Утечка персональных данных гостей Guest personal data breach
Также: инцидент безопасности данных гостей, слив базы данных гостиницы
Утечка персональных данных гостей — инцидент несанкционированного доступа, распространения или утраты сведений о постояльцах (паспортные данные, контакты, платёжная информация), влекущий обязанность гостиницы как оператора уведомить регулятора и предпринять меры по минимизации последствий.
Суть
Утечка может произойти как в результате внешней хакерской атаки на PMS или сайт бронирования, так и вследствие внутренней халатности персонала — потерянного носителя с базой данных, пересылки файла не по адресу, публикации архива в открытом доступе.
Действия оператора при обнаружении утечки
- немедленная фиксация обстоятельств инцидента и оценка объёма затронутых данных;
- уведомление уполномоченного органа по защите прав субъектов персональных данных в установленный срок;
- при значимых утечках — информирование затронутых гостей о произошедшем и рекомендуемых мерах предосторожности;
- принятие технических и организационных мер по устранению причины и предотвращению повторения.
Репутационные и юридические риски
Помимо возможной административной ответственности за нарушение требований к защите данных, утечка наносит прямой репутационный ущерб гостинице и может стать основанием для исков гостей о компенсации морального вреда.
Профилактика
- регулярный аудит систем хранения и передачи данных гостей;
- ограничение доступа сотрудников только необходимым для их функций объёмом данных;
- обучение персонала базовым правилам информационной безопасности и распознаванию фишинговых атак.
Частые ошибки
- отсутствие внутреннего регламента реагирования на инциденты утечки данных;
- задержка уведомления регулятора и затронутых субъектов сверх установленного срока;
- недооценка утечки, произошедшей по вине сотрудника, а не внешней атаки;
- отсутствие технического аудита систем хранения данных до момента инцидента.