Fil-qosor: Min irid jew jixtieq jinforma lill-klijenti wara ksur tad-data l-ewwel jiddeċiedi mal-uffiċjal tal-protezzjoni tad-data u mal-avukat jekk teżistix obbligu skont l-Art. 34 GDPR, u jikkjarifika jekk il-klijenti kummerċjali humiex huma stess ir-responsabbli. Imbagħad isegwu l-gruppi tal-klijenti, kanali sikuri, servizz tal-klijenti ppreparat u messaġġ finali. It-tagħrif ma jinkludix links għal-login, biex ma jsirx mudell għall-phishing. Din il-paġna hija informazzjoni ġenerali u mhijiex konsulenza legali.
L-email li kulħadd jibża' minnha
Is-server huwa nadif, il-vulnerabbiltà magħluqa, il-forensika għandha l-ewwel riżultati. Issa fuq il-mejda hemm mistoqsija li ħafna diretturi jippreferu jevitaw: Irridu ngħidu lill-klijenti tagħna? U jekk iva, kif, mingħajr ma nagħmlu aktar ħsara mill-inċident innifsu?
Is-sitwazzjoni madwar PHP2Shell reġgħet qajmet din il-mistoqsija għal ħafna kumpaniji, anke mingħajr dħul mhux awtorizzat. Il-websajts kienu offline b'mod prekawzjonarju, il-klijenti staqsew, u l-frodisti skont l-esperjenza jabbużaw minn sitwazzjonijiet bħal dawn għal messaġġi foloz. Kif il-komunikazzjoni ta' kriżi hija mibnija bażikament, f'liema sekwenza u b'liema kontenut, jiddeskrivih Komunikazzjoni ta' kriżi wara attakk. Dan l-artikolu jmur pass aktar fil-fond: id-deċiżjoni, il-gruppi tal-klijenti u l-implimentazzjoni prattika.
Tinformaw lill-klijenti wara ksur tad-data: obbligu jew deċiżjoni?
L-Art. 34 GDPR jeħtieġ li dawk affettwati jiġu notifikati mingħajr dewmien żejjed meta ksur tal-protezzjoni tad-data personali x'aktarx iwassal għal riskju għoli għad-drittijiet u l-libertajiet tagħhom. In-notifika tiddeskrivi n-natura tal-ksur b'lingwa ċara u sempliċi u tinkludi mill-inqas persuna ta' kuntatt, il-konsegwenzi probabbli u l-miżuri meħuda jew ippjanati.
L-Art. 34(3) isemmi eċċezzjonijiet: meta d-data hija inaċċessibbli għal persuni mhux awtorizzati, pereżempju minħabba kriptaġġ, meta miżuri sussegwenti x'aktarx ineħħu r-riskju għoli, jew meta n-notifika tfisser sforz sproporzjonat; allura tiġi komunikazzjoni pubblika minflok. Jekk waħda minn dawn l-eċċezzjonijiet tapplikax hija valutazzjoni legali f'każ individwali. Tappartjeni lill-uffiċjal tal-protezzjoni tad-data u lill-avukat, bħan-notifika lill-awtorità superviżorja, ara Obbligu ta' notifika tal-GDPR: 72 siegħa wara l-inċident.
Anke mingħajr obbligu, informazzjoni tista' tkun għaqlija. Klijenti li jisimgħu bl-inċident minn sors ieħor jitilfu l-fiduċja aktar malajr minn dawk li jisimgħuh minnkom.
Tibqa' l-mistoqsija dwar iż-żmien. Min jinforma kmieni wisq jista' jkollu jikkoreġi dikjarazzjonijiet. Min jistenna wisq jirriskja li l-klijenti fil-frattemp isofru dannu, pereżempju b'phishing b'indirizzi li ħarġu. Triq medja li wriet li taħdem: tgħidu kmieni dak li huwa ċert u dak li l-klijenti nfushom jistgħu jagħmlu, u tħabbru espliċitament li se jiġu aktar informazzjoni. "Mingħajr dewmien żejjed" fis-sens tal-Art. 34 ma jfissirx li tistennew it-tmiem tal-investigazzjoni.
Liema klijenti tilħqu u kif
Mhux il-klijenti kollha jeħtieġu l-istess messaġġ. Iddistingwu mill-inqas tliet gruppi:
| Grupp ta' klijenti | Ir-rwol tagħkom | X'ifisser dan għall-informazzjoni |
|---|---|---|
| Klijenti privati b'kont jew ordni | ġeneralment responsabbli | iċċekkjaw in-notifika skont l-Art. 34, lingwa li tinftiehem, rakkomandazzjonijiet konkreti |
| Klijenti kummerċjali li d-data tagħhom tużaw għall-finijiet tagħkom | ġeneralment responsabbli | informazzjoni fattwali lil persuni ta' kuntatt imsemmija, klassifikazzjoni għall-obbligi tagħhom stess |
| Klijenti kummerċjali li għalihom tipproċessaw data f'isimhom | proċessur | informazzjoni mingħajr dewmien żejjed skont l-Art. 33(2), appoġġ fin-notifiki tagħhom |
It-tielet grupp spiss jintesa. Jekk tħaddmu pereżempju ħwienet jew portals għal klijenti, dawn ġeneralment huma stess ir-responsabbli u jridu jissodisfaw l-obbligi ta' notifika tagħhom. Għal dan jeħtieġu l-informazzjoni tagħkom malajr u kompluta.
Agħżlu kanali mingħajr ma tinkoraġġixxu l-phishing
L-iktar kanal sikur huwa dak li l-klijenti diġà jafu. Wrew li jaħdmu:
- Email mill-indirizz tas-soltu tal-mittent, mingħajr links għal-login u mingħajr annessi, bil-hint li l-klijenti jiftħu l-websajt huma stess.
