Почему это важно
С 30 мая 2025 года за утечки персональных данных действуют крупные штрафы: они зависят от числа записей, а за повторные утечки считаются от выручки. Отвечает оператор, то есть вы, даже если утекло по вине подрядчика.
Помимо штрафов, есть репутация. Клиент, чей телефон попал в рассылки спамеров после обращения к вам, запомнит вас надолго. Предотвратить такую историю проще и дешевле, чем разбирать её последствия.
Где теряется чаще всего
- Таблицы с заявками, открытые «всем, у кого есть ссылка».
- Ключи ботов и сервисов в коде страницы: их видно любому, кто откроет исходный код.
- Общий почтовый ящик, к которому есть доступ у бывших сотрудников и подрядчиков.
- Папка с выгрузками на хостинге, доступная по прямому адресу.
- Старые формы и тестовые копии сайта, о которых все забыли.
Общее у всех этих случаев то, что никакого взлома нет. Данные лежат там, где их не должно быть, и достаточно знать адрес. Поисковики и специальные сканеры находят такие места автоматически.
Что сделать
- Проверить доступы к таблицам, почте, CRM и хостингу и убрать лишних.
- Хранить ключи только на сервере, а не в коде, который уходит в браузер.
- Удалить тестовые копии и старые выгрузки.
- Не держать заявки дольше, чем нужно: старые данные — лишний риск.
Хорошая привычка: раз в квартал открывать список тех, у кого есть доступ к вашим системам, и вычёркивать ушедших. Когда подрядчик заканчивает работу или сотрудник увольняется, доступы должны закрываться в тот же день.
Как проверить себя
- Откройте таблицу с заявками в режиме инкогнито по ссылке для просмотра: если она открывается без входа, закрывайте.
- Откройте исходный код страницы и поищите слова token, key, secret.
- Введите в поиске адрес вашего сайта вместе со словами «выгрузка», «заявки» и посмотрите, что находит.
Если утечка случилась
Об инциденте нужно уведомить Роскомнадзор: в течение суток о самом факте и в течение трёх суток о результатах расследования. Скрывать утечку обходится дороже. Заранее решите, кто у вас отвечает за такие уведомления, и сохраните контакты.
Наш обработчик заявок хранит ключ доступа к ВКонтакте в настройках облака, а в код страницы попадает только адрес обработчика.
О правилах обработки данных — в статье о персональных данных.