Kun yritys menettää henkilötietojen hallinnan, kello alkaa käydä nopeasti. UK:n ja EU:n GDPR:n mukaan GDPR-tietoturvaloukkauksen 72 tunnin säännöt asettavat tiukan määräajan valvontaviranomaisille ilmoittamiselle siitä, mitä tapahtui. Myös niille ihmisille, joiden tiedot ovat paljastuneet, nämä säännöt ovat merkityksellisiä, sillä ne muovaavat sitä, mitä kuulet, milloin kuulet sen ja mitä sinun tulisi tehdä seuraavaksi.

Tämä opas selittää prosessin selkokielellä sekä yrityksen että sinun näkökulmastasi.

Milloin 72 tunnin kello käynnistyy

72 tunnin ikkuna rakentuu yhden ajatuksen ympärille: tietoisuuden. GDPR:n 33 artiklan mukaan rekisterinpitäjän on ilmoitettava henkilötietojen tietoturvaloukkauksesta asianomaiselle valvontaviranomaiselle 72 tunnin kuluessa sen tiedoksi tulemisesta. UK:ssa tämä viranomainen on Information Commissioner's Office (ICO). EU:ssa se on asianomaisen jäsenvaltion tietosuojaviranomainen.

Kaksi kohtaa aiheuttavat usein sekaannusta:

  • Kello käynnistyy tietoisuudesta, ei hyökkäyksestä. Loukkaus on saattanut tapahtua päiviä tai viikkoja aiemmin. Määräaika juoksee siitä hetkestä, kun organisaatiolla on kohtuullinen varmuus siitä, että henkilötietoja on vaarantunut.
  • Määräaika ei ole tutkintatauko. Organisaatioiden odotetaan toimivan nopeasti. Kun täydellisiä tietoja ei vielä ole saatavilla, tavanomainen lähestymistapa on ilmoittaa se, mitä tiedetään, ja toimittaa lisätietoja vaiheittain.

Määräajan laiminlyöminen ilman kohtuullista perustelua voi itsessään olla 33 artiklan rikkomus, mikä altistaa rekisterinpitäjän valvontatoimenpiteille säännön oikeudellisen kommentaarin mukaan.

Käytännön huomautus: 72 tuntiin sisältyvät viikonloput ja juhlapäivät. Tietoturvaloukkaukset eivät odota virka-aikoja, joten testattu incident response -suunnitelma on tärkeämpi kuin hyvä aikomus.

Mitä yritysten on kerrottava ICO:lle ja asianomaisille henkilöille

Valvontaviranomaiselle ilmoittaminen ja yksityishenkilöille ilmoittaminen ovat kaksi erillistä velvollisuutta, joilla on erilaiset laukaisimet.

ICO:lle ilmoittaminen. Ilmoitus vaaditaan yleensä, ellei loukkauksesta todennäköisesti aiheudu riskiä ihmisten oikeuksille ja vapauksille. Ilmoituksessa olisi kuvattava loukkauksen luonne, asianomaisten henkilöiden ja tietueiden ryhmät ja likimääräiset lukumäärät, todennäköiset seuraukset sekä toimenpiteet, joihin on ryhdytty tai joita ehdotetaan loukkauksen käsittelemiseksi. Siinä olisi myös oltava organisaation tietosuojayhteyshenkilön yhteystiedot.

Yksityishenkilöille ilmoittaminen. Kun loukkaus todennäköisesti aiheuttaa korkean riskin ihmisille, organisaation on myös ilmoitettava asianomaisille henkilöille ilman aiheetonta viivytystä. Viesti olisi kirjoitettava selkeällä kielellä, ja siinä on selitettävä, mitä tapahtui, mitkä ovat todennäköiset seuraukset ja mitä toimenpiteitä ihmiset voivat tehdä suojautuakseen.

Yksityishenkilöihin yhteyden ottamisen kynnys on korkeampi kuin valvontaviranomaiseen yhteyden ottamisen kynnys. Varastetut passiskannaukset, terveystiedot tai taloudelliset tiedot ylittävät sen yleensä selvästi. Tapaukset, kuten Deadlockin ransomware-vuoto LT Groupin passitiedoista, osoittavat, miten henkilöllisyysasiakirjat voivat päätyä rikollisten käsiin, ja juuri tällainen altistuminen viittaa korkeaan riskiin.

Organisaatioiden odotetaan myös pitävän sisäistä kirjaa jokaisesta loukkauksesta, mukaan lukien niistä, joista ne päättävät olla ilmoittamatta, sekä perusteluista.

Mitä sinun tulisi tehdä, jos tietosi paljastuvat

Loukkausilmoitus voi tuntua abstraktilta. Tässä on konkreettinen tarkistuslista, jonka voit käydä läpi saman päivän aikana.

