GDPR

Кибер застраховката е инструмент за покриване на рисковете, свързани със загуба на данни и информационни ресурси. В България този финансов продукт все още се счита за екзотичен. Реалността обаче е такава, че популярността му тепърва ще расте.

Световният пазар за кибер застраховки се оценява на 4.2 млрд. долара през 2017 г. от консултантската компания Zion Market Research. Според нейните прогнози оборотът на пазара трябва да нарасне през 2020 г. до 22.8 млрд. долара.

Повече опасности

Една от основните причини за този очакван ръст е зачестяването на кибератаки от всякакъв вид. Тъй като всички бизнеси работят с лични данни, на практика всяка компания с ИТ инфраструктура е застрашена от такива атаки.

Така например компаниите, занимаващи се с онлайн търговия, са пострадали от 4000 инцидента през 2016 и 2017 г. Около 16% от компаниите са отчели над 1 млн. долара загуба като резултат от кибератаки според данните на Zion Market Research.

Защита срещу източване на данни

Кибер застраховките са подходящи за всякакъв вид компании, но са особено важни за фирми, които работят с големи обеми лични данни като например банки, телекоми, здравни заведения, консултантски и маркетингови агенции, аутсорсинг компании и т.н. „Всеки, който разполага с много данни и извършва високорискова дейност в интернет, дори големите банкови институции, биха се защитили така. Това е един вид Гражданска отговорност, толкова популярно би трябвало да бъде“, посочва Спас Иванов, експерт по киберсигурност.

Тези застраховки покриват различни рискове и ограничават загубите при неочаквани или злонамерени инциденти с информационните ресурси на компанията. Освен застрахованата компания те покриват и отговорността на фирмата спрямо нейни клиенти и контрагенти за реализирани от тях загуби.

Загуба на данни заради срив в системата

Всеки срив в информационните системи на компанията носи със себе си риск от загуба на данни. Тук не говорим само за претоварване на информационните ресурси, но и за други заплахи като например амортизация на съррвърите или природни бедствия.

Злонамерена атака и източване на данни

Кибератаките срещу организации се увеличават. Дали ще са под формата на рансъмуер или друг вид малуер, който компрометира информационните системи, тези атаки могат да имат сериозни последствия върху разходните пера на организациите.

Съвместимост с GDPR

Директивата влезе в сила през май 2018 г. и все още не е ясно каква част от фирмите в България покриват изискванията й. Съгласно директивата глобите за неспазване може да стигнат 20 млн. евро или 4% от годишния оборот на компанията(избира се по-голямото от двете). Кибер застраховките могат да покрият част от разходите, които възникват при неспазване на изискванията по GDPR.

Разходи, свързани със съдебни дела и загуба на репутация

Пробивите и изтичането на лични данни могат да доведат до съдебни дела и загуба на репутация. Кибер застраховката може да покрие тези разходи.

 

Новият регламент за личните данни в ЕС вече е факт. Влизането в сила на GDPR влязоха в сила и много неправилни тълкувания на регламента, особено за съгласията, свързани с обработване на потребителски лични данни.

За да помогнем в хаоса, ще дадем няколко примера за ситуации, в които не се изисква даването на подобно съгласие. Най-общо, НЕ СТЕ ДЛЪЖНИ да искате одобрението на физическо лице (или според дефиницията в регламента – субект на данните) работите с личните му данни в случаите, в които:

• Вече имате такова в предишни договорни отношения за една или повече конкретни цели
• Имате нужда от личните данни с цел изпълнението на договор, по който субектът на данните е страна – или за да може да създадете такъв договор (да попълните данните за субекта в договора при списването му)
• Трябва да спазите друго законово задължение (например, по закона за счетоводството)
• За да защитите интереси на субекта на данните или на друго физическо лице (например, по време на лечение)
• За да изпълнените задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора
• Защото обработката е необходима за целите на легитимните ви интереси или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.

Няколко примера от практиката.

Double opt-in за маркетингова комуникация

Знаем, че мина доста време от тогава – но сме сигурни, че през целия май месец сте получавали десетки, а защо не и стотици мейли, в които се иска да потвърдите съгласието си за получаване на маркетингова комуникация от даден сайт или услуга.

Това НЕ Е необходимо, ако вече сте дали такова съгласие веднъж. Да, double opt-in е посочен като препоръчителен – но не и задължителен.

Лекари, фармацевти и банкери изискват съгласие

Започваме с цитат на текст от Капитал, публикуван на 25 май : „Поне 1.5 млн. хартиени декларации за обработка на лични данни ще се натрупат през следващите дни във всички аптеки, ако се съди по неправилния подход, който възприеха редица аптеки в страната в първия ден на влизане в сила на новия регламент за съхранение на личните данни GDPR. Толкова е броят на пациентите, които получават медикаменти, платени напълно или частично от здравната каса.“

Подобно беше положението и в част от банките, личните лекари – и още много други подобни институции, с които вече или имате договор, или чиято дейност е свързана със защитата на собствения ви интерес (да живеете).

