Коли компанія втрачає контроль над персональними даними, відлік часу починається швидко. Згідно з GDPR Великої Британії та ЄС, правила 72 годин GDPR щодо витоку даних встановлюють чіткий дедлайн для повідомлення регуляторів про те, що сталося. Для людей, чиї дані були розкриті, ці правила також важливі, оскільки вони визначають, що ви почуєте, коли почуєте і що вам слід робити далі.

Цей посібник пояснює процес простою мовою — з боку компанії та з вашого боку.

Коли починається відлік 72 годин

72-годинне вікно побудоване навколо однієї ідеї: обізнаності. Згідно зі статтею 33 GDPR, контролер даних повинен повідомити про витік персональних даних відповідний наглядовий орган протягом 72 годин з моменту, коли він про нього дізнався. У Великій Британії таким органом є Управління Інформаційного Комісара (ICO). У ЄС це орган захисту даних відповідної держави-члена.

Два моменти часто викликають плутанину:

  • Відлік починається з моменту обізнаності, а не з моменту атаки. Витік міг статися днями або тижнями раніше. Дедлайн відраховується з моменту, коли організація має розумний ступінь впевненості, що персональні дані були скомпрометовані.
  • Дедлайн не є паузою для розслідування. Очікується, що організації діятимуть швидко. Якщо повні деталі ще недоступні, звичайний підхід — повідомити те, що відомо, і надавати подальшу інформацію поетапно.

Пропуск дедлайну без розумного обґрунтування сам по собі може бути порушенням статті 33, що піддає контролера примусовим заходам, згідно з юридичним коментарем до правила.

Практична примітка: 72 години включають вихідні та державні свята. Витоки не чекають на робочі години, тому перевірений план реагування на інциденти важливіший за добрі наміри.

Що компанії повинні повідомити ICO та постраждалим особам

Повідомлення регулятора та повідомлення окремих осіб — це два окремі обов'язки з різними тригерами.

Повідомлення ICO. Звіт, як правило, вимагається, якщо витік навряд чи призведе до ризику для прав і свобод людей. Повідомлення повинно описувати характер витоку, категорії та приблизну кількість постраждалих осіб і записів, ймовірні наслідки та заходи, вжиті або запропоновані для його усунення. Воно також повинно містити контактні дані особи з питань захисту даних організації.

Повідомлення окремих осіб. Коли витік, ймовірно, призведе до високого ризику для людей, організація також повинна повідомити постраждалих без невиправданої затримки. Це повідомлення має бути написане зрозумілою мовою та пояснювати, що сталося, які ймовірні наслідки та які кроки люди можуть вжити для захисту себе.

Поріг для зв'язку з окремими особами вищий, ніж поріг для зв'язку з регулятором. Викрадені скани паспортів, медичні записи або фінансові дані, як правило, впевнено перевищують його. Такі випадки, як витік паспортних даних LT Group через ransomware Deadlock, показують, як документи, що посвідчують особу, можуть опинитися в руках злочинців, що є саме тим видом розкриття, який вказує на високий ризик.

Організації також повинні вести внутрішній облік кожного витоку, включаючи ті, які вони вирішили не повідомляти, разом з обґрунтуванням.

Що вам слід робити, якщо ваші дані розкриті

Повідомлення про витік може здаватися абстрактним. Ось конкретний контрольний список, який ви можете опрацювати того ж дня.

