ανάγνωση σε: 15 λεπτά
Του Νίκου Μαρκόπουλου | CEO & Founder, AEGIS CyberOps
Μετά από μια επίθεση, η πρώτη σκέψη είναι συνήθως «είμαστε το θύμα». Αληθεύει, αλλά δεν αναιρεί τις υποχρεώσεις που είχε η επιχείρηση απέναντι στα δεδομένα που της είχαν εμπιστευτεί.
Η ιστορία του λογιστικού γραφείου με τους 200 πελάτες φτάνει, αναπόφευκτα, σε αυτό το σημείο: το περιστατικό έχει γίνει αντιληπτό, ο πελάτης που έχασε τα 25.000 ευρώ έχει ήδη μιλήσει με δικηγόρο, και κάποιος πρέπει τώρα να απαντήσει σε ερωτήσεις που δεν αφορούν πια το «τι έγινε» αλλά το «τι είχατε κάνει για να το αποτρέψετε».
Αυτό είναι το ερώτημα που κανένας επιχειρηματίας δεν θέλει να χρειαστεί να απαντήσει εκ των υστέρων.
«Μας χάκαραν» δεν είναι απάντηση
Μπορεί μια επιχείρηση να είναι πράγματι θύμα εγκληματικής ενέργειας. Αυτό όμως δεν εξαφανίζει τις υποχρεώσεις της απέναντι στα προσωπικά δεδομένα που διαχειριζόταν. Ο GDPR απαιτεί από όποιον επεξεργάζεται προσωπικά δεδομένα να εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας, ανάλογα με τον κίνδυνο (άρθρα 32-34). Δεν εξετάζεται μόνο αν δεχθήκατε επίθεση, αλλά και πώς είχατε προετοιμαστεί για έναν κίνδυνο που, σήμερα, είναι απολύτως προβλέψιμος.
Ο ίδιος ο κανονισμός δεν ζητά το ίδιο από όλους. Λαμβάνει υπόψη, μεταξύ άλλων, το μέγεθος και τη φύση της επεξεργασίας, καθώς και το κόστος εφαρμογής των μέτρων. Δεν αναμένεται δηλαδή από ένα μικρό λογιστικό γραφείο η ίδια υποδομή με μια τράπεζα. Αναμένεται όμως να μπορεί να δείξει ότι είχε σκεφτεί σοβαρά τον κίνδυνο και είχε λάβει μέτρα ανάλογα με αυτόν, και αυτό, στην πράξη, είναι το κριτήριο που εξετάζεται μετά από κάθε περιστατικό.
Οι 72 ώρες που αλλάζουν τα πάντα
Όταν ένα περιστατικό παραβίασης δεδομένων ενδέχεται να δημιουργεί κίνδυνο για τα δικαιώματα φυσικών προσώπων, ο υπεύθυνος επεξεργασίας οφείλει κατά κανόνα να το γνωστοποιήσει στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη στιγμή που το αντιλήφθηκε. Σε περιστατικά υψηλού κινδύνου μπορεί να απαιτείται και ενημέρωση των ίδιων των ανθρώπων που επηρεάστηκαν.
Στην πράξη αυτό μπορεί να μοιάζει κάπως έτσι: Παρασκευή απόγευμα ανακαλύπτετε πιθανή παραβίαση. Δεν ξέρετε ακόμη πότε ξεκίνησε, ποια αρχεία ανοίχτηκαν, ποιοι πελάτες επηρεάζονται. Το ρολόι όμως έχει ήδη αρχίσει να μετρά.
Πρόστιμα, αλλά και κάτι πιο άμεσο: ο ίδιος ο πελάτης
Ο GDPR προβλέπει σημαντικά διοικητικά πρόστιμα για σοβαρές παραβάσεις, τα οποία στις βαρύτερες περιπτώσεις μπορούν να φτάσουν έως τα 20 εκατομμύρια ευρώ ή έως το 4% του παγκόσμιου ετήσιου κύκλου εργασιών μιας επιχείρησης, όποιο από τα δύο είναι υψηλότερο (άρθρο 83). Αυτό δεν σημαίνει ότι κάθε γραφείο που δέχθηκε ένα phishing email θα δει αυτόματα τέτοιο πρόστιμο. Κάτι τέτοιο θα ήταν παραπλανητικό. Σημαίνει όμως ότι η προστασία δεδομένων δεν είναι προαιρετική καλή πρακτική· είναι κανονιστική υποχρέωση.
