PII в современных организациях: риски, обязанности и лучшие практики

Каждая современная организация так или иначе работает с персонально идентифицируемой информацией (PII) — будь то кадровые записи, данные аккаунтов клиентов или учетные данные для входа.

По мере того как бизнес-сеть вашей организации расширяется и охватывает облачные платформы, удаленные устройства, подрядчиков и SaaS-инструменты, PII проходит через все больше систем, рабочих процессов и рук. Это делает конфиденциальность и безопасность не просто юридическими обязательствами, а операционными приоритетами.

Риски и обязанности, связанные с PII, нельзя откладывать на потом. В 2025 году IBM установила, что средняя глобальная стоимость утечки данных достигла $4,4 млн(новое окно), что на 10 % больше, чем годом ранее, и это крупнейший рост со времен пандемии. Данные Verizon об утечках за 2025 год добавляют важный контекст: в 60 % утечек присутствовал человеческий фактор, например ненадлежащие методы работы с учетными данными, слабое управление доступом и небрежные ошибки, создающие серьезные риски для бизнеса.

Иными словами, слабый контроль PII может быстро превратиться в проблему уровня совета директоров, связанную с потерей выручки, юридическими рисками, оттоком клиентов и ущербом для репутации.

В этой статье объясняется, что означает PII в современной бизнес-среде, почему работа с ней сопряжена с повышенным риском, какую ответственность несут организации и какие практики наиболее эффективно снижают уязвимость. Мы также рассмотрим, какие корпоративные инструменты организации могут использовать, чтобы поддерживать более строгий контроль доступа и надлежащую гигиену учетных данных в рамках более широкой стратегии конфиденциальности и безопасности.

• Что такое данные PII и почему они важны для бизнеса?
• Почему организациям важно заботиться о PII
• Риски, связанные с PII в цифровой среде
• Обязанности организаций по обработке PII
• Практики безопасности, защищающие PII
• Как Proton Pass for Business поддерживает защиту PII
• Часто задаваемые вопросы

Что такое данные PII и почему они важны для бизнеса?

Лично идентифицируемая информация, или PII, — это любая информация, которая позволяет прямо или косвенно установить личность конкретного человека. Сюда входят такие очевидные идентификаторы, как полные имена, номера паспортов, номера социального страхования и информация платежных карт.

Согласно Национальному институту стандартов и технологий (NIST), данные PII в широком смысле могут быть определены как информация, которая позволяет отличить или отследить личные данные человека, как сама по себе, так и при наличии ссылки на другие данные. Определение NIST также явно включает информацию, которая является «связанной или связываемой» с человеком. Это важно учитывать для современных цифровых систем, где личные данные часто выводятся из наборов данных, а не раскрываются в одном поле.

Менее очевидно, что к PII также относится информация, которая становится идентифицирующей в контексте, например идентификаторы устройств, IP-адреса(новое окно), история местоположений, учетные данные для входа или комбинации других обычных данных. Девичья фамилия матери или домашний адрес сами по себе могут показаться безобидными, но в сочетании с датой рождения или номером аккаунта этих данных может быть достаточно, чтобы подтвердить личные данные, обойти средства контроля безопасности или сделать возможной мошенническую деятельность. PII не ограничивается государственными удостоверениями личности или финансовыми данными; эта информация также может включать цифровые следы, позволяющие отслеживать кого-либо онлайн.

В современных программах по конфиденциальности данных и кибербезопасности к PII относятся как к конфиденциальной информации, поскольку несанкционированный доступ или разглашение могут привести к краже личных данных, мошенничеству и нарушениям нормативных требований. Адрес электронной почты в CRM, домашний адрес сотрудника в ведомости начисления заработной платы, идентификатор браузера, связанный с поведением пользователя, или примечание службы поддержки, содержащее историю аккаунта, — все это в соответствующем контексте может считаться конфиденциальными персональными данными. Защита PII требует строгого контроля доступа, шифрования и четких политик, регулирующих то, как собирается, хранится личная информация и как ей делятся.

