этого получилась прибыль - нужно отнять разнообразные расходы.

Совсем не обрабатывать персональные данные такая организация не может, ибо обязана регистрировать посетителей и предоставлять информацию соответствующим регуляторам. Если работает в белую, конечно. И вдруг происходит утечка, о которой становится известно, и бизнесмену выставляется ай-яй-яй.

По следам Робина Гуда

Кто не в курсе, недавно у одного из брокеров по имени Robinhood произошла утечка информации. Некто получил доступ к списку email-адресов порядка 5 млн пользователей, полные ФИО еще 2 млн пользователей. Несколько тысяч записей содержали номера телефонов. При этом номера банковских карт и социальной страховки не утекали, реализации идеологии сказочного персонажа не произошло. К чести службы ИБ брокера, они заметили этот инцидент. Судя по информации от Robinhood, утечка произошла в результате социальной инженерии, которую применили к сотруднику саппорта. 

Я, как и преобладающее большинство, не в курсе всей ситуации, но считаю, что некоторые организационно-технические меры могли бы помочь:

Звукоизоляция квартиры как вектор утечки при удаленной работе

За прошедший год многие работодатели переосмыслили свое отношение к удаленной работе, специалисты по информационной безопасности - риски удаленной работы, а производители и интеграторы получили возможность продавать существующие наборы технологических решений под задачи обеспечения удаленной работы, ее удобства и безопасности. Возможные варианты минимизации рисков ИБ направлены на:

• предотвращение
• усложнение
• удорожание

кибератак либо утечек. И это не считая неотключаемого логирования. Риск перехвата и модификации интернет-трафика решается посредством VPN, возможные варианты утечки информации из случайно услышанных разговоров через членов семьи минимизируются выделением отдельного кабинета (если есть возможность) либо переселением совещающихся по удаленке на время совещания в отдельную комнату.

При этом за кадром оставался и будет оставаться риск утечки через соседей, которые, вроде, и не подслушивают, и даже не пытаются это сделать, но могут стать невольными слушателями совещаний из-за плохой звукоизоляции квартир. Даже без примитивных подслушивающих техник, доступных рядовому обывателю.