Παραβιάσεις δεδομένων προσωπικού χαρακτήρα: μην αφήνετε την απόφαση γνωστοποίησης να καθυστερεί

Μια παραβίαση δεδομένων προσωπικού χαρακτήρα δημιουργεί δύο παράλληλες εργασίες: τον περιορισμό του περιστατικού και την απόφαση για το τι πρέπει να ανακοινωθεί. Καμία δεν πρέπει να περιμένει να ολοκληρωθεί η άλλη. Οι μηχανικοί μπορεί να ανασυνθέτουν ακόμη τα αρχεία καταγραφής πρόσβασης, ενώ ο υπεύθυνος επεξεργασίας διαθέτει ήδη αρκετές πληροφορίες για να αξιολογήσει τη γνωστοποίηση.

Η πρακτική πρόκληση είναι να προχωρά αυτή η απόφαση χωρίς οι παραδοχές να παρουσιάζονται ως γεγονότα. Μια χρήσιμη διαδικασία απόκρισης καταγράφει τη στιγμή απόκτησης γνώσης, παράγει ένα αξιόπιστο ελάχιστο σύνολο τεκμηρίων, αναθέτει την ευθύνη της απόφασης και ενημερώνει την αξιολόγηση καθώς αλλάζουν τα ευρήματα. Από τη σκοπιά ενός CTO, το ουσιώδες παραδοτέο δεν είναι μια ολοκληρωμένη ψηφιακή εγκληματολογική διερεύνηση εντός 72 ωρών. Είναι μια έγκαιρη, υπερασπίσιμη απόφαση που στηρίζεται σε τεχνικά τεκμήρια, με σαφή ευθύνη για τα ερωτήματα που απομένουν.

Αναγνωρίστε την παραβίαση πριν συζητήσετε τη γνωστοποίηση

Μια παραβίαση δεδομένων προσωπικού χαρακτήρα είναι κάτι ευρύτερο από την κλοπή δεδομένων. Το άρθρο 4 σημείο 12 του ΓΚΠΔ καλύπτει την παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση σε δεδομένα προσωπικού χαρακτήρα.

Τρεις διαστάσεις έχουν σημασία:

Ένα συμβάν μπορεί να αφορά και τις τρεις. Το λογισμικό λύτρων μπορεί να διακόψει την πρόσβαση, να αλλοιώσει εγγραφές και να εκθέσει πληροφορίες. Η επαναφορά από αντίγραφο ασφαλείας αντιμετωπίζει μόνο μέρος αυτού του περιστατικού.

Επομένως, ένα email που στάλθηκε σε λάθος παραλήπτη και ένα περιστατικό λογισμικού λύτρων μπορεί να απαιτούν και τα δύο τεκμηριωμένη αξιολόγηση, παρότι οι διερευνήσεις διαφέρουν. Αντίστροφα, μια ανεπιτυχής επίθεση που δεν έθεσε σε κίνδυνο δεδομένα προσωπικού χαρακτήρα δεν είναι αυτομάτως παραβίαση δεδομένων προσωπικού χαρακτήρα. Μπορεί ωστόσο να απαιτεί διερεύνηση ασφάλειας και αναφορά βάσει άλλου καθεστώτος.

Ξεκινήστε διαπιστώνοντας αν επηρεάστηκαν δεδομένα προσωπικού χαρακτήρα, όχι αν κάποιος έχει υποβάλει παράπονο ή αν έχει προκληθεί οικονομική ζημία. Ονόματα, αναγνωριστικά λογαριασμών, φάκελοι εργαζομένων, αναγνωριστικά συσκευών και συνδυασμοί φαινομενικά συνηθισμένων πληροφοριών μπορεί να είναι δεδομένα προσωπικού χαρακτήρα. Οι ψευδωνυμοποιημένες εγγραφές μπορεί να παραμένουν δεδομένα προσωπικού χαρακτήρα όταν τα πρόσωπα εξακολουθούν να είναι αναγνωρίσιμα.

Για περιστατικά διαθεσιμότητας, εξετάστε τις συνέπειες αντί να χρησιμοποιείτε μια σταθερή διάρκεια διακοπής ως συντόμευση. Η απώλεια πρόσβασης σε ένα αρχείο ραντεβού κατά τη διάρκεια επείγουσας θεραπείας διαφέρει από μια σύντομη διακοπή πρόσβασης σε μια αρχειοθετημένη λίστα παραληπτών ενημερωτικού δελτίου.

Προσδιορίστε τη στιγμή απόκτησης γνώσης και ορίστε τον υπεύθυνο της απόφασης

Σύμφωνα με το άρθρο 33 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας γνωστοποιεί την παραβίαση δεδομένων προσωπικού χαρακτήρα στην αρμόδια εποπτική αρχή αμελλητί και, αν είναι δυνατόν, εντός 72 ωρών από τη στιγμή που αποκτά γνώση του γεγονότος, εκτός εάν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.

