Dylematy cyberbezpieczeństwa: Wycieki danych

Boże Narodzenie to nie tylko żniwa w branży detalicznej, ale także najlepszy czas na cyberprzestępcy. To właśnie o tej porze roku ataki hakerskie których celem jest kradzież lub wyłudzanie danych (phishing). Stanowi to problem nie tylko dla konsumentów, ale także dla firm, dla których wycieki danych oznaczają straty finansowe i uszczerbek na reputacji. Okres poświąteczny to idealny czas na zastanowienie się, w jaki sposób firmy mogą chronić się przed wyciekami danych?

• Bezpieczeństwo klientów jest częścią budowania zaufania do marki
• Jak chronić swoje dane podczas zakupów online
• Monitorowanie aplikacji i infrastruktury jako sposób ochrony przed wyciekiem danych
• Wyciek danych klientów - zgłaszać czy nie zgłaszać?
• Jak informować klientów o wycieku danych?

Bezpieczne zakupy w walce o klienta

Ostatnie lata w e-commerce były czasem technologicznego "wyścigu zbrojeń" o każdego klienta. Dziś nie robimy po prostu zakupów online, ale doświadczamy spersonalizowanego doświadczenia zakupowego. Ma to ułatwić nam skompletowanie koszyka i zachęcić do powrotu na stronę w przyszłości.

Ważną częścią wspomnianego wcześniej pozytywnego doświadczenia zakupowego jest budowanie zaufania do marki. Częścią tego zaufania jest zapewnienie naszym klientom bezpiecznego zakupy online doświadczenie. Możemy to zrobić, edukując użytkowników na temat zagrożeń hakerskich oraz inwestując w narzędzia i technologie, które chronią przed cyberataki.

Jak klienci mogą chronić swoje dane?

Jak wynika z badania "Wiarygodność sklepów internetowych" przeprowadzonego na zlecenie ChronPESEL.pl i Rzetelnej Firmy, co czwarty ankietowany słyszał o wycieku danych osobowych klientów ze sklepu, z którego usług korzystał. Z kolei 6 proc. kupujących w sieci zadeklarowało, że ich dane faktycznie zostały udostępnione osobom nieuprawnionym. Analiza e-commerce Według statystyk dotyczących liczby kupujących online, ponad 1,3 miliona osób miało do czynienia z taką sytuacją.

O czym należy przypominać naszym klientom, aby czuli się bezpiecznie podczas przedświątecznego szału zakupów w sklepach internetowych?

Po pierwsze, zwróćmy uwagę użytkowników naszej strony na fałszywe e-sklepy, zwłaszcza te podszywające się pod inne witryny. Lampka ostrzegawcza powinna zapalić się, gdy oferty na konkretnej stronie e-sklep są nierealistycznie atrakcyjne lub gdy sama witryna wygląda podejrzanie.

Po drugie, edukujmy naszych klientów na temat ataki phishingowe. Okres przedświąteczny obfituje w próby wyłudzenia poufnych danych za pośrednictwem wiadomości e-mail, połączeń telefonicznych i wiadomości tekstowych z informacjami o rzekomo niedokończonych transakcjach zakupowych lub nieopłaconych przesyłkach kurierskich. Przestrzegamy klientów przed klikaniem w podejrzane linki przesyłane pocztą elektroniczną lub telefonicznie oraz przed podawaniem danych osobowych lub poufnych podczas rozmów telefonicznych. Zachęcanie do bezpiecznych płatności opartych na dwuetapowym uwierzytelnianiu transakcji.

Jak chronimy dane naszych klientów?

Edukacja klientów to jedno, ale zapewnienie im bezpieczeństwa na naszej stronie internetowej to osobna kwestia. W dobie zwiększonego działalność cyberprzestępczapowinniśmy być przygotowani na ataki hakerskie i ich konsekwencje. W jaki sposób? Warto wprowadzić w swojej firmie politykę wczesnego wykrywania zagrożeń, monitorując wydajność i bezpieczeństwo aplikacji biznesowych oraz infrastruktury.

W The Codest zapewniamy Usługi ciągłego monitorowania za wydajność i bezpieczeństwo systemów IT opartych na infrastrukturze własnej klienta lub opartej na chmurze (lub obu jednocześnie).

To usługi monitorowania koncentruje się na wydajności działających systemów pod względem przepustowości, a także jakości integracji połączonych systemów informatycznych. Obejmuje to tak ważne aspekty jak e-commerce jak bramki płatności, systemy wysyłkowe oraz połączone systemy CRM i ERP.

