27 февраля 2023 г.

Окончание, начало тут

Уголовную ответственность за утечку данных пользователя можно получить уже сегодня. Дело в том, что информацию о жителе РФ защищает не только закон № 152-ФЗ, но и другие нормативные акты, в том числе, Уголовный кодекс. В качестве примера рассмотрим ситуацию на вертикальном рынке ИТ в здравоохранении, о котором мы недавно писали, но сейчас сосредоточимся на вопросах, связанных там с ИБ и с данными.

Особенности ИБ в медицинской вертикали

Медучреждения в российских условиях уже пятый год подряд остаются в тройке самых атакуемых отраслей, отмечают в Positive Technologies. По данным прошлого года доля атак на медучреждения составила 9% от общего количества атак на организации в РФ. Заметим, что на финсектор приходится только 4% атак, то есть медицинские структуры атакуют более чем в 2 раза интенсивнее, чем банки, страховые компании и пр.!

При этом медицина пока отсутствует в топе индустрий, структуры которых лидируют по количеству профильных специалистов по персданным, по результатам совместного исследования проведенного компаниями «Б-152», RPPA и «Актион Право». И совершенно напрасно!

Медучреждения чаще всего становились источником утечек данных среди организаций: более чем в 80% случаев атаки прошлого года открывали хакерам данные о пациентах, по данным Positive Technologies. Заметим, что при этом «утекали» не только персональные данные, но и сведения, содержащие врачебную тайну.

Согласно Статье 13 Федерального закона № 323 «Об основах охраны здоровья граждан в Российской Федерации» к врачебной тайне относят даже сведения о факте обращения гражданина за оказанием медицинской помощи! Сюда же относятся данные о состоянии здоровья гражданина и диагнозах, а также иная информация, полученная при его медицинском обследовании и лечении. За разглашение врачебной тайны установлена уголовная ответственность согласно ст. 137 УК РФ («Нарушение неприкосновенности частной жизни»). Данный пример показывает актуальность для корпоративных заказчиков крайне широкого подхода к защите данных клиентов!

Кража данных клиентов — уже недопустимое событие

Утечки персональных данных становятся недопустимыми событиями. К таковым, как отмечает Федор Чунижеков, аналитик исследовательской группы департамента аналитики информационной безопасности в Positive Technologies, сегодня следует относить нарушение ключевых технологических и бизнес-процессов, утечку конфиденциальных данных пользователей, возможность развития атаки на клиентов компании. Важно, что происходит расширение трактовок: с персональных данных на конфиденциальные данные клиентов, причем разных типов.

Конечно, у атак на медучреждения кроме организации утечки данных могут быть и другие цели, например, создание проблем штатному функционированию инфраструктуры или, предположим, шифрование данных вирусом-вымогателем без похищения последних. К последствиям таких атак медучреждениям тоже нужно готовиться, причем заранее. «Крайне важно иметь надежные средства резервного копирования и отлаженный процесс восстановления, которые позволят в кратчайшее время возобновить основную деятельность организации в случае атаки», — говорит г-н Чунижеков.

Средства защиты данных — в том числе, персональных — постоянно совершенствуют. Например, в РФ уже активно экспериментируют с постквантовым шифрованием — перспективным направлением в секторе кибербезопасности, продукты которого активно пилотируют во всем мире для защиты государственной и коммерческой тайны, персональных и финансовых данных. «В новой реальности для обеспечения должного уровня безопасности недостаточно ориентироваться только на классические технологии и решения ИБ», — отмечает Игорь Калганов, генеральный директор Группы Т1.

Ситуация в здравоохранении изменяется к лучшему. Конечно, медучреждения не имеют возможности нанимать собственные команды специалистов по кибербезопасности, поэтому часто прибегают к услугам внешних компаний. Формат «кибербезопасность-как-услуга» в данном случае будет особенно актуален. Важно, что медицинские структуры в последнее время проявляют повышенные требования к информационной безопасности и особенно к защите персональных данных, отмечает Анна Племяшова, директор Beltel Datanomics: «Обсуждение ИТ-проектов начинается с защиты решения перед отделом, отвечающим за кибербезопасность».

Вместо заключения

Повышенное внимание к персональным данным, а также к другой информации о пользователях, защищаемой законом, мотивирует компании из разных секторов экономики пересматривать политики в области инфобезопасности, совершенствовать киберзащиту своих инфраструктур. Это обеспечивает дополнительный фронт работ для профильных компаний, работающих в области «кибербеза», и для интеграторов, но в конечном итоге выгодно всей экономике, так как приводит к повышению стабильности повседневной деятельности компаний и госструктур.

«Год будет сложным с точки зрения кибербезопасности, потому что ландшафт угроз стремительно развивается, — говорит Анна Павловская, аналитик Kaspersky Digital Footprint Intelligence. — Это задаёт определённый темп для компаний, которые вынуждены постоянно адаптироваться к изменениям».

Сейчас идет переход практической результативной кибербезопасности в число ключевых потребностей, как отметил Максим Филиппов, директор по развитию бизнеса Positive Technologies в России. Развитие ситуации с персональными данными — включая новые требования регуляторов — часть этого процесса, который в итоге работает как драйвер для всего национального ИТ, который служит для увеличения «цифровой устойчивости» экономики страны.

Однако следует помнить про факторы, создающие проблемы для всех направлений ИТ, в том числе и для рассматриваемого. Во-первых, это нарастающие проблемы с национальной экономикой, во-вторых, дефицит рабочих рук. Многие специалисты уехали, а каждый шестой (!) «айтишник» из продолжающих работу на российские компании физически находится вне юрисдикции РФ. Если последним еще законодательно ограничат возможности работы с рядом ИТ-систем, то ситуация может стать более чем серьезной.

Источник: Александр Маляревский, внештатный обозреватель IT Channel News