«Безопасность часто спотыкается не о сложные атаки, а о забытую железку в углу склада. Регулятор видит нарушение не в факте утечки, а в факте потери контроля над носителем. А это означает, что ваша ответственность за данные не заканчивается, когда вы выдергиваете сетевой кабель из устройства.»
Что нашли в архивном крыле
Плановый IT-аудит перед проверкой по 152-ФЗ подходил к концу. Серверы, рабочие станции, активное сетевое оборудование — всё было проверено, рисков не обнаружили. Команда переместилась в архивное помещение, где хранилось списанное оборудование. В углу, за стопками коробок, стоял старый многофункциональный аппарат. Сетевого кабеля видно не было, сотрудники подтвердили, что не подключались к нему годами. В предварительном отчёте его записали как нерабочее имущество, ожидающее утилизации.
Согласно внутреннему регламенту, перед списанием любое устройство с памятью должно проходить проверку. Аппарат включили. В меню «История заданий» обнаружилось около пяти тысяч сохранённых документов. Среди них — бухгалтерские счета, коммерческие предложения и несколько файлов с названиями вроде «Клиенты_2020_финал.xlsx». В этих файлах содержались полные базы данных клиентов прошлых лет: ФИО, контактные данные, паспортные сведения, история заказов. Массив персональных данных, подпадающий под 152-ФЗ, хранился в незашифрованном виде на внутреннем накопителе устройства, которое все считали электронным хламом.
Почему отключённый принтер, это всё ещё нарушение 152-ФЗ
Первая мысль в такой ситуации — «данные же никуда не утекли, устройство отключено». Это классическое заблуждение. Закон 152-ФЗ «О персональных данных» и требования ФСТЭК работают не с фактом утечки, а с фактом обработки. Хранение — неотъемлемая часть обработки. Если носитель с незащищёнными персональными данными физически находится на территории оператора, это уже создаёт состав нарушения.
Требования ФСТЭК (например, в приказах № 17 и № 21) чётко регламентируют защиту информации на всех технических средствах, способных её обрабатывать. Под «техническим средством» понимается любое устройство с функцией хранения: внутренние накопители принтеров, МФУ, копиров. Статус «списанное» или «архивное» не отменяет ответственности оператора за данные, оставшиеся на таком устройстве.
В рассматриваемом случае были нарушены ключевые принципы обработки:
- Законность и справедливость. Хранение устаревших массивов данных без актуальной цели обработки не имеет правового основания.
- Соответствие заявленным целям. Данные были собраны для оказания услуг, но продолжали храниться годами после завершения отношений с клиентами.
- Обеспечение безопасности. На носителе отсутствовали меры криптографической защиты. Физический доступ к устройству означал прямой доступ к информации.
Такая ситуация потенциально подпадает под часть 3 статьи 13.11 КоАП РФ — «Обработка персональных данных с нарушением требований к защите персональных данных». Для юридических лиц штраф составляет от 1 до 6 миллионов рублей, при повторном нарушении сумма возрастает.
Периферийные устройства как скрытые хранилища данных
Современный офисный принтер или МФУ, это полноценный компьютер. У него есть процессор, оперативная память и постоянный накопитель. Документ, отправленный на печать или отсканированный, может сохраняться на внутреннем диске. Производители закладывают эту функцию для удобства: повторная печать, ведение журнала заданий, буферизация.
Проблема возникает на этапе управления жизнен>ным циклом. IT-политики часто детально прописывают процедуры для серверов и рабочих станций, но упускают из виду периферийные устройства ввода-вывода. Они превращаются в неучтённые, потенциально переполненные хранилища.
| Тип устройства | Что может храниться в памяти | Основной риск |
|---|---|---|
| Сетевой МФУ или принтер | Полные документы, отправленные на печать (договоры, платёжки), отсканированные паспорта, финансовые отчёты. | Прямая утечка персональных данных и коммерческой тайны при физическом извлечении диска или компрометации сетевого интерфейса. |
| Копировальный аппарат | Кэшированные копии всех отсканированных/скопированных страниц за месяцы работы. | Массированное накопление чувствительных данных, часто без ведома пользователей, которые считают копир «тупым» устройством. |
| Факсимильный аппарат (современный или IP-факс) | Входящие и исходящие факсимильные сообщения, которые могут содержать подписанные документы. | Устаревший, но всё ещё используемый канал, редко включаемый в реестры и аудиты. |
| Сервер/регистратор систем видеонаблюдения (NVR) | Видеозаписи, содержащие биометрические данные (лица), а также логи доступа и перемещений. | Высокорисковый актив, часто с стандартными или слабыми паролями для доступа к веб-интерфейсу. |
План ликвидации риска и корректировки процессов
Обнаружение проблемы позволило устранить её до визита регулятора. Действия были выстроены в последовательный план:
- Немедленная физическая изоляция. Устройство было перемещено в контролируемое помещение, доступ к которому ограничен.
