企業が個人データの管理を失ったとき、時計はすぐに動き始めます。英国およびEUのGDPRの下では、GDPRデータ侵害72時間ルールが、何が起きたかを規制当局に通知するための厳格な期限を定めています。データを暴露された人々にとっても、これらのルールは重要です。なぜなら、それはあなたが何をいつ聞くのか、そして次に何をすべきかを形作るからです。

このガイドでは、企業側とあなた側の両方の視点から、そのプロセスを平易な言葉で説明します。

72時間の時計はいつ始まるのか

72時間の期間は、ひとつの考え方を中心に組み立てられています。それは「認識」です。GDPR第33条の下では、データ管理者は個人データ侵害を認識してから72時間以内に、関連する監督機関に報告しなければなりません。英国では、その機関は情報コミッショナー事務局（ICO）です。EUでは、関連する加盟国のデータ保護当局です。

よく混乱を招く2つのポイントがあります：

  • 時計は攻撃時ではなく、認識時から始まる。 侵害は数日前や数週間前に起きていたかもしれません。期限は、組織が個人データが侵害されたことを合理的な確度で確信した時点から走ります。
  • 期限は調査のための一時停止ではない。 組織は迅速に行動することが期待されています。完全な詳細がまだ入手できない場合、通常のアプローチは、判明していることを報告し、追加情報を段階的に提供することです。

合理的な正当化なしに期限を逃すこと自体が第33条違反となり、管理者を執行措置にさらす可能性があると、このルールに関する法的解説は指摘しています。

実務上の注意点：72時間には週末と祝日が含まれます。侵害は就業時間を待ちません。そのため、試されたインシデント対応計画が善意よりも重要です。

企業がICOと影響を受ける人々に伝えなければならないこと

規制当局への通知と個人への通知は、異なるトリガーを持つ2つの別個の義務です。

ICOへの通知。 侵害が人々の権利と自由に対するリスクをもたらす可能性が低い場合を除き、報告が一般的に必要です。通知には、侵害の性質、影響を受ける人々と記録のカテゴリーと概算数、起こり得る結果、およびそれに対処するために取られたまたは提案された措置を記載すべきです。また、組織のデータ保護担当者の連絡先詳細も含めるべきです。

個人への通知。 侵害が人々に高いリスクをもたらす可能性がある場合、組織は影響を受ける人々にも不当な遅延なく通知しなければなりません。そのメッセージは明確な言葉で書かれ、何が起きたか、起こり得る結果は何か、そして人々が身を守るために取れる措置を説明すべきです。

個人への連絡の基準は、規制当局への連絡の基準よりも高いものです。盗まれたパスポートのスキャン、健康記録、または財務詳細は、それを容易に超える傾向があります。LT GroupのパスポートデータのDeadlockランサムウェア漏洩のような事例は、身分証明書がどのように犯罪者の手に渡るかを示しており、これはまさに高リスクを示す種類の露出です。

組織はまた、報告しないと決定したものを含め、すべての侵害の内部記録を、その理由とともに保持することが期待されています。

あなたのデータが暴露された場合にすべきこと

侵害通知は抽象的に感じられるかもしれません。以下は、同じ日に取り組める具体的なチェックリストです。

  1. 影響を受けたパスワードと再利用しているパスワードを変更する。 同じパスワードが他のアカウントを保護している場合は、それらも変更してください。各サービスに固有のパスワードを使用し、理想的にはパスワードマネージャーに保存してください。
  2. 多要素認証を有効にする。 可能であれば、テキストメッセージよりも認証アプリまたはハードウェアキーを優先してください。
  3. 通知を注意深く読む。 どのデータタイプが関与したかに注意してください：連絡先詳細、身分証明書、健康または財務情報。これにより、どのリスクを優先すべきかがわかります。
  4. アカウントを監視する。 銀行とカードの明細を確認し、財務データや身分証明書が関与した場合は信用監視サービスを検討してください。
  5. 予期しない連絡に懐疑的になる。 侵害に言及するメール、テキスト、または電話は本物かもしれず、またはそれをフックとして使用する詐欺かもしれません。
  6. subject access request（データアクセス要求）を行う。 英国およびEUのGDPRの下では、組織にあなたに関するどのような個人データを保持しているか、多くの場合それがどのように使用されているかを尋ねることができます。これはあなたの実際の露出を理解するのに役立ち、記録を残します。
  7. 苦情の経路を知る。 企業がインシデントを不適切に処理したと感じる場合、英国ではICOに、EUでは各国のデータ保護当局に提起できます。

盗まれたデータが後続の詐欺を助長する理由

最初の侵害はしばしば最初の段階にすぎません。盗まれたデータには転売と恐喝の価値があり、攻撃者はますますそれを個人に直接圧力をかけるために使用しています。

AnMedランサムウェア攻撃と患者恐喝詐欺の報道は、これがどのように機能するかを示しています：報道は、攻撃者が盗まれた患者データを使用して、それが属する人々に対して個人化された恐喝の試みを行った可能性があることを示唆しました。個人の詳細は脅威を信憑性のあるものにし、それがこれらのメッセージが非常に効果的であり得る理由です。

漏洩は公開されることもあります。ShinyHuntersが盗まれたOne Medicalデータの8.8TBを漏洩の事例では、恐喝圧力の後にデータが公開され、誰でも潜在的にアクセスできることを意味しました。情報が一度出てしまうと、元のインシデントが忘れられたずっと後まで、フィッシング、なりすまし、および標的型詐欺に使用される可能性があります。

これが迅速な通知が重要な理由です。人々が早く知るほど、早くアカウントをロックダウンし、詐欺をそれが何であるかとして認識できます。小規模組織も免除されません。ジャイプールランサムウェア事例が示すように：ランサムウェアは会社の規模で差別せず、専任のセキュリティスタッフがいないチームでも対応計画が必要です。

これがあなたにとって意味すること

法律は、企業が侵害を認識してから72時間以内に規制当局に通知し、あなたへのリスクが高い場合は直接あなたに通知するという合理的な期待をあなたに与えます。それはあなたのデータが安全であり続けることを保証するものではなく、漏洩を元に戻すこともできません。あなた自身の対応が損害を限定するものです。

事業を運営している場合は、72時間を計画上の制約として扱ってください：侵害が報告可能かどうかを誰が決定するか、誰がICOに連絡するか、そして影響を受ける顧客にどのように迅速に連絡するかを知っておいてください。

主なポイント

  • 72時間の期間は、組織が侵害を認識したときに始まり、それが始まったときではありません。
  • 人々へのリスクが低い可能性がない限り、ICOまたはEU当局に通知しなければなりません。リスクが高い場合は個人に通知しなければなりません。
  • 通知を受け取ったらすぐにパスワードを変更し、多要素認証を有効にし、アカウントを監視してください。
  • 侵害に言及するメッセージは注意して扱ってください。犯罪者は盗まれたデータを恐喝とフィッシングに再利用するからです。
  • データを要求する権利を使用して、組織が何を保持しているかを確認してください。

GDPRデータ侵害72時間ルールを理解することは、企業が適切に行動しているかどうかを判断するのに役立ちますが、最善の保護はあなた自身が迅速に行動することです。今日アカウントを保護し、後続の詐欺に警戒し、上記のAnMedとShinyHuntersの報道を読んで、侵害されたデータが実際にどのように悪用されるかを確認してください。