Krótko: Jeśli podejrzewają Państwo, że dane wypłynęły przez Państwa stronę, decydującym czynnikiem jest czas. Jeśli są Państwo dotknięci, proszę zgłosić się od razu. Zdalnie zabezpieczamy ślady, ustalamy technicznie, które dane mogą być dotknięte, zamykamy dostęp i dostarczamy wiarygodną dokumentację dla inspektora ochrony danych, prawnika i ubezpieczyciela.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Logi, baza danych i pliki to jedyne dowody tego, co wypłynęło, a co nie. Kto je nadpisze, nie będzie mógł później niczego wykazać. Zgłoś awarię, a przejmiemy sprawę od pierwszej wiadomości.
Czy są Państwo dotknięci? Po czym poznać wyciek danych przez stronę
Wypływ danych często następuje niezauważenie. Wskazówki wynikają zwykle ze skutków ubocznych:
- Klienci zgłaszają, że dane, które mieli tylko Państwo, pojawiają się w innym miejscu, albo że dostają wiadomości phishingowe z prawidłowymi szczegółami zamówienia.
- Baza danych jest podejrzanie mocno obciążona albo eksporty i zrzuty leżą w miejscach, w których Państwo ich nie utworzyli.
- W logach widać masowe zapytania o listy klientów, zamówienia lub profile użytkowników, często w równomiernym rytmie.
- Państwa serwer nawiązuje połączenia wychodzące z adresami, których Państwo nie znają, albo przesyła nietypowo dużo danych.
- Pojawiają się nowe konta administratorów, zmienione hasła lub logowania o nietypowych porach.
- Badaczka bezpieczeństwa, dziennikarz lub urząd zwraca Państwa uwagę na swobodnie dostępne dane.
- Na Państwa serwerze leżą niezabezpieczone kopie zapasowe, pliki
.envlub katalogi, które każdy może otworzyć.
Ostatni punkt to wyciek bez ataku: kto umieszcza plik kopii zapasowej w katalogu sieciowym, udostępnia dane bez żadnego włamania. Także to może podlegać obowiązkowi zgłoszenia.
Co należy zrobić teraz
- Zapisać moment: Proszę zanotować, kiedy i jak dowiedzieli się Państwo o podejrzeniu. Ten moment jest ważny dla terminów.
- Ograniczyć dostęp: Proszę czasowo odłączyć od sieci dotknięte obszary, na przykład konto klienta lub funkcje eksportu, albo przełączyć je w tryb konserwacji, jeśli dane mogą nadal wypływać.
- Zabezpieczyć ślady: Logów serwera, bazy danych i systemu plików nie zmieniać. Proszę poprosić hostingodawcę o zachowanie dzienników.
- Zaangażować inspektora ochrony danych: Proszę wewnętrznie poinformować właściwą osobę lub zewnętrznego inspektora ochrony danych, aby termin zgłoszenia pozostawał w polu widzenia.
- Wyjaśnić dotknięte rodzaje danych: Co znajduje się w systemie? Dane podstawowe klientów, zamówienia, dane zdrowotne lub płatnicze, aplikacje o pracę?
- Zmienić dostępy, ale w uzgodnieniu: Hasła i klucze wymieniać dopiero po uzgodnieniu i z czystego urządzenia.
- Poinformować ubezpieczyciela i prawnika: Wiele polis wymaga wczesnego zgłoszenia.
Jak PHP SOS pomaga w praktyce?
- Ocena sytuacji: Wyjaśniamy z Państwem, które systemy i rodzaje danych mogą być dotknięte i kiedy powstało podejrzenie.
- Zabezpieczenie i zamknięcie: Zabezpieczamy logi, bazę danych i pliki w niezmienionej postaci, blokujemy dostęp atakującego i zamykamy otwarte drogi, na przykład niezabezpieczone kopie zapasowe.
- Sprawdzenie i oczyszczenie: Analizujemy dostępy, zapytania do bazy danych i połączenia, szukamy webshelli i tylnych drzwi i je usuwamy. W razie potrzeby angażujemy partnerów do informatyki śledczej wytrzymującej przed sądem.
- Wzmocnienie i raport: Otrzymują Państwo oś czasu, stwierdzenie dotyczące prawdopodobnie dotkniętych danych, wyraźnie rozdzielone na udowodnione, prawdopodobne i nieznane, oraz zalecenia dotyczące trwałego zabezpieczenia.
Pracujemy zdalnie, bez dojazdu, w całych Niemczech i w Europie.
