GDPR на страже корпоративных данных

В современном мире все чаще поднимается вопрос о защите персональных данных. С развитием технологий приходит понимание, что существующих мер безопасности может быть недостаточно, а меры по сохранности персональных данных должны быть усилены. Аспект информационной защиты теперь регулируется на высшем уровне в виде вступления в силу законодательных норм.

Подобной нормой стал Закон о защите персональных данных (GeneralDataProtectionRegulation), вступивший в силу в конце мая 2018 года. Он действует на территории ЕС и обязывает компании пересмотреть способы хранения, а также получения и использования данных. Под действие новых правил подпадают даже те компании, которые и так принимают меры, организовывают программы и мероприятия по защите данных.

При этом компания не обязательно должна быть европейской - GDPRраспространяется и на российские компании, ведущие бизнес на территории Европейского союза, продающие товары на европейском рынке через интернет, работающие с физическими или юридическими лицами ЕС. Прежде всего, это касается большей части крупных российских банков, операторов связи, транспортных компаний и др. Европейские компании, которые работают на территории Российской Федерации, тоже обязаны соблюдать этот закон.

В GDPRсодержатся положения, касающиеся гарантии физической безопасности и конфиденциальности данных. Это важная часть защиты информации, которой не всегда придают должное значение. Так, GDPRпредписывает компаниям следить за внедрением необходимых организационных и технических мер, которые будут препятствовать несанкционированному доступу к персональным данным и, соответственно, предотвращать их возможную утрату.

Сейчас наблюдается общая тенденция к ужесточению правил защиты персональных данных и безопасности в целом, и организациям следует принимать во внимание последствия одного из ее аспектов — визуального взлома. Другими словами, люди могут видеть информацию на чьем-то экране — намеренно или непреднамеренно — будь то монитор, ноутбук, планшет или смартфон, а затем использовать эти данные для незаконных или злонамеренных целей. Тем самым компании могут нести большие финансовые и репутационные убытки.

Визуальная защита — это и есть тот самый элемент безопасности и конфиденциальности, о котором зачастую забывают подумать. Это борьба с визуальным хакерством, характеризующимся как раз физическим подсматриванием. Если рабочие места сотрудников организованы по принципу опен-спейса, или же если кто-то из сотрудников работает в общественном месте, посторонний с легкостью может подсмотреть на экране ноутбука или мобильного телефона конфиденциальную корпоративную информацию, которая затем может быть использована этим человеком в корыстных целях.

Визуальный взлом очень просто совершить, это подтверждают данные исследований специалистов по безопасности. К примеру, в 2016 году компания 3М совместно с Институтом Понемона провели эксперимент по подсматриванию и выяснили, что в среднем 91%[i]предпринятых попыток визуального взлома в компаниях окончились успехом. При этом из 77% респондентов, которые сообщили, что они обеспокоены подобным взломом, более 50% признались, что никаких шагов по обеспечению защиты конфиденциальной информации во время работы в общественном пространстве они не предпринимают.

Таким образом, люди осознают риски визуального взлома, но продолжают игнорировать угрозы и последствия, которые этот взлом за собой может повлечь. Некоторые компании не придают значения этому вопросу, хотя его решение может быть достигнуто путем простых и недорогих мер.

Самый простой способ не дать кому-то подсмотреть то, что человек делает на экране своего компьютера или ноутбука, — это закрыть экран от посторонних глаз. Этот принцип лежит в основе пленок защиты информации, которые являются одним из эффективных способов предубеждения визуального взлома и потери конфиденциальной информации. Пленка наносится на экран устройства и блокирует боковой обзор: за счет технологии "микрожалюзи" экран кажется черным, если посмотреть на него под углом, превышающем 30º. Благодаря этому только тот, кто непосредственно работает с гаджетом, видит перед собой четкое изображение, остальным доступен лишь черный фон, не позволяющий подсмотреть данные. Подобные технологии должны применяться не только к офисным компьютерам, но также и к личным телефонам сотрудников, которые имеют доступ к корпоративной информации.

Часть компаний, включая российские, уже ведут работу по обеспечению мер борьбы с визуальным хакерством. Так, большое внимание данному вопросу уделяет "Ростелеком". Компания вводит различные технические, административные и программные меры как для обеспечения требуемого по законодательству РФ уровня защиты, так и в соответствии с внутренними регламентами самой организации.

Генеральный директор ООО “Ростелеком-Розничные системы” Денис Ильин комментирует: “Зарубежных и российских практик по вопросам защиты персональных данных и конфиденциальности информации становится все больше, законодательство в этой области также развивается. Компании уделяют особоевнимание безопасности данных, и наша не исключение. Так, в салонах связи “Ростелекома” есть требования к расположению мониторов, на которых отображается конфиденциальная информация. Однако потенциальная угроза несанкционированного просмотра все же остается даже при условии соблюдения этих требований. Сейчас хищение данных может произойти очень быстро и без специальных средств - достаточно всего лишь смартфона с камерой. Защитное программное обеспечение позволяет ограничить доступ к информации, но его недостаточно, чтобы препятствовать ее несанкционированному просмотру на экранах компьютеров. Для полноценной защиты требуется весь комплекс мер: программные, административные и механические. Поэтому мы по-новому взглянули на требования по защите и сохранности конфиденциальных данных и приняли решение об использовании пленок защиты информации, которые ограничивают угол обзора и затрудняют свободное подсматривание информации на экранах”.

 Совершенствование законодательства и вступление в силу таких законов, как GDPR, имеют важное значение для бизнес-сообщества. Компаниям необходимо относиться к защите данных с большей ответственностью еще и потому, что они работают не только со своей информацией, но и с персональными данными своих клиентов. Следование законодательным мерам, введение корпоративных регламентов и внедрение защитных технологий повышают надежность работы организаций, а значит, страхуют их от репутационных и финансовых рисков.

[i]Среднее значение на основании глобальных испытаний, проведенных Институтом Понемона во время "Эксперимента по подсматриванию данных с экрана" в 2015 г. и "Глобального эксперимента по подсматриванию данных с экрана" в 2016 г., спонсируемых компанией 3M.