Bir şirket kişisel verilerin kontrolünü kaybettiğinde saat hızla işlemeye başlar. Birleşik Krallık ve AB GDPR kapsamında, GDPR veri ihlali 72 saat kuralları düzenleyicilere ne olduğunu bildirmek için kesin bir son tarih belirler. Verileri açığa çıkan kişiler için de bu kurallar önemlidir; çünkü ne duyacağınızı, ne zaman duyacağınızı ve bundan sonra ne yapmanız gerektiğini şekillendirir.

Bu rehber, süreci hem şirket tarafından hem de sizin tarafınızdan sade bir dille açıklar.

72 saatlik süre ne zaman başlar

72 saatlik pencere tek bir fikir etrafında kurulmuştur: farkındalık. GDPR'ın 33. Maddesi uyarınca, bir veri sorumlusu kişisel veri ihlalini öğrendikten sonra 72 saat içinde ilgili denetim otoritesine bildirmek zorundadır. Birleşik Krallık'ta bu otorite Bilgi Komiserliği Ofisi'dir (ICO). AB'de ise ilgili üye devletin veri koruma otoritesidir.

İki nokta sıklıkla kafa karışıklığına yol açar:

  • Saat, saldırıda değil farkındalıkta başlar. İhlal günler veya haftalar önce gerçekleşmiş olabilir. Son tarih, kuruluşun kişisel verilerin tehlikeye girdiğine dair makul düzeyde kesinliğe sahip olduğu andan itibaren işler.
  • Son tarih, soruşturma için bir duraklama değildir. Kuruluşların hızlı hareket etmesi beklenir. Tam ayrıntılar henüz mevcut olmadığında, olağan yaklaşım bilinenleri bildirmek ve ek bilgileri aşamalar halinde sunmaktır.

Son tarihi makul bir gerekçe olmaksızın kaçırmak, kurala ilişkin hukuki yorumlara göre, kendi başına 33. Maddenin ihlali olabilir ve sorumluyu yaptırım eylemine maruz bırakır.

Pratik bir not: 72 saat hafta sonlarını ve resmi tatilleri içerir. İhlaller mesai saatlerini beklemez, bu nedenle test edilmiş bir olay müdahale planı iyi niyetten daha önemlidir.

Şirketlerin ICO'ya ve etkilenen kişilere ne söylemesi gerekir

Düzenleyiciyi bilgilendirmek ve bireyleri bilgilendirmek, farklı tetikleyicilere sahip iki ayrı yükümlülüktür.

ICO'ya bildirim. İhlalin kişilerin hakları ve özgürlükleri üzerinde risk oluşturması muhtemel olmadıkça genellikle bir rapor gereklidir. Bildirim, ihlalin niteliğini, etkilenen kişi ve kayıtların kategorilerini ve yaklaşık sayılarını, olası sonuçları ve bununla başa çıkmak için alınan veya önerilen önlemleri açıklamalıdır. Ayrıca kuruluşun veri koruma iletişim bilgilerini de içermelidir.

Bireyleri bilgilendirme. Bir ihlalin kişiler için yüksek risk oluşturması muhtemel olduğunda, kuruluş etkilenenleri gereksiz gecikme olmaksızın bilgilendirmek zorundadır. Bu mesaj açık bir dille yazılmalı ve ne olduğunu, olası sonuçların neler olduğunu ve kişilerin kendilerini korumak için atabileceği adımları açıklamalıdır.

Bireylerle iletişime geçme eşiği, düzenleyiciyle iletişime geçme eşiğinden daha yüksektir. Çalınan pasaport taramaları, sağlık kayıtları veya finansal bilgiler bu eşiğin rahatlıkla üzerinde yer alır. LT Group pasaport verilerinin Deadlock fidye yazılımı sızıntısı gibi vakalar, kimlik belgelerinin nasıl suçluların eline geçebileceğini gösterir; bu da tam olarak yüksek riske işaret eden türden bir açığa çıkmadır.

Kuruluşların ayrıca, bildirmemeye karar verdikleri de dahil olmak üzere her ihlalin iç kaydını, gerekçeleriyle birlikte tutmaları beklenir.

Verileriniz açığa çıkarsa ne yapmalısınız

Bir ihlal bildirimi soyut gelebilir. İşte aynı gün üzerinden geçebileceğiniz somut bir kontrol listesi.

