เมื่อบริษัทสูญเสียการควบคุมข้อมูลส่วนบุคคล นาฬิกาก็เริ่มเดินอย่างรวดเร็ว ภายใต้ GDPR ของสหราชอาณาจักรและสหภาพยุโรป กฎ 72 ชั่วโมงของ GDPR สำหรับการละเมิดข้อมูล กำหนดเส้นตายที่ชัดเจนในการแจ้งหน่วยงานกำกับดูแลถึงสิ่งที่เกิดขึ้น สำหรับผู้ที่ข้อมูลถูกเปิดเผย กฎเหล่านี้ก็มีความสำคัญเช่นกัน เพราะมันกำหนดสิ่งที่คุณจะได้ยิน เวลาที่คุณจะได้ยิน และสิ่งที่คุณควรทำต่อไป
คู่มือนี้อธิบายกระบวนการด้วยภาษาที่เข้าใจง่าย ทั้งจากมุมมองของบริษัทและจากมุมมองของคุณ
เมื่อนาฬิกา 72 ชั่วโมงเริ่มเดิน
กรอบเวลา 72 ชั่วโมงสร้างขึ้นจากแนวคิดเดียว: การตระหนักรู้ ภายใต้มาตรา 33 ของ GDPR ผู้ควบคุมข้อมูลต้องรายงานการละเมิดข้อมูลส่วนบุคคลต่อหน่วยงานกำกับดูแลที่เกี่ยวข้องภายใน 72 ชั่วโมงนับจากที่ตระหนักรู้ ในสหราชอาณาจักร หน่วยงานนั้นคือสำนักงานคณะกรรมการข้อมูล (ICO) ในสหภาพยุโรป คือหน่วยงานคุ้มครองข้อมูลของรัฐสมาชิกที่เกี่ยวข้อง
สองประเด็นที่มักทำให้เกิดความสับสน:
- นาฬิกาเริ่มเดินเมื่อตระหนักรู้ ไม่ใช่เมื่อการโจมตีเกิดขึ้น การละเมิดอาจเกิดขึ้นหลายวันหรือหลายสัปดาห์ก่อนหน้านั้น เส้นตายนับจากเวลาที่องค์กรมีความแน่ใจในระดับที่สมเหตุสมผลว่าข้อมูลส่วนบุคคลถูก compromise
- เส้นตายไม่ใช่การหยุดชะงักเพื่อสอบสวน องค์กรคาดว่าจะต้องดำเนินการอย่างรวดเร็ว ในกรณีที่ยังไม่มีรายละเอียดครบถ้วน แนวทางปกติคือรายงานสิ่งที่ทราบแล้วและให้ข้อมูลเพิ่มเติมเป็นระยะ
การพลาดเส้นตายโดยไม่มีเหตุผลอันสมเหตุสมผลถือเป็นการละเมิดมาตรา 33 ซึ่งทำให้ผู้ควบคุมข้อมูลเสี่ยงต่อการดำเนินการบังคับใช้กฎหมาย ตามคำอธิบายทางกฎหมายเกี่ยวกับกฎนี้
หมายเหตุเชิงปฏิบัติ: 72 ชั่วโมงรวมวันหยุดสุดสัปดาห์และวันหยุดนักขัตฤกษ์ การละเมิดไม่รอเวลาทำการ ดังนั้นแผนรับมือเหตุการณ์ที่ผ่านการทดสอบจึงสำคัญกว่าความตั้งใจดี
สิ่งที่บริษัทต้องแจ้ง ICO และผู้ที่ได้รับผลกระทบ
การแจ้งหน่วยงานกำกับดูแลและการแจ้งบุคคลเป็นหน้าที่สองประการที่แยกจากกันโดยมีเงื่อนไขtriggerต่างกัน
การแจ้ง ICO โดยทั่วไปจำเป็นต้องรายงานเว้นแต่การละเมิดไม่น่าจะส่งผลให้เกิดความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล การแจ้งควรอธิบายลักษณะของการละเมิด หมวดหมู่และจำนวนโดยประมาณของบุคคลและบันทึกที่ได้รับผลกระทบ ผลที่ตามมาที่likely มาตรการที่ดำเนินการหรือเสนอเพื่อจัดการ และควรมีรายละเอียดการติดต่อสำหรับผู้ติดต่อด้านการคุ้มครองข้อมูลขององค์กร
