Przewodnik po ochronie przed naruszeniami danych dla australijskich firm

W 2022 r. liczba incydentów cybernetycznych w firmach i organizacjach na całym świecie gwałtownie wzrosła, a jednym z głównych problemów są naruszenia danych. Prawie 109 milionów kont osobistych i wiadomości e-mail zostało naruszonych w III kwartale 2022 r. — co stanowi wzrost o 70% w porównaniu z II kwartałem.

W szczególności Australia odnotowała znaczny wzrost liczby naruszeń danych, zwłaszcza w sektorach usług finansowych i opieki zdrowotnej. Ich największa firma ubezpieczeniowa, Medibank Private, poinformowała niedawno o naruszeniu danych w październiku, które ujawniło dane osobowe i dokumentację medyczną prawie 10 milionów ludzi.

Ponadto Optus, jedna z największych australijskich firm telekomunikacyjnych, padła ofiarą cyberataku nazwanego przez ekspertów jednym z najgorszych naruszeń danych w historii Australii. Sprawcy zażądali okupu i ujawnili dane osobowe, takie jak imiona i nazwiska, adresy e-mail i numery paszportów ponad 10 milionów klientów.

Biorąc pod uwagę te incydenty, ten przewodnik posłuży australijskim firmom i organizacjom jako przewodnik po tym, jak lepiej chronić dane, zapobiegać naruszeniom danych i zwiększać ich ogólną odporność na cyberbezpieczeństwo, a także przyjrzeć się najważniejszym australijskim środkom, przepisom i regulacjom dotyczącym cyberbezpieczeństwa, które służą ochronie danych klientów.

Co to jest naruszenie danych i jak do niego dochodzi?

Naruszenie danych to incydent cyberbezpieczeństwa, w którym poufne dane są bezprawnie wykorzystywane, niewłaściwie obsługiwane, ujawniane i udostępniane przez nieupoważnione strony. Naruszenie bezpieczeństwa danych może mieć wpływ na wszystkie osoby, organizacje oraz małe i średnie firmy, które gromadzą, używają lub przechowują dane.

Wykorzystywane dane często składają się z informacji finansowych, tajemnic firmy, danych klientów lub danych wrażliwych, takich jak PHI (chronione informacje zdrowotne) i PII (dane osobowe). Najczęstsze metody lub wektory ataków obejmują infekcje złośliwym oprogramowaniem, ataki ransomware, ataki typu denial-of-service (DoS), oprogramowanie szpiegujące, a nawet kradzież haseł za pomocą ataków brute force.

Ponadto naruszenia stron trzecich, błędy ludzkie, zaniedbania pracowników, niewłaściwie wyrzucony sprzęt, błędne konfiguracje oprogramowania, a także socjotechnika, taka jak phishing, mogą stanowić poważne zagrożenie dla cyberbezpieczeństwa i mogą narazić na szwank poufne dane.

Po udanym ataku przestępcy mogą sprzedać dane wykradzione w ciemnej sieci innym złośliwym podmiotom, co jeszcze bardziej ułatwia cyberprzestępstwa, takie jak kradzież tożsamości lub oszustwa.

Dowiedz się, jak zachować zgodność z CPS 230 >

Jak australijskie firmy mogą chronić swoje dane i zapobiegać naruszeniom danych

Gdy ochrona danych jest kwestionowana, australijskie firmy powinny stosować kombinację środków bezpieczeństwa cybernetycznego, najlepszych praktyk i szkoleń pracowników, a także zgodności z przepisami prawa, regulacjami i wytycznymi narzuconymi przez rząd australijski.

Oto najważniejsze kroki w celu ochrony danych dla australijskich firm.

1. Co jest uważane za uprawnione naruszenie ochrony danych?

Australijskie firmy powinny zapoznać się z tym, co stanowi naruszenie danych, ponieważ nie wszystkie naruszenia danych muszą być wynikiem wykorzystania luk w zabezpieczeniach lub cyberataków. Tak długo, jak nieupoważnione podmioty uzyskały dostęp do poufnych informacji, może to zostać uznane za naruszenie danych.

Zgodnie z australijskimi przepisami dotyczącymi bezpieczeństwa danych, kwalifikowane naruszenie danych oznacza utratę, nieautoryzowany dostęp lub nieuprawnione ujawnienie danych osobowych, które może wyrządzić "poważną szkodę" właścicielowi danych.