Kluczowym elementem ochrony przed wyciekiem danych jest konieczność testowania pod kątem zagrożenia cyberatakami środowisko produkcyjne, tj. takie, które jest dostępne dla klienta końcowego. Okresowe testowanie ma na celu wychwycenie potencjalnych luk w systemach i umożliwienie ich naprawienia przed wystąpieniem incydentu. Każda zmiana i aktualizacja w obszarze IT, zanim zostanie opublikowana, jest testowana w celu wychwycenia błędów.

Usługa, o której mowa, to Obsługa 24/7 przez zespół DevOpsczyli działy programistyczne i operacyjne, w których zarówno kompetencje programistyczne, jak i administracyjne dbają o zapewnienie wydajności i bezpieczeństwa aplikacji biznesowych klientów.

Wyciek danych klientów - co mówi prawo?

Przed erą RODO obowiązek administratora danych do informowania o wycieki danych było fakultatywne, niezależnie od skali zagrożenia. Obecnie, jeśli ujawnienie danych może spowodować zwiększone ryzyko naruszenia praw i wolności osób, których dane dotyczą, administrator ma obowiązek poinformować te osoby o wycieku lub kradzieży danych. Musimy to również zgłosić do Organ ochrony danych. W tym miejscu pojawia się jednak kilka pytań.

Po pierwsze, do kontrolera należy zinterpretowanie, czy plik wyciek danych stanowi drobny incydent (o którym użytkownicy nie muszą być informowani) lub już naruszenie danych osobowych. Po drugie, istnieje kilka powodów wymienionych w RODO, na podstawie których nie musimy informować użytkowników o wycieku ich danych.

Wiele firm staje więc przed dylematem, co zrobić, gdy dane ich klientów ujrzą światło dzienne. Z perspektywy The Codest w zdecydowanej większości przypadków powinniśmy poinformować klientów o takim zdarzeniu. Na tym właśnie polega budowanie zaufania do marki.

Jak informować klientów o wycieku danych?

Mleko się rozlało. Padliśmy ofiarą wycieku danych. Co powinniśmy zrobić? Przede wszystkim powinniśmy opracować strategię działania. Z jednej strony musi ona obejmować środki operacyjne, tj. środki zaradcze mające na celu zminimalizowanie skutków wycieku. Z drugiej strony należy utrzymywać przejrzystą, bieżącą komunikację z klientami na temat wycieku. Pomoże to uniknąć lub ograniczyć eskalację potencjalnego kryzysu wizerunkowego i utraty zaufania klientów.

Jak wynika z innego badania przeprowadzonego na zlecenie Chronpesel.pl wspólnie z Krajowym Rejestrem Długów, osoby, które padły ofiarą wycieku, oczekują jak najszybszego poinformowania o tym, że doszło do naruszenia ochrony danych osobowych i jaki jest jego zakres (ok. 60 proc. odpowiedzi). Ponadto ankietowani chcą informacji o tym, co administrator zrobił, aby uniknąć podobnych sytuacji w przyszłości (blisko 57 proc.), a także do kogo mogły trafić dane, które wyciekły (ponad 53 proc.).
Ostatnią rzeczą, jakiej chcemy, jest to, by dowiedzieli się o wycieki danych z mediów lub oprogramowania antywirusowego. Musimy dać im szansę na zadbanie i "ochronę" ich osobowości.

Jakie są złote zasady komunikacji w obliczu wycieku danych? Przede wszystkim poinformujmy naszych klientów o incydencie. Pokażmy, że sytuacja jest pod kontrolą, że świadomie nią zarządzamy. Przedstawmy, co robimy, by zminimalizować negatywne skutki wycieku. Wreszcie, jakie środki planujemy wdrożyć, aby zapobiec podobnej sytuacji w przyszłości.

Chroń dane, chroń klienta

Według raportu "E-commerce w Polsce" opracowanego przez Gemius, już 77 proc. wszystkich internautów robi zakupy w sieci. Co trzeci badany przyznaje, że teraz robi to częściej niż przed pandemią. Podobny odsetek zauważa, że po pandemii kupuje w sieci więcej produktów. Wynik e-commerce rynek sama również rozwija się w niezwykle szybkim tempie. Przekłada się to na większą liczbę cyberataków na dane osobowe użytkowników sieci. Warto o tym pomyśleć szczególnie przed świętami, traktując inwestycję w bezpieczeństwo chroniące bazy danych naszych użytkowników jako najlepszy praktyczny prezent gwiazdkowy, jaki możemy sprawić naszym klientom.