Az adatvédelmi incidensek kezelésére és bejelentésére vonatkozó előírások különösen nagy hangsúlyt kapnak ma már.

A betartandó szabályokat a GDPR, vagyis az Általános Adatvédelmi Rendelet tartalmazza, amely 2018-ban lépett hatályba az Európai Unióban, így természetesen Magyarországon is ezt kell szem előtt tartani..

A szabályok be nem tartása jelentős bírságot vonhat maga után, ami pedig legalább ilyen fontos; a vevők és az üzleti partnerek is egyre nagyobb hangsúlyt fektetnek személyi adataik biztonságára.

A GDPR szerint adatvédelmi incidensnek számít minden olyan biztonsági esemény, amikor személyes vagy vállalati adatokhoz jogosulatlanul hozzáférnek, azokat nyilvánosságra hozzák, megváltoztatják vagy megsemmisítik. Ide tartozik a továbbított, tárolt vagy más módon feldolgozott személyes adatok véletlen vagy jogellenes elvesztése, megsemmisítése, megváltoztatása, jogosulatlan közzététele vagy az azokhoz való hozzáférés.

A GDPR egyik legfontosabb előírása, hogy az adatkezelők kötelesek az adatvédelmi incidenst a felfedezést követően legfeljebb 72 órán belül jelenteni az illetékes felügyeleti hatóságnak, kivéve, ha az incidens valószínűsíthetően nem jelent kockázatot az érintettek jogaira nézve. Az incidens bejelentésének tartalmaznia kell az esemény jellegét, az érintett adatok típusát és mennyiségét, valamint az incidens következményeit​

Az Európai Adatvédelmi Testület szerint 2022-ben több mint 281 ezer GDPR-szabálysértést jelentettek, ami rávilágít arra, hogy mennyire fontos a szabályoknak való megfelelés biztosítása. Egy PwC által végzett felmérés szerint pedig a fogyasztók 88 százaléka nagyobb valószínűséggel bízik azokban a szervezetekben, amelyek átláthatóan kezelik a személyes adatok felhasználását.

Azzal, hogy pontosan milyen előírásokat kell betartani, és ezekre hogyan készítsd fel a vállalkozásod az innen elérhető blogbejegyzésünkben írtunk. Ebben a posztban a gyakorlati kérdéseket helyezzük előtérbe.

Adatvédelmi incidensek típusai

A leggyakoribb események az adatvesztés, az adatszivárgás és az adatmódosítás..

Adatvesztéskor az adatok eltűnnek vagy megsemmisülnek anélkül, hogy megfelelő biztonsági mentés állna rendelkezésre. Ez előfordulhat hardverhiba vagy emberi mulasztás miatt is. Ez különösen veszélyes esemény, mivel az elveszett adatok helyreállítására sok esetben nincs lehetőség, ami jelentős üzleti és jogi kárral járhat​.

Az adatszivárgás akkor következik be, amikor az adatok jogosulatlan személyekhez kerülnek. Ez történhet például hackertámadások, belső visszaélések vagy véletlen események révén. Az adatszivárgás súlyos következményekkel járhat, különösen ha érzékeny adatokról, például pénzügyi vagy egészségügyi adatokról van szó​.

Az adatmódosítás során az adatok jogosulatlanul megváltoznak. Ez történhet például rosszindulatú programok letöltése vagy hackertámadások révén, amelyeknek célja az adatok megváltoztatása, hogy azok helytelenek vagy félrevezetőek legyenek. Az adatmódosítás révén az adatok hitelessége és integritása sérül, ami befolyásolhatja a szervezet működését.

Az adatvédelmi incidensek megelőzése érdekében a szervezeteknek biztonsági intézkedésekre van szükségük. Ilyenek a titkosítás, a hozzáférés-ellenőrzés és a rendszeres biztonsági auditok. Ezen kívül fontos, hogy a szervezetek gyorsan és hatékonyan reagáljanak, ha mégis történik váratlan esemény annak érdekében, hogy minimalizálják azok hatását.

Az alábbiakban bemutatunk egy-egy hipotetikus forgatókönyvet a korábban említett adatvédelmi incidensekre, megmutatva azt is, hogy a mi a teendő ilyen helyzetekben.

Adatvesztés a szerver meghibásodása miatt

Egy magyar kiskereskedelmi vállalatnál, amely egy e-kereskedelmi platformot üzemeltet, adatvesztés következik be egy szerver meghibásodása következtében. Az adatvesztés során több ezer ügyfél rendelési története és számlázási adatai semmisülnek meg. Mi a teendő?

Az első lépés az incidens észlelése és bejelentése. Az IT-osztály - vagy ahol ilyen nincs, a rendszergazda - észleli a szervernek a meghibásodását és az adatvesztést, majd azonnal értesítik az ezzel foglalkozó illetékes kollégát. A felelős rögzíti az esemény időpontját, helyét és az érintett adatok típusát.