- Правовой анализ. Совместно с юридической службой проанализировали основания для хранения найденных данных. Правомерных оснований не обнаружили, что определило необходимость уничтожения.
- Гарантированное уничтожение данных. Простое удаление файлов или быстрое форматирование не обеспечивает невосстановимость. Был выбран метод физического уничтожения жёсткого диска с привлечением лицензированной организации. Полученный акт об уничтожении стал первичным документом для закрытия инцидента в рамках аудита.
- Корректировка внутренних регламентов.
- Реестр средств обработки персональных данных был расширен: теперь в него в обязательном порядке включаются все печатающие, сканирующие и копирующие устройства с указанием модели накопителя.
- Утверждена процедура «санкционированного списания»: вывод любого оборудования из эксплуатации возможен только после подтверждения службой IT/безопасности факта очистки памяти.
- Для вновь вводимых устройств в настройки по умолчанию добавлено: включение шифрования диска (если поддерживается), активация автоматической очистки кэша и истории заданий.
- Расширенная инвентаризация. Провели полный переучет всех устройств в филиалах с проверкой не только сетевого наличия, но и потенциального содержимого памяти. Обнаружили несколько устаревших факсов и один сетевой принтер с остаточными данными.
Меры, чтобы история не повторилась
На основе этого инцидента можно сформировать практические шаги для любой организации.
1. Ведите детальный реестр всех технических средств
Реестр должен охватывать не только серверы и компьютеры, но и принтеры, МФУ, копиры, факсы, маршрутизаторы, IP-камеры и их регистраторы. Для каждого пункта указывайте модель, серийный номер, местонахождение, ответственного и наличие/тип встроенного накопителя.
2. Утвердите процедуру санкционированного списания
Вывод оборудования из эксплуатации должен быть формализованным процессом, где IT-служба или служба безопасности подтверждает уничтожение данных. Этот процесс должен быть обязательным этапом перед бухгалтерским списанием.
3. Настраивайте устройства на безопасную работу
- При вводе в эксплуатацию активируйте шифрование диска (если есть в спецификации).
- Включите функцию автоматической очистки временных файлов и истории заданий после печати/сканирования.
- Обязательно меняйте пароли по умолчанию от веб-интерфейса управления устройством и отключайте неиспользуемые сетевые службы.
4. Введите регулярные выборочные проверки
Не реже раза в квартал проводите выборочную проверку периферийных устройств на предмет несанкционированного хранения данных. Часть проверок можно автоматизировать, например, сканируя сеть на предмет открытых портов веб-интерфейсов принтеров и МФУ.
5. Определите политику работы с устаревшими данными
Установите чёткие сроки хранения для разных типов данных. Информация, которая больше не требуется для заявленных целей обработки, подлежит либо архивации в защищённом зашифрованном хранилище, либо гарантированному уничтожению. Хранение «на всякий случай», это правовой риск, а не благоразумие.
Суть: ответственность определяется контролем над каждым носителем
Эта история — не про хакерскую атаку, а про системный пробел в управлении активами. Проверка по 152-ФЗ и требованиям ФСТЭК оценивает не только технологический уровень защиты, но и зрелость организационных процессов. Санкции могут последовать не за реальную утечку, а за отсутствие должной осмотрительности и учёта.
Фактическое хранение данных на забытом устройстве приравнивается к их обработке без надлежащего правового основания и защиты. Для инспектора нет разницы между скомпрометированным сервером и принтером, стоящим в подсобке с данными на диске. Риск нарушения конфиденциальности считается существующим с момента потери контроля над носителем.
Ключевой принцип, который стоит усвоить: безопасность персональных данных гарантирована ровно настолько, насколько гарантирован физический и логический контроль над каждым носителем, где эти данные находятся. Требования регулятора обязывают знать маршрут каждого файла с персональными данными, его местоположение и применяемые к нему меры защиты на всём протяжении жизненного цикла — от создания до необратимого уничтожения. Всё остальное создаёт ситуацию, когда поводом для крупного штрафа может стать пыльное устройство в самом дальнем углу архива.