Η προθεσμία δεν αρχίζει αυτόματα όταν ξεκίνησε η υποκείμενη επίθεση. Εξίσου, δεν περιμένει μια τελική έκθεση ψηφιακής εγκληματολογίας ή την έγκριση της διοίκησης. Στις κατευθυντήριες γραμμές των εποπτικών αρχών, η απόκτηση γνώσης νοείται ως εύλογος βαθμός βεβαιότητας ότι έχει συμβεί ένα περιστατικό ασφάλειας που έθεσε σε κίνδυνο δεδομένα προσωπικού χαρακτήρα. Μια αρχική διερεύνηση μπορεί να θεμελιώσει αυτή τη βεβαιότητα· δεν πρέπει να γίνει μηχανισμός αναβολής της ευθύνης.

Κρατήστε τρεις χρονοσημάνσεις χωριστές:

• Επέλευση: πότε συνέβη το περιστατικό, εφόσον είναι γνωστό.
• Ανίχνευση: πότε κάποιος παρατήρησε ή ανέφερε για πρώτη φορά ένα πιθανό περιστατικό.
• Απόκτηση γνώσης: πότε ο οργανισμός είχε επαρκή βεβαιότητα ότι τέθηκαν σε κίνδυνο δεδομένα προσωπικού χαρακτήρα.

Καταγράψτε τα τεκμήρια που στηρίζουν τη στιγμή απόκτησης γνώσης. Αν μια χρονοσήμανση αμφισβητείται, διατηρήστε τις αντικρουόμενες ερμηνείες και τη βάση τους αντί να αντικαταστήσετε σιωπηρά την προηγούμενη εγγραφή. Οι καθυστερήσεις στην εσωτερική κλιμάκωση πρέπει να είναι ορατές και να μη χρησιμοποιούνται για να θεωρηθεί ότι η γνώση αποκτήθηκε μόνο όταν η αναφορά έφτασε στους υπευθύνους ιδιωτικότητας ή στη διοίκηση.

Οι εβδομήντα δύο ώρες είναι ημερολογιακές ώρες, συμπεριλαμβανομένων των Σαββατοκύριακων και των αργιών. Πρόκειται για εξωτερικό χρονικό όριο αναφοράς, όπου είναι εφικτό, όχι για άδεια αναμονής αν η γνωστοποίηση μπορεί να γίνει νωρίτερα.

Ορίστε έναν συντονιστή περιστατικού που θα τηρεί το χρονολόγιο και τα ανοιχτά ερωτήματα. Οι τεχνικοί επικεφαλής διαπιστώνουν τα γεγονότα· η εξειδίκευση στην ιδιωτικότητα αξιολογεί τις συνέπειες και τις νομικές απαιτήσεις· ένας εξουσιοδοτημένος εκπρόσωπος του υπευθύνου επεξεργασίας έχει την ευθύνη της απόφασης γνωστοποίησης. Όπου έχει οριστεί ΥΠΔ, εμπλέξτε τον έγκαιρα στον ανεξάρτητο συμβουλευτικό και εποπτικό του ρόλο. Μην καθιστάτε τον ΥΠΔ υπεύθυνο για τον περιορισμό και μην υποθέτετε ότι υποκαθιστά τη λογοδοσία του υπευθύνου επεξεργασίας.

Ορίστε αναπληρωτές. Μια διαδικασία που εξαρτάται από τη διαθεσιμότητα ενός μόνο ανώτατου στελέχους δεν είναι μια λειτουργική διαδικασία εκτός ωραρίου.

Δημιουργήστε ένα σύνολο τεκμηρίων έτοιμο για απόφαση τις πρώτες ώρες

Ο περιορισμός και η διαφύλαξη των τεκμηρίων πρέπει να προχωρούν μαζί. Η αποσύνδεση μιας παραβιασμένης τερματικής συσκευής μπορεί να είναι σκόπιμη, αλλά η διαγραφή της πριν από τη συλλογή των σχετικών τεκμηρίων μπορεί να καταστρέψει τη βάση για την αξιολόγηση της πρόσβασης και του εύρους. Αντίστροφα, η διαφύλαξη κάθε τεκμηρίου δεν αποτελεί λόγο να αφεθεί μια ενεργή διαρροή χωρίς περιορισμό.

Η παρακάτω είναι μια πρακτική αλληλουχία απόκρισης, όχι ένα νόμιμο χρονοδιάγραμμα.

Σταθεροποιήστε το περιστατικό

Ανακαλέστε τις εκτεθειμένες συνεδρίες ή τα διαπιστευτήρια, περιορίστε τα μη ασφαλή δικαιώματα, απομονώστε τα επηρεαζόμενα στοιχεία όπου ενδείκνυται και σταματήστε τις διαβιβάσεις που συνεχίζουν να πηγαίνουν σε λάθος παραλήπτες. Καταγράψτε κάθε ενέργεια, τον χρόνο της και το αναμενόμενο αποτέλεσμά της. Διαφυλάξτε τα σχετικά αρχεία καταγραφής, τα στιγμιότυπα διαμόρφωσης, τις κεφαλίδες μηνυμάτων και άλλο πτητικό υλικό πριν τα αφαιρέσουν τα όρια διατήρησης ή οι εργασίες ανάκαμψης.