Ezt követően a rendszergazdák megvizsgálják és megállapítják a szerver meghibásodásának okát, illetve azt, hogy mi miatt következett be az adatvesztés, majd ellenőrzik, hogy vannak-e rendelkezésre álló biztonsági mentések az adatok helyreállításához. Ezt követően azonnal megkezdik az adatok helyreállítását a rendelkezésre álló biztonsági mentésekből (ha van ilyen), és értékelik az adatvesztés hatását az ügyfelekre és az üzletmenetre.

Fontos, hogy ne maradjon el a Nemzeti Adatvédelmi és Információszabadság Hatóságot (NAIH) értesítése, amennyiben az adatvesztés potenciálisan kockázatot jelent az érintettek jogaira nézve. Erre a vállalkozásnak 72 óra áll a rendelkezésére, de célszerű minél előbb lépni, ha bebizonyosodik, hogy bejelentésköteles esemény történt. Ezzel párhuzamosan az érintett ügyfeleket is tájékoztatják az adatvesztésről és a helyreállítási lépésekről, majd részletesen dokumentálják az incidenst és a megtett intézkedéseket.

Adatszivárgás alkalmazott hibája miatt

Egy egészségügyi szolgáltató rendszerében egy alkalmazott véletlenül elküld e-mailben egy páciensek egészségügyi adatait tartalmazó fájlt egy külső félnek, aki nem jogosult ezen adatok megtekintésére. Mi a teendő?

Az adavesztéshez hasonlóan az első lépés az incidens észlelése és bejelentése: az alkalmazott észleli a hibát és azonnal értesíti az illetékeseket, akik rögzítik az esemény időpontját, helyét és az érintett adatok típusát. Ezután vizsgálatot indítanak az adatszivárgás okának és kiterjedésének meghatározása érdekében, és azonosítják a jogosulatlanul hozzáférő személyt vagy szervezetet, valamint az érintett adatok mennyiségét.

Ezt követően azonnal kapcsolatba lépnek a jogosulatlan címzettel és kérik az adatok törlését, majd értékelik az adatszivárgás hatását és a kockázatokat az érintettekre nézve. Értesítik a NAIH-t 72 órán belül, ha az adatszivárgás valószínűleg kockázatot jelent az érintettekre nézve. Tájékoztatják továbbá az érintett pácienseket az adatszivárgásról, a megtett intézkedésekről és részletesen dokumentálják az incidenst és a megtett intézkedéseket.

Az adatmódosítás

Egy magyarországi gyártó vállalatot hackertámadás ér, amely során a támadó sikeresen módosítja több száz beszállítói szerződés adatait, beleértve az árakat és a szállítási feltételeket. Ez a módosítás jelentős pénzügyi veszteségeket okoz a vállalatnak és a beszállítóknak egyaránt. Mi a teendő?

Az IT-biztonsági csapat észleli a rendszerekben történt jogosulatlan módosításokat és azonnal értesítik az illetékeseket, akik rögzítik az incidens időpontját, helyét és az érintett adatok típusát. Azonosítják a támadás forrását, blokkolják a hackerek hozzáférését, és megállapítják az adatmódosítás mértékét. Azonnal megkezdik az érintett rendszerek és adatok visszaállítását az utolsó biztonságos állapotukba, ezt követően pedig frissítik a biztonsági protokollokat, hogy megakadályozzák a hasonló támadásokat a jövőben.

Az érintett beszállítókat azonnal értesítik az adatmódosításról, és részletes információkat adnak a helyzet kezeléséről, valamint az esetleges további lépésekről, például új szerződési feltételek egyeztetéséről. 72 órán belül értesítik a Nemzeti Adatvédelmi és Információszabadság Hatóságot (NAIH), hogy megfeleljenek a GDPR előírásainak.

Az IT csapat részletes vizsgálatot végez a támadás okainak és kiterjedésének meghatározása érdekében. Azonosítják a gyenge pontokat, és javaslatokat tesznek azok megerősítésére. Részletesen dokumentálják az incidenst és a megtett intézkedéseket, beleértve a támadás módját, az érintett adatokat és a helyreállítási lépéseket. Az incidens kezeléséről és tanulságairól jelentést készítenek, amelyet megosztanak a vezetőséggel és a biztonsági szakértőkkel.

A vállalat külső biztonsági auditot végezhet, hogy felmérje a jelenlegi biztonsági intézkedések hatékonyságát és azonosítsa a további javítási lehetőségeket. Célszerű a dolgozók számára rendszeres képzéseket tartani az adatbiztonsági protokollokról és a tudatos viselkedésről.

Egy ilyen incidens után a vállalat nem csak az azonnali kárt minimalizálja, hanem hosszú távon is erősíti a biztonsági intézkedéseket és a beszállítókkal való együttműködést, hogy megelőzze a jövőbeni támadásokat és biztosítsa a zavartalan üzletmenetet.