Termin zgłoszenia: czego wymaga RODO i co wnosimy my
Zgodnie z art. 33 RODO naruszenie ochrony danych osobowych należy co do zasady zgłosić organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, jeżeli prawdopodobnie niesie ono ryzyko dla osób, których dane dotyczą. To informacja ogólna, a nie porada prawna. To, czy i co muszą Państwo zgłosić, rozstrzygają Państwo z inspektorem ochrony danych lub prawnikiem.
Nasz wkład to strona techniczna: co się stało, które systemy były dotknięte, jakie rodzaje danych się tam znajdowały, jak długo dostęp był otwarty, co podjęto? Zgłoszenie oparte na udowodnionych faktach, a nie na przypuszczeniach, łatwiej obronić. Przegląd obowiązków daje strona o obowiązku zgłoszenia w 72 godziny według RODO. Incydent z czasem nie maleje; kto zgłasza wcześnie i rzetelnie dokumentuje, ma przewagę.
Zabezpieczenie dowodów i właściwe zwracanie się do osób, których dane dotyczą
Największym niebezpieczeństwem po wycieku jest odruch, by wszystko szybko naprawić. Świeżo postawiony serwer wygląda ładnie, ale niczego już nie dowodzi. Jak postępować, nie niszcząc śladów, opisuje artykuł Zabezpieczenie dowodów przed ponowną instalacją. Kolejność zdarzeń można następnie utrwalić w osi czasu incydentu.
Jeśli trzeba poinformować klientów lub partnerów, liczą się jasne, rzeczowe słowa. Inspiracji dostarczają artykuły Informowanie klientów po incydencie oraz strona o komunikacji kryzysowej. To, czy zawiadomienie o przestępstwie ma sens, wyjaśniają Państwo z prawnikiem; wskazówki dotyczące punktów kontaktowych znajdą Państwo w artykule Zawiadomienie policji. Jeśli incydent rozszerza się na kilka systemów, przechodzimy wspólnie do uporządkowanej reakcji na incydenty (Incident Response).
Co warto nam przesłać
- krótki opis: kiedy Państwo coś zauważyli, przez kogo, po czym?
- rodzaje danych znajdujących się na stronie lub serwerze
- dostępy do serwera lub zgodę na bezpośrednią rozmowę z hostingodawcą
- informacje o kopiach zapasowych, eksportach i interfejsach do innych systemów
- nazwy agencji i programistów, którzy znają system
- imię i nazwisko inspektora ochrony danych, jeśli istnieje
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo jedną osobę kontaktową, wszystko jest dokumentowane, a my mówimy otwarcie, co da się udowodnić, a co nie. Nie obiecujemy rekonstrukcji, jeśli brakuje logów, ani porady prawnej. Dostarczamy fakty techniczne, na podstawie których mogą decydować Państwo i Państwa doradcy.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Przy możliwym wycieku danych biegnie termin, a ślady znikają z każdym dniem. Proszę zgłosić się teraz: proszę zadzwonić lub napisać na WhatsApp. Przejmujemy sprawę od pierwszej wiadomości i zostajemy przy niej, aż incydent zostanie zakończony i udokumentowany. Zgłoś awarię teraz
Częste pytania
Jak szybko muszę zgłosić wyciek danych?
Zgodnie z art. 33 RODO naruszenie ochrony danych niosące ryzyko dla osób, których dane dotyczą, należy co do zasady zgłosić organowi nadzorczemu bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. To, czy dotyczy to Państwa, wyjaśniają Państwo z inspektorem ochrony danych lub prawnikiem.
Skąd mam wiedzieć, czy dane rzeczywiście wypłynęły?
Często tylko dzięki analizie logów serwera, dostępów do bazy danych i połączeń wychodzących. Jeśli brakuje tych śladów, wypływu nie można ani udowodnić, ani wykluczyć. Wskazujemy to w raporcie otwarcie jako nieznane.
Czy muszę poinformować klientów?
Zależy to od ryzyka dla osób, których dane dotyczą. Jeśli jest wysokie, zgodnie z RODO trzeba także je zawiadomić. Ocena prawna należy do inspektora ochrony danych lub prawnika; my dostarczamy do niej podstawę techniczną.
Co się stanie, jeśli zauważę dopiero później, że dane zniknęły?
Rozstrzygające jest to, kiedy dowiedzieli się Państwo o naruszeniu. Proszę zanotować, kiedy i jak powstało podejrzenie, i od tej chwili zabezpieczać ślady.
Czy mogą Państwo pomóc także wtedy, gdy dane znajdowały się u usługodawcy?
Sprawdzamy, co możemy wyjaśnić na podstawie dostępów i informacji, które Państwo uzyskają. Z agencją lub hostingodawcą uzgadniamy się po Państwa zgodzie.