Személyesadat-incidensek: ne akadjon el a bejelentési döntés

Egy személyesadat-incidens két párhuzamos feladatot teremt: az incidens megfékezését és annak eldöntését, mit kell közölni. Egyik sem várhat arra, hogy a másik befejeződjön. Előfordulhat, hogy a mérnökök még a hozzáférési naplókat rekonstruálják, amikor az adatkezelőnek már elegendő információ áll rendelkezésére a bejelentés értékeléséhez.

A gyakorlati kihívás az, hogy ez a döntés haladjon előre anélkül, hogy a feltételezéseket tényként tüntetnék fel. Egy hasznos reagálási folyamat rögzíti a tudomásszerzést, megbízható minimális bizonyítékkészletet állít elő, kijelöli a döntési felelősséget, és a megállapítások változásával frissíti az értékelést. A technológiai igazgató szemszögéből a lényegi eredmény nem egy 72 órán belül lezárt igazságügyi informatikai vizsgálat. Hanem egy időben meghozott, védhető döntés, amelyet műszaki bizonyítékok támasztanak alá, és amelyben a nyitott kérdések felelőse egyértelmű.

Ismerje fel az incidenst, mielőtt a bejelentésről vitatkozna

A személyesadat-incidens tágabb fogalom, mint az adatlopás. A GDPR 4. cikkének 12. pontja a biztonság olyan sérülésére vonatkozik, amely a személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

Három dimenzió számít:

Egyetlen esemény mindhárom dimenziót érintheti. Egy zsarolóvírus megszakíthatja a hozzáférést, megrongálhatja a rekordokat, és információkat tehet hozzáférhetővé. Egy biztonsági mentés visszaállítása az incidensnek csak egy részét kezeli.

Egy rossz címre küldött e-mail és egy zsarolóvírus-incidens tehát egyaránt dokumentált értékelést igényelhet, még ha a vizsgálatok eltérően is néznek ki. Fordítva: egy sikertelen támadás, amely nem veszélyeztette a személyes adatokat, nem automatikusan személyesadat-incidens. Ettől még biztonsági vizsgálatot és egy másik szabályozás szerinti bejelentést igényelhet.

Először azt állapítsa meg, érintett-e személyes adat, ne azt, hogy panaszkodott-e valaki, vagy keletkezett-e pénzügyi kár. Nevek, fiókazonosítók, munkavállalói nyilvántartások, eszközazonosítók és látszólag hétköznapi információk kombinációi is lehetnek személyes adatok. Az álnevesített rekordok is személyes adatok maradhatnak, ha az érintettek továbbra is azonosíthatók.

A rendelkezésre állást érintő incidenseknél a következményeket vizsgálja, ahelyett hogy egy rögzített kiesési időtartamot használna rövidítésként. Egy időponti nyilvántartáshoz való hozzáférés elvesztése sürgős kezelés közben más, mint egy archivált hírlevél-lista elérésének rövid megszakadása.

Rögzítse a tudomásszerzést, és nevezze meg a döntés felelősét

A GDPR 33. cikke szerint az adatkezelőnek indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy a személyesadat-incidens a tudomására jutott, be kell jelentenie azt az illetékes felügyeleti hatóságnak, kivéve, ha az incidens valószínűleg nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve.

A határidő nem automatikusan akkor kezdődik, amikor a mögöttes támadás elindult. Ugyanígy nem vár egy végleges igazságügyi informatikai jelentésre vagy a vezetői jóváhagyásra. A felügyeleti iránymutatások szerint a tudomásszerzés azt jelenti, hogy észszerű bizonyosság áll fenn arról, hogy biztonsági incidens történt, és az személyes adatokat veszélyeztetett. Egy kezdeti vizsgálat megteremtheti ezt a bizonyosságot; de nem válhat a felelősség elodázásának eszközévé.

Tartson külön három időbélyeget:

• Bekövetkezés: mikor történt az incidens, ha ismert.
• Észlelés: mikor figyelt meg vagy jelentett valaki először egy lehetséges incidenst.
• Tudomásszerzés: mikor rendelkezett a szervezet elegendő bizonyossággal arról, hogy személyes adatok sérültek.