Почему организациям следует уделять внимание PII

PII находится на стыке конфиденциальности и безопасности, соответствия требованиям и доверия. Если организация не может защитить данные, идентифицирующие ее клиентов, сотрудников или партнеров, она сталкивается не просто с технической уязвимостью, а с проблемой управления и соответствия требованиям.

Это особенно актуально для распределенных сред. Облачные приложения, удаленная работа, общие устройства, подрядчики и сторонние поставщики увеличивают число точек, через которые можно получить доступ к PII, скопировать ее или раскрыть.

Рекомендации Европейского совета по защите данных (EDPB) подчеркивают аналогичный принцип: организации должны понимать, какие персональные данные они обрабатывают, где они сохранены и куда могут перемещаться в сети, а также кто может получить доступ к ним, чтобы соответствовать требованиям подотчетности согласно GDPR. Это звучит просто, но на практике именно здесь многие компании терпят неудачу.

Защита PII также имеет прямую коммерческую ценность для вашего бизнеса: ваши заказчики и клиенты ожидают, что вы продемонстрируете, как личные данные защищаются на практике, в то время как регулирующие органы требуют документированных мер контроля, журналов аудита и проверяемого соблюдения правил.

Аналогичным образом сотрудники ожидают ответственного обращения с кадровыми и расчетными данными, а клиенты — что обещания в области конфиденциальности, содержащиеся в маркетинговых материалах и юридических уведомлениях, подкреплены реальными операционными мерами защиты.

В целом надежное управление PII помогает соблюдать требования, упрощает закупки за счет решения вопросов, связанных с оценкой рисков поставщиков и требованиями должной осмотрительности, способствует удержанию клиентов и укрепляет доверие к бренду.

Риски, связанные с PII в цифровых средах

Независимо от того, в какой отрасли работает ваша организация, основные риски, связанные с персональными данными (PII), теперь обусловлены сочетанием их масштаба, бесконтрольного разрастания и слабости учетных данных. Большинство организаций используют десятки или сотни цифровых сервисов, и каждый из них создает очередную точку доступа, через которую персональные данные могут быть сохранены, просмотрены, экспортированы или которыми можно поделиться.

Согласно отчету Verizon DBIR 2025, для организаций как малого и среднего бизнеса, так и крупных компаний основным способом взлома остается использование украденных учетных данных: 32 % у крупных организаций и 33 % у SMB. Использование украденных учетных данных уже несколько лет остается одним из самых распространенных способов проникновения в организацию, что вновь подтверждает знакомый вывод: необходимо поддерживать строгий контроль доступа к чувствительным данным бизнеса, сотрудников и клиентов.

Фактически, недавние результаты исследований службы Proton Data Breach Observatory подчеркивают, насколько регулярно личные данные раскрываются в реальных инцидентах. Имена и адреса электронной почты фигурируют почти в 9 из 10 утечек, что делает их наиболее часто раскрываемыми точками данных. Контактная информация, такая как номера телефонов и физические адреса, раскрывается в 75% утечек, а пароли фигурируют в 47% инцидентов.

Эти цифры подчеркивают важную реальность для организаций: даже на первый взгляд «низкорисковые» данные могут становиться высокорисковыми, если их агрегировать или повторно использовать в разных системах.

В отчете также показано, как злоумышленники объединяют информацию для усиления воздействия. В 42% утечек имя человека и его физический адрес раскрываются одновременно. Эта комбинация особенно ценна для кражи личных данных и целевого мошенничества. Между тем, особо конфиденциальные данные, такие как удостоверения личности государственного образца, медицинские карты и другие личные идентификаторы, фигурируют в 37% инцидентов, а финансовая информация раскрывается примерно в 5% случаев.

