Amikor egy vállalat elveszíti a személyes adatok feletti kontrollt, az óra gyorsan elkezd ketyegni. Az Egyesült Királyság és az EU GDPR-ja szerint a **GDPR adatvédelmi incidens 72 órás szabályai** szigorú határidőt szabnak a szabályozó hatóságok értesítésére arról, mi történt. Azok számára is fontosak ezek a szabályok, akiknek az adatai nyilvánosságra kerültek, mert ezek alakítják, mit hallasz, mikor hallod, és mit kell tenned ezután. Ez az útmutató közérthető nyelven magyarázza el a folyamatot, a vállalat és a te oldaladról egyaránt. ## Mikor indul a 72 órás óra A 72 órás időablak egyetlen gondolat köré épül: a tudomásszerzés. A GDPR 33. cikke szerint az adatkezelőnek a személyes adatok megsértését a tudomásszerzéstől számított 72 órán belül be kell jelentenie az illetékes felügyeleti hatóságnak. Az Egyesült Királyságban ez a hatóság az Information Commissioner's Office (ICO). Az EU-ban az érintett tagállam adatvédelmi hatósága. Két pont gyakran okoz zavart: - **Az óra a tudomásszerzéskor indul, nem a támadáskor.** Az incidens napokkal vagy hetekkel korábban történhetett. A határidő attól az időponttól számítandó, amikor a szervezet ésszerű bizonyossággal tudja, hogy személyes adatok sérültek. - **A határidő nem a vizsgálat szüneteltetése.** A szervezetektől elvárják a gyors cselekvést. Ha a teljes részletek még nem állnak rendelkezésre, a szokásos megközelítés az, hogy jelentik, ami ismert, és szakaszosan szolgáltatnak további információkat. A határidő ésszerű indoklás nélküli elmulasztása maga is a 33. cikk megsértése lehet, ami a szabályról szóló jogi kommentárok szerint végrehajtási intézkedéseknek teszi ki az adatkezelőt. Gyakorlati megjegyzés: a 72 óra magában foglalja a hétvégéket és a munkaszüneti napokat. Az incidensek nem várnak munkaidőre, ezért a tesztelt incidenskezelési terv többet ér, mint a jó szándék. ## Mit kell a vállalatoknak elmondaniuk az ICO-nak és az érintetteknek A szabályozó hatóság értesítése és az érintett személyek értesítése két külön kötelezettség, különböző kiváltó okokkal. **Az ICO értesítése.** Jelentésre általában akkor van szükség, kivéve, ha az incidens valószínűleg nem eredményez kockázatot az emberek jogaira és szabadságaira nézve. Az értesítésnek ismertetnie kell az incidens természetét, az érintett személyek és adatnyilvántartások kategóriáit és hozzávetőleges számát, a valószínű következményeket, valamint a kezelésére tett vagy tervezett intézkedéseket. Tartalmaznia kell továbbá a szervezet adatvédelmi kapcsolattartójának elérhetőségeit. **Az érintett személyek értesítése.** Ha az incidens valószínűleg *magas* kockázatot eredményez az emberekre nézve, a szervezetnek indokolatlan késedelem nélkül értesítenie kell az érintetteket is. Az üzenetet közérthető nyelven kell megfogalmazni, és el kell magyaráznia, mi történt, mik a valószínű következmények, és milyen lépéseket tehetnek az emberek önmaguk védelme érdekében. Az érintett személyek értesítésének küszöbe magasabb, mint a szabályozó hatóság értesítésének küszöbe. Az ellopott útlevél-szkennelések, egészségügyi nyilvántartások vagy pénzügyi adatok általában kényelmesen e küszöb felett vannak. Az olyan esetek, mint a [Deadlock zsarolóvírus LT Group útlevéladatok szivárgása](/en/deadlock-ransomware-leak-lt-group-passport-data), megmutatják, hogyan kerülhetnek személyazonosító okmányok bűnözők kezébe, ami pontosan az a fajta kitettség, amely magas kockázatra utal. A szervezetektől azt is elvárják, hogy minden incidensről belső nyilvántartást vezessenek, beleértve azokat is, amelyeket nem jelentenek be, az indoklással együtt. ## Mit kell tenned, ha az adataid nyilvánosságra kerültek Az incidensről szóló értesítés absztraktnak tűnhet. Íme egy konkrét ellenőrzőlista, amelyet még aznap végigvihetsz. 1. **Változtasd meg az érintett jelszót és minden újrahasznált jelszót.** Ha ugyanaz a jelszó más fiókokat is véd, azokat is változtasd meg. Használj egyedi jelszót minden szolgáltatáshoz, ideális esetben jelszókezelőben tárolva. 2. **Kapcsold be a többtényezős hitelesítést.** Lehetőleg hitelesítő alkalmazást vagy hardverkulcsot részesíts előnyben az SMS-ekkel szemben. 3. **Olvasd el figyelmesen az értesítést.