Sådan dokumenteres, hvad en dataovertrædelsesmeddelelse betyder for dens ofre
Næsten alle overtrædelsesmeddelelser ser meget ens ud. Når det er sagt, er vi stadig nødt til at afkode dem for at se, hvad de virkelig betyder for målene for dataovertrædelsen.
Hvordan ser dataovertrædelsesmeddelelser ud, og hvad betyder de?
Underretninger om dataovertrædelse er designet til at informere dig om, at der er sket noget med dig, hvornår det skete, og hvilken indflydelse det kan have på dig og din virksomhed. De fleste amerikanske stater har love, der tvinger virksomheder til at offentliggøre sikkerhedsbrud så hurtigt som muligt. EU's love er meget strengere, og bøder er almindelige i tilfælde, hvor disse sikkerhedshændelser ikke offentliggøres.
Notifikationer om dataovertrædelse er dog blevet mere og mere almindelige i krisekommunikation. I stedet for at hjælpe med at løse problemerne bruges disse meddelelser til at aflede skyld, skjule vigtige detaljer og vigtige fakta om omstændighederne omkring sikkerhedshændelserne. Virksomhederne er mere interesserede i at holde aktiemarkederne glade, og deres investorer er tilfredse end at afsløre sandheden for offentligheden.
Så næste gang du ser en anmeldelse af dataovertrædelse, skal du læse mellem linjerne. Når du ser nogle almindelige pladsholderlinjer som: "Vi tager din sikkerhed og privatliv alvorligt", skal du vide, at det virkelig betyder "Vi måtte sige dette for at få dig til at føle dig sikker." Dette er en af de mest almindelige linjer, der nævnes i stort set alle dataovertrædelsesmeddelelser. Desværre er de fleste store virksomheder ikke ligeglade med privatlivets fred eller sikkerhed for klientdata, bortset fra potentielle retssager eller bøder.
En anden almindelig ting, du muligvis kan se i en anmeldelse af dataovertrædelse, er en variation af " Vi har for nylig opdaget en sikkerhedshændelse / overtrædelse." Det lyder lige, men hvem var den, der "for nylig opdagede" sikkerhedshændelsen. Var det en af deres mennesker, eller var det en udenforstående, der tvang dem til at afsløre det? Ofte er det en hvid hathacker, der opdager disse ting, og virksomheden bliver tvunget til at rapportere det først, eller risikere at se uvidende ud om et dataovertrædelse på deres egne servere og inkompetente.
Når der er en slags sikkerhedshændelser, vil virksomhederne også kalde angriberen og "uautoriseret person" for at skifte skyld fra deres egne dårlige sikkerhedsvaner. "Uautoriseret adgang" betyder, at nogen ulovligt brød ind i deres netværk, men hvordan? Den mest almindelige måde er ved at bruge login-brugeroplysninger (brugernavn og adgangskode) for en person, normalt en medarbejder eller en anden tilknyttet virksomheden.
Desværre bliver angribere ikke altid fanget under selve overtrædelsen. I mange tilfælde er de fleste dårlige fyre forsvundet, når et firma lærer om sikkerhedshændelsen. Det er når de siger, at de "tager øjeblikkelige skridt" eller en eller anden variation af den linje. Når et firma siger det, tror ikke de har handlet siden overtrædelsens øjeblik. Nej, de har handlet siden det øjeblik, de blev informeret om det.
Det er, når de opfordrer deres "cyberforensiske efterforskere", hvilket betyder, at et andet firma, der specialiserer sig i denne slags ting, ikke folk fra deres eget personale.
Disse mennesker vil forsøge at hjælpe dem med at finde ud af, hvordan hændelsen skete. Dette fungerer i virksomhedens fordel, fordi de kan samle på enhver cyberforsikring, de har, og forhåbentlig forhindre, at noget lignende sker igen.
Desværre kan udtrykket "retsmedicin" bruges lidt for løst af disse virksomheder. Undertiden bruger de deres egne interne efterforskere, hvilket er et problem, fordi der er en åbenlys mangel på ansvarlighed. Ofte kan de forsøge at skjule noget, der afslører dårlig sikkerhedspraksis fra mennesker inden for virksomheden. Dette er en af de mange grunde til, at uafhængige sikkerhedseksperter bør konsulteres i tilfælde af dataovertrædelse eller anden sikkerhedshændelse.