  1. Змініть уражений пароль і будь-які повторно використовувані. Якщо той самий пароль захищає інші облікові записи, змініть і їх. Використовуйте унікальний пароль для кожного сервісу, ідеально — збережений у менеджері паролів.
  2. Увімкніть багатофакторну автентифікацію. Надавайте перевагу додатку-автентифікатору або апаратному ключу замість текстових повідомлень, де це можливо.
  3. Уважно прочитайте повідомлення. Зверніть увагу, які типи даних були задіяні: контактні дані, документи, що посвідчують особу, медична або фінансова інформація. Це підкаже, які ризики слід пріоритезувати.
  4. Стежте за своїми рахунками. Перевіряйте банківські виписки та виписки по картках і розгляньте можливість використання послуги кредитного моніторингу, якщо були задіяні фінансові дані або документи, що посвідчують особу.
  5. Ставтеся зі скепсисом до несподіваних контактів. Електронні листи, тексти або дзвінки, що згадують витік, можуть бути справжніми, або це можуть бути шахрайства, які використовують його як приманку.
  6. Подайте запит на доступ до даних. Згідно з GDPR Великої Британії та ЄС ви можете запитати в організації, які персональні дані вона зберігає про вас, і в багатьох випадках — як вони використовуються. Це допомагає зрозуміти вашу реальну експозицію та створює документальний слід.
  7. Знайте свій шлях скарги. Якщо ви вважаєте, що компанія погано впоралася з інцидентом, ви можете звернутися до ICO у Великій Британії або до вашого національного органу захисту даних у ЄС.

Чому викрадені дані живлять подальші шахрайства

Початковий витік часто є лише першим етапом. Викрадені дані мають цінність для перепродажу та вимагання, і зловмисники дедалі частіше використовують їх для прямого тиску на окремих осіб.

Висвітлення атаки ransomware AnMed та шахрайства з вимаганням пацієнтів показує, як це працює: повідомлення припускали, що зловмисники могли використовувати викрадені дані пацієнтів для проведення персоналізованих спроб вимагання проти людей, яким вони належали. Особисті дані роблять погрозу переконливою, тому ці повідомлення можуть бути такими ефективними.

Витоки також можуть бути публічними. У випадку ShinyHunters, які злили 8,8 ТБ викрадених даних One Medical, дані були опубліковані після тиску вимагання, що означає, що будь-хто потенційно міг отримати до них доступ. Як тільки інформація оприлюднена, її можна використовувати для фішингу, видавання себе за іншу особу та цілеспрямованого шахрайства ще довго після того, як початковий інцидент забутий.

Ось чому своєчасне повідомлення має значення. Чим швидше люди дізнаються, тим швидше вони можуть заблокувати облікові записи та розпізнати шахрайство. Малі організації також не звільнені, як ілюструє випадок ransomware у Jaipur: ransomware не робить різниці за розміром компанії, і команда без виділеного персоналу з безпеки все одно потребує плану реагування.

Що це означає для вас

Закон дає вам розумне очікування, що компанія повідомить регулятора протягом 72 годин з моменту, коли вона дізналася про витік, і повідомить вас безпосередньо, якщо ризик для вас високий. Він не гарантує, що ваші дані залишаться в безпеці, і не може скасувати витік. Ваша власна реакція — це те, що обмежує шкоду.

Якщо ви керуєте бізнесом, ставтеся до 72 годин як до планового обмеження: знайте, хто вирішує, чи підлягає витік повідомленню, хто зв'язується з ICO і як ви швидко зв'яжетеся з постраждалими клієнтами.

Ключові висновки

  • 72-годинний період починається, коли організація дізнається про витік, а не коли він почався.
  • ICO або орган ЄС повинен бути повідомлений, якщо ризик для людей не є малоймовірним; окремі особи повинні бути повідомлені, коли ризик високий.
  • Змініть паролі, увімкніть багатофакторну автентифікацію та стежте за своїми рахунками, щойно отримаєте повідомлення.
  • Ставтеся з обережністю до будь-якого повідомлення, яке згадує витік, оскільки злочинці повторно використовують викрадені дані для вимагання та фішингу.
  • Використовуйте своє право на запит даних, щоб побачити, що зберігає організація.

Розуміння правил 72 годин GDPR щодо витоку даних допомагає вам судити, чи діє компанія належним чином, але ваш найкращий захист — це швидкі дії самостійно. Захистіть свої облікові записи сьогодні, будьте пильними щодо подальших шахрайств і прочитайте висвітлення AnMed та ShinyHunters вище, щоб побачити, як скомпрометовані дані використовуються неправомірно на практиці.