  1. Etkilenen parolayı ve yeniden kullanılan tüm parolaları değiştirin. Aynı parola diğer hesapları da koruyorsa onları da değiştirin. Her hizmet için benzersiz bir parola kullanın, ideal olarak bir parola yöneticisinde saklayın.
  2. Çok faktörlü kimlik doğrulamayı açın. Mümkün olduğunda kısa mesajlar yerine bir kimlik doğrulayıcı uygulamayı veya bir donanım anahtarını tercih edin.
  3. Bildirimi dikkatlice okuyun. Hangi veri türlerinin söz konusu olduğunu not edin: iletişim bilgileri, kimlik belgeleri, sağlık veya finansal bilgiler. Bu, hangi risklere öncelik vermeniz gerektiğini söyler.
  4. Hesaplarınızı izleyin. Banka ve kart ekstrelerinizi kontrol edin ve finansal veriler veya kimlik belgeleri söz konusuysa bir kredi izleme hizmetini değerlendirin.
  5. Beklenmedik iletişime karşı şüpheci olun. İhlale atıfta bulunan e-postalar, mesajlar veya aramalar gerçek olabilir ya da bunu bir kanca olarak kullanan dolandırıcılıklar olabilir.
  6. Bir veri sahibi erişim talebi yapın. Birleşik Krallık ve AB GDPR kapsamında bir kuruluştan hakkınızda hangi kişisel verileri tuttuğunu ve çoğu durumda bunların nasıl kullanıldığını sorabilirsiniz. Bu, gerçek maruziyetinizi anlamanıza yardımcı olur ve bir belge izi oluşturur.
  7. Şikayet yolunuzu bilin. Şirketin olayı kötü yönettiğini düşünüyorsanız, bunu Birleşik Krallık'ta ICO'ya veya AB'de ulusal veri koruma otoritenize iletebilirsiniz.

Çalınan veriler neden takip dolandırıcılıklarını körükler

İlk ihlal genellikle yalnızca ilk aşamadır. Çalınan verilerin yeniden satış ve şantaj değeri vardır ve saldırganlar bunu giderek daha fazla bireylere doğrudan baskı yapmak için kullanmaktadır.

AnMed fidye yazılımı saldırısı ve hasta şantaj dolandırıcılığı haberleri bunun nasıl işlediğini gösterir: raporlar, saldırganların aidiyeti olan kişilere karşı kişiselleştirilmiş şantaj girişimleri yürütmek için çalınan hasta verilerini kullanmış olabileceğini öne sürdü. Kişisel bilgiler bir tehdidi inandırıcı kılar; bu yüzden bu mesajlar bu kadar etkili olabilir.

Sızıntılar kamuya açık da olabilir. ShinyHunters'ın çalınan 8,8 TB One Medical verisini sızdırması vakasında, veriler şantaj baskısının ardından yayımlandı; yani herkes potansiyel olarak bunlara erişebilirdi. Bilgi bir kez dışarı çıktığında, orijinal olay unutulduktan çok sonra bile kimlik avı, kimlik taklidi ve hedefli dolandırıcılık için kullanılabilir.

Bu yüzden hızlı bildirim önemlidir. İnsanlar ne kadar erken bilirse, hesaplarını o kadar erken kilitleyebilir ve bir dolandırıcılığı olduğu gibi tanıyabilir. Küçük kuruluşlar da muaf değildir; Jaipur fidye yazılımı vakasının gösterdiği gibi: fidye yazılımı şirket büyüklüğüne göre ayrım yapmaz ve özel güvenlik personeli olmayan bir ekibin yine de bir müdahale planına ihtiyacı vardır.

Bu Sizin İçin Ne Anlama Geliyor

Yasa, bir şirketin ihlali öğrendikten sonra 72 saat içinde düzenleyiciye bildireceğine ve size yönelik risk yüksekse doğrudan size bildireceğine dair makul bir beklenti verir. Verilerinizin güvende kalacağını garanti etmez ve bir sızıntıyı geri alamaz. Hasarı sınırlayan şey sizin kendi tepkinizdir.

Bir işletme yönetiyorsanız, 72 saati bir planlama kısıtı olarak ele alın: bir ihlalin bildirilebilir olup olmadığına kimin karar verdiğini, ICO ile kimin iletişime geçtiğini ve etkilenen müşterilere hızla nasıl ulaşacağınızı bilin.

Önemli çıkarımlar

  • 72 saatlik süre, bir kuruluşun ihlalin farkına vardığı anda başlar, ihlalin başladığı anda değil.
  • Kişiler için risk olası değilse ICO veya AB otoritesi bilgilendirilmelidir; risk yüksek olduğunda bireyler bilgilendirilmelidir.
  • Bir bildirim aldığınız anda parolaları değiştirin, çok faktörlü kimlik doğrulamayı etkinleştirin ve hesaplarınızı izleyin.
  • İhlalden bahseden herhangi bir mesaja temkinli yaklaşın; çünkü suçlular çalınan verileri şantaj ve kimlik avı için yeniden kullanır.
  • Bir kuruluşun neleri tuttuğunu görmek için verilerinizi talep etme hakkınızı kullanın.

GDPR veri ihlali 72 saat kurallarını anlamak, bir şirketin doğru davranıp davranmadığını değerlendirmenize yardımcı olur, ancak en iyi korumanız kendinizin hızlı hareket etmesidir. Hesaplarınızı bugün güvence altına alın, takip dolandırıcılıklarına karşı tetikte olun ve ihlal edilen verilerin pratikte nasıl kötüye kullanıldığını görmek için yukarıdaki AnMed ve ShinyHunters haberlerini okuyun.