Защита данных.

Почему это вопрос маркетинга, а не только IT

Защита данных клиентов кажется технической темой, но в обороте она отражается напрямую. Человек оставляет телефон, адрес и платёжные реквизиты только тому, кому доверяет, и решение о доверии принимается по внешним признакам.

Обратная сторона очевиднее. Утечка базы или взлом сайта бьёт по компании дважды: сначала расходами на восстановление, потом потерей репутации, которую придётся отстраивать заново.

Для небольшой компании это не абстрактный риск. Автоматические атаки не выбирают жертву по размеру: сканируется всё, что доступно, а слабая защита встречается чаще именно у небольших сайтов.

Что вообще нужно защищать

Начинать стоит с ревизии, а не с покупки решений. У большинства компаний данные клиентов лежат в большем числе мест, чем кажется.

• Сайт и формы - всё, что человек вводит и что сохраняется на сервере.
• CRM и таблицы - контакты, история обращений, суммы сделок.
• Почта и мессенджеры сотрудников - там оседают договоры, сканы и реквизиты.
• Сторонние сервисы - рассылки, аналитика, коллтрекинг, подрядчики.
• Резервные копии - их защищают реже всего, а содержат они то же самое.

Полезное правило: чем меньше собрано, тем меньше можно потерять. Лишнее поле в форме и база, которой никто не пользуется, - это риск без пользы.

Базовые меры защиты

Шифрование. Данные должны передаваться и храниться в защищённом виде - это касается и сайта целиком, и отдельно платёжных и персональных сведений.

Многофакторный вход. Пароль плюс второй фактор - код или приложение - закрывает самый частый сценарий взлома: подбор или утечку пароля. Включить стоит везде, где есть доступ к клиентским данным.

Обновления. Устаревшая система управления сайтом, старые модули и плагины - главная причина взломов небольших сайтов. Обновления нужны регулярные, а не «когда сломается».

Управление доступом. У каждого сотрудника ровно те права, которые нужны для работы, и не больше. При увольнении доступы закрываются в тот же день.

Резервные копии. Регулярные, хранящиеся отдельно от сайта, и главное - проверенные восстановлением. Копия, которую ни разу не разворачивали, копией не считается.

Слабое звено - люди

Технику ломают реже, чем обманывают сотрудников. Письмо «от банка», звонок «из службы поддержки», просьба срочно оплатить счёт от имени руководителя - так проходит большинство успешных атак на небольшие компании.

Обучение здесь стоит дешевле любых технических средств. Достаточно нескольких простых правил, которые знают все: не переходить по ссылкам из неожиданных писем, проверять запросы на перевод денег по второму каналу, не пересылать базы через личные мессенджеры, сообщать о подозрительном, не боясь выглядеть глупо.

Последнее важнее остальных. В компаниях, где за ошибку ругают, сотрудники скрывают инциденты, и на разбор уходят недели вместо часов.

Как это показывать клиентам

Защищённость нужно не только обеспечивать, но и делать видимой - иначе она не влияет на доверие.

Работают простые вещи: защищённое соединение на сайте, понятная политика конфиденциальности, написанная человеческим языком, а не скопированная, честное объяснение, зачем вы просите каждое поле в форме, и работающая возможность отписаться и удалить свои данные.

Отдельно - поведение при инциденте. Если что-то произошло, честное и быстрое уведомление клиентов сохраняет больше доверия, чем попытка замолчать. Молчание почти всегда вскрывается, и тогда обсуждают уже не утечку, а сокрытие.

Правовая сторона

Обработка персональных данных в России регулируется отдельным законом. Базовые требования сводятся к нескольким пунктам: согласие человека, конкретная цель сбора, сбор только необходимого, защита при хранении и возможность отозвать согласие.

Практически это значит рабочую форму согласия, настоящую политику конфиденциальности, уведомление о сборе данных и понятную процедуру отписки. Требования и порядок уведомлений меняются, поэтому перед запуском нового сбора данных формулировки стоит проверять с юристом.

Частые вопросы

Мы небольшая компания, нас это правда касается?

Касается. Требования закона не зависят от размера бизнеса, а автоматические атаки не разбирают, сколько у вас сотрудников.

С чего начать, если ничего не сделано?

С трёх вещей: защищённое соединение на сайте, обновление системы управления сайтом и двухфакторный вход в почту и CRM. Это закрывает большую часть типовых сценариев.

Нужно ли нанимать отдельного специалиста?

Для небольшой компании - обычно нет. Достаточно ответственного сотрудника с регламентом и подрядчика, который следит за обновлениями сайта.

Что делать при утечке?

Закрыть доступ, зафиксировать, что именно утекло, сменить пароли и ключи, уведомить тех, чьи данные затронуты, и разобрать причину. Скрывать - худший из вариантов.

Что делать дальше

Выпишите все места, где лежат данные ваших клиентов, и напротив каждого - кто имеет туда доступ. Список почти всегда оказывается длиннее ожидаемого, и половина лишних доступов закрывается в тот же день.

Мы отвечаем за то, как компания выглядит в интернете, - это управление репутацией. Дальше пригодятся разборы, этика работы с данными в маркетинге и как работать с отзывами клиентов.