การแจ้งบุคคล เมื่อการละเมิดlikely จะส่งผลให้เกิดความเสี่ยงสูงต่อบุคคล องค์กรต้องแจ้งผู้ที่ได้รับผลกระทบโดยไม่ชักช้า ข้อความนั้นควรเขียนด้วยภาษาที่ชัดเจนและอธิบายว่าเกิดอะไรขึ้น ผลที่ตามมาที่likely คืออะไร และบุคคลสามารถดำเนินการอะไรได้บ้างเพื่อปกป้องตนเอง
เกณฑ์ในการติดต่อบุคคลนั้นสูงกว่าเกณฑ์ในการติดต่อหน่วยงานกำกับดูแล ภาพสแกนหนังสือเดินทางที่ถูกขโมย บันทึกสุขภาพ หรือรายละเอียดทางการเงินมักอยู่เหนือเกณฑ์ดังกล่าวอย่างชัดเจน กรณีเช่น การรั่วไหลของข้อมูลหนังสือเดินทางของ LT Group จากแรนซัมแวร์ Deadlock แสดงให้เห็นว่าเอกสารระบุตัวตนสามารถตกไปอยู่ในมือของอาชญากรได้อย่างไร ซึ่งเป็นประเภทของการเปิดเผยที่บ่งชี้ถึงความเสี่ยงสูง
องค์กรยังคาดว่าจะต้องเก็บบันทึกภายในของการละเมิดทุกครั้ง รวมถึงกรณีที่ตัดสินใจไม่รายงาน พร้อมเหตุผลประกอบ
สิ่งที่คุณควรทำหากข้อมูลของคุณถูกเปิดเผย
การแจ้งเตือนการละเมิดอาจรู้สึกเป็นนามธรรม นี่คือรายการตรวจสอบที่เป็นรูปธรรมที่คุณสามารถทำได้ในวันเดียวกัน
- เปลี่ยนรหัสผ่านที่ได้รับผลกระทบและรหัสผ่านที่ใช้ซ้ำ หากรหัสผ่านเดียวกัน protects บัญชีอื่นๆ ให้เปลี่ยนด้วย ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบริการ โดยเก็บไว้ในตัวจัดการรหัสผ่าน
- เปิดใช้การยืนยันตัวตนหลายปัจจัย ใช้แอปยืนยันตัวตนหรือฮาร์ดแวร์คีย์แทนข้อความ SMS เมื่อเป็นไปได้
- อ่านการแจ้งเตือนอย่างละเอียด บันทึกประเภทข้อมูลที่เกี่ยวข้อง: รายละเอียดการติดต่อ เอกสารระบุตัวตน ข้อมูลสุขภาพหรือการเงิน ซึ่งบอกคุณว่าควรให้ความสำคัญกับความเสี่ยงใด
- ติดตามบัญชีของคุณ ตรวจสอบรายการเดินบัญชีธนาคารและบัตร และพิจารณาบริการติดตามเครดิตหากข้อมูลทางการเงินหรือเอกสารระบุตัวตนเกี่ยวข้อง
- ระแวงต่อการติดต่อที่ไม่คาดคิด อีเมล ข้อความ หรือโทรศัพท์ที่อ้างถึงการละเมิดอาจเป็นของจริง หรืออาจเป็นการหลอกลวงที่ใช้เป็นเหยื่อล่อ
- ยื่นคำขอเข้าถึงข้อมูลส่วนบุคคล ภายใต้ GDPR ของสหราชอาณาจักรและสหภาพยุโรป คุณสามารถถามองค์กรว่าถือข้อมูลส่วนบุคคลอะไรเกี่ยวกับคุณ และในหลายกรณี ข้อมูลนั้นถูกใช้อย่างไร ซึ่งช่วยให้คุณเข้าใจการเปิดเผยที่แท้จริงและสร้างหลักฐาน
- รู้ช่องทางการร้องเรียนของคุณ หากคุณรู้สึกว่าบริษัทจัดการเหตุการณ์ได้ไม่ดี คุณสามารถแจ้ง ICO ในสหราชอาณาจักรหรือหน่วยงานคุ้มครองข้อมูลแห่งชาติของคุณในสหภาพยุโรป
ทำไมข้อมูลที่ถูกขโมยจึงเป็นเชื้อเพลิงของการหลอกลวงต่อเนื่อง
การละเมิดครั้งแรกมักเป็นเพียงขั้นแรกเท่านั้น ข้อมูลที่ถูกขโมยมีมูลค่าสำหรับการขายต่อและการกรรโชก และผู้โจมตีใช้มันกดดันบุคคลโดยตรงมากขึ้นเรื่อยๆ
