έχουμε πέσει θύμα ransomware είναι αυτόματα μια παραβίαση δεδομένων

Το ransomware είναι συνήθως μια παραβίαση δεδομένων, αλλά όχι αυτόματα

Μια επίθεση ransomware είναι συνήθως μια παραβίαση δεδομένων κατά την έννοια του GDPR, αλλά η σύνδεση μεταξύ "επληγείσα από ransomware" και "συνεπώς ανάγκη γνωστοποίησης" δεν λαμβάνει χώρα αυτόματα. Το Άρθρο 4 του GDPR ορίζει μια παραβίαση ως κάθε καταστροφή, απώλεια, τροποποίηση ή παράνομη κοινοποίηση δεδομένων προσωπικού χαρακτήρα. Στο ransomware, τα αρχεία κρυπτογραφούνται ή γίνονται απρόσιτα, και αυτό εμπίπτει στην "απώλεια διαθεσιμότητας" — ακόμα κι αν τα δεδομένα δεν έχουν προβληθεί ή αντιγραφεί. Με αυτόν τον τρόπο, ο ορισμός μιας παραβίασης συνήθως ικανοποιείται, κάτι που είναι διαφορετικό από το ερώτημα τι είναι ακριβώς μια παραβίαση δεδομένων σημαίνει για την υποχρέωση γνωστοποίησης σε ένα συγκεκριμένο περιστατικό.

Το κατά πόσον τα δεδομένα προσωπικού χαρακτήρα υπήρχαν στα κρυπτογραφημένα αρχεία, και εάν υπάρχει πραγματικά κίνδυνος για τα άτομα των οποίων τα δεδομένα αφορά, παραμένει ένα ξεχωριστό ερώτημα. Μια επίθεση ransomware σε ένα διακομιστή χωρίς δεδομένα προσωπικού χαρακτήρα δεν αποτελεί παραβίαση δεδομένων κατά την έννοια του GDPR. Μια επίθεση όπου τα δεδομένα έχουν πραγματικά επληγεί, αλλά υπάρχει μια καλά λειτουργούσα αντίγραφο ασφαλείας και η γρήγορη ανάκαμψη είναι δυνατή, μπορεί να ενέχει χαμηλότερο κίνδυνο από μια επίθεση όπου τα δεδομένα έχουν επίσης αποκλαπεί (διπλή εκβίαση). Η εκτίμηση αυτού του κινδύνου καθορίζει στη συνέχεια πότε πρέπει να αναφερθεί μια παραβίαση δεδομένων στην Αρχή Προστασίας Δεδομένων, και εάν οι ίδιοι τα άτομα πρέπει επίσης να ενημερωθούν.

Στι βασίζεται αυτό

Ο ορισμός της παραβίασης στο άρθρο 4 GDPR είναι το σημείο εκκίνησης· το άρθρο 33 GDPR ρυθμίζει τη γνωστοποίηση στην αρχή εποπτείας μόλις υπάρχει παραβίαση, και το άρθρο 32 GDPR αφορά το ζήτημα του αν η ασφάλεια ήταν σωστή πριν από την επίθεση. Οι κατευθυντήριες γραμμές του EDPB επεξεργάζονται ρητά παραδείγματα με ransomware, συμπεριλαμβανομένης της διάκρισης μεταξύ κρυπτογράφησης χωρίς εξαγωγή δεδομένων και επιθέσεων κατά τις οποίες τα δεδομένα έχουν επίσης κλαπεί. Η υποχρέωση αξιολόγησης μιας παραβίασης και ενδεχόμενης γνωστοποίησής της ισχύει σε ολόκληρη την ΕΕ με τον ίδιο τρόπο, επειδή το GDPR ισχύει απευθείας· ποια αρχή εποπτείας λαμβάνει τη γνωστοποίηση διαφέρει ανά κράτος μέλος — στην Ολλανδία είναι η Αρχή Προστασίας Δεδομένων, σε άλλες χώρες η αρχή εποπτείας του εκείνου του κράτους μέλους. Όταν ένας προμηθευτής ΤΠ ή πάροχος φιλοξενίας έχει πληγεί από το ransomware, τίθεται επιπλέον το ζήτημα αν μια γνωστοποίηση από έναν προμηθευτή συνεπάγεται επίσης μια δική του υποχρέωση γνωστοποίησης.