«Утечка информации о сотрудниках аутсорсинга, компании также несут ответственность»… Тревожные звоночки звенят по поводу инцидента с дипфейком в Пусане

В связи с недавним инцидентом, когда внешний сотрудник по техническому обслуживанию и техническому обслуживанию удалил 220 000 компьютерных файлов преподавателей и сотрудников школы в районе Пусана и создал фейковые материалы, посвященные сексуальной эксплуатации, раздаются призывы к общему пересмотру внешних систем управления человеческими ресурсами компаний.

Данный инцидент оценивается как случай, выходящий за рамки простого индивидуального преступления и обнажающий лазейки в управленческой и надзорной ответственности аутсорсинговых компаний и в системе защиты информации. В частности, высказываются опасения, что аналогичные инциденты с утечкой информации могут произойти в корпоративной среде, где часто задействован внешний персонал, например, в сфере обслуживания ИТ (информации и коммуникаций) и управления объектами.

По мнению юридического сообщества 14 числа, статья 26 действующего Закона о защите личной информации предусматривает, что компания, которой поручена работа, должна управлять и контролировать процесс обработки личной информации доверительного управляющего. Объяснение заключается в том, что если аутсорсинговый персонал получает доступ к рабочим ПК или облачным системам и осуществляет утечку информации, аутсорсинговой компании также трудно избежать ответственности.

Джи-ун Чан, адвокат юридической фирмы «Дэрюн», объяснил: "Суд оценивает, насколько добросовестно выполняются обязательства по управлению и надзору перед доверительным управляющим. Если компания не создала должным образом систему контроля, существует высокая вероятность того, что даже незаконные действия доверительного управляющего приведут к корпоративной ответственности".

Адвокат Джанг выразил особую обеспокоенность тем фактом, что многие компании считают, что они выполнили свои юридические обязательства, просто написав соглашение о неразглашении информации (NDA) в процессе заключения контракта на аутсорсинг. Он отметил: «Соглашение о неразглашении может служить основой для привлечения к ответственности после того, как произошел несчастный случай, но оно имеет ограничения в доказательстве того, что система управления была создана заранее».

Он добавил: «Есть много случаев, когда реально трудно требовать компенсации после того, как аутсорсинговая компания мала или ей не хватает капитала», и добавил: «В конце концов, весьма вероятно, что компания будет нести финансовое и юридическое бремя напрямую».

Адвокат Джанг также подчеркнул, что системы корпоративной безопасности в последнее время переходят от метода «основанного на доверии» к методу «нулевого доверия». Объяснение заключается в том, что необходима структура, позволяющая систематически контролировать не только внешний персонал, но и внутренних сотрудников и вести весь учет.

Он посоветовал: "Обязательно установить внутреннюю автоматическую блокировку экрана ПК, систему предотвращения утечки данных (DLP) и решение для управления носителями. Нам также нужна система управления журналами, которая может объективно проверять, работает ли внешний персонал в одиночку, и фиксировать доступ к файлам".

Он также сказал: «Вместо простого пункта о компенсации в контракт следует включить пункт о штрафах, который можно требовать, не доказывая фактического ущерба», и «Требование к аутсорсинговым компаниям подписываться на страхование ответственности за кибербезопасность также является реалистичной мерой реагирования на риски».

Адвокат Чан подчеркнул: «Этот инцидент в конечном итоге показывает, что защита информации невозможна, если доверять только людям», и добавил: «Корпоративная безопасность должна осуществляться на основе проверяемой и записываемой системы контроля, а не на основе личной этики».

[Посмотреть статью полностью]

"Утечка информации о аутсорсинговых сотрудниках, компании также несут ответственность"... Звуковое предупреждение об инциденте с дипфейком в Пусане (ссылка)