אירוע אבטחה מול הרגולטור: שחמט, לא בקרת נזקים
עודכן: 22 באוק׳
כשמדובר באירוע אבטחה ודלף מידע, רוב הארגונים נכנסים למגנה טכנית. וכשהרגולטור דופק בדלת, הם נכנסים למצב של "בקרת נזקים": אוספים נתונים, מורידים ראש ומחכים לקנס. זו כמובן טעות.
המקרה
לקוח שלי התמודד עם סיטואציה מורכבת: מידע רגיש של מועמדים דלף מאתר הוורדפרס שלו הישר לקבוצות טלגרם. דיווחנו על האירוע, וכמובן הרגולציה נכנסה לתמונה.
שחמט רגולטורי
במקום "לבלוע" את האירוע, סידרנו את הכלים על הלוח: בוצע אפיון של הסיטואציה מהצד של ההגדרות הרגולטוריות, מופו התנאים להחלת הדרישות החוקיות, בוצע ניתוח מעמיק של עקרונות בדיני הפרטיות, ובסופו של תהליך ידענו להעלות את השאלות והטענות המתאימות לצמצום החבות החוקית הקשורה לתהליכי עיבוד המידע הרלוונטיים.
זה לא קסם או העמדת פנים. זה דיוק מקצועי שיודע להפריד בין דרישה חוקית לבין כל דבר שיכול להיות נחמד, חשוב ואפילו חשוב מאוד, ועדיין לא חובה ולא הפרה.
ההבחנה הזו יכולה להיות ההבדל שבין סנקציות כספיות עצומות, תהליכים מנהליים ואפילו אחריות פלילית, לבין האפשרות ללמוד מהאירוע, להסיק מסקנות ופשוט להמשיך הלאה. בפרשנות נכונה ומדויקת אנחנו לא רק מנהלים את האירוע, אלא מנטרלים את החשיפה לעיצומים כספיים עוד לפני שהם נולדו.
בשורה התחתונה
DPO טוב סוגר פרצות אבטחה. DPO מצוין סוגר גם חשיפות משפטיות, דרך חשיבה מקצועית מחוץ לקופסה.
תגובות