Компании, допустившие утечку, продолжат штрафовать на 50 тыс. руб. и отпускать с миром. И это неправильно

Подробности, ребятки, можете прочитать в телеграм канале депутата Хинштейна . Впрочем, там никаких сенсаций, там есть: требования незамедлительно сообщать об утечках (а раньше не было такого требования?!), а также обеспечить непрерывное взаимодействие (что бы это ни значило) с госсистемой обнаружение компьютерных атак. Последний пункт, к слову, ожидаемо вызвал вытье бизнеса, которому дорого, больно, да и вообще шести пакетов поддержки отрасли было мало, дайте еще парочку. И, собственно, все. Других мер у меня для вас нет. 

Компании, допустившие утечку, продолжат штрафовать на 50 тыс. руб. и отпускать с миром дальше собирать адреса, номера телефонов и паспортов заложников своих экосистем. Заложники взамен получат возможность заказать утренний капучино (с корицей!) и вызвать такси со скидкой. 

И, ребятки, это не может не вгонять в тоску и некоторую злость. Дело даже не в том, что к сохранности наших персданных большие и малые корпорации традиционно относятся по-свински, следуя своему ассассинскому кредо "утекло, да и черт с ним, еще насобираем". Дело в другом.

Мы же все с вами помним утечку "Яндекс Еды" почти на 50 млн строк. Там, ребятки, напомню, были не только ваши адреса и телефоны, но и даже данные о том, сколько денег вы просадили на покупку вкуснейших бургеров от Макдональдса (покоится с миром) и заведений BlackStar (пока не покоится с миром). Утечку мы помним, а вот внятных извинений от компании - не помним.

Снял ли Тигран Худавердян при поддержке батальона пресс-секретарей видео, где сказал: "Уважаемые клиенты, мы ошиблись, простите грешных, больше не будем"? Нет не снял. Потому что по старой русской традиции извиняются только слабые, а сильные — делают морду кирпичом, платят 60 тыс. руб штрафа и продолжают успокаивать сотрудников после каждой второй заметки The Bell. 

Не прошло и полгода, как аналогичная история происходит у Delivery Club. Снова утечка, снова заявление пресс-службы, которая обещает во всем разобраться и всех-всех наказать. И все. Топ-менеджерам, как и всегда, приносить персональные извинения своим клиентам западло, поэтому извинилась безликая пресс-служба. Дальше будет по накатанной: штраф 50 тыс. руб., год работы без сбоев и снова утечка. Пострадавшим в лучшем случае подарят промокод на 15% скидки в какую-нибудь харчевню, который будет работать только в день весеннего солнцестояния и при заказе от 5 тыс. руб.

Бесит, ребятки, вот это показательное отношение к клиентам как к кормовой базе. Особенно в такие мрачные времена.

А еще хочется поднять эту тему со стороны сохранности данных.

Во-первых, в России не так много специалистов по безопасности, как хотелось бы. Зачастую, сотрудники так называемого «подразделения ИБ» в компании не очень представляют, что они делают и как нужно защищать компанию. Знают условный DDoS, что надо всех пинать менять пароли и т.п., а комплексную защиту – они не организовывают.

По данным Екатерины Килюшевой из исследовательской группы аналитики ИБ Positive Technologies, в 2020 году количество кибератак выросло на 51%, по сравнению с 2019 годом. При этом с влиянием киберугроз на бизнес согласно только 49% руководителей. При этом, доля массовых атак – снижается, а целевых – растет. Если в 2017 году соотношение было 43/57, то в 2021 – 74/26.

За пять лет, процент атак по отраслям изменился. Финансовые организации интересуют меньше: 13% в 2017, против 5% в 2021. Зато рост атак наблюдается на промышленность: с 4% до 10%, IT с 5% до 7% и медицину – с 8% до 11%.

И основная проблема, как говорят эксперты по кибербезопасности, в том самом 51% непонимающих руководителей. Зачастую, управленцы мыслят денежным эквивалентом. Если утечка данных приведет к ощутимым финансовым потерям – то СЕО задумается, а если нет – то ничего в ИБ меняться не будет.

Кейс Delivery Club отлично помог «Яндекс.Еде». У нас в России, по сути, только два агрегатора доставок. И если после поражения «Яндекса» часть аудитории могла уйти к конкурентам, то после провала DC – уходить некуда. NPS снизился, но оттока не последовало, т.к. кушать все равно хочется.

Штраф за это – 60 тыс. руб. Ситуация – бомбическая. Ты можешь класть огромный болт на кибербез, т.к. аудитория не уйдет, а штраф сопоставим с месячным окладом самого младшего линейника.

И вот эту ситуацию нам в ближайшее время придется менять в головах руководителей. Не хотят понимать через голову, будут понимать через деньги.

Но всегда стоит учитывать фактор диверсии и подрыва, на который, например, ссылается «Яндекс.Еда». Если утечка произошла из-за действий изнутри – тут уже никакие системы не помогут и спрос должен быть другим.