Защита данных и информационная безопасность

В цифровой финансовой среде данные являются ключевым активом компании, а ненадлежащее управление ими может создавать правовые и финансовые риски, угрожающие дальнейшей деятельности компании.

① Рост числа кибератак и связанных с ними рисков

② Финансовые потери и снижение доверия к компании

③ Соблюдение нормативных требований и юридическая ответственность

Вредоносное ПО обеспечивает несанкционированным пользователям доступ к финансовым системам или внутренним сетям и может повредить данные учетных записей клиентов, сведения об операциях и внутренние документы.

При оказании финансовых услуг это непосредственно влияет на доверие клиентов и стабильность обслуживания вследствие захвата учетных записей, сбоев систем, задержек операций и иных последствий.

Программы-вымогатели заражают устройства организации и шифруют данные, ограничивая доступ к ним.

В сфере финансовых услуг шифрование данных об операциях клиентов и финансовой документации может привести к немедленной приостановке деятельности.

Риск утраты данных сохраняется даже при выполнении требования о выплате денежных средств.

Фишинговые атаки представляют собой попытки получить учетные данные сотрудников или клиентов и финансовую информацию путем выдачи себя за финансовую организацию или поставщика услуг.

Злоумышленники могут выдавать себя за законных пользователей и пытаться получить доступ к учетным записям, допустить утечку данных или манипулировать операциями, создавая угрозу надежности и безопасности цифровых финансовых услуг.

DDoS-атаки нарушают предоставление услуг, блокируя работу ресурсов веб-сайтов, серверов и финансовых приложений.

В цифровой финансовой среде они могут приводить к задержкам операций, прекращению работы мобильного банкинга и жалобам клиентов, поэтому необходимы предварительная подготовка и система реагирования.

В цифровой финансовой среде компании необходимо заранее подготовиться к безопасной защите данных и систем финансовых операций.

Для этого компании следует привести план внутреннего управления и политику обработки персональных данных в соответствие с Законом Республики Корея о защите персональных данных, Законом Республики Корея об использовании и защите кредитной информации и иными применимыми нормами, а также регулярно проверять их соответствие фактической деятельности.

Важными мерами являются также разделение финансовых сетей, проверка безопасности облачных сервисов и управление отношениями с исполнителями. С внешними поставщиками услуг и подрядчиками необходимо заключать соглашения об обработке данных (DPA), четко определяющие ответственность и объем обработки.

Такие меры позволяют компании подтвердить, что при возникновении инцидента она исполнила разумную обязанность по проявлению осмотрительности.

В повседневной деятельности компаниям следует минимизировать неохваченные средствами безопасности области посредством постоянного мониторинга.

Следует применять принцип минимальных полномочий с учетом должностных функций, регулярно проверять учетные записи и журналы доступа, а также обеспечивать оперативное прекращение доступа уволенных и переведенных в другие подразделения работников.

При реализации новых направлений деятельности или использовании данных необходимо заранее оценивать возможность повторной идентификации при объединении данных, чтобы минимизировать правовые риски. Регулярное обучение работников по вопросам безопасности, получение письменных обязательств и соблюдение внутренних правил позволяют предотвращать утечки информации вследствие человеческих ошибок.

В случае инцидента в сфере защиты данных и информационной безопасности компания должна иметь систему оперативного реагирования, позволяющую минимизировать юридическую ответственность и ущерб.

При утечке данных или взломе необходимо в соответствии с Законом Республики Корея о защите персональных данных сообщить об инциденте финансовому надзорному органу в течение 72 часов и оперативно уведомить клиентов. Существенное значение имеет систематическое хранение соответствующих документов и результатов проверок, подтверждающих, что на момент инцидента компания приняла разумные меры безопасности.

Это может создать основания для уменьшения денежного взыскания за нарушение административных норм или освобождения от ответственности при отсутствии вины. Компания должна быть готова к подаче заявления о преступлении в отношении внешних злоумышленников, содействию расследованию, участию в разбирательствах перед Комиссией Республики Корея по урегулированию споров в сфере персональных данных и защите по групповым искам.

Система реагирования в сфере защиты данных и информационной безопасности требует постоянного совершенствования, а не прекращения работы после ее первоначального создания.

После инцидента необходимо проанализировать его причины и отразить меры по предотвращению повторных случаев в политике и рабочих процедурах.

Регулярные проверки безопасности и учебные тренировки укрепляют внутренние возможности реагирования и позволяют стабильно защищать данные клиентов и финансовые операции в цифровой финансовой среде.

Проводится проверка соблюдения Закона Республики Корея о защите персональных данных, Закона Республики Корея об использовании и защите кредитной информации, Закона Республики Корея об электронных финансовых операциях и иных применимых норм во всех видах деятельности компании, связанных с данными, включая эксплуатацию систем финансовых операций, обработку персональных данных, использование облачных сервисов и передачу функций внешним исполнителям.

Это позволяет заранее выявить правовые риски и подготовить основания для реагирования на аудит Службы финансового надзора Республики Корея, расследование или спор.

Проводится проверка разработки политики обработки персональных данных, плана внутреннего управления, системы управления данными и иных документов, а также надлежащего их применения; предоставляются рекомендации по обеспечению их соответствия фактической деятельности.

Проверяется также правовая обоснованность правил управления информацией, включая классификацию, хранение, доступ и удаление данных, чтобы при аудите или расследовании компания могла подтвердить исполнение разумной обязанности по проявлению осмотрительности.

На случай утечки данных, взлома, атаки программ-вымогателей, DDoS-атаки и иных инцидентов разрабатываются процедуры обязательного сообщения в соответствии с законодательством, уведомления клиентов и информирования финансовых надзорных органов, а система реагирования проверяется посредством учебных тренировок.

Систематическое хранение документов об инцидентах и журналов событий позволяет использовать их в качестве оснований правовой защиты при рассмотрении вопроса об уменьшении денежного взыскания за нарушение административных норм, освобождении от ответственности при отсутствии вины и защите по групповым искам.

Разрабатываются меры по предотвращению человеческих ошибок, включая регулярное обучение работников по вопросам безопасности, получение письменных обязательств и имитационные фишинговые тесты; обязанности в сфере безопасности закрепляются документально.

После инцидента проводится анализ его причин, а меры по предотвращению повторных случаев отражаются в политике и рабочих процедурах. Постоянное совершенствование, включая регулярные проверки безопасности, внешний аудит и подготовку к сертификации, способствует стабильному оказанию компанией цифровых финансовых услуг.