Когато една компания загуби контрол върху лични данни, часовникът започва да тиктака бързо. Съгласно GDPR на Обединеното кралство и ЕС, правилата за 72 часа при нарушаване на данни по GDPR определят твърд краен срок за уведомяване на регулаторите какво се е случило. За хората, чиито данни са били изложени, тези правила също имат значение, защото те определят какво ще чуете, кога ще го чуете и какво трябва да направите след това.

Това ръководство обяснява процеса на разбираем език — от гледна точка на компанията и от вашата гледна точка.

Кога започва да тече 72-часовият срок

72-часовият прозорец се гради около една единствена идея: осведоменост. Съгласно член 33 от GDPR, администраторът на лични данни трябва да уведоми съответния надзорен орган за нарушение на сигурността на личните данни в срок от 72 часа след като е станал за него. В Обединеното кралство този орган е Службата на комисаря по информацията (ICO). В ЕС това е органът за защита на данните на съответната държава членка.

Две точки често предизвикват объркване:

  • Часовникът започва да тече от момента на осведоменост, а не от атаката. Нарушението може да е станало дни или седмици по-рано. Крайният срок тече от момента, в който организацията има разумна степен на сигурност, че личните данни са били компрометирани.
  • Крайният срок не е пауза за разследване. Очаква се организациите да действат бързо. Когато все още не са налични пълни подробности, обичайният подход е да се докладва каквото е известно и да се предоставя допълнителна информация на етапи.

Пропускането на крайния срок без разумно основание може само по себе си да представлява нарушение на член 33, което излага администратора на принудителни действия, според правни коментари относно правилото.

Практическа бележка: 72-те часа включват събота и неделя, както и официалните празници. Нарушенията не изчакват работно време, затова изпробван план за реагиране при инциденти е по-важен от доброто намерение.

Какво трябва да съобщят компаниите на ICO и на засегнатите лица

Уведомяването на регулатора и уведомяването на физическите лица са две отделни задължения с различни условия за задействане.

Уведомяване на ICO. Доклад обикновено се изисква, освен ако нарушението е малко вероятно да доведе до риск за правата и свободите на хората. Уведомлението трябва да описва естеството на нарушението, категориите и приблизителния брой засегнати лица и записи, вероятните последици и мерките, предприети или предложени за справяне с него. То трябва да включва и данни за контакт с лицето за защита на данните в организацията.

Уведомяване на физическите лица. Когато нарушението е вероятно да доведе до висок риск за хората, организацията трябва също да уведоми засегнатите без неоправдано забавяне. Това съобщение трябва да бъде написано на ясен език и да обяснява какво се е случило, какви са вероятните последици и какви стъпки могат да предприемат хората, за да се защитят.

Прагът за свързване с физическите лица е по-висок от прага за свързване с регулатора. Откраднати сканирани паспорти, здравни досиета или финансови данни обикновено го надхвърлят с лекота. Случаи като изтичането на паспортни данни на LT Group от ransomware Deadlock показват как документите за самоличност могат да попаднат в ръцете на престъпници, което е точно видът излагане, който сочи към висок риск.

Очаква се също организациите да поддържат вътрешен запис за всяко нарушение, включително тези, които решат да не докладват, заедно с обосновката.

Какво трябва да направите, ако данните ви бъдат изложени

Уведомлението за нарушение може да изглежда абстрактно. Ето конкретен контролен списък, който можете да изминете още същия ден.

