Первый пошел

Facebook, который находится по пристальным вниманием последние несколько месяцев, получил первый штраф за несоответствие стандартам обработки данных GDPR, установленных новым европейским законодательством.

Прошло два месяца с даты вступления в силу «Общего регламента по защите данных» (GDPR), а его выполнение по-прежнему вызывает головную боль руководителей многих компаний как в Европе, так и за ее пределами. И не важно связаны ли инциденты со случаями преднамеренной кражи данных или с утерей в результате внутренней небрежности в отношении информационной безопасности.

Появились первые последствия широко освещавшегося инцидента Facebook и Cambridge Analytica, который затронул свыше 87 млн. пользователей, чьи персональные данные были собраны консалтинговой компанией без их предварительного разрешения, а затем проданы третьим лицам, которые предположительно использовали их в целях президентской кампании Дональда Трампа.

«Офис информационного комиссара» (ICO) в Великобритании наложил штраф на Facebook – это первый, который социальная сеть получила в связи с этим скандалом. Штраф в размере 500 тыс. фунтов стерлингов (порядка 564 тыс. евро) – это максимум, который предусмотрен законодательством Великобритании по защите данных. Конечно для Facebook, которая зарабатывают такую сумму примерно за пять минут, это сравнительно небольшие деньги. Однако прецедент создан.

IOC постановил, что Facebook не смог защитить данные своих пользователей, и что он не был прозрачен в вопросе о том, как он использовал эти данные и какие интересы стояли за злоупотреблением этими данными. IOC также возбудит уголовное дело против SCL Elections, которая является родительской компанией Cambridge Analytica.

Стоит помнить, что GDPR может накладывать штрафы в размере до 4% годового оборота компании. Это означает, что если бы данный инцидент решался в рамках законодательства Европейского союза, то Facebook мог быть оштрафован на сумму 1,581 млрд. евро.

Между тем, известны множество других случаев злоупотребления данными за последнее время.

В сентябре 2017 г. компания Equifax была вовлечена в одну из крупнейших утечек данных в истории, когда были украдены персональные данные 142 млн. людей. Если исходить из максимально возможного штрафа в рамках GDPR, то его сумма составила бы весомые 124 млн. долл.

Еще более масштабный случай с точки зрения объема пострадавших данных был с американской маркетинговой компанией Exactis. В конце июня база данных с 340 млн. индивидуальных записей, содержащими персональные данные, была доступна в Интернете без авторизации. Это означает, что любой мог бы получить доступ к ней и ее содержимому.

Timehop был вовлечен в другой крупный инцидент, в результате которого 4 июля были раскрыты данные 21 млн. пользователей. Хакер, который украл данные, был способен получить доступ благодаря аккаунту облачного хранилища, которое не использовало мульти-факторную авторизацию. Компания заявила, что она связалась с должностными лицами по защите данных сразу же после обнаружения нарушения данных.

Таким образом, экономические штрафы за несоблюдение положений GDPR могут быть весьма ощутимы для бюджета компаний. Поэтому, наряду с построением необходимых процессов, им возможно стоит задуматься и о внедрении решений ИБ для предотвращения доступа, модификации и извлечения информации, которые способны обнаруживать, отслеживать и контролировать данные в сети предприятия.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365