#скрепы #письма_Сачкова

Что произойдет в России при введении штрафа за утечку персональных данных в текущем виде

10.04.22

В этой статье я хочу простым языком рассказать о последствиях введения штрафа за утечку персональных данных (ПД). Это не предсказания или прогноз – это именно то, что произойдет, так как у нас есть понятные вводные и некоторые точно работающие законы экономики, бизнеса и преступности. Поэтому сейчас я скорее решаю математическую задачу, что, по сути, не является прогнозом или гаданием.

Итак, у нас есть проблема: утекают ПД. И многим кажется правильным решить ее введением штрафов и большей ответственностью. Что будет происходить на самом деле? Происходить будут события, противоположные по нужному эффекту, неожиданные и интересные, но достаточно логичные для тех, кто глубоко погружен в тематику.

В абсолютном большинстве преступность имеет финансовую мотивацию своей деятельности. Профессиональная компьютерная преступность наиболее организована и технически подготовлена, поэтому в первую очередь стоит разобраться с ней. А защитившись от нее, мы защитимся и от других менее распространенных мотиваций: хактивизма, саботажа, инсайдеров-непрофессионалов (ибо профессионалов я отнесу к профессиональной преступности), а также ошибок, халатности и много другого.

При финансовой мотивации задача преступности − заработать максимальное количество денег за единицу времени с минимальным риском. Именно поэтому вирусы-шифровальщики на данный момент – самый популярный, эффективный и безопасный для преступности способ заработка. Работает он для любого размера компании, благодаря криптовалютам одинаков в каждой стране мира, в отличие от тех же банковских троянов, которые вирусописателям приходилось адаптировать к каждой стране, к каждому производителю решений для интернет-банкинга и т.д. В основном элитная компьютерная преступность сейчас в теме вирусов-шифровальщиков (подробнее об этом можно прочитать здесь).

Тема ПД не находится в приоритете у сильных преступных групп. ПД могут быть средством достижения основной цели (например, для атак методом социнженерии), побочным продуктом (например, взломали компанию, а там интересные ПД). Понятно, есть группы, которые специализируются на ПД, но пока это нельзя назвать огромной проблемой, т.к. больших денег или стабильного безопасного дохода в теме ПД нет.

Да, базы продаются (недорого), да, об этом пишет пресса и паразитирующие на этом компании, которые открыли для себя пару лет назад дарквеб. Так как об этом достаточно часто пишет пресса, то у большинства людей складывается ощущение, что это основная и большая проблема. Я не хочу сказать, что это не проблема. Но из всех возможных и вероятных негативных сценариев в компьютерной преступности для людей она не самая главная.

Да, неприятно, когда видно, что вы зарегистрированы на сайте знакомств, или вам надоели обзвоны страховых компаний, но по-настоящему вы почувствуете проблему, когда потеряете все деньги, будет парализована информация и работа компании.

Это очень вкратце о текущем статусе.

А суть на самом деле вот в чем. В день, когда вводится значительный штраф, автоматически появляется новая финансовая мотивация для компьютерной преступности: получать доступ к ПД и способствовать утечкам. Именно это уже происходит в Европе и в США. При введении штрафа в условный Х млн руб. хакер, до этого абсолютно не знавший, кому и зачем ему продать ПД сервиса бронирования отелей, напишет в компанию и скажет: «Уважаемая компания, у меня ПД ваших пользователей. Вот семпл. Ваш штраф – X млн руб. Заплатите мне 50% от суммы штрафа, и эти данные никуда не пойдут».

Преступные группы, которые занимаются вирусами-шифровальщиками, получат дополнительный железный аргумент, почему им стоит заплатить выкуп за расшифровку, ведь бонусом будет идти несообщение регулятору. При этом российскими компаниями, которые и так в непростом положении, заинтересуются все глобальные группировки, т.к. самое по себе преступление абсолютно трансграничное. Оплата в крипте, а регулятору абсолютно все равно, от кого придет жалоба.