Περιορίστε την πρόσβαση στα τεκμήρια του περιστατικού. Μια διερεύνηση παραβίασης μπορεί η ίδια να δημιουργήσει ευαίσθητες συλλογές: έγγραφα ταυτότητας, μηνύματα εργαζομένων, δεδομένα αυθεντικοποίησης ή λίστες επηρεαζόμενων πελατών. Χρησιμοποιήστε μια εγκεκριμένη τοποθεσία τεκμηρίων αντί να προωθείτε ακατέργαστες εγγραφές μέσα από μια ευρεία συνομιλία για το περιστατικό.

Συντάξτε το ελάχιστο πακέτο γεγονότων

Δώστε στους ελεγκτές ιδιωτικότητας μια σύντομη, δομημένη περιγραφή που περιέχει:

• Τι συνέβη και ποιες παρατηρήσεις το επιβεβαιώνουν.
• Τα επηρεαζόμενα συστήματα, τις υπηρεσίες και τους υπεύθυνους παρόχους.
• Τις κατηγορίες δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες επηρεαζόμενων προσώπων.
• Τον κατά προσέγγιση αριθμό προσώπων και εγγραφών, με τη μέθοδο καταμέτρησης.
• Την περίοδο έκθεσης, τους γνωστούς παραλήπτες και τις πιθανές διαδρομές πρόσβασης.
• Τις σχετικές προστασίες, συμπεριλαμβανομένης της κρυπτογράφησης και της πρόσβασης στα κλειδιά.
• Τις γνωστές ή εύλογες συνέπειες για τα πρόσωπα.
• Τα μέτρα που έχουν ήδη ληφθεί και τα ερωτήματα που παραμένουν ανοιχτά.

Διαχωρίστε τα επιβεβαιωμένα γεγονότα, τις τεκμηριωμένες εκτιμήσεις και τις υποθέσεις. Η διατύπωση «δεν εμφανίζεται συμβάν εξαγωγής στο διαθέσιμο αρχείο ελέγχου» είναι στενότερη από το «δεν υπήρξε πρόσβαση σε δεδομένα». Αναφέρετε την κάλυψη των αρχείων καταγραφής και τα κενά στη διατήρησή τους, ώστε οι ελεγκτές να κατανοούν τι δεν μπορούν να αποδείξουν τα τεκμήρια.

Τηρήστε μια ουρά ερωτημάτων

Δώστε σε κάθε ανοιχτό ερώτημα έναν υπεύθυνο και τον χρόνο της επόμενης επισκόπησης. Δώστε προτεραιότητα στα ερωτήματα που μπορούν να αλλάξουν την απόφαση: αν ένα εκτεθειμένο αντικείμενο περιείχε δεδομένα προσωπικού χαρακτήρα, αν ένας επιτιθέμενος απέκτησε πρόσβαση σε κλειδιά κρυπτογράφησης ή αν μη διαθέσιμες εγγραφές επηρέασαν βασικές υπηρεσίες.

Άλλα ερωτήματα, όπως η ακριβής τεχνική αρχικής εκμετάλλευσης, μπορεί να έχουν μεγάλη σημασία για την αποκατάσταση χωρίς να είναι αναγκαία για την πρώτη γνωστοποίηση. Ο διαχωρισμός αυτών των διαδρομών αποτρέπει την τεχνική περιέργεια από το να καθυστερεί τη νομική ενέργεια.

Μια επίκαιρη απογραφή συστημάτων και δεδομένων επιταχύνει αυτή την εργασία. Ο εντοπισμός δεδομένων για την ιδιωτικότητα παρέχει το πλαίσιο που χρειάζεται για να μεταφραστεί η διαπίστωση «παραβιάστηκε μια υπηρεσία αποθήκευσης» σε αναγνωρίσιμες κατηγορίες δεδομένων, σκοπούς επεξεργασίας και επηρεαζόμενους πληθυσμούς.

Αξιολογήστε τη βλάβη για τα πρόσωπα, όχι μόνο τις επιπτώσεις για την επιχείρηση

Η εξαίρεση του άρθρου 33 ισχύει όταν ο κίνδυνος για τα δικαιώματα και τις ελευθερίες δεν είναι πιθανός. Δεν είναι κανόνας ότι πρέπει να γνωστοποιούνται μόνο οι μεγάλες παραβιάσεις, τα δεδομένα ειδικών κατηγοριών ή η αποδεδειγμένη βλάβη.

Αξιολογήστε τόσο την πιθανότητα όσο και τη σοβαρότητα των πιθανών συνεπειών. Μια μικρή κοινολόγηση μπορεί να είναι σοβαρή, ενώ ένα μεγαλύτερο περιστατικό μπορεί να διαθέτει αποτελεσματικές προστασίες που μειώνουν ουσιωδώς τον κίνδυνο. Τεκμηριώστε γιατί οι περιστάσεις στηρίζουν το συμπέρασμα.

