Европейският комитет по защита на данните публикува Насоки 01/2021
Кога има нарушаване на сигурността на личните данни и трябва да уведомим пострадалите? А надзорния орган? Отговорите на десетки въпроси се съдържат в Насоките, които Европейския комитет по защита на данните (ЕКЗД/EDPB) публикува на 3 януари след обществено обсъждане.
Ето два от примерите – компютърните системи на малка производствена компания са изложени на ransomware атака и данните, съхранявани в тези системи, са криптирани.
Администраторът на данни е криптирал информацията. Ключът за декриптиране не е бил компрометиран при атаката, т.е. нападателят не е имал достъп до него.
Нападателят е имал достъп само до криптирани лични данни.
На практика нито имейлите на компанията, нито каквито и да било системи, използвани за достъп до клиентска информация, са засегнати.
Компанията използва опита на външна компания за киберсигурност, за да разследва инцидента.
Регистри, проследяващи всички потоци от данни, напускащи компанията (включително изходящи имейли) са налични. След анализ на логовете и вътрешно разследване, подкрепено от външната компания за киберсигурност, със сигурност е установено, че извършителят само е криптирал данни, без да ги източи. Дневниците не показват изходящ поток от данни по време на атаката.
Личните данни, засегнати от нарушението, се отнасят до клиенти и служители на компанията, общо няколко десетки лица.
Налично е резервно копие и данните са възстановени няколко часа след атаката. Нарушението не е довело до негативни последствия върху ежедневната работа на администратора. Нямаше забавяне на плащания или обработка на заявки на клиенти.
Този пример е разгледан от всички възможни гледни точки в насоките, както и следващият:
Един от компютрите, използвани от селскостопанска компания, е изложен на ransomware атака и нейната данни са криптирани от нападателя. Компанията използва експертизата на външна компания за киберсигурност за наблюдение на нейната мрежа. Регистри, проследяващи всички потоци от данни, напускащи компанията (включително изходящи имейли) са налични.
След анализ на регистрационните файлове и вътрешно разследване, подпомогнато от компанията за киберсигурност, се установява, че извършителят само е криптирал данните, без да ги изтегли. Не е регистриран изходящ поток от данни по време на атаката. Личните данни, засегнати от нарушението, се отнасят до служителите и клиенти на компанията, общо няколко десетки лица. Няма засегнати специални категории данни. Няма резервно копие в електронен вид. Възстановяването е възможно от хартиени носители. Възстановяването на данните отнема 5 работни дни и води до малки закъснения при доставката на поръчки към клиенти.