عندما تفقد شركة السيطرة على البيانات الشخصية، يبدأ العد التنازلي سريعًا. بموجب اللائحة العامة لحماية البيانات في المملكة المتحدة والاتحاد الأوروبي، تضع قواعد الـ72 ساعة للإبلاغ عن خرق البيانات بموجب GDPR موعدًا نهائيًا صارمًا لإبلاغ الجهات التنظيمية بما حدث. وبالنسبة للأشخاص الذين تعرّضت بياناتهم للكشف، فإن هذه القواعد تهمهم أيضًا، لأنها تحدد ما تسمعه، ومتى تسمعه، وما يجب عليك فعله بعد ذلك.
يشرح هذا الدليل العملية بلغة واضحة، من منظور الشركة ومن منظورك أنت.
متى تبدأ ساعة الـ72
تتمحور نافذة الـ72 ساعة حول فكرة واحدة: العلم بالخرق. بموجب المادة 33 من اللائحة العامة لحماية البيانات، يجب على المتحكم في البيانات إبلاغ السلطة الإشرافية المختصة عن خرق البيانات الشخصية خلال 72 ساعة من علمه به. في المملكة المتحدة، تلك السلطة هي مكتب مفوض المعلومات (ICO). وفي الاتحاد الأوروبي، هي سلطة حماية البيانات في الدولة العضو المعنية.
غالبًا ما تسبب نقطتان الارتباك التالي:
- تبدأ الساعة عند العلم بالخرق، وليس عند وقوع الهجوم. قد يكون الخرق قد حدث قبل أيام أو أسابيع. يبدأ الموعد النهائي من لحظة امتلاك المنظمة درجة معقولة من اليقين بأن البيانات الشخصية قد تعرّضت للاختراق.
- الموعد النهائي ليس فترة توقف للتحقيق. يُتوقع من المنظمات التصرف بسرعة. وحينما لا تتوفر التفاصيل الكاملة بعد، فإن النهج المعتاد هو الإبلاغ بما هو معروف وتقديم معلومات إضافية على مراحل.
إن تفويت الموعد النهائي دون مبرر معقول يمكن أن يشكّل في حد ذاته خرقًا للمادة 33، مما يعرّض المتحكم لإجراءات الإنفاذ، وفقًا للتعليقات القانونية على القاعدة.
ملاحظة عملية: تشمل الـ72 ساعة عطلات نهاية الأسبوع والعطلات الرسمية. فالخرق لا ينتظر ساعات العمل، لذا فإن خطة استجابة للحوادث مُختبَرة تهم أكثر من النوايا الحسنة.
ما يجب أن تخبر به الشركات مكتب مفوض المعلومات والأشخاص المتأثرين
إخطار الجهة التنظيمية وإخطار الأفراد واجبان منفصلان لهما محفزات مختلفة.
إبلاغ مكتب مفوض المعلومات. يُشترط التقرير عمومًا ما لم يكن الخرق من غير المرجح أن يؤدي إلى خطر على حقوق الأشخاص وحرياتهم. يجب أن يصف الإخطار طبيعة الخرق، وفئات الأشخاص والسجلات المتأثرة وأعدادهم التقريبية، والعواقب المحتملة، والتدابير المتخذة أو المقترحة للتعامل معه. كما يجب أن يتضمن بيانات الاتصال الخاصة بمسؤول حماية البيانات في المنظمة.
إبلاغ الأفراد. عندما يكون الخرق من المرجح أن يؤدي إلى خطر مرتفع على الأشخاص، يجب على المنظمة أيضًا إبلاغ المتأثرين دون تأخير لا مبرر له. ويجب أن تكون تلك الرسالة مكتوبة بلغة واضحة وأن تشرح ما حدث، والعواقب المحتملة، والخطوات التي يمكن للأشخاص اتخاذها لحماية أنفسهم.
عتبة التواصل مع الأفراد أعلى من عتبة التواصل مع الجهة التنظيمية. فصور جوازات السفر المسروقة، أو السجلات الصحية، أو التفاصيل المالية tend إلى تجاوزها بسهولة. وتُظهر حالات مثل تسريب بيانات جوازات سفر مجموعة LT عبر برنامج الفدية Deadlock كيف يمكن أن تنتهي وثائق الهوية في أيدي المجرمين، وهو بالضبط نوع الكشف الذي يشير إلى خطر مرتفع.
يُتوقع من المنظمات أيضًا الاحتفاظ بسجل داخلي لكل خرق، بما في ذلك تلك التي تقرر عدم الإبلاغ عنها، مع أسباب ذلك.
ما يجب عليك فعله إذا تعرّضت بياناتك للكشف
قد يبدو إشعار الخرق مجردًا. إليك قائمة مهام ملموسة يمكنك العمل من خلالها في اليوم نفسه.
- غيّر كلمة المرور المتأثرة وأي كلمات مرور مُعاد استخدامها. إذا كانت كلمة المرور نفسها تحمي حسابات أخرى، فغيّرها هي أيضًا. استخدم كلمة مرور فريدة لكل خدمة، ويُفضّل تخزينها في مدير كلمات مرور.
- فعّل المصادقة متعددة العوامل. يُفضّل استخدام تطبيق مصادقة أو مفتاح أجهزة على الرسائل النصية حيثما أمكن.