Na przykład zezwolenie podmiotowi zewnętrznemu, który nie przestrzega najlepszych praktyk bezpieczeństwa lub standardów zgodności, na obsługę krytycznych danych, jest uważane za naruszenie danych. Dodatkowo, utrata przez pracownika dysku twardego, pamięci USB lub laptopa z danymi osobowymi lub danymi firmowymi również może być uznana za naruszenie danych.

Co jest uważane za "poważną krzywdę"?

Australijskie firmy, które przechowują, wykorzystują i przechowują dane, muszą mieć jasną wiedzę na temat tego, kiedy naruszenie danych dotyczące danych osobowych może spowodować "poważną szkodę". " Poważna szkoda oznacza znaczący negatywny wpływ na prywatność właściciela danych, w tym straty finansowe lub oszustwo dotyczące tożsamości.

Zdecydowanie zaleca się, aby wszystkie australijskie firmy sprawdziły, czy transfery danych mogą spowodować poważne szkody, które mogą stanowić kwalifikujące się naruszenie danych.

2. Dowiedz się, kiedy Twoje dane zostały naruszone

Australijskie firmy muszą wdrażać strategie monitorowania sieci i aktywności, aby wiedzieć, kiedy doszło do naruszenia danych.

Bycie na bieżąco z najnowszymi aktualizacjami dotyczącymi naruszeń danych w Australii ma kluczowe znaczenie, a firmy powinny być stale aktualizowane za pośrednictwem mediów i centrów powiadomień, takich jak usługa alertów ACSC i strona dotycząca naruszeń danych Biura Australijskiego Komisarza ds. Informacji.

Małe firmy i osoby prywatne mogą również korzystać z innych mediów, takich jak strona internetowa Have I Been Pwned, aby sprawdzić, czy ich e-maile znajdują się na listach znanych naruszeń danych.

3. Środki bezpieczeństwa cybernetycznego, które firmy mogą podjąć, aby zapobiec naruszeniom danych

Aby ograniczyć i zapobiec naruszeniom danych, ACSC (Australijskie Centrum Bezpieczeństwa Cybernetycznego) zaleca australijskim firmom wdrożenie połączonych wysiłków w zakresie:

Procesy związane z bezpieczeństwem danych
Polityki bezpieczeństwa informacji
Testowanie luk w zabezpieczeniach i testy penetracyjne w ramach rozwiązania do zarządzania powierzchnią ataku

Środki zapobiegania naruszeniom danych

Poniżej wymieniono najważniejsze środki kontroli bezpieczeństwa i bieżące praktyki ochrony mające na celu zapobieganie naruszeniom danych i innym incydentom związanym z bezpieczeństwem.

Zainstaluj oprogramowanie chroniące przed złośliwym oprogramowaniem/antywirusowym

Zainstalowanie oprogramowania antywirusowego lub chroniącego przed złośliwym oprogramowaniem jest jednym z pierwszych kroków do zbudowania programu cyberbezpieczeństwa. Mogą one pomóc w zapobieganiu naruszeniom związanym z oprogramowaniem wymuszającym okup oraz innym naruszeniom bezpieczeństwa związanym z wyłudzaniem informacji i oprogramowaniem szpiegującym. Oba programy mogą automatycznie skanować systemy i komputery oraz porównywać je ze znanymi wirusami i złośliwym oprogramowaniem, a w razie potrzeby poddawać je kwarantannie. Oprogramowanie posiada również wbudowane narzędzia do rozpoczynania procesów usuwania wirusów.

Dowiedz się więcej o australijskim planie działania na rzecz oprogramowania ransomware >

Monitorowanie zagrożeń i luk w zabezpieczeniach

Australijskie firmy powinny rozważyć korzystanie z narzędzi, które automatycznie skanują w poszukiwaniu luk w zabezpieczeniach i oferują ocenę bezpieczeństwa cybernetycznego do wykorzystania w przyszłości, co jeszcze bardziej poprawia ich stan bezpieczeństwa. Usługi ciągłego monitorowania, takie jak UpGuard BreachSight, zapewniają całodobowe monitorowanie znanych zagrożeń bezpieczeństwa 24 godziny na dobę, 7 dni w tygodniu.

Implementowanie segmentacji sieci

Australijskie firmy powinny rozważyć wdrożenie segmentowanych i chronionych hasłem sieci Wi-Fi podzielonych na podsieci. W przypadku naruszenia danych, w którym zły aktor uzyskuje dostęp do sieci, sieci podzielone na segmenty znacznie zmniejszają wpływ i rozprzestrzenianie się ataku.