** Jegyezd fel, milyen adattípusok érintettek: elérhetőségek, személyazonosító okmányok, egészségügyi vagy pénzügyi információk. Ez megmondja, mely kockázatokat kell előnyben részesítened. 4. **Figyeld a fiókjaidat.** Ellenőrizd a banki és kártyakivonatokat, és fontold meg hitelmonitoring szolgáltatás igénybevételét, ha pénzügyi adatok vagy személyazonosító okmányok érintettek. 5. **Légy szkeptikus a váratlan megkeresésekkel szemben.** Az incidensre hivatkozó e-mailek, szöveges üzenetek vagy hívások valódiak lehetnek, de csalások is, amelyek horogként használják az incidenst. 6. **Nyújts be hozzáférési kérelmet.** Az Egyesült Királyság és az EU GDPR-ja szerint kérheted egy szervezettől, hogy milyen személyes adatokat tárol rólad, és sok esetben azt is, hogyan használják azokat. Ez segít megérteni a valós kitettségedet, és papírnyomot hoz létre. 7. **Ismerd a panasztételi útvonaladat.** Ha úgy érzed, a vállalat rosszul kezelte az incidenst, jelezheted az ICO-nak az Egyesült Királyságban vagy a nemzeti adatvédelmi hatóságodnak az EU-ban. ## Miért táplálja a lopott adat a következményes csalásokat A kezdeti incidens gyakran csak az első szakasz. A lopott adatoknak viszonteladási és zsarolási értéke van, és a támadók egyre inkább arra használják, hogy közvetlenül nyomást gyakoroljanak az egyénekre. Az [AnMed zsarolóvírus-támadás és betegzsarolási csalás](/en/anmed-ransomware-attack-sparks-patient-extortion-scam) beszámolója megmutatja, hogyan működik ez: a jelentések szerint a támadók lopott betegadatokat használhattak személyre szabott zsarolási kísérletek végrehajtására azok ellen, akikhez az adatok tartoztak. A személyes adatok hitelessé teszik a fenyegetést, ezért lehetnek ezek az üzenetek olyan hatékonyak. A szivárgások nyilvánosak is lehetnek. A [ShinyHunters 8,8 TB ellopott One Medical adat szivárgása](/en/shinyhunters-leaks-8-8tb-of-stolen-one-medical-data) esetében az adatokat zsarolási nyomás után tették közzé, ami azt jelenti, hogy bárki potenciálisan hozzáférhetett hozzájuk. Ha az információ egyszer nyilvánosságra kerül, adathalászatra, személyiséglopásra és célzott csalásra használható jóval azután is, hogy az eredeti incidenst elfelejtették. Ezért számít a gyors értesítés. Minél hamarabb tudnak az emberek, annál hamarabb zárhatják le fiókjaikat és ismerhetik fel a csalást annak, ami. A kis szervezetek sem kivételek, amint azt a [Jaipur zsarolóvírus-eset](/en/jaipur-ransomware-attack-exposes-small-business-gaps) szemlélteti: a zsarolóvírus nem tesz különbséget vállalatméret szerint, és egy dedikált biztonsági személyzettel nem rendelkező csapatnak is szüksége van reagálási tervre. ## Mit jelent ez számodra A törvény ésszerű elvárást ad arról, hogy egy vállalat 72 órán belül értesíti a szabályozót, amint tudomást szerez egy incidensről, és közvetlenül értesít téged, ha a kockázat magas. Ez nem garantálja, hogy az adataid biztonságban maradnak, és nem tudja visszafordítani a szivárgást. A saját reagálásod az, ami korlátozza a kárt. Ha vállalkozást vezetsz, kezeld a 72 órát tervezési korlátként: tudd, ki dönti el, hogy egy incidens bejelentendő-e, ki veszi fel a kapcsolatot az ICO-val, és hogyan érnétek el gyorsan az érintett ügyfeleket. ## Kulcsfontosságú tanulságok - A 72 órás időszak akkor indul, amikor a szervezet tudomást szerez az incidensről, nem akkor, amikor az elkezdődött. - Az ICO-t vagy az EU hatóságát értesíteni kell, kivéve, ha valószínűtlen a kockázat az emberekre nézve; az érintett személyeket magas kockázat esetén kell értesíteni. - Változtass jelszavakat, kapcsold be a többtényezős hitelesítést, és figyeld a fiókjaidat, amint értesítést kapsz. - Kezeld óvatosan minden üzenetet, amely incidensre hivatkozik, mivel a bűnözők újrahasznosítják a lopott adatokat zsarolásra és adathalászatra. - Használd az adatkérési jogodat, hogy lásd, milyen adatokat tárol egy szervezet. A GDPR adatvédelmi incidens 72 órás szabályainak megértése segít megítélni, hogy egy vállalat megfelelően jár-e el, de a legjobb védelem a saját gyors cselekvésed. Biztosítsd a fiókjaidat még ma, légy éber a következményes csalásokkal szemben, és olvasd el a fenti AnMed és ShinyHunters beszámolókat, hogy lásd, hogyan használják vissza a kiszivárgott adatokat a gyakorlatban.