Реакцията на Службата на комисаря по информацията е заради кибератака, засегнала над 9,5 млн. души
Службата на австралийския комисар по информацията (AIC) е завела дело за търсене на наказателна отговорност във Федералния съд срещу Singtel Optus Pty Limited и Optus Systems Pty Limited (заедно Optus), след разследване във връзка с нарушението на сигурността на данните, оповестено публично от Optus на 22. 09.2022 г.
Пробивът в данните включва неоторизиран достъп до личната информация на милиони настоящи, бивши и потенциални клиенти на Optus и последващото публикуване на част от тази информация в тъмната мрежа.
AIC твърди, че от или около 17.10.2019 г. до 20.09.2022 г. Optus нарушава сериозно неприкосновеността на личния живот на приблизително 9,5 милиона австралийци, като не предприема разумни стъпки за защита на личната им информация от злоупотреба, намеса и загуба, както и от неоторизиран достъп, промяна или разкриване, в нарушение на Закона за поверителност от 1988 г.
AIC твърди, че Optus не успява адекватно да управлява риска за киберсигурността и информационната сигурност по начин, съизмерим с естеството и обема на личната информация, която Optus е съхранява, размера на Optus и рисковия профил на Optus.
„Започването на тези производства потвърждава, че OAIC ще предприеме необходимите действия за защита на правата на австралийската общност“, заявява австралийският информационен комисар Елизабет Тид.
„Организациите съхраняват лична информация в рамките на законовите изисквания и въз основа на доверие. Австралийската общност трябва да има доверие, че организациите ще действат съответно, а ако не го направят, OAIC като регулатор ще предприеме действия за гарантиране на тези права.“
Австралийският комисар по защита на личните данни Карли Кайнд заявява: „Пробивът в данните на Optus подчертава някои от рисковете, свързани с външни уебсайтове и домейни, особено когато те взаимодействат с вътрешни бази данни, съдържащи лична информация, както и рисковете, свързани с използването на услуги на трети страни.“
„Всички организации, които съхраняват лична информация, трябва да гарантират, че имат силни практики за управление и сигурност на данните. Те трябва да бъдат едновременно задълбочени и вградени, за да предпазят от уязвимости, които злонамерените лица биха могли да използват.“
„Ефективното управление на личната информация на хората е от решаващо значение и бизнесите трябва да бъдат изключително бдителни към значителните заплахи и рискове в днешния кибер пейзаж.“
През септември 2022 г. Optus е обект на кибератака. Хакерът получава достъп до личната информация на милиони настоящи и бивши клиенти на Optus. Личната информация, съхранявана от Optus, включва имена, дати на раждане, домашни адреси, телефонни номера и имейл адреси и служебни идентификатори, включително номера на паспорти, на шофьорски книжки, на карти Medicare, информация от акт за раждане, информация от акт за брак и информация за самоличност на въоръжените сили, силите за отбрана и полицията.
AIC започна разследване на практиките за поверителност на Optus след това нарушение на данните. Разследването се фокусира върху това как Optus управлява и защитава личната информация и дали предприетите стъпки са били разумни при тези обстоятелства, за да защити личната информация от злоупотреба, неоторизиран достъп и/или разкриване.
Според AIC Optus не е предприела разумни стъпки за защита на личната информация, която е съхранявана, предвид размера, ресурсите, естеството и обема на личната информация, и риска от вреда за дадено лице в случай на нарушение.
AIC може да подаде молба до Федералния съд за налагане на гражданска санкция, когато се твърди, че дадено лице е извършило сериозни или многократни нарушения на неприкосновеността на личния живот в нарушение на раздел 13G от Закона за защита на личните данни.
Федералният съд може да наложи гражданска санкция до 2,22 млн. долара за всяко нарушение. AIC твърди, че е налице по едно нарушение за всяко от 9,5-те милиона лица, чиято неприкосновеност на личния живот е била сериозно нарушена от Optus.
Увеличените граждански санкции до 50 милиона долара влязоха в сила през декември 2022 г., въпреки че те не се отнасят за този случай, тъй като предполагаемите нарушения са извършени от 17.10.2019 г. до 20.09.2022 г. Съдът ще решава размера на санкцията.
OAIC изброява и няколко препоръки – да се внедрят надеждни процеси и процедури за мониторинг на сигурността, за да се гарантира откриването на всякакви уязвимости и своевременно да се реагира на всички инциденти; да се осигурят ресурси за поверителност и киберсигурност, включително когато се възлагат на външни доставчици; редовно да се преглеждат практиките и системите, включително да се оценява критичната и чувствителна инфраструктура, и своевременно да се действа в областите, изискващи подобрение.