Распространенные угрозы для персональных данных

Наиболее распространенные причины раскрытия PII хорошо известны, но это не делает их менее разрушительными. К ним относятся внешние атаки, такие как фишинг, подстановка учетных данных, программы-вымогатели и раскрытие корпоративной электронной почты (BEC).

Раскрытие корпоративной электронной почты — это изощренное, высоконаправленное киберпреступление, при котором злоумышленники выдают себя за руководителей, сотрудников или доверенных поставщиков по электронной почте, чтобы обманным путем заставить жертв перевести средства или раскрыть конфиденциальную информацию, что делает этот способ одним из самых изощренных методов эксплуатации уязвимостей систем.

Легко понять, как личные уязвимости могут превратиться в векторы атак на уровне организации. Эти угрозы обычно используют слабые места на индивидуальном уровне, такие как нестрогие разрешения, совместно используемые учетные данные, непоследовательные методы увольнения сотрудников и использование теневых ИТ-инструментов для хранения данных. Каждая из этих угроз представляет собой потенциальную точку входа, которую злоумышленники могут легко обнаружить и использовать.

Это согласуется с DBIR за 2025 год, где указано, что человеческий фактор присутствовал в 60 % утечек. Ошибки неизбежны, поэтому организациям нужны системы, которые исходят из того, что люди будут ошибаться, и уменьшают масштаб последствий, когда это происходит.

Аналогичным образом, потеря устройств и ненадлежащие протоколы вывода из эксплуатации представляют собой серьезную угрозу для раскрытия данных PII. ENISA отмечает, что личная информация часто подвергается риску, когда компании не могут защитить ноутбуки, резервные копии носителей или портативные устройства хранения. Она особенно уязвима, когда данные перемещаются за пределы контролируемой среды, например, на личных устройствах сотрудников в рамках концепции использования собственных устройств (BYOD). Вам следует безопасно очищать, уничтожать или выводить из эксплуатации оборудование, такое как ноутбуки, хранилища резервных копий или USB-устройства, перед повторным использованием или утилизацией, поскольку эти устройства могут оставлять остаточные данные, к которым могут получить доступ посторонние лица.

Это часть обязательств по обеспечению безопасности в рамках GDPR, требующая от организаций управлять всем жизненным циклом персональных данных, включая хранение, передачу и утилизацию. Без четких процессов отслеживания устройств, безопасного удаления и управления активами компании могут непреднамеренно создавать пути утечки данных, которые трудно обнаружить и еще труднее устранить, особенно в условиях гибридной работы, когда конечные точки географически распределены.

Последствия раскрытия данных

Когда организации не могут защитить PII, последствия часто быстро нарастают. Одна утечка данных может раскрыть тысячи или даже миллионы личных записей, что повлечет за собой расследования регулирующих органов, финансовые штрафы и репутационный ущерб.

Для организации последствия часто одновременно затрагивают несколько направлений деятельности:

• Реагирование на инциденты
• Юридическая проверка
• Коммуникация с клиентами
• Управление поставщиками
• Киберстрахование
• Отчетность перед регуляторами
• Устранение последствий

Расходы редко ограничиваются компьютерной криминалистикой и уведомлениями. Исследование Ponemon Institute показывает, что инциденты, связанные с внутренними угрозами, обходятся организациям в среднем более чем в 17 млн долларов в год, отражая полный цикл обнаружения, расследования, локализации и восстановления.

Эти цифры показывают, что стоимость утечки в той же мере определяется операционными сбоями, юридическими рисками и потерей бизнеса, как и самим реагированием на инцидент.

Особенно дорого обходятся злонамеренные инциденты с участием инсайдеров, когда сотрудники, подрядчики или партнеры намеренно злоупотребляют законным доступом к системам или данным. В отличие от внешних атак, такие инциденты часто полностью обходят периметровую защиту, поэтому их сложнее обнаружить, а после раскрытия данных они причиняют больший ущерб. Внутренние угрозы также могут включать небрежные действия, например ненадлежащее обращение с учетными данными или непреднамеренное раскрытие данных, на долю которых приходится значительная часть реальных утечек.

