Na kratko: Če sumite, da so podatki uhajali prek vaše spletne strani, je čas odločilni dejavnik. Če ste prizadeti, se javite takoj. Na daljavo zavarujemo sledi, tehnično razjasnimo, kateri podatki so lahko prizadeti, zapremo dostop in dostavimo zanesljivo dokumentacijo za pooblaščenca za varstvo podatkov, odvetnika in zavarovalnico.
Zdaj ničesar ne brišite in ničesar ne postavljajte znova. Dnevniki, zbirka podatkov in datoteke so edini dokazi o tem, kaj je uhajalo in kaj ne. Kdor jih prepiše, pozneje ne more dokazati ničesar. Prijavite nujni primer in prevzamemo že od prvega sporočila.
Ste prizadeti? Po čem prepoznate uhajanje podatkov prek spletne strani
Uhajanje podatkov se pogosto zgodi neopazno. Znaki izhajajo večinoma iz stranskih učinkov:
- Stranke sporočajo, da se podatki, ki ste jih imeli samo vi, pojavljajo drugje, ali da prejemajo lažna sporočila s pravilnimi podrobnostmi naročila.
- Zbirka podatkov je nenavadno močno obremenjena ali izvozi in izpisi (dump) ležijo na mestih, kjer jih niste ustvarili.
- V dnevnikih se kažejo množične poizvedbe po seznamih strank, naročilih ali uporabniških profilih, pogosto v enakomernem ritmu.
- Vaš strežnik vzpostavlja odhodne povezave na naslove, ki jih ne poznate, ali prenaša nenavadno veliko podatkov.
- Pojavijo se novi skrbniški računi, spremenjena gesla ali prijave ob nenavadnih urah.
- Raziskovalka varnosti, novinar ali organ vas opozori na prosto dostopne podatke.
- Na vašem strežniku ležijo nezavarovane varnostne kopije, datoteke
.envali imeniki, ki jih lahko odpre vsak.
Zadnja točka je uhajanje brez napada: kdor varnostno kopijo odloži v spletni imenik, podatke naredi dostopne brez vsakega vdora. Tudi to je lahko prijavljivo.
Kaj storite takoj
- Zabeležite čas: Zapišite, kdaj in kako ste izvedeli za sum. Ta trenutek je pomemben za roke.
- Omejite dostop: Prizadeta območja, na primer uporabniški račun ali funkcije izvoza, začasno odklopite z omrežja ali preklopite v vzdrževalni način, če bi podatki lahko uhajali še naprej.
- Zavarujte sledi: Strežniških dnevnikov, zbirke podatkov in datotečnega sistema ne spreminjajte. Prosite ponudnika gostovanja, naj ohrani zapisnike.
- Vključite pooblaščenca za varstvo podatkov: Obvestite pristojno osebo ali zunanjega pooblaščenca, da ostane rok za prijavo v vidnem polju.
- Razjasnite prizadete vrste podatkov: Kaj leži na sistemu? Matični podatki strank, naročila, zdravstveni ali plačilni podatki, prijave?
- Dostope spremenite usklajeno: Gesla in ključe zamenjajte šele po dogovoru in s čiste naprave.
- Obvestite zavarovalnico in odvetnika: Številne police zahtevajo zgodnjo prijavo.
Kako konkretno pomaga PHP SOS?
- Ocena stanja: Z vami razjasnimo, kateri sistemi in vrste podatkov so lahko prizadeti in kdaj je nastal sum.
- Zavarovanje in zapiranje: Dnevnike, zbirko podatkov in datoteke zavarujemo nespremenjene, blokiramo dostop napadalca in zapremo odprte poti, na primer nezavarovane varnostne kopije.
- Preverjanje in čiščenje: Analiziramo dostope, poizvedbe v zbirko podatkov in povezave, iščemo webshelle in stranska vrata ter jih odstranimo. Kjer je treba, pritegnemo partnerje za sodno obstojno IT-forenziko.
- Utrjevanje in poročilo: Prejmete časovnico, izjavo o verjetno prizadetih podatkih, jasno ločeno na dokazano, verjetno in neznano, ter priporočila za trajno zaščito.
Delamo na daljavo, brez prihoda na kraj, po vsej Nemčiji in Evropi.
Rok za prijavo: kaj zahteva GDPR in kaj prispevamo mi
Po 33. členu GDPR je treba kršitev varstva osebnih podatkov praviloma brez nepotrebnega odlašanja, po možnosti v 72 urah od seznanitve, prijaviti nadzornemu organu, če predvidoma pomeni tveganje za prizadete. To je splošna informacija, ne pravno svetovanje. Ali in kaj morate prijaviti, odločite s pooblaščencem za varstvo podatkov ali odvetnikom.
