Добре известна уязвимост прави мерките за сигурност на компанията неадекватни и улеснява нападателите
В последния се бюлетин италианският надзорен орган за защита на личните данни (Garante per la protezione dei dati personali) съобщава за наложена глоба от 900 хиляди евро на Postel SpA. Дружеството почти година не се намесва по вече известна и докладвана уязвимост на своите системи, чрез която след това претърпява нарушение на сигурността на личните данни.
През август 2023 г. компанията става обект на кибератака от тип ransomware, която според първоначалното уведомление до надзорния орган „води до блокиране на някои сървъри и работни станции“.
След 17 август 2023 г. Postel SpA уведомява още няколко пъти Garante, съгласно чл. 33 от GDPR, за нарушение на личните данни до окончателния вариант на 4 октомври 2023 г. Компанията съобщава за претърпяна кибератака от тип ransomware, отговорността за която впоследствие е поета от кибербандата, наречена Medusa.
Атаката води до ексфилтриране и в някои случаи загуба на данни – файлове, съдържащи лични данни на приблизително 25 хил. души, включително служители, бивши служители, роднини на служители, членове на борда на директорите, борда на одиторите и надзорния орган на компанията, кандидати за работа и представители на фирми, имали търговски отношения с Postel.
Информацията, публикувана впоследствие в тъмната мрежа, се отнася до лични данни и данни за контакт, данни за достъп и идентификация, данни за плащания, както и данни, свързани с наказателни присъди и престъпления, данни, разкриващи синдикално членство и здравни данни.
Въпреки че уязвимостта беше докладвана, първо от производителя на софтуера (септември 2022 г., с необходимите актуализации, предоставени през ноември 2022 г.) и след това от Националната агенция за киберсигурност (ноември 2022 г.), Postel не актуализира, както е препоръчано, собствените си системи.
По този начин компанията не е спазила задълженията, установени от законодателството за защита на личните данни, които изискват приемането на технически и организационни мерки, способни да гарантират ниво на сигурност, адекватно на риска, пише Garante.
В решението се посочва как в уведомлението за нарушение на данните до Garante и в последващи допълнения компанията не е предоставила изчерпателна информация за нарушението и за мерките за смекчаване или премахване на откритите уязвимости, което води до удължаване на времето за проверки на надзорния орган.
Garante нареди на Postel, в допълнение към плащането на глобата от 900 хиляди евро, да извърши анализ на уязвимостите на своите системи, да подготви план за откриване и управление на такива уязвимости, процедури за корекция и смекчаване, в рамките на 90 дни от уведомяването за решението, да идентифицира, за различните ИТ активи, чрез които компанията обработва лични данни, стойности, свързани със средното време за откриване на уязвимост (MTTD) и средното време за реакция (MTTR), които са адекватни, като се вземе предвид рискът за правата и свободите на физическите лица, в рамките на 90 дни от уведомяването.