Īsi sakot: Kam pēc datu noplūdes klienti jāinformē vai kas to vēlas darīt, vispirms kopā ar datu aizsardzības speciālistu un juristu izlemj, vai pastāv pienākums saskaņā ar VDAR 34. pantu, un noskaidro, vai uzņēmumu klienti paši ir pārziņi. Tad seko klientu grupas, droši kanāli, sagatavots klientu apkalpošanas dienests un noslēguma ziņojums. Paziņojumos nav pieteikšanās saišu, lai tie netiktu izmantoti kā pikšķerēšanas paraugs. Šī lapa ir vispārīga informācija un nav juridiskā konsultācija.
E-pasts, no kura visi baidās
Serveris ir iztīrīts, nepilnība aizvērta, forensika devusi pirmos rezultātus. Tagad uz galda ir jautājums, ko daudzi vadītāji labprāt apietu: vai mums tas jāsaka klientiem? Un, ja jā, kā, nenodarot vairāk kaitējuma nekā pats incidents?
Situācija ap PHP2Shell šo jautājumu daudziem uzņēmumiem ir aktualizējusi no jauna, arī bez ielaušanās. Vietnes piesardzības nolūkā bija bezsaistē, klienti jautāja, un krāpnieki šādas situācijas pēc pieredzes izmanto viltotiem ziņojumiem. Kā krīzes komunikācija principā ir uzbūvēta, kādā secībā un ar kādu saturu, apraksta Krīzes komunikācija pēc uzbrukuma. Šis raksts iet soli dziļāk: lēmums, klientu grupas un praktiska īstenošana.
Klientu informēšana pēc datu noplūdes: pienākums vai lēmums?
VDAR 34. pants prasa skartās personas informēt bez nepamatotas kavēšanās, ja personas datu aizsardzības pārkāpums, visticamāk, rada augstu risku to tiesībām un brīvībām. Paziņojumā skaidrā un vienkāršā valodā apraksta pārkāpuma veidu, un tajā ir vismaz kontaktpersona, iespējamās sekas un veiktie vai plānotie pasākumi.
VDAR 34. panta 3. punkts min izņēmumus: ja dati, piemēram, ar šifrēšanu ir nepieejami nepilnvarotām personām, ja turpmākie pasākumi augstu risku, visticamāk, novērsīs vai ja paziņošana prasītu nesamērīgas pūles; tad tās vietā stājas publisks paziņojums. Vai kāds no šiem izņēmumiem ir piemērojams, ir juridisks novērtējums konkrētajā gadījumā. Tas pieder datu aizsardzības speciālistam un juristam, tāpat kā ziņošana uzraudzības iestādei, skatiet VDAR ziņošanas pienākums: 72 stundas pēc incidenta.
Arī bez pienākuma informēšana var būt lietderīga. Klienti, kas par incidentu uzzina no cita avota, zaudē uzticību ātrāk nekā tie, kas to dzird no jums.
Paliek jautājums par laiku. Kas informē pārāk agri, iespējams, būs spiests labot izteikumus. Kas gaida pārāk ilgi, riskē, ka klienti pa to laiku cietīs, piemēram, no pikšķerēšanas ar noplūdušām adresēm. Sevi pierādījis vidusceļš: agri paziņot, kas ir noskaidrots un ko klienti paši var darīt, un skaidri paziņot, ka sekos papildu informācija. „Bez nepamatotas kavēšanās“ VDAR 34. panta izpratnē nenozīmē gaidīt izmeklēšanas beigas.
Kurus klientus un kā sasniegt
Ne visiem klientiem vajadzīgs viens un tas pats ziņojums. Nošķiriet vismaz trīs grupas:
| Klientu grupa | Jūsu loma | Ko tas nozīmē informēšanai |
|---|---|---|
| Privātklienti ar kontu vai pasūtījumu | parasti pārzinis | pārbaudīt paziņošanu saskaņā ar VDAR 34. pantu, saprotama valoda, konkrēti ieteikumi |
| Uzņēmumu klienti, kuru datus izmantojat saviem mērķiem | parasti pārzinis | lietišķa informācija nosauktām kontaktpersonām, novērtējums viņu pašu pienākumiem |
| Uzņēmumu klienti, kuru uzdevumā apstrādājat datus | apstrādātājs | informēšana bez nepamatotas kavēšanās saskaņā ar VDAR 33. panta 2. punktu, atbalsts viņu ziņojumiem |
Trešā grupa bieži tiek palaista garām. Ja, piemēram, darbinat veikalus vai portālus klientiem, tie parasti paši ir pārziņi un viņiem jāpilda savi ziņošanas pienākumi. Tam viņiem ātri un pilnīgi vajadzīga jūsu informācija.
Kanālu izvēle, nesekmējot pikšķerēšanu
Drošākais kanāls ir tas, ko klienti jau pazīst. Sevi pierādījuši:
- E-pasts no ierastās sūtītāja adreses, bez pieteikšanās saitēm un bez pielikumiem, ar norādi pašiem atvērt vietni.