Rögzítse a tudomásszerzést alátámasztó bizonyítékokat. Ha egy időbélyeg vitatott, őrizze meg az egymással versengő értelmezéseket és azok alapját, ahelyett hogy csendben lecserélné a korábbi bejegyzést. A belső eszkalációs késedelmeknek láthatónak kell lenniük, és nem szabad arra használni őket, hogy a tudomásszerzést csak arra az időpontra tegyék, amikor az adatvédelmi terület vagy a vezetés megkapta a jelentést.

A hetvenkét óra eltelt órákat jelent, beleértve a hétvégéket és a munkaszüneti napokat is. Ez – ahol lehetséges – külső időbeli viszonyítási pont, nem pedig engedély a várakozásra, ha a bejelentés korábban is megtehető.

Jelöljön ki egy incidenskoordinátort, aki vezeti az idővonalat és a nyitott kérdéseket. A műszaki vezetők megállapítják a tényeket; az adatvédelmi szakértelem értékeli a következményeket és a jogi követelményeket; a bejelentési döntés az adatkezelő egy felhatalmazott képviselőjéé. Ha adatvédelmi tisztviselőt neveztek ki, haladéktalanul vonja be független tanácsadói és ellenőrzési szerepkörében. Ne tegye az adatvédelmi tisztviselőt a megfékezés felelősévé, és ne feltételezze, hogy ő helyettesíti az adatkezelő elszámoltathatóságát.

Nevezzen meg helyetteseket. Egy olyan folyamat, amely egyetlen vezető elérhetőségén múlik, nem működő munkaidőn kívüli folyamat.

Állítson elő döntésre kész bizonyítékkészletet az első órákban

A megfékezésnek és a bizonyítékok megőrzésének együtt kell haladnia. Egy veszélyeztetett végpont leválasztása megfelelő lehet, de ha a releváns bizonyítékok összegyűjtése előtt törlik, az megsemmisítheti a hozzáférés és a hatókör értékelésének alapját. Fordítva: minden elem megőrzése nem indok arra, hogy egy folyamatban lévő adatkiszivárgást megfékezetlenül hagyjanak.

Az alábbi gyakorlati reagálási sorrend, nem törvényi ütemterv.

Stabilizálja az incidenst

Vonja vissza a kitett munkameneteket vagy hitelesítő adatokat, korlátozza a nem biztonságos jogosultságokat, ahol indokolt, különítse el az érintett összetevőket, és állítsa le a folyamatban lévő téves továbbításokat. Rögzítsen minden intézkedést, annak időpontját és várt hatását. Őrizze meg a releváns naplókat, konfigurációs pillanatképeket, üzenetfejléceket és egyéb illékony anyagokat, mielőtt a megőrzési korlátok vagy a helyreállítási munka eltávolítaná őket.

Korlátozza az incidenssel kapcsolatos bizonyítékokhoz való hozzáférést. Egy incidensvizsgálat maga is érzékeny gyűjteményeket hozhat létre: személyazonosító okmányokat, munkavállalói üzeneteket, hitelesítési adatokat vagy az érintett ügyfelek listáit. Használjon jóváhagyott bizonyítéktárolási helyet, ahelyett hogy a nyers rekordokat egy széles körű incidenscsevegésben továbbítaná.

Állítsa össze a minimális ténycsomagot

Adjon az adatvédelmi felülvizsgálóknak egy rövid, strukturált összefoglalót, amely tartalmazza:

• Mi történt, és mely megfigyelések igazolják.
• Az érintett rendszereket, szolgáltatásokat és felelős szolgáltatókat.
• A személyes adatok kategóriáit és az érintett személyek kategóriáit.
• Az érintett személyek és rekordok hozzávetőleges számát, a számlálás módszerével együtt.
• A kitettség időszakát, az ismert címzetteket és a lehetséges hozzáférési útvonalakat.
• A releváns védelmi intézkedéseket, beleértve a titkosítást és a kulcsokhoz való hozzáférést.
• Az érintettekre gyakorolt ismert vagy valószínűsíthető következményeket.
• A már megtett intézkedéseket és a még nyitott kérdéseket.