Вот почему к защите данных в целом и безопасности PII в частности необходимо относиться как к постоянной бизнес-дисциплине, а не как к реагированию на требования комплаенса. Крупнейшие на сегодняшний день угрозы кибербезопасности — фишинг, слабые пароли, программы-вымогатели и социальная инженерия — распространены потому, что они используют операционные пробелы, а не просто ошибки в программном обеспечении.

Организационные обязанности при работе с PII

От организаций, которые собирают или обрабатывают PII, ожидается не только отсутствие очевидной халатности. Они должны установить четкие правила в отношении сбора, доступа, хранения, защиты и реагирования.

Юридические и нормативные обязательства

Конкретный правовой стандарт зависит от юрисдикции и отрасли, но основные обязанности остаются неизменными:

• Как компания, вы должны собирать только те данные PII, которые действительно необходимы.
• Объясняйте, зачем вы собираете эти данные и как вы их используете.
• Ограничьте доступ к данным PII только уполномоченным сотрудникам.
• Защищайте PII с помощью технических и организационных мер.
• Принимайте надлежащие меры, если PII были раскрыты.

Международные законы о защите данных, включая систему GDPR, подчеркивают важность картирования данных, проверки доступа, минимизации и безопасного удаления как базовых требований ответственного управления данными. Это также означает, что большинство бизнес-процессов подпадает под действие правовых норм, регулирующих PII, поскольку все они так или иначе связаны с потенциально чувствительной информацией.

Даже для малых и средних компаний с ограниченными ресурсами эти обязательства могут быстро накапливаться. Им может потребоваться соблюдать требования GDPR и местные требования к конфиденциальности, а также ожидания партнеров и клиентов в области безопасности. Создание простой и масштабируемой программы конфиденциальности помогает справляться с этими пересекающимися требованиями без лишней сложности.

Proton for Business предоставляет владельцам компаний и руководителям подходящие зашифрованные решения, инструменты и ресурсы, которые помогают ориентироваться в этих пересекающихся требованиях и обеспечивают практические меры защиты, усиливающие контроль над конфиденциальными данными без лишней сложности.

Прозрачность и подотчетность

Управление PII также зависит от способности объяснить, что происходит внутри вашей организации. Сюда входят четкие уведомления о конфиденциальности, документированные правила хранения, журналы доступа, контроль поставщиков и доказательства того, что политики действительно применяются.

Поэтому внутренняя подотчетность имеет большое значение. Каждая организация должна знать, кто отвечает за решения в области конфиденциальности, кто утверждает доступ к чувствительным данным, кто рассматривает инциденты и кто отвечает за вывод пользователей и поставщиков из систем при завершении сотрудничества. Без закрепленной ответственности этот пробел обычно заполняют разрастание прав доступа и теневые процессы.

Практики безопасности для защиты PII

Защита PII требует многоуровневых мер контроля, а не одного продукта или одной политики. Наиболее устойчивые программы сочетают минимизацию данных, шифрование, управление доступом, обучение сотрудников, мониторинг и дисциплинированное реагирование на инциденты.

Минимизация и классификация данных

Первая мера контроля — самая неприметная, но одна из самых эффективных: храните в организации меньше чувствительных данных. FTC рекомендует компаниям провести инвентаризацию персональной информации и сократить объемы сохраняемых данных. Если данные не нужны для бизнес-цели, их не следует собирать.

Классификация усиливает этот процесс. Не все PII несут одинаковый риск. Записи по заработной плате, финансовая информация клиентов, сведения о здоровье и хранилища учетных данных не следует обрабатывать с теми же допущениями, что и данные о маркетинговых предпочтениях. Классификация помогает организациям соотносить меры контроля с возможными последствиями.

