Законы об уведомлении об утечке данных: построение надежной стратегии реагирования

Число сообщаемых утечек данных растёт каждый год, новостей о них так много, что трудно следить за всеми. В 2017 году Equifax пострадал от масштабной утечки — почти 150 млн записей клиентов (почти половина населения США) были украдены. В 2018 году Marriott International столкнулась с утечкой, задевшей сотни миллионов записей, включая личные данные, номера карт и даже номера паспортов.

Утечки данных затрагивают организации любого размера и известности. Крупные компании попадают в новости, но малые часто уязвимы и становятся мишенью киберпреступников. Большинство инцидентов связано с взломом: фишинг, вредоносное ПО, дающее доступ к защищённой информации.

Законы об уведомлении об утечке данных — это сложно

Если ваша производственная компания столкнулась с утечкой, что делать? Сразу уведомить полицию? Клиентов? Кого ещё? Какие сроки?

Ответы сложны. Единого федерального закона нет, каждый штат и территория имеет свой закон об уведомлении. Они требуют уведомлять клиентов о любых инцидентах с персонально идентифицируемой информацией, а также полицию и предпринимать конкретные шаги по устранению. Но штатные законы сильно отличаются: типы охватываемой информации, сроки уведомления, стандарты отчётности. Кто должен соблюдать закон и что считается личными данными — тоже варьируется. Сложность усиливается недавними изменениями в некоторых штатах.

Сколько времени у меня есть на отчёт об утечке?

Большинство законов требуют уведомлять клиентов «без неоправданной задержки». Сроки зависят от штата и отрасли. У производителей при утечке возникают конкурирующие обязанности: перед компанией, отраслью, клиентами, полицией. Бывают случаи, когда расследование полиции требует временно скрыть утечку.

Подготовьтесь к утечкам данных заранее

Относитесь к планам уведомления об утечках как к любому плану на случай катастрофы — не ждите! Поскольку единого стандартного ответа нет, производителям США нужно знать конкретные штатные и федеральные законы, применимые к ним. Необходимо учитывать законы всех штатов, где вы ведете бизнес.

К счастью, есть отличные ресурсы для прояснения. Несколько организаций суммируют штатные законы: National Conference of State Legislatures, IT Governance, Perkins Coie.

Для соблюдения законов о защите данных следите за актуальными регуляциями вашего штата и отрасли. Утечка всегда стресс. Осведомлённость об обязанностях и план действий снизят стресс — и помогут избежать крупных штрафов. Советы:

• Определите штатные и отраслевые законы, покрывающие вашу компанию
• Задокументируйте требования уведомления и процессы их выполнения в худшем сценарии
• Создайте политику по требованиям уведомления, применимой к вашей компании
• При пересекающихся регулированиях используйте наиболее строгий для своей политики
• Подготовьте заранее черновики уведомительных писем и email
• Разработайте чёткую коммуникационную стратегию при утечке и согласуйте с юридическим и PR-отделами

Национальная сеть MEP готова помочь

Для понимания законов вашего штата об уведомлении об утечке данных и других вопросов кибербезопасности обратитесь к одному из 51 центра MEP во всех 50 штатах и Пуэрто-Рико, входящих в Национальную сеть MEP^TM.