Válassza szét a megerősített tényeket, az alátámasztott becsléseket és a hipotéziseket. Az, hogy „a rendelkezésre álló auditnaplóban nem szerepel exportesemény”, szűkebb állítás, mint az, hogy „senki sem fért hozzá az adatokhoz”. Jelölje meg a naplók lefedettségének és megőrzésének hiányosságait, hogy a felülvizsgálók értsék, mit nem tud igazolni a bizonyíték.

Vezessen kérdéslistát

Minden nyitott kérdéshez rendeljen felelőst és következő felülvizsgálati időpontot. Részesítse előnyben azokat a kérdéseket, amelyek megváltoztathatják a döntést: tartalmazott-e személyes adatot egy kitett objektum, hozzáfért-e a támadó a titkosítási kulcsokhoz, vagy érintettek-e alapvető szolgáltatásokat az elérhetetlenné vált rekordok.

Más kérdések, például a pontos kezdeti kihasználási technika, nagyon fontosak lehetnek a javításhoz anélkül, hogy az első bejelentéshez szükségesek lennének. E szálak szétválasztása megakadályozza, hogy a műszaki kíváncsiság késleltesse a jogi lépéseket.

Egy naprakész rendszer- és adatnyilvántartás gyorsítja ezt a munkát. Az adatfeltárás az adatvédelemért azt a kontextust adja meg, amely ahhoz szükséges, hogy a „veszélyeztetett tárolószolgáltatás” azonosítható adatkategóriákká, adatkezelési célokká és érintett populációkká alakuljon.

Az érintetteket érő kárt értékelje, ne csak az üzleti hatást

A 33. cikk szerinti kivétel az, hogy a jogokat és szabadságokat érintő kockázat nem valószínű. Nem szabály, hogy csak a nagy incidenseket, a különleges kategóriájú adatokat vagy a bizonyított kárt kell bejelenteni.

Értékelje a lehetséges következmények valószínűségét és súlyosságát is. Egy kis mértékű adatközlés is lehet súlyos, míg egy nagyobb incidens esetében hatékony védelmi intézkedések jelentősen csökkenthetik a kockázatot. Dokumentálja, miért támasztják alá a körülmények a következtetést.

Vegye figyelembe együtt ezeket a dimenziókat:

A titkosítás műszaki vizsgálatot igényel. Egy nyugalmi állapotban titkosított lemez nem feltétlenül védi a veszélyeztetett alkalmazásfiókon keresztül elért információkat. Állapítsa meg a titkosítási réteget, a kulcsok elkülönítését, a támadó jogosultságait, és azt, hogy elérhető volt-e használható nyílt szöveg. Ugyanez az érvelés vonatkozik a hash-elt hitelesítő adatokra: védelmük a módszertől és a körülményektől függ, nem a „hash-elt” címkétől. Lásd: titkosítás és kulcskezelés.

A címzett törlési megerősítése releváns lehet, különösen egy ismert, együttműködő címzettnek történt véletlen adatközlés esetén. De nem általános bizonyíték arra, hogy a kockázat megszűnt. Vegye figyelembe, hogy a tartalmat megtekintették, lemásolták, továbbították-e, vagy elérhető volt-e más csatornán.

Kerülje, hogy egy numerikus kockázati pontszám automatikus jogi következtetéssé váljon. Egy pontozási mátrix következetessé teheti az érvelést, de a felülvizsgálóknak továbbra is meg kell magyarázniuk a tényleges következményeket és bizonytalanságokat. Az üzleti leállás, a bevételkiesés és a szervezetet érő hírnévkár a működési incidenskezelésbe tartozik; nem helyettesítik az egyénekre gyakorolt hatások értékelését.

Értékeljen újra, amikor új tények merülnek fel. Érzékeny mellékletek felfedezése vagy a kulcsokhoz való támadói hozzáférés megváltoztathat egy kezdetben észszerű, bejelentés mellőzéséről szóló döntést.