  1. Сменете засегнатата парола и всички повторно използвани пароли. Ако същата парола защитава други акаунти, сменете и тях. Използвайте уникална парола за всяка услуга, за предпочитане съхранявана в мениджър на пароли.
  2. Включете многофакторно удостоверяване. Предпочитайте приложение за удостоверяване или хардуерен ключ пред текстови съобщения, когато е възможно.
  3. Прочетете внимателно уведомлението. Отбележете кои видове данни са били засегнати: данни за контакт, документи за самоличност, здравна или финансова информация. Това ви показва кои рискове да приоритизирате.
  4. Следете акаунтите си. Проверявайте банковите извлечения и извлеченията по карти и обмислете услуга за кредитен мониторинг, ако са били засегнати финансови данни или документи за самоличност.
  5. Бъдете скептични към неочаквани контакти. Имейли, съобщения или обаждания, които споменават нарушението, може да са истински, но може и да са измами, които го използват като примамка.
  6. Направете заявление за достъп до лични данни. Съгласно GDPR на Обединеното кралство и ЕС можете да поискате от организацията да ви каже какви лични данни съхранява за вас и в много случаи как се използват. Това ви помага да разберете реалното си излагане и създава документална следа.
  7. Знайте пътя си за оплакване. Ако смятате, че компанията е Handling инцидента зле, можете да се обърнете към ICO в Обединеното кралство или към националния орган за защита на данните в ЕС.

Защо откраднатите данни захранват последващи измами

Първоначалното нарушение често е само първият етап. Откраднатите данни имат стойност за препродажба и изнудване, а нападателите все по-често ги използват, за да оказват натиск директно върху хората.

Репотажът за ransomware атаката срещу AnMed и измамата с изнудване на пациенти показва как работи това: според съобщенията нападателите може да са използвали откраднати пациентски данни, за да провеждат персонализирани опити за изнудване срещу хората, на които принадлежат. Личните подробности правят заплахата да изглежда достоверна, поради което тези съобщения могат да бъдат толкова ефективни.

Изтичанията могат да бъдат и публични. В случая с ShinyHunters, изтекли 8.8TB откраднати данни на One Medical, данните са били публикувани след натиск за изнудване, което означава, че всеки потенциално е могъл да получи достъп до тях. След като информацията излезе, тя може да се използва за фишинг, имитиране на самоличност и целенасочени измами дълго след като първоначалният инцидент бъде забравен.

Ето защо своевременното уведомяване е важно. Колкото по-рано хората знаят, толкова по-рано могат да заключат акаунтите си и да разпознаят измамата като такава. Малките организации също не са освободени, както илюстрира случаят с ransomware в Jaipur: ransomware не прави разлика по размер на компанията и екип без специален персонал по сигурността все още се нуждае от план за реагиране.

Какво означава това за вас

Законът ви дава разумно очакване, че компанията ще уведоми регулатора в срок от 72 часа след като е станала осведомена за нарушение, и ще ви уведоми директно, ако рискът за вас е висок. Той не гарантира, че данните ви остават в безопасност, и не може да отмени изтичане. Вашата собствена реакция е това, което ограничава щетите.

Ако ръководите бизнес, третирайте 72-те часа като ограничение при планирането: знайте кой решава дали дадено нарушение подлежи на докладване, кой се свързва с ICO и как бихте достигнали до засегнатите клиенти бързо.

Основни изводи

  • 72-часовият период започва, когато организацията стане осведомена за нарушение, а не когато то е започнало.
  • ICO или органът на ЕС трябва да бъдат уведомени, освен ако рискът за хората е малко вероятен; физическите лица трябва да бъдат уведомени, когато рискът е висок.
  • Сменете паролите, включете многофакторно удостоверяване и следете акаунтите си веднага щом получите уведомление.
  • Отнасяйте се с предпазливост към всяко съобщение, което споменава нарушение, тъй като престъпниците използват повторно откраднати данни за изнудване и фишинг.
  • Използвайте правото си да поискате данните си, за да видите какво съхранява дадена организация.

Разбирането на правилата за 72 часа при нарушаване на данни по GDPR ви помага да прецените дали една компания действа правилно, но най-добрата ви защита е сами да действате бързо. Заключете акаунтите си още днес, бъдете бдителни за последващи измами и прочетете репотажите за AnMed и ShinyHunters по-горе, за да видите как компрометираните данни се използват злонамерено на практика.