- Avviż wara l-login fil-kont tal-klijent, hekk kif is-sistema terġa' taħdem b'mod sigur.
- Avviż fuq il-websajt, bħala suppliment pubbliku jew, fejn l-Art. 34(3) jipprevedi dan, bħala komunikazzjoni pubblika.
- Ittra għal klijenti mingħajr indirizz email aġġornat jew b'data partikolarment sensittiva.
- Telefon u servizz tal-klijenti bħala punt ta' kuntatt għal mistoqsijiet, b'numru li l-klijenti diġà jafu mill-websajt jew mill-fattura tagħkom.
Semmu f'kull tagħrif espliċitament li qatt ma tistaqsu bl-email jew bit-telefon għal passwords, kodiċijiet jew dettalji ta' ħlas. Wara inċidenti magħrufa l-frodisti jħobbu jibagħtu messaġġi li jidhru bħal tagħkom.
Mid-deċiżjoni sal-messaġġ finali
Hekk jista' jidher il-proċess fil-prattika:
- Żommu l-fatti: dak li huwa ppruvat, dak li huwa probabbli, dak li mhux magħruf. Biss dak ippruvat joħroġ barra.
- Ġibu valutazzjoni legali: obbligu skont l-Art. 34, ir-rwol fil-konfront tal-klijenti kummerċjali, koordinazzjoni man-notifika lill-awtorità.
- Iddeterminaw il-gruppi tal-klijenti u l-kanali, ġibu l-lista tad-distribuzzjoni mis-sistema proprja, mhux minn kopja li jista' jkun ġiet manipulata.
- Ippreparaw is-servizz tal-klijenti: mistoqsijiet u tweġibiet interni, regola ċara tal-lingwa, tressiq ta' każijiet diffiċli lil entità msemmija.
- Fassal rakkomandazzjonijiet għall-klijenti: pereżempju biddlu l-password jekk il-kredenzjali jistgħu jkunu affettwati u oqogħdu attenti għal messaġġi suspettużi.
- Ibagħtu u iddokumentaw: min ġie infurmat meta u permezz ta' liema kanal.
- Segwu: ikkomunikaw skoperti ġodda u ibagħtu messaġġ finali meta l-investigazzjoni tkun intemmet.
Min iffissa l-mogħdijiet tal-kuntatt internament minn qabel jiffranka ħafna ħin hawnhekk, ara Kuntatti ta' emerġenza: min għandu jiġi infurmat meta?. Passi tekniċi li għandhom jippreċedu l-informazzjoni jiġbor fil-qosor il-Lista ta' kontroll wara hack.
Kif tgħin PHP SOS b'mod konkret?
- Nagħtu l-fatti tekniċi dwar l-inċident b'mod preparat li l-uffiċjal tal-protezzjoni tad-data u l-avukat jistgħu jevalwaw l-obbligi.
- Niċċekkjaw it-tagħrif tagħkom lill-klijenti għall-korrettezza teknika u biex ma jagħtix indikazzjonijiet lill-attakkanti.
- Niżguraw li l-listi tad-distribuzzjoni u l-kontijiet tal-klijenti jiġu minn sistema indiffa qabel tibagħtu.
- Permezz ta' Incident Response nagħtu l-għarfien għal messaġġi ta' segwitu u finali bir-ritmu miftiehem.
Konklużjoni: Informazzjoni tajba lill-klijenti hija evalwata legalment, maqsuma skont il-gruppi, mibgħuta permezz ta' kanali sikuri u titwassal sal-aħħar. Din il-paġna hija informazzjoni ġenerali u mhijiex konsulenza legali; id-deċiżjoni f'każ individwali tieħduha mal-uffiċjal tal-protezzjoni tad-data u mal-avukat.
Mistoqsijiet frekwenti
Meta jkolli nħabbar lill-klijenti wara ksur tad-data?
Skont l-Art. 34 GDPR, meta l-ksur x'aktarx iwassal għal riskju għoli għad-drittijiet u l-libertajiet tal-persuni kkonċernati. Hemm eċċezzjonijiet, pereżempju b'kriptaġġ effettiv tad-data. Il-valutazzjoni tagħmluha mal-uffiċjal tal-protezzjoni tad-data u mal-avukat; din il-paġna mhijiex konsulenza legali.
X'japplika jekk nipproċessa data f'isem il-klijenti kummerċjali tiegħi?
Allura l-klijenti tagħkom ġeneralment huma stess ir-responsabbli. Skont l-Art. 33(2) GDPR il-proċessur jinforma lir-responsabbli mingħajr dewmien żejjed hekk kif ikun sar jaf bil-ksur tad-data. In-notifika lill-awtorità u lil dawk affettwati tibqa' ħaġa tal-klijent tagħkom.
Nista' ninforma lill-klijenti anke jekk ma hemm l-ebda obbligu?
Iva. Informazzjoni volontarja tista' tkun għaqlija, pereżempju meta l-websajt kienet offline b'mod prekawzjonarju minħabba PHP2Shell jew meta l-klijenti jistaqsu. Importanti li jissemmew biss fatti żguri u li ma tingħatx tranquillizzazzjoni bil-għaġla.
Kif nipprevjeni li l-frodisti jimitaw it-tagħrif tiegħi?
Evitaw links għal-login u annessi fit-tagħrif, irreferu għall-websajt magħrufa tagħkom u semmu espliċitament permezz ta' liema mogħdijiet qatt ma tistaqsu għal passwords jew dettalji ta' ħlas.