Hozzon két külön kommunikációs döntést

A hatóságnak történő bejelentésnek és az érintettek tájékoztatásának eltérő a küszöbe. Mindkét döntést kifejezetten rögzítse, akkor is, ha egyikre sincs szükség.

Jelentse be azzal, ami ismert

A 33. cikk előírja, hogy a bejelentés ismertesse az incidens jellegét, beleértve – ha lehetséges – az érintettek és a rekordok kategóriáit és hozzávetőleges számát. Tartalmaznia kell továbbá az adatvédelmi tisztviselő vagy más kapcsolattartó elérhetőségét, a valószínű következmények leírását, valamint a megtett vagy tervezett intézkedések leírását, beleértve adott esetben a káros következmények enyhítését.

Ne várjon a pontos számokra, ha megbízható becslések és egyértelmű fenntartások állnak rendelkezésre. A 33. cikk (4) bekezdése lehetővé teszi, hogy az információkat – ha azok nem közölhetők egyidejűleg – további indokolatlan késedelem nélkül részletekben adják meg. Őrizze meg a benyújtott példányt, a visszaigazolást, a hivatkozási számot és a megígért frissítések listáját.

Ha a bejelentésre 72 óránál később kerül sor, indokolja a késedelmet. A határidő elmulasztása nem szünteti meg a kötelezettséget. A tényleges időrendet magyarázza el, ne egy általános kijelentést adjon arról, hogy a vizsgálat összetett volt.

Már korán erősítse meg az illetékes hatóságot és a bejelentési csatornát, különösen határokon átnyúló adatkezelés esetén. Ne feltételezze, hogy a szerver helye szerinti hatóság a helyes címzett.

Tájékoztasson, ha valószínű a magas kockázat

A GDPR 34. cikke világos és közérthető tájékoztatást ír elő az érintettek számára indokolatlan késedelem nélkül, ha valószínű a magas kockázat. A tájékoztatás tartalmazza az incidens jellegét, a kapcsolattartási adatokat, a valószínű következményeket és a releváns intézkedéseket.

Magyarázza el, mit tehetnek az érintettek: például megváltoztathatnak egy érintett jelszót, elutasíthatják a gyanús fizetési utasításokat, vagy használhatnak egy ellenőrzött ügyfélszolgálati csatornát. Ne sugallja, hogy az óvintézkedésekre vonatkozó tanácsok áthárítják rájuk a felelősséget.

A 34. cikk kivételeket tartalmaz arra az esetre, ha hatékony intézkedések az adatokat a jogosulatlan személyek számára értelmezhetetlenné teszik, ha későbbi intézkedések biztosítják, hogy a magas kockázat valószínűleg már nem valósul meg, illetve ha a tájékoztatás aránytalan erőfeszítést igényelne. Az utóbbi esetben nyilvános tájékoztatásra vagy hasonlóan hatékony intézkedésre van szükség; ez nem engedély a hallgatásra. A hatóság elrendelheti a tájékoztatást, vagy értékelheti, hogy alkalmazandó-e egy kivétel.

Kezelje az adatfeldolgozói incidenseket anélkül, hogy elveszítené az értékelés feletti kontrollt

Az adatfeldolgozónak indokolatlan késedelem nélkül tájékoztatnia kell az adatkezelőt, miután egy személyesadat-incidens a tudomására jutott. Nem várhat a saját következtetésére arról, hogy a felügyeleti hatóság értesítése szükséges-e. Az adatkezelő értékelését nem válthatja fel egy beszállító „alacsony kockázat” címkéje.

Kérjen az Ön adatkezelése szempontjából releváns bizonyítékokat: érintett bérlő vagy fiók, adatkategóriák, kitettségi időszak, hozzáférési bizonyítékok, védelmi intézkedések, megfékezés és nyitott kérdések. Egy szolgáltatói szintű incidensnyilatkozat nem feltétlenül állapítja meg, hogy az Ön rekordjai közül melyek érintettek.

