Защита данных ломается не в кибератаке, а в обычных рабочих процессах

Чаще всего утечки начинаются не со взлома, а с лишнего доступа, пересылки файла «не тому» и хранения базы в общем чате. Поэтому базовая защита данных строится не вокруг запретов, а вокруг контроля: кто видит, кто копирует, кто удаляет.

Что должно быть в минимальном наборе:
— разграничение доступов по ролям, а не «всем сотрудникам»;
— отдельные правила для подрядчиков и временных команд;
— шифрование на устройстве, в облаке и при передаче;
— журнал действий: кто открывал, менял, выгружал;
— понятный порядок удаления данных, когда они больше не нужны.

Отдельно проверьте договоры и внутренние правила: в них должно быть закреплено, какие данные собираются, зачем, где хранятся и кто отвечает за инцидент. Если этого нет, любая политика безопасности остаётся на бумаге.

Полезная привычка: перед запуском нового процесса задавайте один вопрос — может ли сотрудник увидеть больше данных, чем нужно для задачи. Если ответ «да», у вас уже есть риск, а не гипотеза.