Когда компания теряет контроль над персональными данными, отсчёт начинается быстро. Согласно GDPR Великобритании и ЕС, правила 72 часов при утечке данных по GDPR устанавливают жёсткий срок для уведомления регуляторов о произошедшем. Для людей, чьи данные были скомпрометированы, эти правила тоже важны, потому что они определяют, что вы услышите, когда вы это услышите и что вам следует делать дальше.

Это руководство объясняет процесс простым языком — как со стороны компании, так и с вашей.

Когда начинается отсчёт 72 часов

72-часовое окно построено вокруг одной идеи: осведомлённости. Согласно статье 33 GDPR, контролёр данных обязан сообщить об утечке персональных данных соответствующему надзорному органу в течение 72 часов с момента, когда он узнал о ней. В Великобритании таким органом является Управление информационного комиссара (ICO). В ЕС — орган по защите данных соответствующего государства-члена.

Два момента часто вызывают путаницу:

  • Отсчёт начинается с момента осведомлённости, а не с момента атаки. Утечка могла произойти за дни или недели до этого. Срок отсчитывается с того момента, когда организация имеет разумную степень уверенности в том, что персональные данные были скомпрометированы.
  • Срок не является паузой для расследования. Организации обязаны действовать быстро. Если полные сведения ещё недоступны, обычный подход — сообщить то, что известно, и предоставить дополнительную информацию поэтапно.

Пропуск срока без разумного обоснования сам по себе может быть нарушением статьи 33, что подвергает контролёра риску принудительных мер, согласно юридическим комментариям к правилу.

Практическое замечание: 72 часа включают выходные и государственные праздники. Утечки не ждут рабочих часов, поэтому проверенный план реагирования на инциденты важнее благих намерений.

Что компании обязаны сообщить ICO и пострадавшим людям

Уведомление регулятора и уведомление отдельных лиц — это две отдельные обязанности с разными триггерами.

Уведомление ICO. Отчёт, как правило, требуется, если только утечка вряд ли приведёт к риску для прав и свобод людей. Уведомление должно описывать характер утечки, категории и примерное количество затронутых людей и записей, вероятные последствия и меры, принятые или предлагаемые для её устранения. Оно также должно содержать контактные данные лица, отвечающего за защиту данных в организации.

Уведомление отдельных лиц. Когда утечка вероятно приведёт к высокому риску для людей, организация также обязана сообщить об этом пострадавшим без неоправданной задержки. Это сообщение должно быть написано понятным языком и объяснять, что произошло, каковы вероятные последствия и какие шаги люди могут предпринять для защиты себя.

Порог для уведомления отдельных лиц выше, чем порог для уведомления регулятора. Похищенные сканы паспортов, медицинские записи или финансовые данные, как правило, уверенно превышают его. Такие случаи, как утечка паспортных данных LT Group в результате атаки программы-вымогателя Deadlock, показывают, как документы, удостоверяющие личность, могут оказаться в руках преступников — именно такого рода компрометация указывает на высокий риск.

Организации также обязаны вести внутренний учёт каждой утечки, включая те, которые они решили не сообщать, вместе с обоснованием.

Что вам следует делать, если ваши данные скомпрометированы

Уведомление об утечке может казаться абстрактным. Вот конкретный контрольный список, который вы можете проработать в тот же день.

  1. Смените затронутый пароль и все повторно используемые. Если тот же пароль защищает другие аккаунты, смените и их. Используйте уникальный пароль для каждого сервиса, желательно хранящийся в менеджере паролей.
  2. Включите многофакторную аутентификацию. По возможности предпочитайте приложение-аутентификатор или аппаратный ключ вместо текстовых сообщений.
  3. Внимательно прочитайте уведомление. Отметьте, какие типы данных были затронуты: контактные данные, документы, удостоверяющие личность, медицинская или финансовая информация. Это подскажет, какие риски нужно расставить по приоритету.
  4. Следите за своими счетами. Проверяйте банковские выписки и выписки по картам и рассмотрите услугу мониторинга кредитной истории, если были затронуты финансовые данные или документы, удостоверяющие личность.
  5. Относитесь скептически к неожиданным контактам. Электронные письма, текстовые сообщения или звонки, ссылающиеся на утечку, могут быть подлинными, а могут быть мошенничеством, использующим её как приманку.
  6. Подайте запрос на доступ к данным. Согласно GDPR Великобритании и ЕС вы можете запросить у организации, какие персональные данные она хранит о вас, и во многих случаях — как они используются. Это помогает понять вашу реальную подверженность риску и создаёт документальный след.
  7. Знайте, куда подавать жалобу. Если вы считаете, что компания плохо справилась с инцидентом, вы можете обратиться в ICO в Великобритании или в национальный орган по защите данных в ЕС.

Почему украденные данные подпитывают последующие мошенничества

Первоначальная утечка часто является лишь первым этапом. Украденные данные имеют ценность для перепродажи и вымогательства, и злоумышленники всё чаще используют их для прямого давления на людей.

Материалы об атаке программы-вымогателя на AnMed и схеме вымогательства у пациентов показывают, как это работает: сообщения указывали на то, что злоумышленники могли использовать украденные данные пациентов для проведения персонализированных попыток вымогательства против людей, которым они принадлежали. Личные данные делают угрозу правдоподобной, поэтому такие сообщения могут быть настолько эффективными.

Утечки также могут быть публичными. В случае ShinyHunters, опубликовавших 8,8 ТБ украденных данных One Medical, данные были обнародованы после давления с целью вымогательства, что означает, что любой потенциально мог получить к ним доступ. Как только информация оказывается в открытом доступе, она может использоваться для фишинга, выдачи себя за другое лицо и целевого мошенничества ещё долго после того, как первоначальный инцидент забыт.

Вот почему своевременное уведомление имеет значение. Чем раньше люди узнают, тем раньше они смогут заблокировать аккаунты и распознать мошенничество. Малые организации тоже не освобождены, как показывает случай программы-вымогателя в Джайпуре: программы-вымогатели не делают различий по размеру компании, и команде без выделенных специалистов по безопасности всё равно нужен план реагирования.

Что это значит для вас

Закон даёт вам разумное основание ожидать, что компания сообщит регулятору в течение 72 часов с момента обнаружения утечки и сообщит вам напрямую, если риск для вас высок. Он не гарантирует, что ваши данные останутся в безопасности, и не может отменить утечку. Именно ваша собственная реакция ограничивает ущерб.

Если вы руководите бизнесом, рассматривайте 72 часа как планировочное ограничение: знайте, кто решает, подлежит ли утечка обязательному уведомлению, кто связывается с ICO и как вы быстро свяжетесь с пострадавшими клиентами.

Ключевые выводы

  • 72-часовой период начинается, когда организация узнаёт об утечке, а не когда она началась.
  • ICO или орган ЕС должны быть уведомлены, если только риск для людей маловероятен; отдельные лица должны быть уведомлены, когда риск высок.
  • Смените пароли, включите многофакторную аутентификацию и следите за своими счетами, как только получите уведомление.
  • Относитесь с осторожностью к любому сообщению, упоминающему утечку, поскольку преступники используют украденные данные для вымогательства и фишинга.
  • Используйте своё право на запрос данных, чтобы узнать, что организация хранит о вас.

Понимание правил 72 часов при утечке данных по GDPR помогает вам оценить, действует ли компания надлежащим образом, но ваша лучшая защита — быстро действовать самому. Защитите свои аккаунты сегодня, оставайтесь бдительными в отношении последующих мошенничеств и прочитайте материалы об AnMed и ShinyHunters выше, чтобы увидеть, как скомпрометированные данные используются на практике.