Εξετάστε μαζί αυτές τις διαστάσεις:

Η κρυπτογράφηση απαιτεί τεχνικό έλεγχο. Ένας δίσκος κρυπτογραφημένος σε κατάσταση ηρεμίας δεν προστατεύει απαραίτητα πληροφορίες στις οποίες έγινε πρόσβαση μέσω ενός παραβιασμένου λογαριασμού εφαρμογής. Προσδιορίστε το επίπεδο κρυπτογράφησης, τον διαχωρισμό κλειδιών, τα δικαιώματα του επιτιθέμενου και αν ήταν διαθέσιμο αξιοποιήσιμο απλό κείμενο. Το ίδιο σκεπτικό ισχύει για τα κατακερματισμένα διαπιστευτήρια: η προστασία τους εξαρτάται από τη μέθοδο και τις περιστάσεις, όχι από την ετικέτα «κατακερματισμένα». Δείτε το άρθρο Κρυπτογράφηση και διαχείριση κλειδιών.

Η επιβεβαίωση διαγραφής από τον παραλήπτη μπορεί να έχει σημασία, ιδίως σε περίπτωση τυχαίας κοινολόγησης σε γνωστό παραλήπτη που συνεργάζεται. Δεν αποτελεί καθολική απόδειξη ότι ο κίνδυνος εξαλείφθηκε. Εξετάστε αν το περιεχόμενο προβλήθηκε, αντιγράφηκε, προωθήθηκε ή ήταν προσβάσιμο μέσω άλλου καναλιού.

Αποφύγετε να μετατρέπετε μια αριθμητική βαθμολογία κινδύνου σε αυτόματο νομικό συμπέρασμα. Ένας πίνακας βαθμολόγησης μπορεί να κάνει το σκεπτικό συνεπές, αλλά οι ελεγκτές πρέπει ακόμη να εξηγήσουν τις πραγματικές συνέπειες και αβεβαιότητες. Η διακοπή λειτουργίας της επιχείρησης, η απώλεια εσόδων και η βλάβη της φήμης του οργανισμού ανήκουν στη λειτουργική διαχείριση περιστατικών· δεν υποκαθιστούν την αξιολόγηση των επιπτώσεων στα φυσικά πρόσωπα.

Αξιολογήστε ξανά όταν προκύπτουν νέα γεγονότα. Η ανακάλυψη ευαίσθητων συνημμένων ή πρόσβασης του επιτιθέμενου σε κλειδιά μπορεί να αλλάξει μια αρχικά εύλογη απόφαση μη γνωστοποίησης.

Λάβετε δύο χωριστές αποφάσεις επικοινωνίας

Η γνωστοποίηση στην αρχή και η ανακοίνωση στα επηρεαζόμενα πρόσωπα έχουν διαφορετικά κατώφλια. Καταγράψτε ρητά και τις δύο αποφάσεις, ακόμη κι όταν καμία δεν απαιτείται.

Γνωστοποιήστε με όσα είναι γνωστά

Το άρθρο 33 απαιτεί η γνωστοποίηση να περιγράφει τη φύση της παραβίασης, συμπεριλαμβανομένων, όπου είναι δυνατόν, των κατηγοριών και του κατά προσέγγιση αριθμού των επηρεαζόμενων προσώπων και εγγραφών. Πρέπει επίσης να αναφέρει τον ΥΠΔ ή άλλο σημείο επικοινωνίας, να περιγράφει τις πιθανές συνέπειες και να περιγράφει τα μέτρα που ελήφθησαν ή προτείνονται, συμπεριλαμβανομένων, κατά περίπτωση, μέτρων άμβλυνσης.

Μην περιμένετε ακριβείς αριθμούς αν υπάρχουν αξιόπιστες εκτιμήσεις και σαφείς επιφυλάξεις. Το άρθρο 33 παράγραφος 4 επιτρέπει την παροχή πληροφοριών σε φάσεις, όταν δεν μπορούν να παρασχεθούν ταυτόχρονα, χωρίς περαιτέρω αδικαιολόγητη καθυστέρηση. Κρατήστε αντίγραφο της υποβολής, απόδειξη παραλαβής, αριθμό αναφοράς και λίστα με τις ενημερώσεις που υποσχεθήκατε.

Αν η γνωστοποίηση γίνει μετά τις 72 ώρες, αιτιολογήστε την καθυστέρηση. Η υπέρβαση της προθεσμίας δεν καταργεί την υποχρέωση. Εξηγήστε την πραγματική χρονολογική σειρά αντί να προσφέρετε μια γενική δήλωση ότι η διερεύνηση ήταν σύνθετη.

Επιβεβαιώστε έγκαιρα την αρμόδια αρχή και το κανάλι αναφοράς, ιδίως για διασυνοριακή επεξεργασία. Μην υποθέτετε ότι η αρχή της χώρας όπου βρίσκεται ο διακομιστής είναι ο σωστός αποδέκτης.

