Исследователи Cybernews сообщили о более чем 125 миллионах SMS в общедоступной базе CSC Telecom, включая номера телефонов, содержание сообщений и коды аутентификации. Доказательств доступа злоумышленников у исследователей нет. Поэтому утверждать, что все эти сообщения украдены, было бы необоснованно.
Что объясняют банки и CERT.LV?
В заявлении от 11 ноября SEB поясняет, что использовал провайдера для общих сообщений о пенсионных фондах, передавая номер телефона и текст. Коды интернет-банка и платежные данные по этому каналу не отправлялись. По заявлению банка, безопасность его систем и средства клиентов не затронуты.
Согласно публикации LSM, Swedbank приостановил использование сервиса, а CERT.LV запросила углубленное расследование. Масштаб инцидента еще устанавливается; объяснение одного банка нельзя автоматически распространять на клиентов другой компании.
Что проверить в договоре с подрядчиком?
Рекомендации EDPB охватывают договорные требования к безопасности, субподрядчикам, содействию при инцидентах, удалению или возврату данных после завершения услуг.
- Какие поставщики фактически получают данные клиентов?
- Какие данные мы передаем, сколько их хранят и чем подтверждается удаление?
- Кто сообщит нам об инциденте и как проверить полученное объяснение?
Рекомендация редакции: назначить ответственное лицо и вести таблицу проверки каждого значимого подрядчика. Фиксировать вопрос, ответ, подтверждающий документ и дату следующего пересмотра. Общее обещание безопасности менее полезно, чем конкретный ответ, который можно проверить.
Когда оценивать необходимость уведомления?
Государственная инспекция данных Латвии объясняет: контролер должен сообщить о нарушении безопасности персональных данных без необоснованной задержки, по возможности в течение 72 часов после его обнаружения. Исключение — случаи, когда риск для прав и свобод людей маловероятен. Недостающую информацию можно предоставлять поэтапно.
Практический вывод: руководству следует знать не только то, доставляются ли сообщения, но и что происходит с данными после доставки. Такая проверка полезна и компаниям, которые не пользуются услугами этого конкретного провайдера.
Пересматривая круг подрядчиков, можно ознакомиться с услугами для бизнеса и деловыми объявлениями. При сравнении предложений учитывай условия обработки данных наряду с ценой.
Официальные источники информации
- Разъяснение SEB
- EDPB: обязанности контролера и обработчика
- Государственная инспекция данных: уведомление о нарушении
Комментарии
Комментариев пока нет. Ваш мог бы стать первым!
Добавить комментарий