Шифрование и контроль доступа

Шифрование должно защищать PII как при хранении, так и при передаче. Но одного шифрования недостаточно, если доступ слишком широк, а учетные данные слабы. Организациям также необходимы модель наименьших привилегий, регулярные проверки доступа, контролируемый обмен учетными данными, ротация учетных данных для конфиденциальных систем и быстрое их аннулирование при изменении должностей.

Это особенно важно, поскольку современные утечки часто начинаются с действительных учетных данных, а не со взлома методом подбора. Если посторонний человек сможет успешно войти в систему, шифрование на уровне хранения не предотвратит раскрытие.

Надежная аутентификация и правильные привычки работы с паролями

Гигиена учетных данных остается одной из самых эффективных мер контроля, доступных большинству организаций. Надежные и уникальные пароли в сочетании с двухфакторной аутентификацией (2FA), мониторингом надежности паролей и безопасными политиками обмена одновременно помогают решать самые распространенные проблемы безопасности. Proton Pass for Business, безопасный менеджер паролей для бизнеса, поддерживает этот подход благодаря зашифрованному сквозным методом хранению паролей, встроенному средству двухфакторной аутентификации, проверкам надежности паролей, мониторингу даркнета и командным политикам, которые позволяют администраторам внедрять лучшие практики в масштабе всей организации.

Это важно, потому что безопасные настройки по умолчанию стабильно эффективнее напоминаний о политиках. Если сотрудники должны вручную запоминать и управлять сложными учетными данными, повторное использование, небезопасный обмен и небезопасное хранение неизбежно становятся нормой. Напротив, такие инструменты, как Proton Pass for Business, встраивают безопасные практики непосредственно в повседневные рабочие процессы: автоматически генерируют надежные и уникальные пароли, хранят их с помощью сквозного шифрования и обеспечивают безопасный обмен без раскрытия учетных данных.

Мониторинг, оповещения и тестирование

Когда речь идет о мониторинге доступа к чувствительным данным PII, компании полагаются на такие меры контроля, как журналы аудита, оповещения о необычной активности, отслеживание неудачных попыток входа и регулярные проверки привилегированного доступа. Proton Pass for Business поддерживает эти практики с помощью подробных журналов активности, отчетов об использовании и отслеживания по IP-адресам, что усиливает операционный контроль и одновременно упрощает подготовку к аудиту и отчетность по соблюдению требований.

Меры контроля также следует регулярно тестировать. Настольные учения, проверки доступа, тесты на проникновение и моделирование инцидентов помогают убедиться, что ваши политики эффективны в реальных сценариях, а не просто задокументированы на бумаге.

Обучение сотрудников и культура на рабочем месте

Осведомленность о безопасности по-прежнему важна, потому что многие инциденты начинаются с фишинга, кражи учетных данных или небезопасного обращения с данными со стороны легитимных пользователей. Руководство Proton по кибербезопасности выступает за повторяемые политики, антифишинговые привычки и ориентированные на безопасность повседневные практики, а не за разовые ежегодные напоминания.

Сильная культура безопасности не означает, что сотрудникам просто говорят быть внимательнее. Она означает, что безопасный путь должен быть простым путем. Сюда входят одобренные инструменты, четкие каналы эскалации, простые политики для предоставления доступа и практическое обучение на основе реальных сценариев.

Хранение данных, безопасное удаление, управление поставщиками и реагирование на инциденты

Срок хранения — это вопрос безопасности, а не только документооборота. Чем дольше хранятся данные PII, тем в большее число систем они попадают и тем большую ценность представляют для злоумышленников. Это связано с тем, что со временем персональные данные дублируются в резервных копиях, аналитических платформах, сторонних инструментах и устройствах сотрудников, расширяя число потенциальных точек доступа. Это увеличивает поверхность атаки и одновременно затрудняет организациям отслеживание, защиту и контролируемое удаление этих данных.

