Безопасный отдел продаж. Как сохранить конфиденциальность данных

Информация о клиентах помогает выстраивать коммуникацию с аудиторией и расти в прибыли. Но без надежной защиты становится «орудием» в руках жуликов, ставя под опасность личные данные покупателей и репутацию компании. Как защитить индивидуальные данные клиентов и не допустить утечки инфы? Ведает команда Grizzly Digital Company.  

Почему принципиально защищать индивидуальные данные? 

Под индивидуальными данными (ПД) мы осознаем всякую информацию, при помощи которой можно идентифицировать личность человека. Компании собирают ПД в рекламных целях – чтоб удержать покупателя, повысить свойство обслуживания и нарастить объемы продаж. 

Зная индивидуальные сведения о клиенте, вы поддерживаете связь в комфортном для него канале: приветствуете в чат-боте, напоминаете о брошенной корзине в push-уведомлениях, присылаете персонализированные акции по SMS. Чтоб усовершенствовать воронку продаж, можно заавтоматизировать ее, объединив все каналы с CRM-системой. 

Всесторонняя работа с клиентской базой помогает развивать бизнес. К примеру, дозволяет создавать релевантные предложения и находить слабенькие места в воронке. Но для составления профиля клиента принципиально получить его добровольческое согласие на обработку ПД и хранить секретность инфы под семью печатями. Даже если юзер регится в вашем приложении для заказа пиццы.  

В мировой практике понятно много случаев, когда личные данные юзеров «утекали» в веб. В итоге учащались эпизоды мошенничества в соцсетях, кражи личных данных и инфецирования компов вирусами. Правонарушителю довольно получить доступ к базе одной компании, чтоб овладеть банковскими данными тыщи клиентов и вывести средства со счетов. 

Самые ухищренные представляются сотрудниками банков и пробуют войти в доверие, зная только ФИО, адресок проживания и пространство работы жертвы. Также в крайние годы участилась продажа баз с контактными данными. Говоря обычным языком, хоть какой бизнесмен может приобрести информацию о возможной ЦА и применять ее для рекламы услуг. Такие деяния тоже числятся нелегальными. 

Чем небезопасна утечка данных? Объясняем на примерах 

Нередко утечки ПД происходят по халатности рядового персонала и управляющих. Также по вине взломщиков либо нерадивых соперников.  

В 2018 году в руинтернете возникли снимки экрана со сведениями покупателей из CRM-системы Ozon, включая номера, ID, суммы заказов и наиболее 450 000 логинов email. Маркетплейс растолковал утечку недобросовестностью сотрудника: снимки экрана содержали переписку от лица 1-го и такого же спеца. Правда, опосля инцидента СМИ (Средства массовой информации, масс-медиа — периодические печатные издания, радио-, теле- и видеопрограммы) выпустили фрагмент рабочего чата, который обосновывал: пароли заказчиков хранились в незашифрованном виде.  

Компания не уведомила клиентов о произошедшем, чем вызвала больший энтузиазм у контролирующих служб. Но история завершилась для Ozon благополучно: тогда к теме сохранности данных относились не так серьезно, и трибунал решил не назначать штраф. 

Почти все помнят недавнешний вариант с «Yandex Пищей». 1 марта 2022 года клиенты узнали, что в Сеть попали их номера телефонов и детали заказов за крайние 6 месяцев – на наиболее 58 000 адресов.  

Отметим, что компания сама сказала клиентам о случившемся, ссылаясь на «нерадивые деяния» сотрудника. Невзирая на это, несколько юзеров подали коллективный иск, требуя по 100 000 рублей компенсации любому, что является наибольшим наказанием. Позднее столичный трибунал обязал компанию выплатить штраф в размере 60 000 рублей.  

Еще неприятнее, когда в общий доступ «утекают» данные клиентов лабораторий и клиник. Так, в весеннюю пору 2022 года в даркнет попали личные сведения 30 млн пациентов сети лабораторий «Гемотест» – объемом на 300 гб. Причина – хакерская атака базы. Позже в СМИ (Средства массовой информации, масс-медиа — периодические печатные издания, радио-, теле- и видеопрограммы) заговорили о продаже украденной инфы третьим лицам. 

Лаборатория заявила, что нашла взлом еще 22 апреля и инициировала внутреннюю проверку. Спустя практически три месяца трибунал провозгласил штраф – 60 000 рублей. Наверное для большой сети, входящей в топ-5 лабораторий Рф, сумма не очень стукнула по бюджету. Наиболее критическим оказалось утратить доверие клиентов. 

Как отреагировало законодательство? Для пресечения повторных рисков Минцифры убыстрила согласование законопроекта, который предугадывал обратный штраф в размере 1% за утечку инфы и 3%, если допустившая ситуацию компания скрыла инцидент.  

Как обстоят дела с сиим в Беларуси? 

В Беларуси не настолько не мало звучных эпизодов с утечкой данных, но они все-же есть. Вспомним историю сети «Соседи»: в июле 2022 года в вольный доступ попали email и мобильные номера 634 000 юзеров веб-сайта. Компания обратилась в правоохранительные органы и разослала покупателям электрические письма с извинениями, заверив: слив не коснулся имен и паролей к личным кабинетам.  

Позднее сеть ужесточила защитные мероприятия и уволила нескольких служащих, имевших доступ к инфы о покупателях. В качестве доборной меры ввела авторизацию через SMS-пароль. 

