В настоящее время вопрос информационной безопасности стоит особенно остро, а утечки данных, к сожалению, происходят на регулярной основе. В частности, много шума наделала скандальная история с утечкой данных нескольких тысяч пользователей из сервиса доставки «Яндекс Еда». Правда, в данном случае произошел «слив» историй заказов, телефонов, адресов и кодов домофонов, но ситуация будет гораздо серьезнее, если «деанонимизируются» паспортные данные, фотографии и прочая конфиденциальная информация граждан, а еще хуже – если это будут данные, составляющие коммерческую тайну, вплоть до патентов (ноу-хау) и прав собственности. Размер ущерба для субъекта предпринимательства в этом случае может быть непредсказуемым.

Разглашение подобной информации карается законодательством РФ на основе Федерального закона от 29 июля 2004 г. N 98-ФЗ «О коммерческой тайне». Но возникает закономерный вопрос: как увязать практическую возможность применения этого закона с законом № 377-ФЗ, принятым 22 ноября 2021 года, который регулирует правила электронного документооборота в организациях? Процесс перевода данных из бумажных документов в электронные напрямую связан с диджитализацией и применением технологий распознавания. При этом данные технологии можно разделить на две категории. Первая – это автономные безопасные разработки на базе искусственного интеллекта, которые работают внутри организации и не создают рисков утечки из-за передачи изображений «на сторону». Вторая - сервисы распознавания, в которых осуществляется передача изображений с персональными данными и информацией о коммерческой тайне на сторонние сервера или платформы, где ввод данных выполняют третьи лица. Естественно, второй вариант несет в себе значительную степень риска.

В то же самое время, на практике, сервисы распознавания (те самые третьи лица) никакой ответственности за утечки данных, как правило, не несут. В России во всех наиболее громких случаях утечки, будь то выставленные на продажу 12 млн записей с номерами паспортов, телефонов и сведениями об электронных кошельках предположительно из одной или нескольких МФО в 2020 году, или утечка 1.3 млн сканов паспортов у Oriflame или утечка базы пользователей сервиса «Яндекс.Еда» - виновники этих скандальных инцидентов никак не компенсировали потери пострадавшим. Они вели себя так, как будто попадание данных физических и юридических лиц в открытые ресурсы Интернета произошло по независящим от них обстоятельствам, и не предпринимали каких-либо активных действий для защиты конфиденциальной информации своих клиентов.

Что касается компаний, передающих при переводе документооборота в электронный вид коммерческие данные разного рода облачным сервисам и т.п., то они несут огромные репутационные и финансовые риски, так как это настоящая дыра в безопасности. В случае же государственных и бюджетных организаций – это дыра в безопасности всего государства. Мы не знаем, где расположены серверы этих облачных сервисов, мы не знаем, какие люди ими управляют, где территориально находятся эти люди и чем они эмоционально движимы. Вполне возможно, что в текущей ситуации под воздействием сильных негативных эмоций кто-то из них может даже намеренно произвести отключение сервера или спровоцировать утечку данных.

Учитывая все вышесказанное, можно сделать вывод, что не стоит использовать никакие облачные сервисы или программные разработки, при которых данные документа, изображения или видеопотока передаются какому-либо стороннему сервису, и распознавание происходит не при помощи программного обеспечения, установленного в самой организации. В текущих условиях не стоит доверять свои массивы данных никому и использовать только автономные продукты, которые никогда не передают данные или изображения на обработку в сторонние сервисы, и в идеале даже все операции проводят на вашем устройстве, не требуя сетевого соединения.

Если компания использует сервисы распознавания, то при предъявлении к ней претензий об утечке данных, она будет признана виновной. Это похоже на ситуацию с оставлением места ДТП – если ты с него уехал, то автоматически виноват.