การรายงานเกี่ยวกับการโจมตีแรนซัมแวร์ AnMed และการหลอกลวงกรรโชกผู้ป่วย แสดงให้เห็นว่าสิ่งนี้ทำงานอย่างไร: รายงานชี้ว่าผู้โจมตีอาจใช้ข้อมูลผู้ป่วยที่ถูกขโมยเพื่อดำเนินการกรรโชกแบบเฉพาะบุคคลต่อเจ้าของข้อมูล รายละเอียดส่วนบุคคลทำให้ภัยคุกคามดูน่าเชื่อถือ ซึ่งเป็นเหตุผลที่ข้อความเหล่านี้มีประสิทธิภาพมาก
การรั่วไหลยังสามารถเป็นเรื่องสาธารณะได้ ในกรณีของShinyHunters ที่รั่วไหลข้อมูล One Medical ที่ถูกขโมย 8.8TB ข้อมูลถูกเผยแพร่หลังแรงกดดันจากการกรรโชก หมายความว่าใครก็สามารถเข้าถึงได้ เมื่อข้อมูลออกไปแล้ว มันสามารถถูกใช้สำหรับฟิชชิง การแอบอ้าง และการฉ้อโกงแบบเจาะจงได้นานหลังจากเหตุการณ์เดิมถูกลืมไปแล้ว
นี่คือเหตุผลที่การแจ้งเตือนอย่างรวดเร็วมีความสำคัญ ยิ่งผู้คนรู้เร็วเท่าไร พวกเขาก็ยิ่งล็อกบัญชีและrecognise การหลอกลวงได้เร็วขึ้นเท่านั้น องค์กรขนาดเล็กก็ไม่ได้รับการยกเว้นเช่นกัน ดังที่กรณีแรนซัมแวร์ชัยปุระ แสดงให้เห็น: แรนซัมแวร์ไม่เลือกปฏิบัติตามขนาดบริษัท และทีมที่ไม่มีเจ้าหน้าที่security โดยเฉพาะก็ยังต้องการแผนรับมือ
สิ่งนี้หมายความสำหรับคุณ
กฎหมายให้ความคาดหวังที่สมเหตุสมผลแก่คุณว่าบริษัทจะแจ้งหน่วยงานกำกับดูแลภายใน 72 ชั่วโมงนับจากที่ตระหนักรู้ถึงการละเมิด และแจ้งคุณโดยตรงหากความเสี่ยงต่อคุณอยู่ในระดับสูง มันไม่ได้รับประกันว่าข้อมูลของคุณจะปลอดภัย และไม่สามารถย้อนกลับการรั่วไหลได้ การตอบสนองของคุณเองคือสิ่งที่จำกัดความเสียหาย
หากคุณดำเนินธุรกิจ ให้ถือว่า 72 ชั่วโมงเป็นข้อจำกัดในการวางแผน: รู้ว่าใครตัดสินใจว่าการละเมิดต้องรายงานหรือไม่ ใครติดต่อ ICO และคุณจะเข้าถึงลูกค้าที่ได้รับผลกระทบได้อย่างรวดเร็วอย่างไร
ประเด็นสำคัญ
- ระยะเวลา 72 ชั่วโมงเริ่มเมื่อองค์กรตระหนักรู้ถึงการละเมิด ไม่ใช่เมื่อมันเริ่มต้น
- ต้องแจ้ง ICO หรือหน่วยงาน EU เว้นแต่ความเสี่ยงต่อบุคคลไม่น่าจะเกิดขึ้น ต้องแจ้งบุคคลเมื่อความเสี่ยงสูง
- เปลี่ยนรหัสผ่าน เปิดใช้การยืนยันตัวตนหลายปัจจัย และติดตามบัญชีของคุณทันทีที่ได้รับการแจ้งเตือน
- ระวังข้อความใดๆ ที่กล่าวถึงการละเมิด เนื่องจากอาชญากรใช้ข้อมูลที่ถูกขโมยซ้ำสำหรับการกรรโชกและฟิชชิง
- ใช้สิทธิ์ในการขอข้อมูลของคุณเพื่อดูว่าองค์กรถืออะไรอยู่
การเข้าใจกฎ 72 ชั่วโมงของ GDPR สำหรับการละเมิดข้อมูลช่วยให้คุณตัดสินได้ว่าบริษัทดำเนินการอย่างเหมาะสมหรือไม่ แต่การปกป้องที่ดีที่สุดของคุณคือการลงมืออย่างรวดเร็วด้วยตัวเอง รักษาความปลอดภัยบัญชีของคุณวันนี้ เฝ้าระวังการหลอกลวงต่อเนื่อง และอ่านรายงาน AnMed และ ShinyHunters ข้างต้นเพื่อดูว่าข้อมูลที่ถูกละเมิดถูกนำไปใช้ในทางที่ผิดอย่างไรในทางปฏิบัติ