- Paziņojums pēc pieteikšanās klienta kontā, tiklīdz sistēma atkal darbojas droši.
- Paziņojums vietnē kā publisks papildinājums vai, kur VDAR 34. panta 3. punkts to paredz, kā publisks paziņojums.
- Vēstule klientiem bez aktuālas e-pasta adreses vai īpaši sensitīvu datu gadījumā.
- Tālrunis un klientu apkalpošana kā kontaktpunkts jautājumiem, ar numuru, ko klienti jau pazīst no jūsu vietnes vai rēķina.
Katrā paziņojumā skaidri norādiet, ka jūs nekad pa e-pastu vai tālruni neprasāt paroles, kodus vai maksājumu datus. Krāpnieki pēc zināmiem incidentiem labprāt sūta ziņojumus, kas izskatās kā jūsējie.
No lēmuma līdz noslēguma ziņojumam
Tā prakse var izskatīties:
- Fiksēt faktus: kas ir pierādīts, kas ir ticams, kas nav zināms. Uz āru nonāk tikai pierādītais.
- Saņemt juridisku novērtējumu: pienākums saskaņā ar VDAR 34. pantu, loma attiecībā pret uzņēmumu klientiem, saskaņošana ar ziņojumu iestādei.
- Noteikt klientu grupas un kanālus, adresātu sarakstu paņemt no savas sistēmas, nevis no iespējami manipulētas kopijas.
- Sagatavot klientu apkalpošanu: iekšējie jautājumi un atbildes, skaidra izteikšanās kārtība, sarežģītu gadījumu pārsūtīšana nozīmētai vietai.
- Formulēt ieteikumus klientiem: piemēram, nomainīt paroli, ja varētu būt skarti piekļuves dati, un pievērst uzmanību aizdomīgiem ziņojumiem.
- Nosūtīt un dokumentēt: kurš kad un caur kuru kanālu tika informēts.
- Sekot līdzi: paziņot jaunas atziņas un nosūtīt noslēguma ziņojumu, kad izmeklēšana ir beigusies.
Kas iekšēji iepriekš ir noteicis kontaktceļus, tam tas ietaupa daudz laika, skatiet Ārkārtas kontakti: kam un kad jāpaziņo?. Tehniskos soļus, kuriem jāpavada informēšana, apkopo Kontrolsaraksts pēc uzlaušanas.
Kā PHP SOS palīdz konkrēti?
- Mēs sniedzam tehniskos faktus par incidentu tā sagatavotus, lai datu aizsardzības speciālists un jurists varētu novērtēt pienākumus.
- Mēs pārbaudām jūsu klientu paziņojumus attiecībā uz tehnisko pareizību un to, lai tie uzbrucējiem nedotu norādes.
- Mēs nodrošinām, ka adresātu saraksti un klientu konti pirms nosūtīšanas nāk no iztīrītas sistēmas.
- Ar incidentu reaģēšanu (Incident Response) mēs sniedzam atziņas turpmākajiem un noslēguma ziņojumiem saskaņotā ritmā.
Secinājums: Laba klientu informēšana ir juridiski pārbaudīta, sadalīta pa grupām, nosūtīta pa drošiem kanāliem un novesta līdz galam. Šī lapa ir vispārīga informācija un nav juridiskā konsultācija; lēmumu konkrētajā gadījumā pieņemat kopā ar datu aizsardzības speciālistu un juristu.
Biežāk uzdotie jautājumi
Kad pēc datu noplūdes man jāinformē klienti?
Saskaņā ar VDAR 34. pantu, ja pārkāpums, visticamāk, rada augstu risku skarto personu tiesībām un brīvībām. Ir izņēmumi, piemēram, ja dati ir efektīvi šifrēti. Novērtējumu veiciet kopā ar datu aizsardzības speciālistu un juristu; šī lapa nav juridiskā konsultācija.
Kas ir spēkā, ja es apstrādāju datus sava uzņēmuma klientu uzdevumā?
Tad jūsu klienti parasti paši ir pārziņi. Saskaņā ar VDAR 33. panta 2. punktu apstrādātājs pārzini informē bez nepamatotas kavēšanās pēc tam, kad tam kļuvusi zināma datu noplūde. Ziņošana iestādei un skartajām personām paliek jūsu klienta ziņā.
Vai drīkstu informēt klientus, kaut gan pienākuma nav?
Jā. Brīvprātīga informēšana var būt lietderīga, piemēram, ja vietne PHP2Shell dēļ piesardzības nolūkā bija bezsaistē vai klienti uzdod jautājumus. Svarīgi nosaukt tikai pārbaudītus faktus un nesniegt pārsteidzīgu atbalsi.
Kā novērst, ka krāpnieki atdarina manu paziņojumu?
Paziņojumā atsakieties no pieteikšanās saitēm un pielikumiem, atsaucieties uz savu zināmo vietni un skaidri norādiet, kādos veidos jūs nekad neprasāt paroles vai maksājumu datus.