Утечки данных грозят системным администраторам новыми регуляторными рисками

В случае масштабной утечки данных под удар попадают не только директора по информационной безопасности. Регуляторы по всему миру, вдохновленные инициативами Комиссии по ценным бумагам и биржам США, переходят к более жестким проверкам IT-инфраструктуры компаний. Теперь внимание властей фокусируется не только на факте взлома, но и на технических ошибках, которые ему предшествовали.

Кейс Delta Dental: уроки для бизнеса

Ярким примером усиления контроля стало дело страховой компании Delta Dental Insurance, оштрафованной на сумму более 2 миллионов долларов (около 186 миллионов рублей). Власти штата Нью-Йорк выявили ряд критических нарушений, касающихся политики хранения данных, неэффективного реагирования на инциденты и несвоевременного оповещения о кибератаке.

Ключевой претензией регулятора стала небрежность при работе с данными. Если бы установленные правила хранения информации соблюдались корректно, похищенные злоумышленниками сведения были бы уничтожены задолго до проникновения в систему.

Регуляторные требования к внутренней дисциплине

Особое внимание со стороны надзорных органов, в частности Федеральной торговой комиссии США (FTC), уделяется соответствию публичных заявлений компании ее реальным действиям. Если на официальном сайте даются обещания о защите данных, регуляторы требуют их строгого исполнения. Любое несоответствие между декларациями и технической реализацией грозит компании серьезными правовыми последствиями.

Проблемы возникают и в судебных процессах. Юристы отмечают важность единообразия: если компания заявляет об уничтожении старых писем в рамках политики хранения данных, но в ходе расследования выясняется, что аналогичные документы других сотрудников сохранялись годами, это трактуется как избирательное сокрытие информации, что может быть расценено судом как попытка воспрепятствования правосудию.

Как избежать претензий регуляторов

В деле Delta Dental выяснилось, что программное обеспечение позволяло сотрудникам произвольно изменять настройки хранения файлов, игнорируя общие правила. При этом отсутствовали четкие инструкции по согласованию таких исключений.

• Разрабатывайте максимально строгие политики хранения данных без лазеек для персонала.
• Любые исключения из правил должны быть документально обоснованы и утверждены ответственным менеджером.
• Внедряйте систему обязательных форм для запроса изменений в настройках безопасности.
• Регулярно проводите аудит того, как сотрудники исполняют регламенты, утвержденные юридическим департаментом.

Изучение подобных прецедентов позволяет компаниям выстроить более устойчивую систему защиты и минимизировать риски юридической ответственности в случае киберинцидентов.

* — деятельность компании запрещена на территории РФ

Твитнуть