A beszállító késedelme nem emészti fel mechanikusan az adatkezelő 72 órás időszakát, mielőtt az adatkezelő tudomást szerez az incidensről. Mindazonáltal késleltetheti a védelmi intézkedéseket, elhomályosíthatja az időrendet, és kérdéseket vethet fel az adatfeldolgozói kötelezettségek teljesítésével kapcsolatban. Rögzítse, mikor észlelte a beszállító az incidenst, mikor szerzett róla tudomást, és mikor tájékoztatta Önt.

Gyakorlati szerződéses ajánlásként határozza meg az operatív kapcsolattartókat, a gyors első értesítést, a minimálisan közlendő információkat, a folyamatos frissítéseket, valamint a vizsgálatban és a kommunikációban nyújtott segítséget. Ezeknek a megállapodásoknak támogatniuk kell a 28. cikk követelményeit, nem pedig helyettesíteniük.

Ha szervezete egyszerre adatfeldolgozó az ügyfelek számára és adatkezelő a munkavállalói adatok tekintetében, hozzon szerepkör szerint külön döntéseket. Egy közös műszaki incidens az egyik minőségben ügyfélértesítéseket, a másikban felügyeleti értékelést igényelhet.

Vezessen olyan döntési nyomvonalat, amely túléli az incidenst

A 33. cikk (5) bekezdése előírja a személyesadat-incidensek dokumentálását, beleértve a hozzájuk kapcsolódó tényeket, hatásaikat és a megtett korrekciós intézkedéseket, hogy a felügyeleti hatóság ellenőrizni tudja a megfelelést. Ez a be nem jelentett incidensekre is vonatkozik.

Egy hasznos incidensrekord tartalmazza:

• Az incidens azonosítóját, hatókörét, koordinátorát és az adatkezelési szerepkört.
• A bekövetkezés, az észlelés, a tudomásszerzés és az eszkaláció időbélyegeit.
• A bizonyítékokra mutató hivatkozásokat és a rendelkezésre álló telemetria korlátait.
• A kockázatértékelést, a felülvizsgálót, a döntés felelősét és a döntések időpontjait.
• A hatósági bejelentésre és az érintettek tájékoztatására vonatkozó külön következtetéseket.
• A benyújtott közléseket, visszaigazolásokat és későbbi frissítéseket.
• A megfékezési, helyreállítási és megelőző intézkedéseket a felelősökkel együtt.
• A lezárási felülvizsgálatot és a fennmaradó bizonytalanság okait.

A bejelentés mellőzésekor az indoklást írja le, ne csak azt, hogy „küszöb alatt”. Nevezze meg azokat a tényeket, amelyek alátámasztják, miért nem volt valószínű a kockázat, és milyen bizonyíték indítana újraértékelést.

Őrizze meg az egymást követő értékeléseket. Egy korai következtetés a rendelkezésre álló bizonyítékok alapján észszerű lehetett, még ha a későbbi megállapítások meg is változtatják. A korábbi változat felülírása elrejti ezt az időrendet.

A hozzáférési és megőrzési szabályokat tudatosan határozza meg. A 33. cikk nem ír elő általános megőrzési időt az incidensrekordokra. Válasszon olyan indokolt ütemtervet, amely figyelembe veszi az elszámoltathatóságot, az alkalmazandó kötelezettségeket és az adattakarékosságot. Ahol lehetséges, a bizonyítékokra mutató hivatkozásokat őrizze meg, ahelyett hogy kiterjedt személyesadat-állományokat duplikálna.

A bejelentés nem mentesít a vizsgálat alól. A hatóságok pontosítást kérhetnek, és megvizsgálhatják a biztonsági intézkedéseket vagy más kötelezettségeket. Ugyanígy ne kezelje a bejelentést indokként arra, hogy a megfékezést a szabályozói utasításokra várva elhalassza.

Kidolgozott példa: nyilvánosan elérhető toborzási export

Ez a példa szemléltető jellegű; időpontjai és számai feltételezések, nem jelentett eredmények.

