Антикризисная программа: разработка и презентация заказчику на примере компании Сбер

1.1. Оценка кризисной ситуации

На сегодняшний день проблема утечки персональных данных пользователей является весьма серьезной проблемой для России. В России в течение 2023 года зафиксировано порядка 150 крупных утечек персональных данных. В 16% случаев утечка произошла из-за действий мошенников, а 9% граждан пожаловались, что их персональные данные использовались в рекламных целях без согласия. Об этом 28 января 2023 года сообщил Роскомнадзор [11].
В июле 2023 года парламент штата принял закон, существенно изменяющий Федеральный закон от 27 июля 2006 года № 152-ФЗ "О персональных данных" (с поправками) (доступен на русском языке здесь; неофициальная версия на английском языке по состоянию на 2019 год доступна здесь) ("Закон о персональных данных").'Дума"). Недавно принятый закон предусматривает новые правила обработки персональных данных, особенно трансграничной передачи данных, и устанавливает новые обязательные требования как к контролерам данных, так и к обработчикам данных, среди которых новое требование об уведомлении о нарушении данных. Новый закон вступил в силу 1 сентября 2023 года. Однако ожидается, что некоторые положения закона вступят в силу, например, 1 марта 2023 года [4, c.695]:
 новые правила трансграничной передачи персональных данных;
 обязанность уведомлять Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций ("Роскомнадзор") о любых изменениях в отношении обработки персональных данных в реестре контролеров персональных данных не позднее 15 числа следующего месяца и о прекращении обработки персональных данных в течение 10 дней после прекращения обработки персональных данных такая обработка;
 обязанность провести оценку вреда в соответствии с требованиями Роскомнадзора;
 обязательство удалить персональные данные в случае запроса субъекта данных или отзыва согласия, а также достижения целей обработки данных в соответствии с требованиями, которые должны быть изданы Роскомнадзором.
Крупная утечка данных случилась у ПАО "Сбербанк России" в 2019 году, тогда же банк завершил расследование недавней утечки данных о кредитных картах, затронувшей 200 его клиентов, и нашел лицо, ответственное за нарушение, сообщил крупнейший российский кредитор 5 октября.
Классификация кризиса: краткосрочный экономический локальный микрокризис.
Аналитики из охранной компании DeviceLock, как сообщается, обнаружили личную информацию, относящуюся к 60 миллионам владельцев кредитных карт Сбербанка, выставленную на продажу, в результате утечки, датированной 24 августа 2019 года.
Аналитикам удалось получить от продавца 200 наборов данных для тестирования и подтвердить их подлинность, прежде чем предупредить банк. В заявлении, размещенном онлайн, Сбербанк заявил, что расследует потенциальную утечку: “Проводится внутреннее расследование. Его результаты будут обнародованы в отдельном заявлении.
На данный момент банк подтвердил законность только 200 наборов данных, предоставленных DeviceLock. У Сбербанка около 18 миллионов активных счетов по кредитным картам, а это означает, что большая часть данных может поступать с закрытых или несуществующих счетов.
Сообщается, что в результате инцидента также были скомпрометированы данные кредитных карт, что затронуло по меньшей мере 200 клиентов Сбербанка. Однако банк заверил, что украденные данные не повлияют на сохранность средств клиентов. Банк также отверг роль внешних игроков в этом вопросе, заявив, что его база данных не имеет доступа к внешней сети. Банк считает, что инцидент, возможно, был вызван неправомерным поведением сотрудника. Сбербанк заявил, что работает с правоохранительными органами, чтобы минимизировать последствия инцидента.
Открытый файл среды содержал различные базы данных, Redis и учетные данные Zendesk.
Утечка данных включала в себя:
1. База данных с именем хоста “Host Evo3”, именем порта и паролем
2. База данных “Host Billing” содержит хост, порт, имя и пароль
3. База данных “Host Inventory” содержит хост, порт, имя пользователя и пароль
4. Zendesk, поддомен и токен
5. Порт Redis и хост
Злоупотребляя учетными данными DB и Redis, субъекты угроз могут получить несанкционированный доступ к базам данных. По мнению наших исследователей, в данном случае это было бы относительно легко сделать, поскольку хосты базы данных подключены к Интернету.