С развитием цифровых технологий ПДн стали важным ресурсом для манипуляций. Компании и злоумышленники активно используют информацию о пользователях, чтобы влиять на их поведение, убеждения и предпочтения, что часто происходит незаметно для самих жертв и позволяет склонить их выбор в сторону, выгодную оператору. Цифровая форма газлайтинга выражается в психологических манипуляциях, совершаемых с целью влияния и манипулирования субъектом.

Одним из самых ярких примеров манипулирования пользователями с помощью сетевых алгоритмов и аналитики ПДн является дело Cambridge Analytica. В ходе предвыборной кампании в США, Cambridge Analytica собирала ПДн миллионов пользователей Facebook без их согласия, преимущественно для использования в политической рекламе.

Один из способов — манипуляция работниками с помощью обращения от имения генерального директора компании. Злоумышленники пишут с каким-либо вопросом и через манипуляции пытаются получить конфиденциальную информацию. Также практикуется эмоциональный газлайтинг, когда с помощью персонализированных сообщений подрывается уверенность человека в собственных убеждениях и мнениях, порой заставляя его сомневаться в собственной адекватности.

Чтобы ваши работники не стали жертвой манипуляций, регулярно напоминайте им ряд правил:

1️⃣ Контролируйте доступ к ПДн. Уменьшите количество ПДн, которыми делитесь в сети. Важно обратить внимание на то, что даже прохождение какого-либо тестирования в Интернете, такого как «Кто ты из игры престолов», уже позволяет злоумышленникам собрать информацию о вас.
2️⃣ Оценивайте достоверность информации. Проверяйте факты и источники, не полагайтесь на единичные или неподтверждённые сообщения.
3️⃣ Не поддавайтесь эмоциональному давлению. Если сообщения вызывают у вас сильные негативные чувства, сделайте паузу и проанализируйте, почему они оказали такое влияние.

Тщательное отношение к данным и бдительность помогут избежать негативного воздействия и сохранить контроль над своими решениями.

#Privacy
#ПолезноЗнать

Публикуем восьмой выпуск «Непропустимых» событий ИБ. Мы активно следим за интересными мероприятиями по тематике информационной безопасности и приватности. Сегодня представляем наши рекомендации на декабрь 2024 года.

Подборка мероприятий в файле под этим постом ⬇️

#Непропустимыесобытия

Вопрос:

Как часто нужно проводить контроли и (или) аудит системы защиты ПДн?

Ответ:

Не реже 1 раза в 3 года (п. 17 ПП РФ №1119 )

Контроль и аудит системы защиты персональных данных (ПДн) следует проводить регулярно, чтобы подтвердить выполнение требований законодательства РФ в области ПДн. Обязанность проводить внутренний контроль и (или) аудит процессов обработки ПДн возлагается на компании в соответствии с п.4 ч.1 ст.18.1 152-ФЗ.

Аудит проводится на соответствие обработки:

🔸требованиям 152-ФЗ и принятым в соответствии с ним НПА;
🔸требованиям к защите ПДн (ПП РФ № 1119, Приказ ФСТЭК № 21, Приказ ФСБ № 378 и др.);
🔸политике в отношении обработки ПДн;
🔸локальным актам компании в области ПДн.

В 152-ФЗ и принятых в соответствии с ним подзаконных актах нет методики и (или) правил проведения контроля и аудита системы защиты ПДн. Внутренний контроль обычно проводится лицом, ответственным за организацию обработки ПДн. Такая обязанность возложена на него в соответствии с п.1 ч.4 ст. 22.1 152-ФЗ. Аудит системы защиты ПДн, в свою очередь, часто поручают внешней специализированной организации, чтобы обеспечить независимость выводов и результатов.

На что обратить внимание при выборе внешней организации для проведения аудита защиты ПДн:

🔸Методология и подходы к работе
Узнайте, какими методами и инструментами пользуется аудиторская организация при проведении оценки системы защиты ПДн. Это могут быть международные стандарты (например, ISO/IEC 27001), российские ГОСТы или собственные методики.
🔸Лицензии и сертификации
Проверьте наличие у компании необходимых лицензий (ФСТЭК России на работы в области ТЗКИ), а также сертификатов, подтверждающих порядок обработки ПДн внутри компании (например ISO 27701). Это важно, так как в ходе аудита внешняя организация будет иметь доступ к обрабатываемым в компании данным.
🔸Опыт и репутация
Обратите внимание на то, сколько лет организация работает на рынке, какие проекты она уже реализовала и есть ли положительные отзывы от клиентов. Важно выбрать организацию с хорошей репутацией и опытом проведения аналогичных проектов.
🔸Квалификация специалистов
Оцените квалификацию сотрудников аудитора. Желательно, чтобы специалисты имели профильное образование в области информационной безопасности или юриспруденции. Наличие профильных сертификатов также является преимуществом.
🔸Прозрачность процесса
Убедитесь, что область аудита четко определена, а процесс его проведения понятен для вас. Привлекаемая организация должна регулярно предоставлять отчеты о ходе проведения работ. Результаты услуг должны быть обоснованы, а выявленные недостатки подтверждаться свидетельствами. Рекомендации по устранению выявленных недостатков, в свою очередь, должны быть понятными и реализуемыми.

Более подробно о плюсах и минусах привлечения внешних консультантов при решении задач в области приватности в рамках Евразийского конгресса по защите данных (EDPC) рассказывал Роман Мартинсон, руководитель направления по оказанию услуг в области персональных данных Kept. С видео можете ознакомиться по ссылке.

#Privacy
#KeptОтвечает