  1. Vaihda vaarantunut salasana ja kaikki uudelleenkäytetyt salasanat. Jos sama salasana suojaa muita tilejä, vaihda nekin. Käytä jokaisessa palvelussa yksilöllistä salasanaa, mieluiten salasananhallintaohjelmaan tallennettuna.
  2. Ota monivaiheinen tunnistautuminen käyttöön. Suosi todennussovellusta tai laitteistopohjaista avainta tekstiviestien sijaan, kun mahdollista.
  3. Lue ilmoitus huolellisesti. Huomioi, mitkä tietotyypit olivat mukana: yhteystiedot, henkilöllisyysasiakirjat, terveys- tai taloustiedot. Tämä kertoo, mitkä riskit sinun on priorisoitava.
  4. Seuraa tilejäsi. Tarkista pankki- ja korttitiliotteet ja harkitse luottoseurantapalvelua, jos mukana oli taloustietoja tai henkilöllisyysasiakirjoja.
  5. Suhtaudu skeptisesti odottamattomaan yhteydenottoon. Sähköpostit, tekstiviestit tai puhelut, jotka viittaavat loukkaukseen, voivat olla aitoja tai huijauksia, jotka käyttävät sitä syöttinä.
  6. Tee tietojensaantipyyntö. UK:n ja EU:n GDPR:n mukaan voit kysyä organisaatiolta, mitä henkilötietoja se sinusta pitää ja monissa tapauksissa, miten niitä käytetään. Tämä auttaa sinua ymmärtämään todellisen altistumisesi ja luo paperijäljen.
  7. Tunne valitusreittisi. Jos koet, että yritys hoiti tapauksen huonosti, voit nostaa asian esiin ICO:ssa UK:ssa tai kansallisessa tietosuojaviranomaisessasi EU:ssa.

Miksi varastetut tiedot ruokkivat jatkohuijauksia

Alkuperäinen loukkaus on usein vain ensimmäinen vaihe. Varastetuilla tiedoilla on jälleenmyynti- ja kiristysarvoa, ja hyökkääjät käyttävät niitä yhä enemmän painostaakseen yksityishenkilöitä suoraan.

Uutisointi AnMedin ransomware-hyökkäyksestä ja potilaiden kiristyshuijauksesta osoittaa, miten tämä toimii: raporttien mukaan hyökkääjät ovat saattaneet käyttää varastettuja potilastietoja kohdennettujen kiristysyritysten toteuttamiseen niitä ihmisiä vastaan, joille tiedot kuuluivat. Henkilökohtaiset tiedot tekevät uhkauksesta uskottavan, minkä vuoksi nämä viestit voivat olla niin tehokkaita.

Vuodot voivat olla myös julkisia. Tapauksessa, jossa ShinyHunters vuoti 8,8 TB varastettua One Medical -dataa, tiedot julkaistiin kiristyspaineen jälkeen, mikä tarkoittaa, että kuka tahansa saattoi mahdollisesti päästä niihin käsiksi. Kun tiedot ovat ulkona, niitä voidaan käyttää tietojenkalasteluun, henkilöllisyyden väärentämiseen ja kohdennettuun petokseen kauan sen jälkeen, kun alkuperäinen tapaus on unohdettu.

Tämän vuoksi nopea ilmoittaminen on tärkeää. Mitä aiemmin ihmiset tietävät, sitä aiemmin he voivat lukita tilinsä ja tunnistaa huijauksen sellaiseksi kuin se on. Pienetkään organisaatiot eivät ole vapautettuja, kuten Jaipurin ransomware-tapaus osoittaa: ransomware ei tee eroa yrityksen koon perusteella, ja tiimi ilman erillistä turvahenkilöstöä tarvitsee silti vastaussuunnitelman.

Mitä tämä tarkoittaa sinulle

Laki antaa sinulle kohtuullisen odotuksen siitä, että yritys ilmoittaa valvontaviranomaiselle 72 tunnin kuluessa loukkauksen tiedoksi tulemisesta ja kertoo sinulle suoraan, jos riski sinulle on korkea. Se ei takaa, että tietosi pysyvät turvassa, eikä se voi peruuttaa vuotoa. Oma vastauksesi on se, mikä rajoittaa vahinkoa.

Jos pyörität yritystä, pidä 72 tuntia suunnittelun rajoitteena: tiedä, kuka päättää, onko loukkauksesta ilmoitettava, kuka ottaa yhteyttä ICO:hon ja miten tavoittaisit asianomaiset asiakkaat nopeasti.

Keskeiset opit

  • 72 tunnin jakso alkaa, kun organisaatio tulee tietoiseksi loukkauksesta, ei silloin, kun se alkoi.
  • ICO:lle tai EU:n viranomaiselle on ilmoitettava, ellei riski ihmisille ole epätodennäköinen; yksityishenkilöille on ilmoitettava, kun riski on korkea.
  • Vaihda salasanat, ota monivaiheinen tunnistautuminen käyttöön ja seuraa tilejäsi heti, kun saat ilmoituksen.
  • Suhtaudu varoen mihin tahansa viestiin, joka mainitsee loukkauksen, sillä rikolliset käyttävät varastettuja tietoja uudelleen kiristykseen ja tietojenkalasteluun.
  • Käytä oikeuttasi pyytää tietojasi nähdäksesi, mitä organisaatiolla on hallussaan.

GDPR-tietoturvaloukkauksen 72 tunnin sääntöjen ymmärtäminen auttaa sinua arvioimaan, toimiiko yritys asianmukaisesti, mutta paras suojasi on toimia itse nopeasti. Turvaa tilisi tänään, pysy valppaana jatkohuijausten varalta ja lue yllä oleva AnMed- ja ShinyHunters-uutisointi nähdäksesi, miten vaarantuneita tietoja käytetään väärin käytännössä.