Υπάρχει και δεύτερο μέτωπο, συχνά πιο άμεσο από το πρόστιμο: ο GDPR αναγνωρίζει δικαίωμα αποζημίωσης σε όποιον υποστεί υλική ή μη υλική ζημία από παράβαση του κανονισμού (άρθρο 82). Ο πελάτης που έχασε τα 25.000 ευρώ, ή αυτός που αναγκάστηκε να ακυρώσει κάρτες και λογαριασμούς επειδή τα στοιχεία του εκτέθηκαν, μπορεί να στραφεί απευθείας εναντίον της επιχείρησης που τα διαχειριζόταν.
Σε περιπτώσεις παράνομης πρόσβασης ή ηλεκτρονικής απάτης, το περιστατικό μπορεί φυσικά να καταλήξει και στη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος. Αυτό όμως δεν αντικαθιστά την ευθύνη της επιχείρησης· ο δράστης διώκεται για την πράξη του, ενώ παράλληλα εξετάζεται αν η επιχείρηση είχε εκπληρώσει τις δικές της υποχρεώσεις.
Πέρα από το «είχαμε antivirus»
Μετά από ένα περιστατικό, η ερώτηση «και τι άλλο είχατε;» είναι σχεδόν αναπόφευκτη. Πώς προστατεύατε τους λογαριασμούς; Υπήρχε δεύτερος παράγοντας ταυτοποίησης, διαδικασία επαλήθευσης πριν από αλλαγές IBAN, εκπαιδευμένο προσωπικό; Υπήρχε έστω ένα σχέδιο για τις πρώτες ώρες μετά από ένα περιστατικό; Η ασφάλεια σήμερα δεν είναι ένα κουτί λογισμικού που αγοράστηκε πριν από τρία χρόνια. Είναι διαδικασία, και αποδεικνύεται με το πώς λειτουργούσε η επιχείρηση πριν, όχι μετά, το περιστατικό.
Η πιο ακριβή στιγμή για να ασχοληθείτε σοβαρά με αυτό είναι μετά την επίθεση: όταν καλείτε επειγόντως τεχνικούς, δικηγόρους, ενημερώνετε πελάτες και προσπαθείτε ταυτόχρονα να αποδείξετε τι είχατε κάνει πριν. Η ερώτηση που αξίζει να κάνει σήμερα κάθε λογιστής και κάθε επιχειρηματίας είναι απλή: αν αύριο το πρωί ένας πελάτης σας πει ότι τα δεδομένα του διέρρευσαν από το δικό σας γραφείο, μπορείτε να αποδείξετε ότι είχατε κάνει όσα όφειλαν να γίνουν για να τα προστατέψετε; Αν η απάντηση είναι «δεν ξέρω», το πρόβλημα δεν αρχίζει την ημέρα της επίθεσης. Υπάρχει ήδη σήμερα.
5 ΠΡΑΓΜΑΤΑ ΠΟΥ ΠΡΕΠΕΙ ΝΑ ΚΑΝΕΤΕ ΑΥΡΙΟ ΤΟ ΠΡΩΙ
1. Καταγράψτε ποια προσωπικά δεδομένα πελατών και εργαζομένων διατηρεί η επιχείρησή σας και πού ακριβώς βρίσκονται.
2. Γράψτε, έστω σε μία σελίδα, ποια μέτρα ασφαλείας έχετε ήδη (MFA, backups, έλεγχος προσβάσεων). Αν η λίστα είναι κενή, αυτό είναι το πρώτο σας εύρημα.
3. Ορίστε ποιον καλείτε πρώτο σε περίπτωση περιστατικού: τεχνικό συνεργάτη, νομικό σύμβουλο, ασφαλιστή, πριν, όχι κατά τη διάρκεια της κρίσης.
4. Ενημερωθείτε αν η επαγγελματική σας ασφάλιση καλύπτει περιστατικά κυβερνοασφάλειας. Οι περισσότερες παραδοσιακές ασφαλίσεις δεν το κάνουν.
5. Ζητήστε μια ανεξάρτητη αξιολόγηση των μέτρων ασφαλείας που έχετε σήμερα, όχι για να αγοράσετε κάτι, αλλά για να ξέρετε πού πραγματικά στέκεστε.