Korzystanie z sieci podzielonych na segmenty jest główną częścią zarządzania obszarem podatnym na ataki, a australijskie firmy mogą korzystać z odpowiedniego rozwiązania do zarządzania obszarem podatnym na ataki dla swojego rodzaju działalności.

Aktualizacja oprogramowania i systemów

Australijskie firmy muszą upewnić się, że ich systemy operacyjne, oprogramowanie, przeglądarki i wtyczki są zawsze aktualne. Powodem, dla którego złośliwe oprogramowanie WannaCry rozprzestrzeniło się tak łatwo w 2017 roku, było to, że cyberprzestępcy znaleźli łatwe sposoby na wykorzystanie krytycznych luk w starszych wersjach systemów operacyjnych Windows.

4. Zarządzanie konfiguracją przed wyciekami danych

Naruszenia danych nie należy mylić z wyciekami danych, w przypadku których ujawnienie poufnych danych jest zazwyczaj przypadkowe i wynika z błędu ludzkiego. Jednak ponad 30% największych firm w Australii doświadczyło wycieku danych w 2021 roku.

Wycieki w chmurze to powszechny rodzaj wycieku danych, w którym dostawca pamięci masowej w chmurze, taki jak AWS, Azure lub Google Cloud Platform (GCP), jest nieprawidłowo skonfigurowany, zwykle ze słabymi zabezpieczeniami S3. Narzędzia do zarządzania konfiguracją i zarządzania konfiguracją pomagają zapobiegać takim niespójnościom, identyfikując zmiany w stanie systemu i zapobiegając wyciekom danych.

5. Szkolenia i edukacja pracowników w zakresie cyberbezpieczeństwa

Aby uniknąć typowych incydentów wynikających z zaniedbań i nadużyć pracowników, które mogą ułatwić naruszenie danych, australijskie firmy powinny zapewnić odpowiednie szkolenie w zakresie bezpieczeństwa dla personelu i pracowników.

Ogólne szkolenia i najlepsze praktyki w zakresie świadomości cyberbezpieczeństwa powinny obejmować następujące elementy:

Rozpoznawanie podejrzanej aktywności i logowania
Nie otwieranie wiadomości e-mail i załączników do wiadomości e-mail z nieznanych źródeł, aby zapobiec atakom socjotechnicznym, takim jak oszustwa phishingowe i spoofing
Wdrażanie metod uwierzytelniania wieloskładnikowego (MFA) lub uwierzytelniania dwuskładnikowego (2FA)
Tworzenie silnych, unikalnych haseł
Zasady kontroli dostępu do zarządzania uprawnieniami dostępu do danych

6. Plan reagowania na naruszenie danych

Nie można wystarczająco podkreślić znaczenia odpowiedniego planu reagowania na naruszenia danych, zwłaszcza gdy dochodzi do naruszenia danych. Plan reagowania na naruszenie danych pomaga firmom zidentyfikować, ograniczyć, ocenić i zaradzić skutkom potencjalnego naruszenia danych, a także powiadomić wszystkie dotknięte nim podmioty i odpowiednie organy.

W razie wątpliwości lepiej jest zgłaszać niepotrzebnie, niż wstrzymywać się ze zgłoszeniem. Na przykład w przypadku naruszenia danych Sony PlayStation Network nie stwierdzono żadnych oszustw związanych z kartami kredytowymi, ale zostało ono ukarane znacznymi grzywnami za siedmiodniowe opóźnienie w powiadomieniu klientów.

Australijskie firmy muszą mieć kompleksowy plan reagowania na naruszenia danych, który jest zgodny z australijskimi wymogami regulacyjnymi, w tym NDBS (Notifiable Data Breach Scheme) i RODO. Więcej na ten temat później.

7. Narzędzia do monitorowania dostawców/Zapobieganie naruszeniom danych stron trzecich i czwartych

Większość australijskich firm zleca swoje operacje za pośrednictwem innych dostawców, którzy z kolei zlecają własne operacje dostawcom zewnętrznym, co może ułatwiać naruszenia danych związane z ryzykiem stron trzecich i ryzykiem stron trzecich.