Забранено ли е видеонаблюдението?

Според Комисията за защита на личните данни: „легитимен интерес е налице и при обработване на лични данни за защита на правата на администратора по съдебен или несъдебен ред, например за подаване на иск за неизпълнение на договор или за търсене на отговорност за причинени вреди. Такива хипотези в практиката са предприемането на мерки за сигурност и охрана, включително чрез видеонаблюдение, проверка на лица и регистрация на достъпа до сгради, действия за гарантиране на информационната и мрежовата сигурност и др.“

Иначе казано – видеонаблюдението не е забранено, но трябва да имате легитимен (основателен) интерес, за да го осъществявате.

Примери може да се дават още много, но за да ви улесним – ето непълен списък с основните специалисти или случаи, в които НЕ ТРЯБВА да изискват съгласие при изпълняване на основните функции на ролите им (и едно уточнение: получаването на маркетингова комуникация НЕ Е основна функция на ролята на нито една от долните функции):

• лекари, зъболекари и фармацевти;
• адвокати;
• работодатели (за сключване на трудов договор);
• публични органи (държавни и общински);
• учебни заведения (детски градини, училища и висши учебни заведения) – освен в случаите, в които не се изпращат маркеитнгови и други, несвързани с основната дейност на училището дейности;
• банки и други кредитни институции (за получаване на кредит или откриване на сметка);
• застрахователи;
• предприятия, предоставящи обществени електронни съобщителни мрежи и/или услуги;
• куриерски фирми и други пощенски оператори;
• предприятия, предоставящи комунални услуги (електроразпределителни дружества, ВиК, топлофикации);
• обработващи лични данни (счетоводители, служби по трудова медицина и др.);
• хотелиери и туристически агенции;
• управителите на етажна собственост (домоуправители);
• копирни услуги;
• преводачи;
• журналисти, фотографи и видеооператори;
• религиозни, политически, обществени и синдикални организации;
• ако се сещате за още – пишете ни!

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.

Последен ъпдейт на 28 юни 2018 в 13:26 ч.

Правото за опазване на лични данни в онлайн пространството е (или трябва да бъде) основно човешко право. В наши дни, определението за „лична информация“ онлайн може да варира много, но в повечето случаи става въпрос за данните от потребителските интеракции. Докато броят на по-внимателните, които не оставят следи след себе си се увеличава, за по-голямата част от потребителите това е непосилно. Те оставят парченца информация навсякъде, предоставяйки на всеки кибер-престъпник една прекрасна игрална площадка.

Факт, е че не друго, а потребителските данни движат една от следващите големи „революции“ – изкуствения интелект. Въпросът тук е колко от тези системи ще работят и ще се съобразяват с „правото да бъдеш забравен“? Колко от компаниите, които изграждат такива системи, ще се отнесат отговорно към данните, които обработват?

Защото много от нас са наясно с това, че данните им се събират от различни услуги като социални мрежи. Но има още много, много услуги, които събират и използват личните ни данни, без дори да се замисляме за това.

Безплатен ли е безплатният софтуер?

В днешно време потребителите все повече очакват софтуерът да им бъде предоставян на много ниски цени или дори безплатно. Това подтиква много производители да направят безплатни версии на продуктите си, от които да изкарват пари по други начини – например като използват потребителските данни. В крайна сметка, когато нещо е напълно безплатно, а изглежда сякаш не трябва да бъде, най-вероятно продуктът сте вие.

Do you accept the Terms and Conditions?

Не само този тип софтуер използва такава стратегия за печалба. Повечето производители на безплатен софтуер въвеждат дълги и сложни условия за ползване и политики за данни, в които се крие отговорът на това дали и как продават данните ви на трети страни.

Нужно е да разберете как компанията, чийто софтуер ползвате, печели пари. Например, мобилните игри често има изискване да закупите достъп до по-висока версия на продукта или да платите, за да спрете да виждате реклами. Ако не е очевидно какъв е метода за монетизация на компанията, то най-вероятно тя печели именно от продаването на вашите данни.

Какво правихте днес?

Докато от софтуерна страна можете да издадете онлайн навиците си, с навлизането на свързаните устройства (или IoT) това събиране на информация може да се пренесе към офлайн живота ви. Представете си, че докато се прибирате, телефонът ви следи местоположението ви, за да изчисли най-бързия път. Освен това се сещате да пуснете дистанционно „интелигентния“ си термостат, за да се приберете на топло.

