Що таке витік даних і як зменшити ризики
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: Витік даних — це ситуація, коли інформація потрапляє до осіб, які не мають права на доступ до неї, або стає їм доступною. Причиною може бути атака, людська помилка чи неналежний захист системи. Витік не обов’язково означає публікацію даних в інтернеті. Наслідки залежать насамперед від того, які саме відомості розкрито: після витоку адреси електронної пошти потрібні одні дії, а після розкриття пароля чи номера PESEL — інші.
Коли відбувається витік даних?
Про витік ідеться, наприклад, коли хтось викрадає базу клієнтів, працівник надсилає документ не тому одержувачу або папка з конфіденційними файлами стає загальнодоступною без входу в систему. Дані можуть скопіювати, хоча вони й далі залишатимуться в системі компанії. Тому те, що файли не зникають, не свідчить про безпеку.
Витік може стосуватися персональних даних — інформації, що дає змогу ідентифікувати людину, — а також комерційних таємниць, програмного коду чи ключів API — облікових даних, які дають програмам змогу користуватися сервісами. Отже, не кожен інцидент стосується приватності: іноді загрозою є доступ до інфраструктури або втрата конфіденційності документації.
У контексті RODO ширшим поняттям є порушення захисту персональних даних. Воно охоплює не лише несанкціоноване розкриття чи доступ, а й m.in. втрату, знищення або зміну даних. Саме слово «витік» не описує всіх можливих порушень.
Як відбувається розкриття інформації?
Причиною може бути вразливість програмного забезпечення, але так само й звичайна помилка. Типові сценарії:
- Захоплення облікового запису: зловмисник отримує пароль, наприклад через фішинг — видає себе за відправника, якому довіряють, щоб виманити інформацію.
- Неправильно налаштовані права доступу: файл, резервна копія чи база даних доступні більшій кількості людей, ніж мали б бути.
- Помилка під час надсилання: повідомлення з даними потрапляє не тому адресату або розкриває адреси одержувачів у полі «Кому».
- Шкідливе програмне забезпечення: програма викрадає файли, паролі або дані активних сеансів, які можуть дати змогу отримати доступ до облікового запису без повторного входу.
- Дії особи, яка має доступ: працівник або співробітник копіює інформацію за межами дозволеного.
Витік у постачальника послуги може зачепити користувача, який сам не припустився жодної помилки. Тому захист власного пристрою потрібний, але він не замінює обачного вибору сервісів і обмеження обсягу даних, які ви їм передаєте.
Від чого залежать наслідки витоку?
Найважливіше — з’ясувати, що саме розкрито і з якими іншими відомостями можна поєднати цю інформацію. Самої адреси електронної пошти зазвичай недостатньо для входу в обліковий запис. Проте разом з історією покупок вона може допомогти створити переконливе повідомлення нібито від магазину.
| Розкрита інформація | Основна загроза | Перша дія |
|---|---|---|
| Адреса електронної пошти або номер телефону | Шахрайські повідомлення, підібрані під вас, і небажані контакти | Перевірте відправника через незалежний канал |
| Пароль | Захоплення облікового запису та спроби входу в інші сервіси | Змініть пароль усюди, де використовували той самий |
| Дані платіжної картки | Несанкціоновані платежі | Зв’яжіться з банком |
| PESEL або дані документа | Спроби видати себе за власника даних | Розгляньте можливість блокування PESEL і перевірте подальші рекомендації |
| Медична документація або приватне листування | Порушення приватності, шантаж | Збережіть докази та захистіть доступ до облікових записів |
Наприклад, магазин повідомляє про витік адрес електронної пошти та історії замовлень, але не паролів чи платіжних даних. Найбільш безпосередньою загрозою може бути неправдиве прохання доплатити за конкретне замовлення. Таке повідомлення про витік не означає, що картку автоматично потрібно замінити, але запити на оплату слід перевіряти безпосередньо в магазині.
Що робити після повідомлення про витік?
Спочатку переконайтеся, що повідомлення справжнє. Відкрийте застосунок постачальника послуги або самостійно введіть адресу його сайту, замість переходити за посиланням із підозрілого повідомлення. Фальшиві попередження про витік теж можуть бути способом виманювання даних.
- З’ясуйте масштаб інциденту. Перевірте, які дані розкрито, чи стосується це вашого облікового запису та які дії рекомендує постачальник послуги. Нечітке повідомлення — привід поставити запитання, а не доказ того, що витекли всі дані.
- Захистіть облікові записи, яким загрожує небезпека. Якщо розкрито пароль, установіть новий, унікальний. Змініть його також в інших сервісах, де він використовувався. Насамперед подбайте про пошту, через яку можна скидати паролі до інших облікових записів.
- Перевірте доступ. Завершіть невідомі або всі активні сеанси, перевірте дані для відновлення облікового запису й увімкніть багатофакторну автентифікацію — додаткове підтвердження входу.
- Дійте відповідно до того, які дані розкрито. Якщо це фінансові дані, зв’яжіться з банком через офіційний канал. Правила та обсяг захисту, пов’язаного з блокуванням PESEL, перевірте на сайті органів державного управління або в застосунку mObywatel.
- Збережіть документацію. Збережіть повідомлення про витік, дати, підозрілі повідомлення та відомості про транзакції. У разі шахрайства вони допоможуть повідомити про справу банк або поліцію.
Не вводьте пароль, номер PESEL чи дані картки у випадковому сервісі «перевірки витоків». Відсутність адреси електронної пошти в базі відомих інцидентів теж не гарантує, що дані ніколи не були розкриті.
Як зменшувати ризик і реагувати в компанії?
Користувач може зменшити наслідки майбутнього витоку, використовуючи унікальні паролі, збережені в менеджері паролів, додаткове підтвердження входу та видаляючи непотрібні облікові записи. Ці дії не запобігають усім випадкам розкриття інформації, але ускладнюють використання одного інциденту для захоплення облікових записів в інших сервісах.
Компанія має обмежити несанкціонований доступ, зберегти сліди інциденту та встановити його масштаб. Працівник повинен негайно повідомити особу, відповідальну за безпеку, а не самостійно видаляти журнали подій чи докази. Для оцінки інциденту також може знадобитися участь інспектора із захисту даних, якщо його призначено.
Обов’язки повідомити про порушення наглядовий орган і поінформувати людей, яких воно стосується, залежать від обставин та оцінки ризику. Це загальна інформація, а не індивідуальна юридична консультація. Чинні вимоги й строки слід перевіряти в RODO та матеріалах UODO.
Якщо ви щойно отримали попередження, почніть зі з’ясування за офіційним повідомленням, які саме дані розкрито. Це допоможе визначити невідкладні дії, замість робити випадкові зміни.
Читайте також
