Khi một công ty mất kiểm soát dữ liệu cá nhân, đồng hồ bắt đầu chạy nhanh. Theo GDPR của Vương quốc Anh và EU, quy định 72 giờ về vi phạm dữ liệu GDPR đặt ra thời hạn chặt chẽ để thông báo cho cơ quan quản lý về những gì đã xảy ra. Đối với những người có dữ liệu bị lộ, những quy định này cũng quan trọng, vì chúng định hình những gì bạn được nghe, thời điểm bạn được nghe và những gì bạn nên làm tiếp theo.
Hướng dẫn này giải thích quy trình bằng ngôn ngữ đơn giản, từ phía công ty và từ phía bạn.
Khi đồng hồ 72 giờ bắt đầu
Khung thời gian 72 giờ được xây dựng xoay quanh một ý tưởng duy nhất: nhận thức. Theo Điều 33 của GDPR, bên kiểm soát dữ liệu phải báo cáo vi phạm dữ liệu cá nhân cho cơ quan giám sát có thẩm quyền trong vòng 72 giờ kể từ khi biết về vi phạm. Ở Vương quốc Anh, cơ quan đó là Văn phòng Ủy viên Thông tin (ICO). Ở EU, đó là cơ quan bảo vệ dữ liệu của quốc gia thành viên liên quan.
Hai điểm thường gây nhầm lẫn:
- Đồng hồ bắt đầu từ lúc nhận thức, không phải từ lúc cuộc tấn công xảy ra. Một vi phạm có thể đã xảy ra vài ngày hoặc vài tuần trước đó. Thời hạn được tính từ khi tổ chức có mức độ chắc chắn hợp lý rằng dữ liệu cá nhân đã bị xâm phạm.
- Thời hạn không phải là khoảng thời gian tạm dừng để điều tra. Các tổ chức được kỳ vọng hành động nhanh chóng. Khi chưa có đầy đủ thông tin chi tiết, cách tiếp cận thông thường là báo cáo những gì đã biết và cung cấp thêm thông tin theo từng giai đoạn.
Bỏ lỡ thời hạn mà không có lý do chính đáng có thể tự nó là vi phạm Điều 33, khiến bên kiểm soát phải đối mặt với hành động thực thi, theo bình luận pháp lý về quy định này.
Một lưu ý thực tế: 72 giờ bao gồm cả ngày cuối tuần và ngày lễ. Vi phạm không chờ giờ làm việc, vì vậy một kế hoạch ứng phó sự cố đã được kiểm tra quan trọng hơn ý định tốt.
Những gì công ty phải thông báo cho ICO và những người bị ảnh hưởng
Thông báo cho cơ quan quản lý và thông báo cho cá nhân là hai nghĩa vụ riêng biệt với các điều kiện kích hoạt khác nhau.
Thông báo cho ICO. Báo cáo thường được yêu cầu trừ khi vi phạm khó có thể dẫn đến rủi ro đối với quyền và tự do của con người. Thông báo nên mô tả tính chất của vi phạm, các loại và số lượng ước tính của người và hồ sơ bị ảnh hưởng, hậu quả có thể xảy ra và các biện pháp đã thực hiện hoặc đề xuất để xử lý. Thông báo cũng nên bao gồm thông tin liên hệ của đầu mối bảo vệ dữ liệu của tổ chức.
Thông báo cho cá nhân. Khi vi phạm có khả năng dẫn đến rủi ro cao đối với con người, tổ chức cũng phải thông báo cho những người bị ảnh hưởng mà không có sự chậm trễ không đáng có. Thông điệp đó nên được viết bằng ngôn ngữ rõ ràng và giải thích những gì đã xảy ra, hậu quả có thể xảy ra và các bước mọi người có thể thực hiện để tự bảo vệ.
Ngưỡng để liên hệ với cá nhân cao hơn ngưỡng để liên hệ với cơ quan quản lý. Ảnh hộ chiếu bị đánh cắp, hồ sơ sức khỏe hoặc thông tin tài chính thường nằm thoải mái trên ngưỡng đó. Các trường hợp như vụ rò rỉ dữ liệu hộ chiếu của LT Group bởi ransomware Deadlock cho thấy giấy tờ tùy thân có thể rơi vào tay tội phạm như thế nào, đây chính là kiểu phơi nhiễm chỉ ra rủi ro cao.
Các tổ chức cũng được kỳ vọng lưu giữ hồ sơ nội bộ về mọi vi phạm, bao gồm cả những vi phạm họ quyết định không báo cáo, cùng với lý do.
Bạn nên làm gì nếu dữ liệu của bạn bị lộ
Thông báo vi phạm có thể cảm thấy trừu tượng. Dưới đây là danh sách kiểm tra cụ thể bạn có thể thực hiện trong cùng ngày.
- Thay đổi mật khẩu bị ảnh hưởng và bất kỳ mật khẩu nào được dùng lại. Nếu cùng một mật khẩu bảo vệ các tài khoản khác, hãy thay đổi cả những tài khoản đó. Sử dụng mật khẩu duy nhất cho mỗi dịch vụ, lý tưởng nhất là lưu trong trình quản lý mật khẩu.
- Bật xác thực đa yếu tố. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn tin nhắn văn bản khi có thể.
- Đọc kỹ thông báo. Ghi chú những loại dữ liệu liên quan: thông tin liên hệ, giấy tờ tùy thân, thông tin sức khỏe hoặc tài chính. Điều này cho bạn biết rủi ro nào cần ưu tiên.
