Když společnost ztratí kontrolu nad osobními údaji, hodiny se začnou rychle odpočítávat. Podle britského a unijního GDPR stanovují pravidla GDPR pro oznámení porušení zabezpečení do 72 hodin pevnou lhůtu pro informování regulačních orgánů o tom, co se stalo. Pro lidi, jejichž údaje byly odhaleny, jsou tato pravidla také důležitá, protože určují, co uslyšíte, kdy to uslyšíte a co byste měli udělat dál.

Tento průvodce vysvětluje proces srozumitelným jazykem, a to z pohledu společnosti i z toho vašeho.

Kdy začíná běžet 72hodinová lhůta

72hodinové okno je postaveno na jediné myšlence: vědomí. Podle článku 33 GDPR musí správce údajů oznámit porušení zabezpečení osobních údajů příslušnému dozorovému orgánu do 72 hodin od okamžiku, kdy se o něm dozvěděl. Ve Spojeném království je tímto orgánem Úřad informačního komisaře (ICO). V EU je to orgán pro ochranu údajů příslušného členského státu.

Dva body často způsobují zmatek:

  • Lhůta začíná běžet od okamžiku vědomí, nikoli od útoku. K porušení mohlo dojít dny nebo týdny předtím. Lhůta běží od chvíle, kdy má organizace přiměřený stupeň jistoty, že došlo ke kompromitaci osobních údajů.
  • Lhůta není pauzou na vyšetřování. Od organizací se očekává rychlé jednání. Pokud dosud nejsou k dispozici úplné podrobnosti, obvyklým postupem je oznámit, co je známo, a další informace poskytnout postupně.

Nedodržení lhůty bez rozumného odůvodnění může samo o sobě představovat porušení článku 33, což správce vystavuje donucovacím opatřením, podle právního komentáře k tomuto pravidlu.

Praktická poznámka: 72 hodin zahrnuje víkendy a státní svátky. Porušení zabezpečení nečekají na úřední hodiny, takže otestovaný plán reakce na incidenty je důležitější než dobrý úmysl.

Co musí společnosti sdělit ICO a postiženým lidem

Oznámení regulačnímu orgánu a oznámení jednotlivcům jsou dvě samostatné povinnosti s různými spouštěcími podmínkami.

Oznámení ICO. Oznámení je obecně vyžadováno, pokud porušení pravděpodobně nepovede k riziku pro práva a svobody lidí. Oznámení by mělo popsat povahu porušení, kategorie a přibližný počet postižených lidí a záznamů, pravděpodobné důsledky a opatření přijatá nebo navržená k řešení. Mělo by také obsahovat kontaktní údaje na osobu odpovědnou za ochranu údajů v organizaci.

Oznámení jednotlivcům. Pokud porušení pravděpodobně povede k vysokému riziku pro lidi, musí organizace bez zbytečného odkladu informovat také postižené osoby. Tato zpráva by měla být napsána srozumitelným jazykem a vysvětlit, co se stalo, jaké jsou pravděpodobné důsledky a jaká opatření mohou lidé podniknout na svou ochranu.

Laťka pro kontaktování jednotlivců je vyšší než laťka pro kontaktování regulačního orgánu. Ukradené skeny pasů, zdravotní záznamy nebo finanční údaje se obvykle pohodlně nacházejí nad ní. Případy jako únik pasových údajů společnosti LT Group v souvislosti s ransomware Deadlock ukazují, jak se doklady totožnosti mohou dostat do rukou zločinců, což je přesně ten druh expozice, který ukazuje na vysoké riziko.

Od organizací se také očekává, že povedou interní záznam o každém porušení zabezpečení, včetně těch, která se rozhodnou neoznámit, spolu s odůvodněním.

Co byste měli udělat, pokud byly vaše údaje odhaleny

Oznámení o porušení zabezpečení může působit abstraktně. Zde je konkrétní kontrolní seznam, který můžete projít ještě tentýž den.

