Mi számít incidensnek?
A GDPR szerint adatvédelmi incidens a biztonság minden olyan sérülése, amelynek következtében személyes adat jogosulatlan kézbe kerül, elvész, megsemmisül vagy megváltozik – akár szándékosan, akár véletlenül. Nem csak a hackertámadás: egy rossz címzettnek elküldött ügyféllista, egy nyilvánosan elérhetővé vált adatbázis-mentés, egy elveszett, titkosítatlan laptop, egy törölt tábla, amiről nincs mentés – mind incidens. A közös bennük, hogy az adat feletti kontroll megszakadt.
Ami nem incidens: egy sikertelen támadási kísérlet, amely nem jutott adathoz. Egy titkosított eszköz elvesztése, ahol a kulcs biztonságban van, és az adatról van mentés, általában nem jár kockázattal az érintettekre – bejelenteni ilyenkor jellemzően nem kell, de a belső nyilvántartásba ezt is írd be. A határvonal az, hogy az adat ténylegesen hozzáférhetővé vált-e valakinek, akinek nem lett volna szabad, vagy elveszett-e.
Az első órák: észlelés és megállítás
Amikor kiderül, hogy valami történt, két dolog sürgős, és mindkettő megelőzi a bejelentést. Az első: megállítani, ami folyik – a nyitva hagyott hozzáférés lezárása, a kiszivárgott kulcs cseréje, a rossz beállítás visszaállítása. A második: rögzíteni, mi történt – mikor vetted észre, mi látszik, mit tettél. Ez a jegyzet később a bejelentés és a dokumentáció alapja lesz, és az emlékezet órák alatt torzul.
Ne törölj naplókat, ne indíts újra mindent reflexből – a nyomok kellenek ahhoz, hogy megértsd, mi történt és kit érint.
Kit érint, és mekkora a kockázat?
A bejelentési kötelezettség attól függ, mekkora kockázatot jelent az incidens az érintettekre. Ezért a második lépés a felmérés: milyen adat került ki (név és e-mail más, mint jelszó vagy bankkártyaadat), hány embert érint, és mi történhet velük emiatt. Egy nyilvános e-mail-cím kiszivárgása alacsony kockázat; egy jelszó vagy egy egészségügyi adat magas.
Ezt a mérlegelést le kell írni – akkor is, ha a végén az jön ki, hogy nem kell bejelenteni. A dokumentáció maga is kötelezettség.
A jelszavak esete
Ha jelszavak szivárogtak ki – még hash-elve is –, a felhasználók érintettek, mert sokan ugyanazt a jelszót használják máshol. Ilyenkor a jelszócsere kikényszerítése és az érintettek értesítése a kárenyhítés első lépése.
Ki kit értesít, és mikor?
Az adatkezelő – vagyis a vállalkozás, amelynek az ügyfelei az érintettek – köteles az incidenst bejelenteni a felügyeleti hatóságnak, kivéve, ha az valószínűleg nem jár kockázattal az érintettekre. Magyarországon ez a hatóság a NAIH. A GDPR szerint a bejelentést indokolatlan késedelem nélkül kell megtenni, és ha lehetséges, legkésőbb 72 órával azután, hogy az incidens a tudomásodra jutott; ha később jelentesz, a késés okát is meg kell adnod. Ha a határidőn belül még nem tudsz mindent, a bejelentést részletekben is megteheted. Az aktuális eljárást és űrlapot a hatóság oldalán találod.
Ha az incidens valószínűleg magas kockázattal jár az érintettekre, őket is értesíteni kell – érthetően, arról, mi történt, mi a következménye, és mit tehetnek. Ez nem marketinglevél és nem jogi nyilatkozat: rövid, világos, és tartalmazza, kihez fordulhatnak.
Ha az adat egy szolgáltatónál – például a hosztnál – került veszélybe, a szolgáltató köteles téged indokolatlan késedelem nélkül értesíteni, mert a hatóság felé te felelsz, és a határidőd attól indul, hogy tudomást szereztél az incidensről. Azt, hogy a szolgáltató ebben segít neked, az adatfeldolgozási szerződésben kell rögzíteni.
A dokumentáció: minden incidensről
Minden incidenst nyilván kell tartani – a bejelentetteket és a nem bejelentetteket is: mi történt, milyen adat, kit érintett, mit tettél, mi lett a következménye. Ez a nyilvántartás az, amit egy ellenőrzésnél kérnek, és ez az, ami megmutatja, hogy a vállalkozás komolyan kezeli az adatokat akkor is, ha egy adott eset nem volt bejelentés-köteles.
A megelőzés, ami az incidens után jön
Egy incidens után a kérdés nem csak az, hogy mi történt, hanem az, hogy mi hiányzott. Nem volt kétlépcsős belépés? A kulcsok a kódban voltak, nem a titkoknak való helyen? A mentés nyilvános tárhelyen? A hozzáférések nem lettek visszavonva egy távozó kollégánál? Az incidens-nyilvántartás vége mindig egy teendőlista.
A NextHubon a szolgáltatások környezeti változóit és titkait titkosítva tároljuk, a projekthez csak a meghívott közreműködők férnek hozzá, a naplókat pedig a felületen látod és exportálhatod. Ezek az eszközök segítenek a felmérésben és a lezárásban, de az eljárás a tiéd: a hatóság felé te jelentesz, és a saját helyzetedről adatvédelmi tanácsadó vagy jogász tud felelősséggel nyilatkozni.
Röviden
Incidens = az adat feletti kontroll megszakadt, nem csak támadás. Először állítsd meg és jegyezd fel. Mérd fel a kockázatot, és írd le. Bejelentés a hatóságnak lehetőleg 72 órán belül, kivéve ha nincs kockázat; magas kockázatnál az érintetteknek is. Minden incidenst dokumentálj. A hoszt téged értesít, te a hatóságot. És a végén: mi hiányzott?
Gyakori kérdések
Adatvédelmi incidensnek számít egy rossz címzettnek elküldött e-mail?
Igen, ha személyes adat került vele jogosulatlan kézbe, például egy ügyféllista. Nem csak a hackertámadás számít incidensnek: egy elveszett, titkosítatlan laptop vagy egy nyilvánosan elérhetővé vált adatbázis-mentés is az.
Mi a teendő, ha a bejelentési határidőn belül még nem tudok mindent az incidensről?
A bejelentést részletekben is megteheted. Ha a határidő után jelentesz, a késés okát is meg kell adnod.
Törölhetem a naplókat egy incidens után?
Ne törölj naplókat, és ne indíts újra mindent reflexből, mert a nyomok kellenek ahhoz, hogy megértsd, mi történt és kit érint. Közben jegyezd fel, mikor vetted észre, mi látszik, és mit tettél.
Mi a teendő, ha jelszavak szivárogtak ki?
Ha jelszavak szivárogtak ki, még hash-elve is, a felhasználók érintettek, mert sokan ugyanazt a jelszót használják máshol. Ilyenkor a jelszócsere kikényszerítése és az érintettek értesítése a kárenyhítés első lépése.
Mit tartalmazzon az érintetteknek küldött értesítés?
Érthetően mondja el, mi történt, mi a következménye, mit tehetnek az érintettek, és kihez fordulhatnak. Rövid és világos legyen, ne marketinglevél és ne jogi nyilatkozat.