Aby temu zapobiec, firmy muszą traktować zarządzanie ryzykiem dostawców i zarządzanie ryzykiem stron trzecich jako kompleksowe plany i programy mające na celu identyfikację i łagodzenie możliwych naruszeń danych, odpowiedzialności prawnej i wpływu ryzyka stron trzecich i stron trzecich na reputację. Narzędzie do monitorowania dostawców może pomóc w monitorowaniu i identyfikowaniu zagrożeń dla dostawców.

8. Przewodnik OAIC dotyczący zabezpieczania danych osobowych

Wreszcie, wszystkie australijskie firmy powinny zapoznać się z przewodnikiem OAIC (Office of the Australian Information Commissioner) dotyczącym ochrony danych osobowych. Ten przewodnik zawiera wszystkie ważne wymagania ustawy o prywatności z 1988 r., których firmy powinny przestrzegać.

Obejmuje to ochronę danych osobowych firm przed niewłaściwym wykorzystaniem, ingerencją, utratą, nieautoryzowanym dostępem, modyfikacją lub ujawnieniem. Zawiera również wskazówki dotyczące niszczenia przechowywanych przez nich danych osobowych lub pozbawiania ich elementów pozwalających na identyfikację, gdy nie są już potrzebne (chyba że ma zastosowanie wyjątek). Nawet jeśli Twoja firma dozna naruszenia danych, postępowanie zgodnie z przewodnikiem OAIC może pomóc w uniknięciu znacznych kar.

Kliknij tutaj, aby uzyskać więcej informacji na temat zapobiegania naruszeniom danych przez Australijskie Centrum Bezpieczeństwa Cybernetycznego.

Australijskie przepisy i regulacje dotyczące bezpieczeństwa cybernetycznego, które pomagają w ochronie danych

Oprócz polegania na środkach bezpieczeństwa, praktykach i kontrolach wewnętrznych, australijskim firmom zdecydowanie zaleca się przestrzeganie australijskich przepisów, wytycznych i regulacji dotyczących ochrony danych, aby pomóc w zapobieganiu naruszeniom danych i unikaniu surowych kar za nieprzestrzeganie przepisów.

Rząd Australii ciężko pracuje nad reformą i rewizją krajowych standardów regulacyjnych w zakresie bezpieczeństwa cybernetycznego, ram cyberbezpieczeństwa i przepisów, które pomagają branżom wzmocnić ich bezpieczeństwo, podobnie jak w USA.

Prywatność danych i cyberbezpieczeństwo w Australii są zasadniczo regulowane przez połączenie przepisów federalnych, stanowych i terytorialnych, takich jak federalna ustawa o prywatności z 1988 r. (Cth) (ustawa o prywatności), AAP (australijskie zasady ochrony prywatności) w ramach ustawy o prywatności, a także europejskie RODO.

Niektóre z tych przepisów nie są obowiązkowe dla wszystkich australijskich firm, ale dobrze sprawdzają się w zwiększaniu odporności firm na cyberbezpieczeństwo, zwłaszcza gdy w grę wchodzi oprogramowanie ransomware.

Ustawa o ochronie prywatności z 1988 r.

Ustawa o ochronie prywatności z 1988 r. reguluje dane osobowe i dane, które są gromadzone, przechowywane, ujawniane i przetwarzane przez podmioty sektora prywatnego i federalne agencje rządowe (z wyjątkiem agencji stanowych).

Ustawa o ochronie prywatności nie obejmuje australijskich firm o obrotach poniżej 3 milionów AUD, chyba że są:

Dostawca usług zdrowotnych w sektorze prywatnym
Firma, która sprzedaje lub kupuje dane osobowe
Spółki osobowe, trusty i stowarzyszenia nieposiadające osobowości prawnej
Podmioty sporządzające sprawozdania kredytowe, takie jak kredytodawcy i inne podmioty przetwarzające informacje o kartach kredytowych
Agencje rządowe Rządu Wspólnoty Narodów i Australijskiego Terytorium Stołecznego

Zakontraktowany dostawca usług Wspólnoty Narodów dla federalnej agencji rządowej

Przeczytaj to, aby dowiedzieć się, jakie przepisy dotyczące ochrony danych są odpowiednie dla każdego stanu i terytorium Australii.

Nowy australijski NDB (Notifiable Data Breach Scheme)

Od 22 lutego 2018 r. weszły w życie nowe australijskie przepisy dotyczące powiadamiania o naruszeniu danych, które wymagają od firm na mocy ustawy o prywatności z 1988 r. niezwłocznego powiadamiania OAIC (Biura Australijskiego Komisarza ds. Informacji) w przypadku kwalifikującego się naruszenia danych, które obejmuje numery podatkowe danych lub dane osobowe, które mogą stwarzać ryzyko poważnej szkody.

