Реагирование на утечку данных iGaming: оценка, запись и уведомление

Когда инцидент безопасности становится нарушением данных?

EDPB описывает утечку персональных данных в широком смысле, включая случайные события. Таким образом, неправильно отправленный подтверждающий документ или потеря доступа к личным данным могут потребовать оценки наряду с более очевидными вторжениями.

Предоставьте сотрудникам простой способ внутренней отчетности. В первом отчете должно быть указано, что произошло, когда это было замечено, какие системы или записи могут быть задействованы и кто реагирует. Не требуйте от репортера принятия окончательного решения по юридической классификации перед тем, как перейти к эскалации.

Как должно быть организовано первое реагирование?

Сдержать инцидент, сохранив при этом доказательства, необходимые для его понимания. Назначьте технических, конфиденциальных и операционных владельцев, чтобы срочные действия не выполнялись в отключенных рабочих потоках.

• Запишите график осведомленности и известные на данный момент факты.
• Ограничьте дальнейшее воздействие, используя соответствующие меры сдерживания.
• Определите затронутые категории данных и отдельных лиц, где это возможно.
• Оцените потенциальные последствия и существующие меры безопасности.
• Отдельно определите регулирующие, индивидуальные и договорные обязанности по уведомлению.
• Записывайте решения и обновляйте оценку по мере изменения доказательств.

Что означает правило 72 часов?

В рамках системы уведомлений GDPR контролер должен уведомить компетентный надзорный орган без неоправданной задержки и, где это возможно, в течение 72 часов с момента уведомления, за исключением случаев, когда маловероятно, что нарушение приведет к риску для прав и свобод отдельных лиц. Общение с отдельными людьми требует отдельного теста высокого риска и соответствующих исключений.

Руководство EDPB касается неполной информации и поэтапного уведомления. Практический урок заключается в том, чтобы провести и документировать оценку незамедлительно, а не предполагать, что срок наступит только тогда, когда будут известны все технические детали.

Какие игровые зависимости требуют внимания?

Инцидент может повлиять на документы, удостоверяющие личность, балансы игроков, доступ к учетной записи или общение с клиентами. Координируйте меры по обеспечению конфиденциальности с отделами платежей, безопасности и поддержки клиентов, ограничивая при этом ненужный доступ к конфиденциальной информации.

Отчеты регуляторов азартных игр и уведомления о контрактах с поставщиками могут быть отделены от уведомлений о защите данных. Используйте матрицу получателей и сроков, чтобы одно заполненное уведомление не было ошибочно принято за выполнение каждого обязательства.

Что должно дать рассмотрение после инцидента?

Задокументируйте причину, затронутый объем, решения, корректирующие действия и доказательства исправления. Проверьте, не удалось ли обеспечить контроль доступа, ведение журнала, эскалацию поставщика или обучение персонала.

Прорепетируйте сценарий, например, когда файл проверки отправляется не тому получателю. Проверьте, насколько быстро информация доходит до нужных людей и может ли команда оценить данные и риски. Небольшое кабинетное учение может выявить недостающие контактные данные и полномочия принятия решений перед более масштабным мероприятием.