Завършете веригата както искате, но това трябва да ви дава представа, че събирането на такива данни и подреждането им от системи за изкуствен интелект може да предвиди или директно издаде всеки малък елемент на ежедневието ви. Свързаните устройства трябва да се използват с повече добре информирани решения от потребителите си, за да се предотврати ненужно шпиониране.

Добрите новини

През май 2018 ще влезе в действие нов регламент за защита на личните данни в Европейския съюз – GDPR (General Data Protection Regulation). Тя цели да даде на потребителите решението за това как и дали личните им данни се съхраняват, разпространяват и използват. Това значи, че всички сайтове и услуги, чиято потребителска база съдържа граждани на държави от ЕС ще трябва да се съобразяват с изискванията му.

Подобна регулация е особено важна в наши дни, тъй като събирането на данни по всички обсъдени тук начини значи, че е възможно изграждането на сложен потребителски профил, който може да съдържа много чувствителни данни за вас, интересите ви, навиците ви. От своя страна, съществуването на такъв профил дава особено примамлива възможност на хакери да получат всичката информация за вас на едно място.

Нека се надяваме, че 2018 г. ще ни донесе повече права за защита на данните ни. Въпреки че събирането им става все по-лесно и достъпно за всички, не трябва да му позволяваме да излиза извън контрол.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 13:29 ч.

Най-лошият сценарий за един бизнес, е не просто атака, не е дори и особено мощна атака, а успешна атака. Подготовката на план, предотвратяващ потенциален пробив и изтичане на данни е огромна отговорност – но в случай, че пробив в сигурността все пак се случи е нужно максимално адекватна реакция (а според изискванията на GDPR – е дори и задължителна такава).

Естествено, най-доброто време да се приготвите как да реагирате при източване на данни е преди изобщо то да се е случило. Нека разгледаме най-важните насоки на действие:

Не го дръжте в тайна

Инвестициите в информационна сигурност не спират да растат – поредното проучване, което го доказвам е GISS – Global Information Security Survey. Въпреки тази позитивна тенденция, все още под 4% от проучените организации заявяват, че са напълно готови да контролират щетите, причинени от изтичане на данни. Около 35% от проучените фирми отговарят, че политиката им за защита на данните или обхваща единствено специфичен казус, или изобщо не съществува.

В допълнение, 17% от фирмите не биха докладвали изтичане на данни на всички потребители. А 10% не биха известили дори потребителите, които са засегнати (грубо нарушение на GDPR – според изискванията на регламента, всички засегнати потребители трябва да бъдат уведомени за пробив в сигурността до 72 часа след разкриването му).

Създайте план

Погледнете на него като на списък с действия, който бихте оставили на детегледачка, в случай, че нещо сериозно се обърка с децата ви. Трябва да е точен и изчерпателен и да отговаря на въпроси от типа на:

• Какъв е обхватът на атаката?
• Как да продължи работата на засегнатите услуги?
• По какъв начин инфекцията може да се изолира?
• Как най-бързо и ефективно да уведомим всички засегнати?

Както и всичко друго приложимо за бизнеса ви и обстоятелствата, които го обграждат.

Този план трябва да се обновява, за да обхваща всички нови процеси и назначения, както отсъствия на служители. В най-добрия случай трябва да е на достатъчно сигурно място, че да не попада в грешните ръце, но да бъде достатъчно лесно достъпен.

Пригответе си подходящо съобщение за засегнатите страни

Човек, който се намира по средата на създалия се пожар трудно би могъл да реагира достатъчно добре. От друга страна, пък, въображаеми разговори под душа трудно могат да ви подготвят за мащаба на един такъв пробив. Използвайте помощта на добре запознато юридическо лице, за да подготвите шаблонен отговор по отношение на изтичане на данни. Можете да създадете уеб страница, която е достатъчно лесно достъпна, че да бъде разпращана. В процеса на разрешаване на проблема, можете да я обновявате с най-новата налична информация.

Защитете клиентите си допълнително

Въпреки че това не е една от стъпките, които задължително трябва да се случат след изтичане на данни, то тя би ви помогнала да си върнете доверието. Подсигурете навременното предоставяне на допълнителна сигурност и рекламирането ѝ може да ви върне част от клиентското доверие.

Тествайте, тествайте, тествайте!

Редовно тествайте плановете си и всички описани процеси чрез симулирани атаки и не пропускайте нито една от стъпките! Използването на реални сценарии за тренировъчната атака може да ви даде по-реалистична преценка относно протичането на плана. Точно тези тестове ще ви покажат какво (а често и как) трябва да се промени в действията, които смятате да предприемете.

Последно, никога не трябва да приемате, че просто защото бизнесът ви не е привидно важен, то вие няма да станете нечия цел. Ако имате каквато и да е информация, която може да се монетизира (продаде), то вие вече сте под заплаха. Добрата подготовка може да превърне пълното бедствие в предизвикателство.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.