Ανακοινώστε όταν είναι πιθανός υψηλός κίνδυνος

Το άρθρο 34 του ΓΚΠΔ απαιτεί σαφή και απλή ανακοίνωση στα επηρεαζόμενα πρόσωπα αμελλητί, όταν είναι πιθανός υψηλός κίνδυνος. Το περιεχόμενό της περιλαμβάνει τη φύση της παραβίασης, στοιχεία επικοινωνίας, πιθανές συνέπειες και τα σχετικά μέτρα.

Εξηγήστε τι μπορούν να κάνουν τα πρόσωπα: για παράδειγμα, να αλλάξουν έναν επηρεαζόμενο κωδικό πρόσβασης, να απορρίψουν ύποπτες εντολές πληρωμής ή να χρησιμοποιήσουν ένα επαληθευμένο κανάλι υποστήριξης. Μην υπονοείτε ότι οι συμβουλές προφύλαξης μεταφέρουν την ευθύνη σε αυτά.

Το άρθρο 34 περιλαμβάνει εξαιρέσεις για αποτελεσματικά μέτρα που καθιστούν τα δεδομένα μη κατανοητά σε μη εξουσιοδοτημένα πρόσωπα, για μεταγενέστερα μέτρα που διασφαλίζουν ότι δεν είναι πλέον πιθανό να προκύψει υψηλός κίνδυνος και για δυσανάλογη προσπάθεια. Η τελευταία απαιτεί δημόσια ανακοίνωση ή παρόμοιο εξίσου αποτελεσματικό μέτρο· δεν αποτελεί άδεια σιωπής. Η αρχή μπορεί να απαιτήσει την ανακοίνωση ή να αξιολογήσει αν εφαρμόζεται κάποια εξαίρεση.

Χειριστείτε τα περιστατικά εκτελούντων την επεξεργασία χωρίς να χάσετε τον έλεγχο της αξιολόγησης

Ο εκτελών την επεξεργασία πρέπει να ενημερώνει τον υπεύθυνο επεξεργασίας αμελλητί μόλις αποκτήσει γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα. Δεν πρέπει να περιμένει το δικό του συμπέρασμα ότι η γνωστοποίηση στην εποπτική αρχή είναι αναγκαία. Η αξιολόγηση του υπευθύνου επεξεργασίας δεν πρέπει να αντικαθίσταται από την ετικέτα «χαμηλός κίνδυνος» ενός προμηθευτή.

Ζητήστε τεκμήρια σχετικά με τη δική σας επεξεργασία: τον επηρεαζόμενο μισθωτή ή λογαριασμό, τις κατηγορίες δεδομένων, την περίοδο έκθεσης, τα τεκμήρια πρόσβασης, τις προστασίες, τον περιορισμό και τα ανοιχτά ερωτήματα. Μια δήλωση περιστατικού για ολόκληρο τον πάροχο μπορεί να μη δείχνει ποιες από τις δικές σας εγγραφές επηρεάστηκαν.

Η καθυστέρηση του προμηθευτή δεν καταναλώνει μηχανικά την περίοδο των 72 ωρών του υπευθύνου επεξεργασίας πριν αυτός αποκτήσει γνώση. Μπορεί ωστόσο να καθυστερήσει τις προστατευτικές ενέργειες, να θολώσει τη χρονολογική σειρά και να εγείρει ερωτήματα για τη συμμόρφωση με τις υποχρεώσεις του εκτελούντος την επεξεργασία. Καταγράψτε πότε ο προμηθευτής ανίχνευσε το περιστατικό, πότε απέκτησε γνώση και πότε σας ενημέρωσε.

Ως πρακτική συμβατική σύσταση, ορίστε επιχειρησιακά σημεία επικοινωνίας, ταχεία αρχική ειδοποίηση, ελάχιστες πληροφορίες, συνεχείς ενημερώσεις και συνδρομή στη διερεύνηση και τις επικοινωνίες. Αυτές οι ρυθμίσεις πρέπει να υποστηρίζουν, όχι να αντικαθιστούν, τις απαιτήσεις του άρθρου 28.

Όταν ο οργανισμός σας είναι ταυτόχρονα εκτελών την επεξεργασία για πελάτες και υπεύθυνος επεξεργασίας για τα δεδομένα των εργαζομένων, λάβετε χωριστές αποφάσεις ανά ρόλο. Ένα κοινό τεχνικό περιστατικό μπορεί να απαιτεί ειδοποιήσεις πελατών υπό τη μία ιδιότητα και αξιολόγηση γνωστοποίησης στην εποπτική αρχή υπό την άλλη.

Τηρήστε ένα ίχνος αποφάσεων που επιβιώνει του περιστατικού

Το άρθρο 33 παράγραφος 5 απαιτεί την τεκμηρίωση των παραβιάσεων δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των πραγματικών περιστατικών, των συνεπειών και των διορθωτικών μέτρων, ώστε η εποπτική αρχή να μπορεί να επαληθεύει τη συμμόρφωση. Αυτό περιλαμβάνει και τις παραβιάσεις που δεν γνωστοποιήθηκαν.

