В ожидании роста штрафов вырос спрос на аудит ИБ

В ожидании роста штрафов вырос спрос на аудит ИБ

В ожидании роста штрафов вырос спрос на аудит ИБ

Значительный рост штрафов за утечки персональных данных вызвал увеличение спроса бизнеса на аудит систем информационной безопасности. Таким образом компании стремятся снизить потенциальные финансовые потери от штрафов.

Издание «Коммерсант», ссылаясь на мнения опрошенных экспертов в области кибербезопасности и профильных юристов, отмечает заметный рост интереса к услугам аудита систем хранения и защиты информации.

Эти мероприятия направлены как на минимизацию риска инцидентов с утечкой данных, так и на уменьшение размера возможных штрафов в случае происшествия.

Новые законы — 420-ФЗ и 421-ФЗ — были подписаны президентом 2 декабря 2024 года и вступят в силу уже 30 мая 2025 года. В среднем размер штрафов за утечку персональных данных вырастет в 27 раз, а за повторные нарушения предусмотрены оборотные штрафы. Некоторые виды нарушений при обработке персональных данных будут наказываться не только административной, но и уголовной ответственностью с лишением свободы сроком до 10 лет.

При этом компании могут снизить размер штрафов, если докажут регулярные инвестиции в информационную безопасность, отсутствие нарушений в прошлом и высокий уровень цифровой зрелости.

По данным юридической компании ЭБР, спрос на аудит информационной безопасности за последний год увеличился в два раза. Советник практики интеллектуальной собственности компании Артем Евсеев подчёркивает, что если раньше такие аудиты зачастую проводились формально, то теперь подход стал гораздо серьёзнее. Причинами стали не только возросшие штрафы, но и снятие моратория на внеплановые проверки со стороны регуляторов.

Заместитель генерального директора компании «СКБ Контур» Михаил Добровольский подтвердил «многократный» рост интереса к аудиту систем информационной безопасности. Основные заказчики таких услуг — крупные компании и холдинги.

Проект аудита состоит из нескольких этапов. Как пояснил директор департамента консалтинга и аудита компании «Информзащита» Александр Барышников, сначала специалисты проводят обследование текущих процессов обработки персональных данных и анализируют состояние технической инфраструктуры. Затем определяются угрозы безопасности информации, осуществляется классификация систем по уровням защищенности и проводится проверка на соответствие требованиям регуляторов.

По итогам заказчик получает пакет рекомендаций и организационно-распорядительную документацию. При необходимости юристы дополнительно проверяют правомерность получения персональных данных.

Антон Исупов, руководитель департамента аудита, консалтинга и оценки соответствия АО «Кросс технолоджис», сообщил изданию, что стоимость проекта зависит от множества факторов. Среди них размер бизнеса, объем и виды обрабатываемых данных, сложность ИТ-инфраструктуры.

Значительно повышает стоимость аудита наличие биометрической идентификации и работа с данными повышенных категорий, например медицинскими. Разница в цене таких услуг может достигать трех порядков: от нескольких сотен тысяч до десятков миллионов рублей.

Факт проведения подобных аудитов изданию подтвердили в ряде крупных компаний, в том числе в Яндексе, объединённой компании Wildberries и Russ, а также в РЖД.

В Роскомнадзоре поддержали практику проведения таких проверок: «Мы считаем целесообразным проводить аудит процессов сбора и использования персональных данных. Это позволит убедиться в соблюдении принципов работы с информацией: проверить законность источников получения данных, правовые основания для их сбора, обеспечить минимизацию собираемого объема данных, удостовериться, что данные соответствуют цели их сбора и своевременно уничтожаются после ее достижения».

В России разработали способ удалить свой биометрический след

В ИТ-компании «Криптонит» (входит в «ИКС Холдинг») разработали метод, который позволяет выборочно удалять цифровые образы людей из систем распознавания лиц. Если совсем просто, речь идёт о технологии, которая должна помочь реализовать право человека отозвать согласие на обработку своей биометрии — так, чтобы система действительно перестала его узнавать.

Проблема тут в том, что современные системы распознавания лиц устроены не так прямолинейно, как может показаться.

Даже если сведения о человеке формально удалили из базы, его цифровой образ может всё равно остаться внутри уже обученной модели. То есть на бумаге данные вроде бы стерли, а на практике алгоритм всё ещё способен узнать этого человека.

Именно это и делает тему особенно чувствительной. С биометрией всё сложнее, чем с обычными персональными данными: пароль можно поменять, а лицо — нет. Если такие данные утекают, риски уже совсем другого уровня, потому что украденные цифровые слепки можно использовать для создания поддельных образов и обхода биометрической аутентификации.

 

В «Криптоните» утверждают, что их метод решает задачу не маскировкой и не косметическим удалением, а на уровне внутренней логики самой модели. Проще говоря, алгоритм перестаёт использовать сведения о конкретном человеке и больше не может его распознавать, при этом способность узнавать остальных людей сохраняется.

По словам разработчиков, на тестовых наборах данных технология показала заметное снижение эффективности распознавания именно тех лиц, которые нужно «забыть», — до 88%. При этом общая точность системы, как утверждается, осталась на прежнем уровне.

Практическое применение у такого подхода вполне очевидное. В первую очередь это системы видеонаблюдения с распознаванием лиц, СКУД и корпоративная безопасность. Например, технология может пригодиться для удаления биометрических данных уволенных сотрудников, когда компания обязана прекратить их обработку, но не хочет при этом заново переобучать всю систему с нуля.

RSS: Новости на портале Anti-Malware.ru