Таким образом, компаниям следует определить политики хранения данных внутри организации и процессы безопасного удаления как для работающих систем, так и для резервных копий.

Управление поставщиками относится к тому же кругу вопросов. Поставщики услуг часто работают с данными по расчету заработной платы, аналитическими идентификаторами, записями службы поддержки и данными аутентификации. Контракты должны охватывать требования к защите данных, а доступ должен быть ограниченным и поддаваться проверке.

Наконец, каждой организации, работающей с PII, нужен документированный план реагирования на инциденты. Рекомендации GDPR по реагированию на утечки(новое окно) подчеркивают важность быстрого уведомления затронутых организаций и учреждений, когда это уместно, наряду с мерами по локализации и восстановлению. Скорость важна, но подготовка важна не меньше.

Владельцам бизнеса и руководителям следует установить строгие политики того, как безопасно хранить данные PII в базе данных. Обычно это предполагает многоуровневый подход, включающий шифрование при хранении, надежное управление учетными данными, строгий контроль доступа, ведение журналов аудита и регулярный мониторинг активности базы данных.

Как Proton Pass for Business помогает защищать PII

Программы безопасности PII эффективны тогда, когда снижают реальный риск раскрытия без замедления работы команд, а кибербезопасность становится частью вашей культуры безопасности и конфиденциальности, а не чем-то второстепенным. Именно здесь менеджер паролей для бизнеса может сыграть важную роль, особенно потому, что учетные данные защищают шлюзы доступа к HR-системам, финансовым инструментам, CRM, платформам поддержки, инфраструктуре разработки и облачному хранилищу.

В Proton Pass for Business заложено несколько механизмов контроля, которые имеют непосредственное отношение к защите PII. Proton Pass работает на основе сквозного шифрования с нулевым разглашением для паролей, ключей доступа, кредитных карт, заметок и метаданных, поэтому зашифрованы даже такие конфиденциальные поля, как имена пользователей и URL-адреса веб-сайтов. Он также защищен швейцарским законодательством о конфиденциальности и поддерживается моделью с открытым исходным кодом, прошедшей независимый аудит.

С операционной точки зрения бизнес-предложение добавляет централизованное администрирование, журналы аудита, проверки надежности паролей, мониторинг даркнета, безопасное хранилище и совместное использование элементов, командные политики, а также поддержку SSO и SCIM для корпоративных сред. Proton Pass for Business поддерживает организации не только в вопросах хранения личных паролей, но и в управлении доступом на уровне всей компании.

Надежные практики защиты учетных данных — один из лучших способов сократить риск раскрытия PII. Когда команды могут генерировать и хранить уникальные учетные данные, безопасно делиться ими с возможностью автозаполнения, отслеживать слабые или повторно используемые пароли и быстро отзывать доступ при выводе сотрудников из систем, они снижают вероятность того, что проблема с учетными данными перерастет в инцидент конфиденциальности.

Proton Pass for Business предлагает централизованный контроль администратора, обеспечение соблюдения политик, безопасный обмен данными, а также видимость изменений и событий. Proton Pass также может поддерживать более широкие методы защиты от фишинга и защиты личных данных. Например, псевдонимы hide-my-email могут помочь пользователям ограничить раскрытие своих реальных адресов, что может снизить уровень спама и фишингового давления в некоторых рабочих процессах.

Для организаций, занимающихся поддержкой клиентов, тестовыми аккаунтами и регистрацией аккаунтов по ролям, это может быть полезной частью более широкой стратегии защиты личных данных.

Однако ни один менеджер паролей, включая Proton Pass, сам по себе не решает задачу защиты PII. Менеджер паролей не заменит картирование данных, политики хранения, DLP, безопасность конечных точек или работу по соблюдению правовых требований. Но он может сократить один из самых распространенных путей к компрометации PII: непоследовательное обращение с учетными данными у людей, в приложениях и в командах.

Часто задаваемые вопросы о PII