Μια χρήσιμη εγγραφή περιστατικού περιέχει:

• Αναγνωριστικό περιστατικού, εύρος, συντονιστή και ρόλο ως προς την επεξεργασία.
• Χρονοσημάνσεις επέλευσης, ανίχνευσης, απόκτησης γνώσης και κλιμάκωσης.
• Αναφορές σε τεκμήρια και τα όρια της διαθέσιμης τηλεμετρίας.
• Αξιολόγηση κινδύνου, ελεγκτή, υπεύθυνο απόφασης και χρόνους αποφάσεων.
• Χωριστά συμπεράσματα για τη γνωστοποίηση στην αρχή και την ανακοίνωση στα πρόσωπα.
• Υποβληθείσες επικοινωνίες, αποδείξεις παραλαβής και μεταγενέστερες ενημερώσεις.
• Ενέργειες περιορισμού, ανάκαμψης και πρόληψης με υπευθύνους.
• Επισκόπηση κλεισίματος και λόγους για τυχόν αβεβαιότητα που απομένει.

Για τη μη γνωστοποίηση, καταγράψτε το σκεπτικό, όχι απλώς «κάτω από το κατώφλι». Προσδιορίστε τα γεγονότα που στηρίζουν γιατί ο κίνδυνος δεν ήταν πιθανός και ποια τεκμήρια θα οδηγούσαν σε επαναξιολόγηση.

Διατηρήστε τις διαδοχικές αξιολογήσεις. Ένα πρώιμο συμπέρασμα μπορεί να ήταν εύλογο με βάση τα διαθέσιμα τεκμήρια, ακόμη κι αν μεταγενέστερα ευρήματα το αλλάζουν. Η αντικατάσταση της προηγούμενης έκδοσης κρύβει αυτή τη χρονολογική σειρά.

Ορίστε συνειδητά τις ρυθμίσεις πρόσβασης και διατήρησης. Το άρθρο 33 δεν προβλέπει καθολική περίοδο διατήρησης για τις εγγραφές παραβιάσεων. Επιλέξτε ένα αιτιολογημένο χρονοδιάγραμμα λαμβάνοντας υπόψη τη λογοδοσία, τις εφαρμοστέες υποχρεώσεις και την ελαχιστοποίηση των δεδομένων. Όπου είναι δυνατόν, διατηρήστε αναφορές σε τεκμήρια αντί να αντιγράφετε εκτενή σύνολα δεδομένων προσωπικού χαρακτήρα.

Η γνωστοποίηση δεν παρέχει ασυλία από τον έλεγχο. Οι αρχές μπορεί να ζητήσουν διευκρινίσεις και να εξετάσουν τα μέτρα ασφάλειας ή άλλες υποχρεώσεις. Εξίσου, μην αντιμετωπίζετε τη γνωστοποίηση ως λόγο να αναβάλετε τον περιορισμό περιμένοντας οδηγίες από την αρχή.

Παράδειγμα: μια εκτεθειμένη εξαγωγή από διαδικασία προσλήψεων

Το παράδειγμα είναι ενδεικτικό· οι χρόνοι και οι αριθμοί του είναι παραδοχές, όχι αναφερόμενα αποτελέσματα.

Ας υποθέσουμε ότι ένας οργανισμός ανακαλύπτει την Παρασκευή στις 16:00 ότι μια εξαγωγή από τη διαδικασία προσλήψεων μπορεί να είναι προσβάσιμη μέσω ενός δημόσιου συνδέσμου αποθήκευσης. Το αρχείο περιέχει ονόματα, στοιχεία επικοινωνίας, σημειώσεις αιτήσεων και ορισμένα συνημμένα 240 υποψηφίων. Στις 16:20, ένας μηχανικός επιβεβαιώνει την πρόσβαση χωρίς αυθεντικοποίηση και επαληθεύει ότι το αρχείο περιέχει δεδομένα προσωπικού χαρακτήρα. Ο συντονιστής καταγράφει τις 16:20 ως τεκμηριωμένη στιγμή απόκτησης γνώσης. Το σημείο αναφοράς των 72 ωρών είναι η Δευτέρα στις 16:20, αν και η γνωστοποίηση πρέπει ούτως ή άλλως να γίνει αμελλητί.

Έως τις 16:35, η ομάδα έχει καταργήσει τη δημόσια πρόσβαση και έχει διαφυλάξει το ιστορικό διαμόρφωσης και τα διαθέσιμα αρχεία καταγραφής πρόσβασης. Τα αρχεία αυτά καλύπτουν μόνο μέρος της περιόδου έκθεσης. Η ομάδα δεν μπορεί υπεύθυνα να συμπεράνει ότι κανείς δεν απέκτησε πρόσβαση στο αρχείο.