  1. Změňte postižené heslo a všechna znovu použitá hesla. Pokud stejné heslo chrání další účty, změňte je také. Pro každou službu používejte jedinečné heslo, ideálně uložené ve správci hesel.
  2. Zapněte vícefaktorové ověřování. Pokud možno dejte přednost aplikaci pro ověřování nebo hardwarovému klíči před textovými zprávami.
  3. Pečlivě si přečtěte oznámení. Všimněte si, které typy údajů byly zahrnuty: kontaktní údaje, doklady totožnosti, zdravotní nebo finanční informace. To vám řekne, která rizika je třeba upřednostnit.
  4. Sledujte své účty. Kontrolujte výpisy z banky a karetních transakcí a zvažte službu monitorování úvěru, pokud byly zahrnuty finanční údaje nebo doklady totožnosti.
  5. Buďte nedůvěřiví vůči neočekávanému kontaktu. E-maily, textové zprávy nebo hovory odkazující na porušení zabezpečení mohou být pravé, nebo mohou být podvody, které to využívají jako návnadu.
  6. Podejte žádost o přístup k údajům. Podle britského a unijního GDPR můžete organizaci požádat o informaci, jaké osobní údaje o vás uchovává, a v mnoha případech také jak jsou využívány. To vám pomůže pochopit vaši skutečnou expozici a vytvoří to dokumentační stopu.
  7. Znejte svou cestu pro stížnost. Pokud máte pocit, že společnost incident zvládla špatně, můžete to nahlásit ICO ve Spojeném království nebo svému národnímu orgánu pro ochranu údajů v EU.

Proč ukradená data živí následné podvody

Počáteční porušení zabezpečení je často jen první fází. Ukradená data mají hodnotu pro další prodej a vydírání a útočníci je stále častěji využívají k přímému nátlaku na jednotlivce.

Zpravodajství o ransomwarovém útoku na AnMed a podvodném vydírání pacientů ukazuje, jak to funguje: zprávy naznačovaly, že útočníci mohli použít ukradená data pacientů k provádění personalizovaných pokusů o vydírání vůči lidem, kterým patřila. Osobní údaje dodávají hrozbě zdání věrohodnosti, a proto mohou být tyto zprávy tak účinné.

Úniky mohou být také veřejné. V případě ShinyHunters, kteří zveřejnili 8,8 TB ukradených dat One Medical, byla data zveřejněna po nátlaku vydírání, což znamená, že k nim potenciálně mohl získat přístup kdokoli. Jakmile jsou informace venku, mohou být použity pro phishing, vydávání se za jinou osobu a cílené podvody dlouho poté, co je původní incident zapomenut.

Proto je včasné oznámení důležité. Čím dříve lidé vědí, tím dříve mohou zabezpečit účty a rozpoznat podvod jako podvod. Malé organizace nejsou výjimkou, jak ilustruje případ ransomwaru v Džajpuru: ransomware nerozlišuje podle velikosti společnosti a tým bez specializovaných bezpečnostních pracovníků stále potřebuje plán reakce.

Co to znamená pro vás

Zákon vám dává rozumné očekávání, že společnost oznámí porušení zabezpečení regulačnímu orgánu do 72 hodin od okamžiku, kdy se o něm dozvěděla, a že vás přímo informuje, pokud je riziko pro vás vysoké. Nezaručuje, že vaše data zůstanou v bezpečí, a nemůže vrátit zpět únik. Vaše vlastní reakce je to, co omezuje škody.

Pokud podnikáte, berte 72 hodin jako plánovací omezení: vězte, kdo rozhoduje o tom, zda je porušení zabezpečení nutné oznámit, kdo kontaktuje ICO a jak byste rychle oslovili postižené zákazníky.

Klíčové poznatky

  • 72hodinová lhůta začíná běžet, když se organizace o porušení zabezpečení dozví, nikoli když k němu došlo.
  • ICO nebo orgán EU musí být informován, pokud riziko pro lidi není nepravděpodobné; jednotlivci musí být informováni, když je riziko vysoké.
  • Změňte hesla, zapněte vícefaktorové ověřování a sledujte své účty, jakmile obdržíte oznámení.
  • S každou zprávou, která zmiňuje porušení zabezpečení, zacházejte opatrně, protože zločinci znovu využívají ukradená data k vydírání a phishingu.
  • Využijte své právo požádat o své údaje, abyste zjistili, co organizace uchovává.

Pochopení pravidel GDPR pro oznámení porušení zabezpečení do 72 hodin vám pomůže posoudit, zda společnost jedná správně, ale vaší nejlepší ochranou je rychle jednat sami. Zabezpečte své účty ještě dnes, zůstaňte ve střehu vůči následným podvodům a přečtěte si výše uvedené zpravodajství o AnMed a ShinyHunters, abyste viděli, jak jsou porušená data v praxi zneužívána.