Утечки персональных данных сотрудников: три сценария, в которых кадровик может оказаться виновным

Госдума рассматривает возможность многократного увеличения штрафов за утечки персональных данных из корпоративных баз. Если утечка произошла по вине кадровика, то компания может быть оштрафована на 15 миллионов рублей, а сам специалист рискует получить штраф в размере 1 миллиона рублей, если он отвечает за обработку данных.

Взлом систем с данными сотрудников

Если злоумышленники получили доступ к информационной системе компании из-за недосмотра кадровика и скопировали базу данных с личной информацией работников, то он будет считаться виновным. Скрыть такую утечку крайне сложно, так как Роскомнадзор регулярно отслеживает интернет на предмет подобных инцидентов. Приведем три примера, которые можно было бы предотвратить с правильным подходом.

Вредоносный вирус на компьютере сотрудника. Злоумышленники могут отправить зараженный файл по электронной почте, что может привести к утечке данных. К примеру, в марте 2023 года в одном из крупных федеральных университетов произошла массовая утечка данных студентов и сотрудников вследствие активности вируса на компьютере работника. Антивирус не смог распознать угрозу, что позволило злоумышленникам получить доступ к рабочим файлами и извлечь персональные данные. Университет оперативно выявил утечку и уведомил Роскомнадзор.

Фишинг. Фишинговые письма часто содержат ссылки на поддельные сайты, маскирующиеся под корпоративные порталы. Если кадровик не заметил подмены и перешел по ссылке, преступники получают доступ к корпоративной базе. Так, в одном из случаев злоумышленник воспользовался учетной записью сотрудника для выгрузки и публикации базы данных. ИТ-отдел сразу после инцидента заблокировал скомпрометированные учетные записи.

Уязвимости в программном обеспечении подрядчика. Даже если утечка произошла из-за уязвимости в стороннем ПО, ответственность всё равно лежит на компании. Примером может служить случай с программой "1С-Битрикс: Управление сайтом", где данные сотрудников и клиентов оказались в открытом доступе. Несмотря на быстрое устранение проблемы и выполнение рекомендаций Роскомнадзора, компания не смогла избежать штрафа.