К2 Кибербезопасность и K2 Cloud (входят в К2Тех) провели анонимный опрос более 120 специалистов в области ИТ и ИБ из средних и крупных российских организаций, чтобы оценить их соответствие нормам по защите персональных данных согласно №152-ФЗ. Результаты показали, что лишь треть участников уверена в полном соблюдении требований регуляторов: регулярное обновление политики безопасности, проведение аудита ПДн и своевременное внедрение инструментов, включая обезличивание данных.
«Каждая компания является оператором персональных данных, т.к. к ним относится информация о клиентах, партнерах и сотрудниках. В ходе анонимного опроса мы выяснили, что из тех, кто еще не соответствует требованиям закона о защите ПДн: 39% разработали маршрутную карту и находятся в процессе апгрейда, а 31% даже не знают, с чего начать и/или не имеют необходимых ресурсов. Это сигнализирует о масштабной проблеме, т.к. при текущем уровне киберугроз предписания законодательства — это база. Для практической же кибербезопасности данных бизнесу необходим еще более комплексный подход: подготовленная ИТ-инфраструктура, актуальные СЗИ, круглосуточный мониторинг и реагирование на инциденты, команда опытных специалистов, регулярные аудиты и кибериспытания», — прокомментировала Анна Шарлай, старший аналитик по кибербезопасности в K2 Кибербезопасность.
После вступления в силу поправок к закону №152-ФЗ компаниям больше не разрешается собирать, обрабатывать и хранить персональные данные в облачных сервисах зарубежных поставщиков, так как их инфраструктура расположена за пределами России. Несмотря на это, 44% опрошенных сообщили, что продолжают использовать иностранные облачные решения — такие как Google, Office 365, различные CRM-системы. Подобная практика создает для бизнеса как юридические, так и операционные риски, включая возможность непреднамеренной передачи ПДн за границу.
«Если информация граждан РФ физически размещается на серверах за пределами юрисдикции России, это является прямым нарушением закона. Кроме того, компания-владелец данных лишается реального контроля над их движением и защитой, поскольку вынуждена полагаться на политику иностранного провайдера. А она может изменяться в одностороннем порядке и не учитывать требования российских регуляторов. В связи с этим выбор российского провайдера, работающего в рамках отечественного правового поля и прошедшего необходимые аттестации в сфере ИБ, становится не просто вопросом предпочтения, а стратегической необходимостью для обеспечения бизнес-непрерывности и избежания многомиллионных штрафов», — отметил Максим Завьялов, руководитель практики импортозамещения K2 Cloud.
Опрос также показал, что 54% участников учитывают наличие сертификации ФСТЭК при выборе решений для защиты данных. Хотя обязательное использование сертифицированных продуктов предусмотрено только для организаций, работающих с ГИС и КИИ (в таких отраслях, как энергетика, транспорт, телекоммуникации, финансы, медицина, образование и др.), остальные компании в случае применения несертифицированных инструментов должны самостоятельно подтверждать соответствие требованиям российского законодательства.