- اقرأ الإشعار بعناية. لاحظ أنواع البيانات المعنية: بيانات الاتصال، وثائق الهوية، المعلومات الصحية أو المالية. هذا يخبرك بالمخاطر التي يجب إعطاؤها الأولوية.
- راقب حساباتك. تحقق من كشوف الحسابات البنكية والبطاقات وفكّر في خدمة مراقبة الائتمان إذا كانت البيانات المالية أو وثائق الهوية معنية.
- كن حذرًا من الاتصالات غير المتوقعة. قد تكون رسائل البريد الإلكتروني أو النصوص أو المكالمات التي تشير إلى الخرق حقيقية، أو قد تكون عمليات احتيال تستخدمه كطُعم.
- قدّم طلب الوصول إلى البيانات الشخصية. بموجب اللائحة العامة لحماية البيانات في المملكة المتحدة والاتحاد الأوروبي، يمكنك أن تسأل منظمة عن البيانات الشخصية التي تحتفظ بها عنك، وفي كثير من الحالات كيف تُستخدم. يساعدك هذا على فهم تعرّضك الفعلي ويُنشئ أثرًا موثقًا.
- اعرف مسار الشكوى. إذا شعرت أن الشركة تعاملت مع الحادث بشكل سيئ، يمكنك رفع الأمر إلى مكتب مفوض المعلومات في المملكة المتحدة أو سلطة حماية البيانات الوطنية في الاتحاد الأوروبي.
لماذا تغذي البيانات المسروقة عمليات الاحتيال اللاحقة
غالبًا ما يكون الخرق الأولي مجرد المرحلة الأولى. فالبيانات المسروقة لها قيمة إعادة بيع وابتزاز، ويستخدمها المهاجمون بشكل متزايد للضغط على الأفراد مباشرة.
تُظهر التغطية الخاصة بـهجوم برنامج الفدية على AnMed وعملية ابتزاز المرضى كيف يحدث ذلك: فقد أشارت التقارير إلى أن المهاجمين ربما استخدموا بيانات المرضى المسروقة لتنفيذ محاولات ابتزاز مخصصة ضد الأشخاص الذين تنتمي إليهم تلك البيانات. فالتفاصيل الشخصية تجعل التهديد يبدو موثوقًا، ولهذا يمكن أن تكون هذه الرسائل فعالة للغاية.
يمكن أن تكون التسريبات علنية أيضًا. في حالة تسريب ShinyHunters لـ8.8 تيرابايت من بيانات One Medical المسروقة، نُشرت البيانات بعد ضغط الابتزاز، مما يعني أن أي شخص يمكنه الوصول إليها محتملًا. وبمجرد خروج المعلومات، يمكن استخدامها للتصيد والانتحال والاحتيال المستهدف لفترة طويلة بعد نسيان الحادث الأصلي.
هذا هو سبب أهمية الإخطار الفوري. فكلما عرف الناس أسرع، أمكنهم تأمين حساباتهم والتعرف على الاحتيال على حقيقته. والمنظمات الصغيرة ليست مستثناة أيضًا، كما يوضح حادثة برنامج الفدية في جايبور: فبرامج الفدية لا تميز حسب حجم الشركة، والفريق الذي يفتقر إلى موظفي أمن مخصصين لا يزال بحاجة إلى خطة استجابة.
ماذا يعني هذا بالنسبة لك
يمنحك القانون توقعًا معقولًا بأن تخبرك الشركة الجهة التنظيمية خلال 72 ساعة من علمها بالخرق، وأن تخبرك مباشرة إذا كان الخطر عليك مرتفعًا. لكنه لا يضمن بقاء بياناتك آمنة، ولا يمكنه التراجع عن تسريب. واستجابتك أنت هي ما يحد من الضرر.
إذا كنت تدير عملًا تجاريًا، فتعامل مع الـ72 ساعة كقيد تخطيطي: اعرف من يقرر ما إذا كان الخرق يستوجب الإبلاغ، ومن يتصل بمكتب مفوض المعلومات، وكيف ستصل إلى العملاء المتأثرين بسرعة.
النقاط الرئيسية
- تبدأ فترة الـ72 ساعة عندما تصبح المنظمة على علم بالخرق، وليس عندما بدأ.
- يجب إبلاغ مكتب مفوض المعلومات أو سلطة الاتحاد الأوروبي ما لم يكن الخطر على الأشخاص غير مرجح؛ ويجب إبلاغ الأفراد عندما يكون الخطر مرتفعًا.
- غيّر كلمات المرور، وفعّل المصادقة متعددة العوامل، وراقب حساباتك بمجرد تلقي إشعار.
- تعامل مع أي رسالة تذكر خرقًا بحذر، لأن المجرمين يعيدون استخدام البيانات المسروقة للابتزاز والتصيد.
- استخدم حقك في طلب بياناتك لمعرفة ما تحتفظ به المنظمة.
إن فهم قواعد الـ72 ساعة للإبلاغ عن خرق البيانات بموجب GDPR يساعدك على الحكم على ما إذا كانت الشركة تتصرف بشكل صحيح، لكن أفضل حماية لك هي التصرف بسرعة بنفسك. أمّن حساباتك اليوم، وابقَ متيقظًا لعمليات الاحتيال اللاحقة، واقرأ التغطية الخاصة بـAnMed وShinyHunters أعلاه لترى كيف تُساء استخدام البيانات المخترقة عمليًا.
