Svédország adatvédelmi hatósága, a Svéd Adatvédelmi Hatóság (IMY) pénzbírságot szabott ki a Miljödata IT- és HR-szoftverszolgáltatóra egy zsarolóvírus-támadást követően, amely egy nem megfelelően ellenőrzött tűzfal-komponenshez kapcsolódott, és 2,2 millió ember személyes adatait érintette. Az eset az adatvédelmi jogérvényesítés visszatérő problémájára világít rá: olyan incidensekre, amelyek nem egyetlen vállalat saját rendszereire vezethetők vissza, hanem egy olyan beszállítóra, amelyet számos szervezet bízott meg érzékeny információk kezelésével.
Mi történt a Miljödata incidensben
Az IMY szerint a Miljödata nem ellenőrizte megfelelően a sebezhető tűzfal-komponenst, mielőtt azt az infrastruktúrájában telepítette volna. Ez a mulasztás rést nyitott, amelyet a támadók kihasználtak, végül egy zsarolóvírus-incidenshez vezetve, amely milliók személyes adatait érintette. Mivel a Miljödata HR-szoftvert szállít más szervezeteknek, a következmények messze túlterjedtek saját ügyfélkörén, és elérték azokat a munkavállalói és személyes nyilvántartásokat is, amelyeket ezek a szervezetek kezelnek.
Ez ismerős forma a jelentős adatvédelmi incidenseknél: egyetlen beszállító gyenge láncszeme kifelé terjed, olyan embereket érintve, akik talán soha nem hallottak arról a cégről, amely az adataik védelméért felelős. Ugyanez a dinamika figyelhető meg más közelmúltbeli esetekben is, beleértve az Origin Energy incidensét, ahol több százezer ügyfél személyes adataihoz fértek hozzá egy harmadik féltől származó rendszeren keresztül, valamint a Cegedim Santé franciaországi incidensét, ahol egy egészségügyi szoftverszolgáltató kompromittálódása millió orvosi feljegyzést tett ki az ország egészségügyi minisztériumához kapcsolódóan.
Miért bírságolta meg az IMY a Miljödata céget
A GDPR értelmében a személyes adatokat kezelő szervezeteknek megfelelő technikai és szervezési intézkedéseket kell végrehajtaniuk azok biztonságának érdekében, beleértve az általuk használt szoftver- és hardverkomponensek megfelelő ellenőrzését. Az IMY döntése azon az elven alapul, hogy a Miljödata nem felelt meg ennek a követelménynek: az incidens középpontjában álló tűzfal-komponensről állítólag ismert volt, hogy sebezhetőségeket hordoz, mégis ellenőrzés nélkül helyezték üzembe, amelyet a szabályozók egy ekkora léptékű adatkezelést végző cégtől elvárnának.
A bírság egyértelmű jelzést küld arról, hogy a szabályozók hajlandók felelősségre vonni az infrastruktúra- és szoftverszállítókat, nem csak azokat a végfelhasználói szervezeteket, amelyeknek a neve egy adatvédelmi értesítésben megjelenik. Azoknak a cégeknek, amelyek HR-, bérszámfejtési vagy más háttérrendszereket szállítanak nagy ügyfélköröknek, a Miljödata eset emlékeztető arra, hogy a harmadik féltől származó komponensek biztonsági átvilágítása nem opcionális. Egyetlen javítatlan vagy nem megfelelően értékelt szoftver is kitéve olyan emberek adatait, akiknek nincs közvetlen kapcsolatuk a hibás beszállítóval.
Növekvő tendencia a harmadik féltől származó incidenseknél
A Miljödata incidens egy szélesebb trendbe illeszkedik: a nagyszabású adatvédelmi incidensek szoftverszállítóktól erednek, nem pedig azoktól a szervezetektől, amelyek ügyfeleinek vagy munkavállalóinak adatai végül kikerülnek. A CareCloud betegnyilvántartásokat érintő incidense és a Suno adatvédelmi incidenssel kapcsolatos késedelmes közzététel egyaránt szemlélteti, hogy a sebezhető harmadik féltől származó platformok csendesen milliókat tehetnek ki kockázatnak jóval azelőtt, hogy a nyilvánosság tudomást szerezne róla.
Ami ezeket az eseteket különösen frusztrálóvá teszi az érintett személyek számára, az az irányítás hiánya. Azok a munkavállalók, akiknek HR-adatait a Miljödata rendszerein keresztül kezelték, valószínűleg nem volt beleszólásuk abba, hogy munkáltatójuk melyik beszállítót választotta, vagy hogy az hogyan biztosította infrastruktúráját. Ugyanez igaz a hasonló harmadik féltől származó incidensek által érintett ügyfelekre és betegekre is. Az olyan szabályozói bírságok, mint a Miljödata esetében kiszabott, az egyik kevés rendelkezésre álló mechanizmus, amely a szállítókat jobb gyakorlatok felé tereli, amikor az egyéneknek maguknak nincs közvetlen befolyásuk.
Mit jelent ez az Ön számára
Ha Ön olyan munkavállaló, ügyfél vagy beteg, akinek adatai egy Miljödata-hoz hasonló rendszeren keresztül haladhattak át, személyesen keveset tehetett volna az incidens megelőzése érdekében, de vannak lépések, amelyeket érdemes most megtenni. Figyelje az incidensről szóló értesítéseket munkáltatójától vagy bármely szervezettől, amely a Miljödata HR-szoftverét használhatta, és kezelje az incidensről szóló bármely kommunikációt lehetőségként annak áttekintésére, hogy milyen adatok kerültek ki. Ha pénzügyi vagy azonosítási adatok is érintettek voltak az incidensben, fontolja meg számlái és hitelaktivitása figyelését a visszaélés szokatlan jelei után kutatva.
Tágabb értelemben ez az eset hasznos emlékeztető arra, hogy kérdezzen rá, hogyan ellenőrzik azok a szervezetek, amelyekkel kapcsolatban áll, legyen az munkáltató, egészségügyi szolgáltató vagy közszolgáltató, az általuk igénybe vett szoftverszállítókat. Az adatvédelem csak olyan erős, mint az ellátási lánc leggyengébb láncszeme, és ez a gyenge láncszem egyre inkább egy harmadik féltől származó beszállító, nem pedig az a szervezet, amelyre közvetlenül bízza információit.
Kulcsfontosságú tanulságok
- Svédország IMY-je megbírságolta a Miljödata céget egy zsarolóvírus-támadás után, amely egy nem megfelelően ellenőrzött tűzfal-komponenshez kapcsolódott, és 2,2 millió ember adatait tette ki.
- Az incidens szemlélteti, hogy a beszállítói biztonsági hiányosságok hogyan gyűrűzhetnek kifelé, olyan embereket érintve, akiknek nincs közvetlen kapcsolatuk magával a beszállítóval.
- Ha úgy véli, hogy adatait a Miljödata rendszerein keresztül kezelték, figyelje a hivatalos incidenstartalmú értesítéseket, és ellenőrizze számláit gyanús tevékenység után kutatva.
- A szoftverszállítókkal szembeni szabályozói bírságok, nem csak a végfelhasználói cégekkel szembeniek, a teljes adatellátási lánc GDPR szerinti elszámoltathatóságára irányuló szélesebb törekvést jeleznek.
Ahogy az ehhez hasonló incidensek továbbra is felszínre kerülnek, tájékozottnak maradni arról, hogyan mozognak adatai harmadik féltől származó rendszereken keresztül, és arra ösztönözni a megbízott szervezeteket, hogy erős beszállítói biztonságot követeljenek meg, továbbra is az egyik legpraktikusabb módja önmaga védelmének.
