Утечка данных клиентов: как реагировать и кого уведомлять
Практика4 минРедакция Innovialabs
Коротко
Сначала остановите утечку и сохраните доказательства, выясните, чьи и какие данные утекли, уведомите регулятора и пострадавших в установленные сроки (по GDPR — 72 часа для надзорного органа), затем устраните причину.
Первые часы: что делать
При утечке данных клиентов важна не только скорость, но и порядок действий. Короткий план:
- Локализуйте утечку, не уничтожая следов.
- Оцените масштаб: какие данные, чьи и каким путём.
- Определите юридические обязанности и при необходимости уведомите регулятора.
- Сообщите пострадавшим клиентам с понятными инструкциями.
- Устраните причину и задокументируйте всё.
Сразу назначьте одного ответственного за инцидент. Без единого владельца люди дублируют работу и рассылают противоречивые сообщения.
Шаг 1. Локализация
- Закройте дыру: отзовите утёкшие API-ключи и токены, смените пароли, заблокируйте скомпрометированные аккаунты, ограничьте доступ к затронутому серверу или бакету.
- Если база была открыта в интернет, сначала закройте публичный доступ, потом расследуйте.
- Сохраните доказательства: снапшоты серверов, выгрузки логов, отметки времени. Не стирайте и не переустанавливайте сервер, пока не скопировали нужное.
- Проверьте, нет ли у атакующих доступа до сих пор: новые админские аккаунты, неизвестные SSH-ключи, изменённые cron-задачи.
Шаг 2. Что именно утекло
Ответьте на вопросы письменно:
| Вопрос | Почему важно |
|---|---|
| Какие категории данных? | Имена и телефоны — одно, пароли, паспорта, платёжные или медицинские данные — другое |
| Сколько людей и из каких стран? | От этого зависит, какие законы применяются |
| Были ли данные зашифрованы? | Надёжное шифрование при сохранных ключах снижает риск |
| Когда началось и закончилось? | Определяет затронутый период |
| Как это произошло? | Нужно для устранения причины и для отчёта |
Используйте логи доступа, логи запросов к базе и аудит облачных сервисов. Если логов нет, честно это зафиксируйте и исходите из худшего сценария.
Шаг 3. Обязанности по уведомлению
Узбекистан. Закон «О персональных данных» обязывает собственников и операторов защищать персональные данные и взаимодействовать с уполномоченным государственным органом в сфере персональных данных. Закон также требует, чтобы персональные данные граждан Узбекистана обрабатывались и хранились на серверах, физически расположенных в стране. Порядок и сроки уведомлений со временем обновляются, поэтому уточните актуальную процедуру у юриста в самом начале инцидента и фиксируйте, когда и как вы проинформировали уполномоченный орган.
GDPR применяется, если вы обрабатываете данные людей в ЕС, например предлагаете им товары или услуги:
- Уведомите надзорный орган в течение 72 часов с момента, когда узнали об утечке, если только она вряд ли создаёт риск для прав и свобод людей. Если не все факты известны, отправьте то, что есть, и дополните позже.
- Уведомите пострадавших без неоправданной задержки, если утечка, вероятно, создаёт для них высокий риск.
- Документируйте каждую утечку внутри компании, даже ту, о которой сообщать не требовалось.
- Обработчик (например, хостинг или подрядчик-разработчик) обязан без промедления сообщить контролёру.
Шаг 4. Шаблоны сообщений
Пишите просто и не преуменьшайте. Сообщение клиенту должно содержать:
- Что произошло и когда.
- Какие его данные затронуты, а какие нет.
- Что вы уже сделали.
- Что ему сделать сейчас: сменить пароль, включить 2FA, остерегаться фишинговых звонков и сообщений.
- Контакт для вопросов.
Пример начала:
[дата] мы обнаружили несанкционированный доступ к части нашей клиентской базы. Могли быть раскрыты имена, номера телефонов и история заказов. Пароли и данные платёжных карт не затронуты. Мы закрыли доступ и работаем со специалистами. Рекомендуем с осторожностью относиться к звонкам и сообщениям, в которых от нашего имени просят коды или личные данные.
Подготовьте короткую внутреннюю версию для сотрудников и скрипт для поддержки, чтобы все отвечали одинаково.
Шаг 5. Как не допустить повторения
- Проведите разбор инцидента без поиска виноватых: что не сработало технически и в процессах.
- Закройте конкретную уязвимость и поищите похожие в других системах.
- Внедрите минимальные права доступа, 2FA для сотрудников, управление секретами и мониторинг логов с оповещениями.
- Минимизируйте данные: не храните лишнего и удаляйте старое по графику.
- Напишите и отрепетируйте план реагирования на инциденты с контактами юриста, хостинга и ответственных.