- Theo dõi tài khoản của bạn. Kiểm tra sao kê ngân hàng và thẻ, và cân nhắc dịch vụ giám sát tín dụng nếu dữ liệu tài chính hoặc giấy tờ tùy thân bị liên quan.
- Cảnh giác với liên lạc bất ngờ. Email, tin nhắn hoặc cuộc gọi đề cập đến vi phạm có thể là thật, hoặc có thể là lừa đảo sử dụng nó làm mồi nhử.
- Thực hiện yêu cầu truy cập chủ thể. Theo GDPR của Vương quốc Anh và EU, bạn có thể hỏi một tổ chức những dữ liệu cá nhân nào họ lưu giữ về bạn, và trong nhiều trường hợp là cách chúng được sử dụng. Điều này giúp bạn hiểu mức độ phơi nhiễm thực sự và tạo ra dấu vết giấy tờ.
- Biết lộ trình khiếu nại của bạn. Nếu bạn cảm thấy công ty xử lý sự cố kém, bạn có thể báo cáo với ICO ở Vương quốc Anh hoặc cơ quan bảo vệ dữ liệu quốc gia của bạn ở EU.
Tại sao dữ liệu bị đánh cắp lại thúc đẩy các vụ lừa đảo tiếp theo
Vi phạm ban đầu thường chỉ là giai đoạn đầu tiên. Dữ liệu bị đánh cắp có giá trị bán lại và tống tiền, và kẻ tấn công ngày càng sử dụng nó để gây áp lực trực tiếp lên cá nhân.
Đưa tin về cuộc tấn công ransomware AnMed và vụ lừa đảo tống tiền bệnh nhân cho thấy cách thức hoạt động: các báo cáo cho thấy kẻ tấn công có thể đã sử dụng dữ liệu bệnh nhân bị đánh cắp để thực hiện các nỗ lực tống tiền được cá nhân hóa nhắm vào những người mà dữ liệu thuộc về. Thông tin cá nhân khiến mối đe dọa trở nên đáng tin, đó là lý do tại sao những thông điệp này có thể hiệu quả đến vậy.
Rò rỉ cũng có thể công khai. Trong trường hợp ShinyHunters rò rỉ 8,8TB dữ liệu One Medical bị đánh cắp, dữ liệu đã được công bố sau áp lực tống tiền, nghĩa là bất kỳ ai cũng có thể truy cập. Một khi thông tin đã lộ ra, nó có thể được sử dụng cho lừa đảo trực tuyến, mạo danh và gian lận có mục tiêu rất lâu sau khi sự cố ban đầu bị lãng quên.
Đây là lý do tại sao thông báo kịp thời quan trọng. Mọi người biết càng sớm, họ càng sớm khóa tài khoản và nhận ra một vụ lừa đảo đúng như bản chất của nó. Các tổ chức nhỏ cũng không được miễn trừ, như vụ ransomware Jaipur minh họa: ransomware không phân biệt quy mô công ty, và một nhóm không có nhân viên bảo mật chuyên trách vẫn cần một kế hoạch ứng phó.
Điều này có nghĩa gì với bạn
Luật pháp cho bạn kỳ vọng hợp lý rằng một công ty sẽ thông báo cho cơ quan quản lý trong vòng 72 giờ kể từ khi biết về vi phạm, và thông báo trực tiếp cho bạn nếu rủi ro đối với bạn là cao. Luật không đảm bảo dữ liệu của bạn luôn an toàn, và không thể hoàn tác một vụ rò rỉ. Phản ứng của chính bạn là điều hạn chế thiệt hại.
Nếu bạn điều hành một doanh nghiệp, hãy coi 72 giờ là một ràng buộc lập kế hoạch: biết ai quyết định liệu một vi phạm có phải báo cáo hay không, ai liên hệ với ICO, và cách bạn sẽ tiếp cận khách hàng bị ảnh hưởng nhanh chóng.
Những điểm chính cần ghi nhớ
- Khoảng thời gian 72 giờ bắt đầu khi một tổ chức biết về vi phạm, không phải khi nó bắt đầu.
- ICO hoặc cơ quan EU phải được thông báo trừ khi rủi ro đối với con người là khó xảy ra; cá nhân phải được thông báo khi rủi ro là cao.
- Thay đổi mật khẩu, bật xác thực đa yếu tố và theo dõi tài khoản của bạn ngay khi nhận được thông báo.
- Đối xử thận trọng với bất kỳ thông điệp nào đề cập đến vi phạm, vì tội phạm sử dụng lại dữ liệu bị đánh cắp để tống tiền và lừa đảo trực tuyến.
- Sử dụng quyền yêu cầu dữ liệu của bạn để xem tổ chức lưu giữ những gì.
Hiểu rõ quy định 72 giờ về vi phạm dữ liệu GDPR giúp bạn đánh giá liệu một công ty có đang hành động đúng đắn hay không, nhưng biện pháp bảo vệ tốt nhất của bạn là tự hành động nhanh chóng. Bảo mật tài khoản của bạn ngay hôm nay, cảnh giác với các vụ lừa đảo tiếp theo, và đọc các bài viết về AnMed và ShinyHunters ở trên để thấy dữ liệu bị vi phạm được sử dụng sai mục đích như thế nào trong thực tế.