Напомним, процесс управления клиентскими данными в РБ регулирует Закон «О защите индивидуальных данных» от 7 мая 2021 года. Согласно ему, юрлица должны соблюдать требования при работе с информацией о клиентах:  

• Запрашивать согласие на обработку в письменной либо электрической форме (электрический документ, отметка на веб-сайте, получение письма на email). 
• Прозрачно указывать цели и сроки соглашения, также список действий и самих данных, нужных компании.
• Обрабатывать ПД лишь в нужном объеме и в согласовании с заявленными целями.
• Обеспечивать сохранность сведений на всех шагах обработки. 
• При изменении сначало заявленных целей повторно получать согласие на обработку. 

Принципиально учитывать, что клиент вправе отозвать свое согласие в хоть какой момент и без разъяснения обстоятельств. В таком случае бизнесмен должен удалить информацию о пользователе в течение 15 дней (с момента получения заявления) и уведомить клиента о этом.  

Нелегальная обработка данных либо нарушение правил их защиты тянет штраф до 200 базисных величин (6400 BYN по состоянию на 2022 год).  

Информационная сохранность: как защитить данные клиентов? 

По прогнозам Risk Based Security, в наиблежайшие 4–5 лет издержки на борьбу с киберпреступностью будут раз в год расти на 15%. Обезопасить бизнес в 2022 году можно десятками методов. Разглядим главные из их. 

Запрашивайте согласие. Получайте от клиентов разрешение на сбор, хранение и обработку сведений. Если на веб-сайте оставляют email (чтоб получить сообщение о статусе заказа), то удалите информацию опосля доставки. Если далее желаете уведомлять покупателя о новостях, укажите срок хранения почты и спросите разрешение на рассылку. 

Создавайте внутренние аннотации. Нередко рядовые сотрудники «сливают» ПД по неосторожности: запамятывают внутренние правила компании либо не знают законов. В ваших интересах прописать аннотации, собрать подписи о ознакомлении и часто проводить ликбез по информационной сохранности. Не забудьте про NDA – контракт о неразглашении секретной инфы.  

Используйте надежную CRM. В неплохую систему заложен набор инструментов по защите данных. При этом любая CRM дает свои решения: двухфакторную авторизацию, работу с определенного IP либо разделение прав, при котором лишь доверенные лица получают доступ к главным клиентам. Не понимаете, какую «црмку» избрать, спросите у коллег по бизнесу, что употребляют они. 

Составляйте модель угроз. Разработайте методичку с вероятными рисками системы сохранности. Документ включает причины, которые могут привести к нарушению приватности, доступности либо целостности данных. Так вы поймете, как предупредить утечки и какие каналы необходимо подстраховать. К примеру, банковские данные и сведения о здоровье следует защищать наиболее серьезно, чем просто имя клиента.  

Защищайте веб-сайт SSL-сертификатом. Клиент желает быть уверенным, что сведения о нем останутся в сохранности. Если находится эталон шифрования, то юзер увидит значок закрытого замка в поле браузера и усвоит: такому веб-сайту можно довериться.  

Храните базу на испытанном хостинге. Большие провайдеры имеют достаточный опыт для надежного хранения инфы: их серверы сосредоточены в дата-центрах и защищены от отключения питания. Пользуясь услугой хостинга, вы получаете сертификат SSL, оберегаете себя от DDoS-атак и взломов. Также сможете вернуть веб-сайт из копии, если инфецирование все-же вышло.  

Используйте СЗИ. Средства защиты инфы – это аппаратные комплексы и антивирусные ПО (то есть программное обеспечение – комплект программ для компьютеров и вычислительных устройств), которые берегут коммерческую сеть от вредного проникания снаружи и предупреждают утечки. Если у компании есть техно база, но вы не осознаете, как сделать ее работу, закажите аттестацию СЗИ.  

Что не стоит созодать?  

• Разглашать ПД третьим лицам без согласия пользователя. Но сведения можно передавать контролирующим органам, контрагентам и партнерам, которые обрабатывают данные по договору.  
• Хранить сведения в всех базах, если клиент отозвал согласие. В случае, если по любым причинам удалить сведения нереально, по закону РБ довольно закончить их обработку. 
• Соединять воединыжды базы, содержащие ПД для различных целей. К примеру, номер телефона для звонков недозволено применять в целях почтовой рассылки – это облагается штрафом. 

В спорных вариантах обратитесь к юристу по информационной сохранности. Спец в деталях скажет, что предугадать, чтоб не «влететь на штраф». А ввести техно составляющую – установить хедер Set-Cookie либо защитить веб-сайт от XSS-атак – поможет команда разрабов, которая занимается вашим веб-сайтом.  

Какой делаем вывод? 

В утечке данных приятного не много – как для клиента, так и для компании. Да и инкриминировать в опасных умыслах бизнесменов не стоит. Онлайн-пространство стремительно развивается и подсвечивает новейшие трудности, решение которых мы непременно находим. Основное осознавать, что обеспечение приватности – не разовое мероприятие. 

Защищайте данные повсевременно. Да, это просит вашего усердия, но никакие вложения в сохранность не сравнятся с последствиями утечки в виде штрафов, проверок и утраты доверия со стороны клиентов. Если опосля чтения статьи влезло колебание насчет защищенности данных, пройдите аттестацию. Функцию можно заказать у хостинг-провайдера: он проверит вашу систему, выявит опасности утечек и решит технические трудности.

Источник