Tegyük fel, hogy egy szervezet pénteken 16:00-kor felfedezi, hogy egy toborzási export egy nyilvános tárolási linken keresztül elérhető lehet. A fájl 240 pályázó nevét, elérhetőségét, pályázati jegyzeteit és néhány mellékletet tartalmaz. 16:20-kor egy mérnök megerősíti a hitelesítés nélküli hozzáférést, és ellenőrzi, hogy a fájl személyes adatokat tartalmaz. A koordinátor a 16:20-at rögzíti alátámasztott tudomásszerzési időpontként. A 72 órás viszonyítási pont hétfő 16:20, bár a bejelentésnek ettől függetlenül indokolatlan késedelem nélkül meg kell történnie.

16:35-re a csapat megszüntette a nyilvános hozzáférést, és megőrizte a konfigurációs előzményeket és a rendelkezésre álló hozzáférési naplókat. Ezek a naplók a kitettségi időszaknak csak egy részét fedik le. A csapat nem jelentheti ki felelősen, hogy senki sem fért hozzá a fájlhoz.

Az első értékelés lehetséges célzott adathalászatot és bizalmas munkavállalási szándékok nyilvánosságra kerülését azonosítja. A mellékletek tartalma bizonytalan marad. Az adatvédelmi felülvizsgálók és a döntés felelőse arra a következtetésre jutnak, hogy a kockázat nem valószínűtlen, ezért a felügyeleti hatóság értesítése szükséges. Külön értékelik, hogy valószínű-e a magas kockázat; a pályázók száma önmagában nem válaszolja meg ezt a kérdést.

Az első bejelentés ismerteti a megerősített kitettséget, a hozzávetőleges hatókört, a naplók hiányos lefedettségét, az ismert következményeket és a megfékezést. Kijelenti, hogy a mellékletek vizsgálata folyamatban van, és megnevezi a frissítések megküldéséért felelős személyt.

Szombaton a vizsgálat megállapítja, hogy a mellékletek egy része egészségügyi adatokat tartalmaz. A csapat újraértékeli a magas kockázatot, és megállapítja, hogy az érintett csoportot tájékoztatni kell. Az üzenetek ismertetik a releváns kitettséget és a gyakorlati óvintézkedéseket anélkül, hogy más pályázók adatait felfednék.

A lezárt rekord megőrzi mindkét értékelést, az alátámasztó bizonyítékokat, a benyújtási visszaigazolásokat és a korrekciós feladatokat. A nyomon követés kiterjed az exportjóváhagyási kontrollokra, a nyilvános hozzáférés megelőzésére, a megfelelő naplózásra és annak tesztelésére, hogy a toborzási fájlok már nem érhetők el nyilvánosan.

A tanulság működési jellegű: a mellékletek bizonytalan tartalma nem akadályozta meg az első bejelentést, a későbbi megállapítások pedig megváltoztatták az érintettek tájékoztatására vonatkozó döntést anélkül, hogy érvénytelenítették volna a korábbi, bizonyítékokon alapuló értékelést.

Kövesse nyomon a többi bejelentési kötelezettséget ugyanazon az idővonalon

Ugyanaz az incidens GDPR szerinti, szerződéses, ágazatspecifikus és kiberbiztonsági bejelentési kötelezettségeket is kiválthat. Használjon egyetlen ténybeli időrendet, de válassza szét a kötelezettségek értékelését, a címzetteket, a felelősöket és a határidőket.

A NIS2 23. cikke az érintett szervezetek jelentős incidenseivel foglalkozik, függetlenül attól, hogy érintenek-e személyes adatokat. Az uniós bejelentési struktúra 24 órás korai figyelmeztetést, 72 órás incidensbejelentést és általában a bejelentést követő egy hónapon belüli zárójelentést tartalmaz. A NIS2-t nemzeti jogszabályok ültetik át: ellenőrizze az alkalmazhatóságot, a nemzeti eljárásokat és a releváns ágazati szabályokat, ahelyett hogy feltételezné, hogy minden szervezetnek vannak ilyen kötelezettségei.

Az érintett pénzügyi szervezetek esetében a DORA ágazatspecifikus követelményeket írhat elő. Ne duplikálja automatikusan a bejelentéseket, és ne tekintse úgy, hogy egyetlen benyújtás minden szabályozást kielégít.

