Утечка данных с сайта: что делать и когда уведомлять Роскомнадзор

Утечка данных с сайта — это не только репутационный риск, но и юридическая ответственность. В статье разберём, что делать при утечке, как уведомить Роскомнадзор и какие сроки соблюсти, чтобы не получить штраф. Материал будет полезен владельцам сайтов, администраторам и специалистам по безопасности.

Что считается утечкой данных с сайта

Под утечкой понимают неправомерное раскрытие, передачу или доступ к персональным данным (ПДн) третьих лиц. Это могут быть ФИО, email, телефоны, паспортные данные, платёжная информация и другие сведения, которые позволяют идентифицировать пользователя. Утечка может произойти из-за взлома сайта, ошибки в коде, недобросовестных сотрудников или утери носителей.

Важно понимать, что ответственность наступает даже в том случае, если утечка произошла по вине подрядчика или хостинг-провайдера. Владелец сайта как оператор персональных данных обязан обеспечить их защиту и своевременно реагировать на инциденты.

Первые действия после обнаружения утечки

Обнаружив признаки утечки, не паникуйте, а действуйте по чёткому алгоритму. От скорости реакции зависит дальнейший масштаб последствий.

1. Зафиксируйте инцидент. Сделайте скриншоты, сохраните логи, запишите время обнаружения. Эти данные пригодятся для расследования и уведомления РКН.
2. Остановите дальнейшую утечку. Отключите скомпрометированные учётные записи, закройте доступ к базе данных, при необходимости временно приостановите работу сайта.
3. Оцените масштаб. Определите, какие данные утекли, сколько пользователей затронуто, и есть ли риск для их прав и свобод.
4. Уведомите Роскомнадзор. Сделайте это в течение 24 часов с момента обнаружения. Подробнее о порядке — ниже.
5. Проведите внутреннее расследование. Выясните причину утечки, устраните уязвимости и примите меры, чтобы инцидент не повторился.

Если утечка затрагивает платёжные данные, дополнительно уведомите банк-эквайер и, при необходимости, платёжные системы. Также стоит рассмотреть вопрос об информировании пострадавших пользователей, если это предусмотрено законом или внутренними политиками.

Уведомление об утечке персональных данных: порядок и сроки

С 1 сентября 2022 года действуют новые требования к операторам персональных данных. При утечке необходимо уведомить Роскомнадзор в два этапа.

Первичное уведомление — в течение 24 часов

В течение 24 часов с момента обнаружения утечки нужно направить в РКН первичное уведомление. В нём указывают:

• наименование оператора и контактные данные;
• дату и время обнаружения инцидента;
• предполагаемые причины утечки;
• перечень скомпрометированных данных;
• предполагаемое количество пострадавших субъектов ПДн.

Уведомление подаётся в электронном виде через портал Госуслуг или личный кабинет на сайте РКН. Форма доступна на официальном сайте ведомства.

Дополнительное уведомление — в течение 72 часов

В течение 72 часов с момента обнаружения нужно направить результаты внутреннего расследования. В дополнительном уведомлении указывают:

• причины и обстоятельства утечки;
• виновных лиц (если установлены);
• меры, принятые для устранения последствий;
• рекомендации для пострадавших (например, сменить пароли).

Если расследование не завершено за 72 часа, можно направить промежуточный отчёт, а затем дополнить его. Главное — не игнорировать сроки, иначе грозит административная ответственность.

Сроки уведомления РКН: что будет, если опоздать

Нарушение сроков уведомления об утечке персональных данных влечёт административную ответственность по ст. 13.11 КоАП РФ. Штрафы для юридических лиц могут достигать 100 000 рублей, а при повторном нарушении — до 300 000 рублей.

Кроме того, за саму утечку, если она произошла из-за ненадлежащей защиты, предусмотрены отдельные штрафы. Например, за обработку ПДн без согласия субъекта или за невыполнение требований по локализации баз данных.

Помните: даже если вы устранили уязвимость, но не уведомили РКН, штраф всё равно может быть наложен. Поэтому не пренебрегайте формальностями.

Как предотвратить утечку данных с сайта

Лучший способ избежать проблем — предотвратить утечку. Регулярно проводите аудит безопасности, обновляйте ПО и обучайте сотрудников.

• Используйте HTTPS и актуальные TLS-сертификаты.
• Регулярно обновляйте CMS, плагины и библиотеки.
• Настройте сложные пароли и двухфакторную аутентификацию.
• Ограничьте доступ к базе данных и административной панели.
• Проводите резервное копирование и храните копии в защищённом месте.
• Используйте межсетевые экраны и системы обнаружения вторжений.
• Проводите пентесты и сканирование на уязвимости.

Если у вас нет собственной команды безопасности, доверьте защиту профессионалам. Например, услуга удаление вирусов и защита сайта включает аудит, устранение уязвимостей и настройку мониторинга.

Что делать после устранения утечки

После того как инцидент локализован и уведомления отправлены, важно провести работу над ошибками. Проанализируйте, почему произошла утечка, и внедрите меры, чтобы она не повторилась.

Обновите политику безопасности, проведите дополнительное обучение сотрудников, пересмотрите договоры с подрядчиками. Если утечка произошла из-за уязвимости в коде, закажите профессиональный аудит и исправление.

Также стоит рассмотреть вопрос о страховании киберрисков, которое может покрыть расходы на ликвидацию последствий и юридическую поддержку.

Итог: действуйте быстро и грамотно

Утечка данных с сайта — это серьёзный инцидент, который требует немедленных действий. Соблюдайте сроки уведомления РКН, проводите расследование и устраняйте причины. Чтобы минимизировать риски, регулярно обновляйте защиту и обращайтесь к специалистам.

Веб-студия Perfect Team поможет защитить ваш сайт от утечек: проведём аудит безопасности, устраним уязвимости, настроим мониторинг и резервное копирование. Оставьте заявку на удаление вирусов и защиту сайта — и спите спокойно.