Η πρώτη αξιολόγηση εντοπίζει πιθανό στοχευμένο ηλεκτρονικό ψάρεμα και κοινολόγηση εμπιστευτικών προθέσεων απασχόλησης. Το περιεχόμενο των συνημμένων παραμένει αβέβαιο. Οι ελεγκτές ιδιωτικότητας και ο υπεύθυνος της απόφασης καταλήγουν ότι ο κίνδυνος δεν είναι απίθανος, οπότε απαιτείται γνωστοποίηση στην εποπτική αρχή. Αξιολογούν χωριστά αν είναι πιθανός υψηλός κίνδυνος· ο αριθμός των υποψηφίων από μόνος του δεν απαντά σε αυτό το ερώτημα.

Η αρχική γνωστοποίηση περιγράφει την επιβεβαιωμένη έκθεση, το κατά προσέγγιση εύρος, την ελλιπή κάλυψη των αρχείων καταγραφής, τις γνωστές συνέπειες και τον περιορισμό. Αναφέρει ότι η επισκόπηση των συνημμένων συνεχίζεται και προσδιορίζει το πρόσωπο που είναι υπεύθυνο για την παροχή ενημερώσεων.

Το Σάββατο, η επισκόπηση διαπιστώνει ότι ένα υποσύνολο των συνημμένων περιέχει πληροφορίες υγείας. Η ομάδα επανεξετάζει την αξιολόγηση υψηλού κινδύνου και καταλήγει ότι απαιτείται ανακοίνωση σε αυτή την επηρεαζόμενη ομάδα. Τα μηνύματα περιγράφουν τη σχετική έκθεση και πρακτικές προφυλάξεις χωρίς να αποκαλύπτουν πληροφορίες άλλων υποψηφίων.

Η ολοκληρωμένη εγγραφή διατηρεί και τις δύο αξιολογήσεις, τα υποστηρικτικά τεκμήρια, τις αποδείξεις υποβολής και τις διορθωτικές εργασίες. Οι ενέργειες παρακολούθησης περιλαμβάνουν δικλίδες έγκρισης εξαγωγών, αποτροπή δημόσιας πρόσβασης, κατάλληλη καταγραφή και δοκιμές ότι τα αρχεία προσλήψεων δεν είναι πλέον δημόσια προσβάσιμα.

Το δίδαγμα είναι λειτουργικό: το αβέβαιο περιεχόμενο των συνημμένων δεν εμπόδισε μια αρχική γνωστοποίηση, και τα μεταγενέστερα ευρήματα άλλαξαν την απόφαση για την ανακοίνωση στα πρόσωπα χωρίς να ακυρώσουν την προηγούμενη αξιολόγηση που βασιζόταν σε τεκμήρια.

Παρακολουθήστε τις άλλες υποχρεώσεις αναφοράς στο ίδιο χρονολόγιο

Το ίδιο περιστατικό μπορεί να ενεργοποιεί υποχρεώσεις αναφοράς βάσει του ΓΚΠΔ, συμβατικές, τομεακές και κυβερνοασφάλειας. Χρησιμοποιήστε μία πραγματολογική χρονολογική σειρά, αλλά χωριστές αξιολογήσεις υποχρεώσεων, παραλήπτες, υπευθύνους και προθεσμίες.

Το άρθρο 23 της Οδηγίας NIS2 αφορά σημαντικά περιστατικά για τις καλυπτόμενες οντότητες, ανεξάρτητα από το αν εμπλέκονται δεδομένα προσωπικού χαρακτήρα. Η ενωσιακή δομή αναφοράς της περιλαμβάνει έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση του περιστατικού εντός 72 ωρών και, κατά κανόνα, τελική έκθεση εντός ενός μήνα από την κοινοποίηση. Η Οδηγία NIS2 ενσωματώνεται μέσω εθνικής νομοθεσίας: ελέγξτε την εφαρμοσιμότητα, τις εθνικές διαδικασίες και τους σχετικούς τομεακούς κανόνες αντί να υποθέτετε ότι κάθε οργανισμός έχει αυτές τις υποχρεώσεις.

Για τις καλυπτόμενες χρηματοοικονομικές οντότητες, ο Κανονισμός DORA μπορεί να προβλέπει τομεακές απαιτήσεις. Μην αναπαράγετε αυτόματα τις αναφορές και μην αντιμετωπίζετε μία υποβολή ως ικανοποίηση κάθε καθεστώτος.

Μπορεί επίσης να απαιτείται συμβατική ειδοποίηση πελατών ακόμη κι όταν δεν απαιτείται γνωστοποίηση στην εποπτική αρχή. Τηρήστε έναν πίνακα αναφορών που προσδιορίζει για κάθε εφαρμοστέα υποχρέωση την πηγή, το έναυσμα, τον παραλήπτη, τον υπόλογο υπεύθυνο, τη διαδρομή υποβολής και τα τεκμήρια ολοκλήρωσης.

