GDPR, Regulamentul privind Protectia Datelor cu Caracter Personal, este un set de reglementari (2016/679) care urmareste sa consolideze protectia datelor personale ale cetatenilor tarilor membre ale Uniunii Europene, inclusiv limitarea exportului acestor informatii catre state non-membre. Reglementarile urmeaza sa intre in vigoare din luna mai 2018.  

Cerinta numarul unu accentuata in aceste reglementari este ca datele clientilor sa fie protejate corespunzator. In eventualitatea unei brese, companiile trebuie sa aiba pregatite mecanisme de notificare a clientilor despre care detin date care intra sub incidenta GDPR.

In ipoteza unor atacuri cibernetice, de anul viitor amenzile care vor urma sa fie date companiilor in cazul unor brese de securitate pot ajunge pana la 4% din cifra de afaceri, ceea ce ar putea genera efecte foarte ample.

Intr-un peisaj in care amenintarile informatice si atacurile cibernetice inunda saptamanal programele de stiri, GDPR vine sa reglementeze un spatiu in care date dintre cele mai sensibile au fost expuse la liber pe internet ca urmare a securitatii precare a infrastructurilor IT detinute de companii si a lipsei unor norme clare de bune practici.

Ce aduce nou GDPR?

  • O definire mai larga a datelor personale -> orice informatie care are legatura cu o persoana identificata sau identificabila si a breselor-> incident de securitate care conduce la distrugerea, pierderea, alterarea, dezvaluirea neautorizata sau accesul la orice date personale – stocate, transmise sau procesate.

  • O extindere a ariei teritoriale-> orice companie care lucreaza cu date ale cetatenilor UE, indiferent de tara in care are sediul, se supune normelor GDPR

  • Un termen clar de notificare in cazul unei brese -> o companie trebuie sa anunte autoritatea de supraveghere si indivizii afectati in cel mult 72 de ore de la identificarea bresei

  • Dreptul victimelor de a primi facil despagubiri-> cetatenii ale caror date sunt expuse public au acum un cadru legal in care pot solicita mai usor si mai rapid bani de la administratorul datelor pentru prejudiciul creat

  • Puteri de investigatie mai mari-> autoritatile se bucura de puteri extinse si pot initia proceduri de audit si emite atentionari publice catre organizatii

Vrei sa afli ce trebuie sa faca organizatiile conform GDPR?

1. Sa identifice care dintre datele cu care lucreaza cad sub incidenta GDPR: acestea includ date personale pe care companiile din UE le strang si le administreaza, dar si date detinute de companii internationale care opereaza insa pe teritoriul Uniunii.
2. Sa documenteze felul in care datele sunt securizate (ghidul de documentatie ofera repere in acest sens):
–       unde se afla datele care intra sub lupa GDPR
–       cum sunt protejate
–       cine are acces la acestea
–       cum este determinat si controlat accesul respectiv.
In cazul unui atac, planul de raspuns trebuie sa fie comprehensiv, pregatit si exersat in prealabil.
De exemplu, daca organizatia colecteaza continuu noi date, o procedura clara trebuie sa stabileasca daca datele colectate intra sau nu in categoria standardelor GDPR. De asemenea, daca contractori externi sau terti colecteaza datele pentru o companie, felul in care acestia administreaza datele trebuie supravegeat de beneficiarul datelor. Politica de administrare a datelor de-a lungul timpului, de la colectare pana la distrugere, trebuie sa fie bine documentata si planificata.
3. Sa creeze politici legate de intimitate si felul in care asigura protectia vietii private a clientilor, precum dreptul de a fi uitat.
4. Sa raspunda cerintelor GDPR si prin planuri ale departamentelor juridic, resurse umane, asigurari, relatii publice si comunicare, in eventualitatea unui incident de securitate cibernetica.

Ce atacuri de securitate pot aparea?

Solutiile de securitate cibernetica vor trebui sa ofere:
–       protectie contra pierderii datelor (dispozitive pierdute sau furate prin criptarea datelor de pe acestea)
–       protectie contra furtului datelor (atacuri tintite si amenintari avansate si persistente – APT)
–       vizibilitate sporita asupra breselor (pentru a monitoriza si reduce daunele suferite si a actiona cat mai rapid).
73% dintre directorii de IT declara ca se tem de compensatiile financiare pe care compania in care lucreaza ar trebui sa le plateasca in cazul unei brese de securitate, in timp ce 66% se gandesc chiar ca ar putea ramane fara slujba, arata un studiu global al Bitdefender realizat la finele anului trecut.

Desi par a nu avea legatura directa cu GDPR, amenintarile de tip ransomware, direct responsabile de pagube de peste zece miliarde de dolari doar in prima jumatate din 2017 (WannaCry si GoldenEye/ NotPetya), pot produce consecinte neplacute companiilor. Specialistii Bitdefender anticipeaza ca versiunile agresive ale ransomware nu se vor mai limita doar la criptarea fisierelor si la solicitarea de recompensa, ci vor trece la santajul utilizatorilor si amenintarea lor cu publicarea documentelor pe Internet, daca recompensa nu este platita. Astfel, desi victimele vor putea sa recupereze gratuit datele criptate de pe Internet,acestea vor putea fi accesate si de catre terti, cauzand importante prejudicii de imagine si incalcarea prevederilor GDPR.

Ce e de făcut?
Organizatiile care detin sau manipuleaza date sensibile, confidentiale sau cu caracter de proprietate intelectuala trebuie sa-si mentina infrastructurile de tip cloud intr-un mediu privat. Cloud-ul privat trebuie sa existe intr-o zona izolata de accesul la reteaua publica (de ex. Internet), pentru a preveni producerea unor potentiale brese de securitate si accesul neautorizat la date. Orice transfer de informatii intre client si serviciul de cloud trebuie criptat, pentru a evita interceptarea si descifrarea acestora de catre raufacatori. Mai mult, datele stocate in cloud trebuie de asemenea criptate pentru a evita folosirea acestora in caz de furt, spionaj sau alte tipuri de atacuri care vizeaza accessul la date stocate in cloud.