Naš prispevek je tehnična stran: Kaj se je zgodilo, kateri sistemi so bili prizadeti, kakšne vrste podatkov so tam ležale, kako dolgo je bil dostop odprt, kaj je bilo storjeno? Prijavo, ki temelji na dokazanih dejstvih namesto na domnevah, je lažje zagovarjati. Pregled obveznosti daje stran o obveznosti prijave GDPR v 72 urah. Incident sčasoma ne postane manjši; kdor prijavi zgodaj in čisto dokumentira, je v prednosti.
Zavarovanje dokazov in pravilno nagovarjanje prizadetih
Največja nevarnost po uhajanju je refleks, da se vse hitro popravi. Na novo postavljen strežnik je lep, a ne dokazuje več ničesar. Kako ravnate, ne da bi uničili sledi, opisuje stran Zavarovanje dokazov pred novo namestitvijo. Zaporedje dogodkov nato lahko zabeležite v časovnici incidenta.
Če je treba obvestiti stranke ali partnerje, štejejo jasne, stvarne besede. Spodbude dajeta Obveščanje strank po incidentu in stran o kriznem komuniciranju. Ali je kazenska ovadba smiselna, razjasnite z odvetnikom; napotke o kontaktnih točkah najdete na strani Ovadba na policiji. Če se incident razširi na več sistemov, skupaj preidemo v strukturirano odzivanje na incidente.
Kaj nam pošljite
- kratek opis: Kdaj ste kaj opazili, po čigavi zaslugi, po čem?
- vrste podatkov, ki ležijo na spletni strani ali strežniku
- dostope do strežnika ali dovoljenje, da neposredno govorimo z vašim ponudnikom gostovanja
- napotke o varnostnih kopijah, izvozih in vmesnikih do drugih sistemov
- imena agencije in razvijalcev, ki sistem poznajo
- ime pooblaščenca za varstvo podatkov, če obstaja
Zakaj PHP SOS
Delamo »Made in Germany« in smo s partnerskim omrežjem kibernetskih strokovnjakov že več kot 25 let specializirani za IT-varnost. Imate sogovornika, vse je dokumentirano in odkrito povemo, kaj je mogoče dokazati in kaj ne. Ne obljubljamo rekonstrukcije, če dnevnikov ni, in ne pravnega svetovanja. Zagotovimo tehnična dejstva, s katerimi lahko vi in vaši svetovalci odločate.
Ste prizadeti? Pokličite nas. Pomagamo.
Pri možnem uhajanju podatkov teče rok in sledi z vsakim dnem izginjajo. Javite se zdaj: pokličite ali pišite po WhatsAppu. Prevzamemo že od prvega sporočila in ostanemo, dokler incident ni zaključen in dokumentiran. Prijavite nujni primer zdaj
Pogosta vprašanja
Kako hitro moram uhajanje podatkov prijaviti?
Po 33. členu GDPR je treba kršitev varstva podatkov s tveganjem za prizadete nadzornemu organu praviloma prijaviti brez nepotrebnega odlašanja in po možnosti v 72 urah od seznanitve. Ali to velja za vas, razjasnite s pooblaščencem za varstvo podatkov ali odvetnikom.
Kako vem, ali so podatki res uhajali?
Pogosto samo z analizo strežniških dnevnikov, dostopov do zbirke podatkov in odhodnih povezav. Če teh sledi ni, uhajanja ni mogoče ne dokazati ne izključiti. To v poročilu odkrito navedemo kot neznano.
Ali moram obvestiti svoje stranke?
To je odvisno od tveganja za prizadete. Če je visoko, jih je po GDPR treba prav tako obvestiti. Pravna ocena sodi k pooblaščencu za varstvo podatkov ali odvetniku; mi zagotovimo tehnično podlago.
Kaj se zgodi, če šele pozneje opazim, da podatkov ni več?
Odločilno je, kdaj ste za kršitev izvedeli. Zabeležite, kdaj in kako je nastal sum, in od tistega trenutka zavarujte sledi.
Ali lahko pomagate tudi, če so podatki ležali pri izvajalcu?
Preverimo, kaj lahko razjasnimo z dostopi in informacijami, ki jih prejmete. Z agencijo ali ponudnikom gostovanja se uskladimo po vaši odobritvi.