В соответствии с законодательством РФ, информация может свободно использоваться любым лицом и передаваться одним лицом другому, если федеральными законами не установлены ограничения доступа к информации либо иные требования к порядку ее предоставления или распространения. Информация ограниченного доступа может предоставляться либо по соглашению лиц, либо вообще ограничиваться или запрещаться к распространению на территории Российской Федерации (последнее, в частности, касается информации, дискредитирующей ВС РФ и распространяющей ложные сведения о проведении спецоперации, а также информации из заблокированных в РФ интернет-ресурсов). Физическое или юридическое лицо вправе защищать свои права установленными законом способами  в случае незаконного получения информации или ее незаконного использования иными лицами. Но самое интересное, что обладатель информации обязан при осуществлении своих прав принимать меры по защите информации и ограничивать доступ к информации, если такая обязанность установлена федеральными законами, и соблюдать ее конфиденциальность, если этого требует соглашение сторон или федеральное законодательство. Таким образом, мы имеем противоречие: с одной стороны, закон защищает права собственников информации, с другой, спасение утопающих – дело рук самих утопающих. При таком юридическом казусе становится ясно, почему в случае утечки информации через облачные сервисы ее собственники де-факто бесправны.

Знаменитые случаи утечек

Самым известным и скандальным эпизодом утечки информации при переводе из бумажного формата в электронный, стало появление в 2018 году в открытом доступе 200 тыс. документов из базы данных MongoDB с некорректно настроенного сервера компании Abbyy. Сервер, как выяснилось, не требовал аутентификации. Дыру в безопасности обнаружил независимый эксперт Боб Дьяченко, при этом ему без каких-либо логинов и паролей открылся доступ к контрактам, договорам о неразглашении информации, деловой переписке, зашифрованным паролям, названиям компаний, ФИО их сотрудников. Как только Дьяченко уведомил компанию о том, что происходит, они тут же подтвердили утечку, правда, уточнили, что все огромное количество документов принадлежало одному клиенту, и больше подобных случаев утечки не было. Компания также оперативно закрыла доступ к документам.

Но это было не самой крупной утечкой данных компании. За год до этого «дыра» открылась в той же базе данных MongoDB: рассекретились данные 560 млн пользователей сервисов MySpace, DropBox, Tumblr, LinkedIn и других. Но этот эпизод не получил такого резонанса, поскольку в данном случае речь шла «всего лишь» об именах пользователей и паролях из разных почтовых сервисов, социальных сетей и т.п., а не о деловых документах. Тем не менее, инцидент назвали «матерью утечек».

Текущий год не явился исключением. В частности, в США власти заблокировали форум RaidForums, из-за доказательства того, что на нем торговали похищенными данными. В результате проведенной операции Интерпола сайт также заблокировали Великобритания, Швеция, Португалия и Румыния. В прошлом году во всем мире было зарегистрировано 1729 случаев утечки конфиденциальных данных, причем не только физических лиц и компаний, но и государственных органов. Правда, это на 28% меньше, чем в 2020 году, но это не отменяет опасности. Специалисты InfoWatch считают, что причиной уменьшения количества утечек послужило не повышение безопасности, а латентность, вызванная ослаблением контроля за сотрудниками, переведенными в связи с пандемией на удаленную работу.

При этом текущая ситуация добавила «позитива»: в марте текущего года количество кибератак на российские интернет-ресурсы превысило аналогичный показатель с января по март прошлого года в 2 раза. Учитывая то, что неизвестно сколько она продлится, неизвестно и сколько продлятся эти кибератаки. В данном случае выход только один – переход на безопасные решения в сфере обработки информации, и при этом использование сервисов распознавания, которые обрабатывают ее в облаке и верифицируют неизвестно кем, выглядит не очень оправданным.

Если говорить о текущей ситуации в России, то, можно выделить интересный момент. В банковской сфере и страховании, где требования к безопасности наиболее строго выполняются, для распознавания документов с персональными данными получили распространение в основном программные продукты, которые устанавливаются внутри банка или страховой компании (для части банков сейчас импортные решения стали недоступны). Их принцип работы заключается в том, что документы не отправляются в сторонние сервисы, где вводом клиентских данных из изображений документов занимаются люди, выполняя задания на краудсорсинговых платформах.

Роман Мамчиц, эксперт, специально для NBJ