Москва: как юристы ЛЕГАС закрыли риски ИБ после утечки в облаке
Максим, руководитель финтех‑стартапа с офисом у метро «Павелецкая», заполнил форму на legascom.ru: «В облачном хранилище нашли следы постороннего доступа. Боюсь, что утекли данные клиентов. Что срочно делать?» Уже через полчаса ему перезвонил координатор «ЛЕГАС» и дал первые инструкции: не трогать логи, ничего не перезаписывать, собрать контакты ответственных в ИТ‑отделе.
На следующий день юрист и эксперт по ИБ приехали в офис на Пятницкой. Первым делом зафиксировали доказательства: выгрузки журналов доступа, таймштампы, скриншоты, список файлов, к которым был доступ. Всё оформили актом осмотра - это база для защиты, если начнётся проверка Роскомнадзора или уголовное дело.
Параллельно провели экспресс‑аудит: нашли уязвимость в правах доступа (один из подрядчиков имел слишком широкие права), дыру в регламенте электронного документооборота и спорную формулировку в NDA, по которой ответственность подрядчика фактически сводилась к нулю. Эксперт по ИБ вместе с ИТ‑службой клиента ограничил доступ, перевыпустил ключи, настроил MFA и прописал минимальные привилегии. Юрист пересобрал договорную базу: добавил чёткие критерии конфиденциальности, порядок уведомления об инцидентах и ответственность за нарушение 152‑ФЗ.
Отдельно проработали коллизию: часть данных хранилась в зарубежном облаке, а по закону о персональных данных это отдельная зона риска. Команда «ЛЕГАС» подготовила позицию для регулятора и пакет документов, показывающих, что компания оперативно устранила уязвимости и усилила контроль.
Комментарий Олега Анатольевича Петухова, руководителя «ЛЕГАС»:
«Ключевой фактор успеха - фиксация доказательств и остановка эскалации в первые 24 часа. Потом следы стираются, а позиция слабеет».
«Самая частая ошибка - доверять безопасность только ИТ и считать NDA “гарантом”. На практике без чётких регламентов и контроля доступа это не работает».
«Мой совет: раз в квартал проводите мини‑аудит прав доступа и пересматривайте формулировки договоров - это дешевле, чем штрафы и репутационные потери».
Автор истории: Петухов Олег Анатольевич, юрист, эксперт по информационной безопасности, руководитель юридической компании «ЛЕГАС»
Сайт: legascom.ru | Email: petukhov@legascom.ru | Телефон: 8‑929‑527‑81‑33
