СПб: как «ЛЕГАС» закрыла риски ИБ до утечки - кейс без нервов
В середине лета в онлайн‑форму на legascom.ru пришла заявка из Санкт‑Петербурга: владелица небольшого digital‑агентства с офисом на Лиговском проспекте, Анна, в панике описала странную активность в облачном хранилище - файлы с персональными данными клиентов оказались в открытом доступе. «Я не понимаю, кто и как это сделал. Боюсь, что это уже заметили в Роскомнадзоре», - писала она.
Команда «ЛЕГАС» включилась сразу: юрист и эксперт по ИБ начали с экспресс‑диагностики. Уже через пару часов выявили три болевые точки: некорректные права доступа в облаке, отсутствие регламента обработки данных и NDA с расплывчатыми формулировками, где не была прописана ответственность за утечку. По 152‑ФЗ это уже зона риска: даже случайная публикация персональных данных - основание для проверки и штрафа.
На следующий день эксперт по ИБ выехал на встречу к Анне недалеко от метро «Площадь Восстания» - не ради формальности, а чтобы вживую посмотреть на процессы и согласовать действия с ИТ‑службой клиента. Параллельно юрист фиксировал доказательства: выгружал логи доступа, собирал скриншоты, оформлял акт осмотра. Это важно: если дело дойдёт до спора или проверки, у компании будут не «слова», а подтверждённые факты.
Дальше - точечные меры. Права доступа пересмотрели, лишние учётные записи удалили, настроили двухфакторную авторизацию. Ввели регламент обработки персональных данных и журнал учёта лиц, допущенных к информации. NDA переписали: чётко прописали, что считается разглашением, как фиксируется нарушение и какая ответственность наступает. Отдельно проработали договор с облачным провайдером - добавили SLA и пункты о юрисдикции хранения данных: чтобы данные клиентов не «уезжали» за пределы РФ без согласия.
Через неделю клиентка уже могла спокойно показывать документы при проверке: пакет локальных актов был готов, доказательства зафиксированы, риски ИБ для бизнеса - закрыты.
Комментарий Олега Анатольевича Петухова, руководителя «ЛЕГАС»:
«Ключевой фактор успеха здесь - не “починить и забыть”, а закрыть риски до эскалации. Мы не просто устранили уязвимость, а перестроили процессы так, чтобы она не повторилась».
«Частая ошибка бизнеса - думать, что NDA сам по себе защищает данные. На практике без регламентов и контроля доступа это просто бумага».
«Мой совет: раз в полгода проводите экспресс‑аудит прав доступа и пересматривайте формулировки в договорах. Это дешевле, чем штрафы и репутационные потери».
Автор: Петухов Олег Анатольевич, юрист, эксперт по информационной безопасности, руководитель юридической компании «ЛЕГАС».
Сайт: legascom.ru
Email: petukhov@legascom.ru
Телефон: 8‑921‑234‑45‑78
Хотите разобрать риски ИБ в вашем проекте? Оставьте заявку на сайте legascom.ru - наши эксперты проведут экспресс‑аудит и дадут персональные рекомендации.