Szerződéses ügyfélértesítésre akkor is szükség lehet, ha a felügyeleti hatóság értesítése nem kötelező. Vezessen bejelentési mátrixot, amely minden alkalmazandó kötelezettséghez azonosítja a forrást, a kiváltó okot, a címzettet, a felelőst, a benyújtási útvonalat és a teljesítés bizonyítékát.

Készítse elő az átadásokat a következő incidens előtt

Egy gyakorlati felkészültségi teszt egy péntek délutáni gyakorlat egy rossz címre küldött e-mail, egy veszélyeztetett szolgáltató vagy egy zsarolóvírus forgatókönyvével. Kérje meg a résztvevőket, hogy állítsák elő a tényleges első ténycsomagot és döntési rekordot, ne csak a szabályzatot írják le.

Ellenőrizze, hogy a csapat képes-e:

• Elérni a koordinátort, az adatvédelmi tanácsadót, a döntés felelősét és a helyetteseket.
• A meglévő nyilvántartásokból azonosítani a releváns adatokat és szolgáltatókat.
• Megőrizni a naplókat, mielőtt a visszaállítás vagy a megőrzési korlátok eltávolítanák őket.
• Hozzáférni a helyes hatósági bejelentési csatornához.
• Részletekben benyújtandó bejelentést fogalmazni egyértelműen jelölt ismeretlenekkel.
• Biztonságosan kommunikálni az ügyfelekkel és az érintettekkel.
• Rögzíteni a bejelentés mellőzéséről szóló döntést, és ütemezni az újraértékelést.

Ahol egy válasz egy ismeretlen személy felkutatásán vagy elérhetetlen hitelesítő adatok visszaszerzésén múlik, hozzon létre felkészültségi feladatot. A CISO és az adatvédelmi tisztviselő felelősségi köreinek elég világosnak kell lenniük ahhoz, hogy a műszaki tényfeltárás és a független adatvédelmi tanácsadás párhuzamosan haladhasson.

A Secani támogathatja az e munka körüli, felülvizsgálható megfelelőségi nyilvántartást. Modellezze az érintett rendszereket és szolgáltatókat célobjektumként, kapcsolja a bizonyítékokat a releváns követelményekhez és döntésekhez, és rendeljen felelősöket a nyomon követési feladatokhoz. Az összekapcsolt bizonyítékok és felülvizsgálati munkafolyamatok támogatják a forráshivatkozásokat, megjegyzéseket, jóváhagyásokat és időbélyegeket. Az MI által támogatott összefoglalókat emberi felülvizsgálatot igénylő tervezetként kezelje; a megfékezést és az igazságügyi informatikai vizsgálatot tartsa az operatív rendszerekben, és kapcsolja azok bizonyítékait a döntési nyomvonalhoz.

Kérdések, amelyek a reagálás során felmerülnek

Várhatunk egy törlési megerősítésre a döntés előtt?

Kérje mielőbb, de az értékelést párhuzamosan folytassa. Jelentősége a címzettől, a tartalomtól és a lehetséges további hozzáféréstől függ. Egy megválaszolatlan kérés nem bizonyítja, hogy a kitettség megszűnt.

Mi a teendő, ha a bejelentési portál nem érhető el?

Rögzítse a próbálkozásokat, és keresse a hatóság által közzétett alternatív kapcsolattartási útvonalat. Őrizze meg a benyújtásra kész információkat, és magyarázza el az ebből eredő késedelmet. Egy műszaki benyújtási probléma nem állíthatja le az értékelést vagy az érintettek szükséges tájékoztatását.

Mikor zárható le az incidens?

A működési helyreállítás és az adatvédelmi lezárás különálló mérföldkövek. Erősítse meg, hogy az előírt értesítések és frissítések megtörténtek, a fennmaradó kérdéseknek van felelősük, és a korrekciós intézkedések nyomon követése folytatódik. Gyakorlati következő lépésként vessen össze egy nemrégiben be nem jelentett esetet a rekord ellenőrzőlistájával: ha egy másik felülvizsgáló nem tudja rekonstruálni a döntést, javítsa az átadást a következő incidens előtt.