Роскомнадзор не получал от СДЭК уведомлений о вероятной утечке данных клиентов
Изображение: Fatos Bytyqi (unsplash)
По состоянию на вечер 28 мая 2024 года Роскомнадзор не получил каких-либо уведомлений со стороны российской транспортной компании СДЭК о вероятной утечке личной информации клиентов. При этом некоторые эксперты отрасли отмечают, что компания с высокой долей вероятности столкнулась с атакой программы-вымогателя, в результате которой практически наверняка произошла утечка конфиденциальных данных.
Журналисты рассказывают, что в соответствии с действующим российским законом «О персональных данных» операторы ПДн обязаны в течение 24 часов с момента обнаружения инцидента информационной безопасности, приведшего к утечке данных, сообщить об этом ИБ-инциденте в Роскомнадзор. При этом предполагаемая кибератака против сетевой инфраструктуры компании СДЭК произошла более 3 суток назад.
Представители Роскомнадзора во время общения с журналистами заявили, что в соответствии с законом №152-ФЗ операторы персональных данных в России, допустившие утечку конфиденциальной информации, должны в течение одних суток уведомить Роскомнадзор о произошедшем нарушении. Но на данный момент со стороны СДЭК никаких сообщений не поступало по этому поводу.
В том случае, если утечка персональных данных в компании СДЭК подтвердится, то в соответствии с действующим российским законодательством компания столкнётся с денежным штрафом в размере от 60 000 до 100 000 рублей. Это связано с тем, что ещё не приняты законопроекты об увеличении таких штрафов и введении оборотых штрафов за повторные утечки конфиденциальной информации.
Александр Хинштейн, руководитель думского комитета по информационной политике, заявил, что в качестве основной причины массового сбоя функционирования интернет-сервисов компании СДЭК на данный момент рассматривается именно атака хакеров.
Депутат также указал на то, что простого заявления компании СДЭК на своём официальном сайте недостаточно, потому что в соответствии с действующими российскими законами организация, пострадавшая от кибератаки, должна уведомить надзорные структуры о произошедшей утечке и её объёмах, а также рассказать о мерах, которые были реализованы для защиты конфиденциальной информации, которая хранится в её сетях.