Προετοιμάστε τις μεταβιβάσεις αρμοδιοτήτων πριν από το επόμενο περιστατικό

Μια πρακτική δοκιμή ετοιμότητας είναι μια άσκηση την Παρασκευή το απόγευμα με σενάριο ένα email σε λάθος παραλήπτη, έναν παραβιασμένο πάροχο ή λογισμικό λύτρων. Ζητήστε από τους συμμετέχοντες να παραγάγουν το πραγματικό πρώτο πακέτο γεγονότων και την εγγραφή απόφασης, όχι απλώς να περιγράψουν την πολιτική.

Ελέγξτε αν η ομάδα μπορεί:

• Να επικοινωνήσει με τον συντονιστή, τον σύμβουλο ιδιωτικότητας, τον υπεύθυνο της απόφασης και τους αναπληρωτές.
• Να προσδιορίσει τα σχετικά δεδομένα και τους παρόχους από τις υπάρχουσες απογραφές.
• Να διαφυλάξει τα αρχεία καταγραφής πριν τα αφαιρέσουν η επαναφορά ή τα όρια διατήρησης.
• Να αποκτήσει πρόσβαση στο σωστό κανάλι αναφοράς της αρχής.
• Να συντάξει μια γνωστοποίηση σε φάσεις με σαφώς επισημασμένα τα άγνωστα στοιχεία.
• Να επικοινωνήσει με ασφάλεια με πελάτες και επηρεαζόμενα πρόσωπα.
• Να καταγράψει μια απόφαση μη γνωστοποίησης και να προγραμματίσει επαναξιολόγηση.

Όπου μια απάντηση εξαρτάται από την αναζήτηση ενός άγνωστου προσώπου ή την ανάκτηση απρόσιτων διαπιστευτηρίων, δημιουργήστε μια εργασία ετοιμότητας. Οι αρμοδιότητες του CISO και του ΥΠΔ πρέπει να είναι αρκετά σαφείς ώστε η τεχνική διερεύνηση των γεγονότων και η ανεξάρτητη συμβουλή για την ιδιωτικότητα να προχωρούν παράλληλα.

Η Secani μπορεί να υποστηρίξει την επισκοπήσιμη εγγραφή συμμόρφωσης γύρω από αυτή την εργασία. Μοντελοποιήστε τα επηρεαζόμενα συστήματα και τους παρόχους ως αντικείμενα-στόχους, συνδέστε τα τεκμήρια με τις σχετικές απαιτήσεις και αποφάσεις και ορίστε υπευθύνους για τις εργασίες παρακολούθησης. Οι ροές εργασιών της για διασυνδεδεμένα τεκμήρια και επισκόπηση υποστηρίζουν συνδέσμους προς πηγές, σχόλια, εγκρίσεις και χρονοσημάνσεις. Αντιμετωπίστε τις περιλήψεις με υποβοήθηση από ΤΝ ως προσχέδια που απαιτούν ανθρώπινη επισκόπηση· κρατήστε τον περιορισμό και την ψηφιακή εγκληματολογική διερεύνηση στα λειτουργικά συστήματα και συνδέστε τα τεκμήριά τους στο ίχνος των αποφάσεων.

Ερωτήματα που προκύπτουν κατά την απόκριση

Μπορούμε να περιμένουμε επιβεβαίωση διαγραφής πριν αποφασίσουμε;

Ζητήστε την άμεσα, αλλά συνεχίστε παράλληλα την αξιολόγηση. Η σημασία της εξαρτάται από τον παραλήπτη, το περιεχόμενο και την πιθανή περαιτέρω πρόσβαση. Ένα αίτημα που δεν έχει απαντηθεί δεν αποτελεί τεκμήριο ότι η έκθεση έχει τερματιστεί.

Τι γίνεται αν η πύλη αναφοράς δεν είναι διαθέσιμη;

Καταγράψτε τις απόπειρες και αναζητήστε την εναλλακτική διαδρομή επικοινωνίας που έχει δημοσιεύσει η αρχή. Διατηρήστε τις πληροφορίες έτοιμες για υποβολή και εξηγήστε τυχόν καθυστέρηση που προκύπτει. Ένα τεχνικό πρόβλημα υποβολής δεν πρέπει να σταματά την αξιολόγηση ή την αναγκαία ανακοίνωση στα πρόσωπα.

Πότε μπορεί να κλείσει το περιστατικό;

Η λειτουργική ανάκαμψη και το κλείσιμο από πλευράς ιδιωτικότητας είναι χωριστά ορόσημα. Επιβεβαιώστε ότι οι απαιτούμενες ειδοποιήσεις και ενημερώσεις έχουν ολοκληρωθεί, ότι τα εναπομείναντα ερωτήματα έχουν υπεύθυνο και ότι οι διορθωτικές ενέργειες εξακολουθούν να παρακολουθούνται. Ως πρακτικό επόμενο βήμα, δοκιμάστε μια πρόσφατη περίπτωση που δεν γνωστοποιήθηκε με βάση τη λίστα ελέγχου της εγγραφής: αν ένας άλλος ελεγκτής δεν μπορεί να ανασυνθέσει την απόφαση, βελτιώστε τη μεταβίβαση πριν από το επόμενο περιστατικό.