Program jest wymagany przez przepisy dotyczące powiadamiania o naruszeniu danych, takie jak ogólne rozporządzenie Unii Europejskiej o ochronie danych (RODO), i koncentruje się bardziej na prywatności niż na bezpieczeństwie.

Program powiadamiania o naruszeniu ochrony danych ma zastosowanie do firm i organizacji na mocy ustawy o ochronie prywatności z 1988 r. Obejmuje to agencje rządowe i firmy, których roczny obrót wynosi ponad 3 miliony AUD w dowolnym roku finansowym od 2022 roku.

Skorzystaj z tej listy kontrolnej OAIC, aby dowiedzieć się, czy Twoja organizacja należy do tych kategorii.

Plan reagowania na naruszenie danych

Program zgłoszonych naruszeń danych wymaga od firm wdrożenia planu reagowania na naruszenie danych, aby zminimalizować potencjalny wpływ naruszenia danych i pomóc firmom szybciej reagować w przyszłości.

Plan reagowania na naruszenie danych obejmuje cztery kluczowe punkty dla personelu IT i pracowników:

Jak odizolować naruszone systemy?
Przeprowadź inspekcję i zbadaj zdarzenie w celu określenia zagrożonych danych
Napraw naruszenie i odzyskaj dane, jeśli to możliwe
Informowanie osób, których dotyczy problem

Firmy muszą również przeprowadzić przegląd naruszenia danych, aby rozważyć długoterminowe działania przeciwko przyszłym incydentom. Przepisy NDB wymagają również, aby firmy posiadały wdrożoną polisę ubezpieczenia cybernetycznego, która odgrywa główną rolę w finansowaniu wymagań dotyczących planu reagowania na naruszenie danych.

Dowiedz się, jak utworzyć plan reagowania na incydent >

RODO (Ogólne rozporządzenie o ochronie danych) dla australijskich firm

RODO (Ogólne rozporządzenie o ochronie danych Unii Europejskiej) jest podstawowym aktem prawnym UE służącym harmonizacji przepisów dotyczących prywatności danych i zapewnieniu ochrony prywatności przedsiębiorstwom i osobom fizycznym w UE.

Chociaż RODO jest rozporządzeniem europejskim, ma zastosowanie do wszystkich firm, które oferują towary i usługi online obywatelom Europy, w tym Australii. Są one również nazywane "Australijskimi Zasadami Prywatności (APP"). ”

Zarówno RODO, jak i australijska ustawa o ochronie prywatności z 1988 r. mają wspólne podobieństwa legislacyjne, takie jak wymaganie od firm wdrożenia podejścia "privacy by-design" do zgodności z prywatnością danych, a także przestrzeganie zasad prywatności i obowiązków w zakresie ochrony danych.

Aby spełnić te wymagania, australijskie firmy są zobowiązane do:

Minimalizacja przetwarzania danych osobowych
Prawidłowe szyfrowanie i pseudonimizacja danych osobowych
Zachowaj przejrzystość podczas obsługi danych osobowych
Umożliwienie osobom fizycznym monitorowania przetwarzania ich danych
Tworzenie, ulepszanie i zastępowanie odpowiednich funkcji ochrony danych dla swojej firmy

W procesie współpracy z programem Notifiable Data Breach Scheme, RODO zobowiązuje australijskie firmy do zgłaszania naruszeń danych do OAIC w ciągu 72 godzin od zauważenia naruszenia. Ponadto administratorzy danych muszą poinformować wszystkich, których dotyczy naruszenie ochrony danych.

Do jakich australijskich firm ma zastosowanie RODO?

RODO obejmuje wszystkich australijskich administratorów danych i podmioty przetwarzające dane objęte ustawą o prywatności z 1988 r., które mają stronę internetową korzystającą z plików cookie, skierowaną lub wspominającą o klientach z UE.

Obejmuje to australijskie firmy, które mają biuro w UE; na przykład australijskie firmy posiadające strony internetowe, które umożliwiają handel towarami i usługami w dowolnym języku europejskim lub umożliwiają płatności w euro.

Przeczytaj tutaj, aby zapoznać się z pełnymi wymaganiami dotyczącymi zgodności australijskich firm z RODO.

Jakie kary grożą za nieprzestrzeganie RODO?

Australijskie organizacje, które nie zastosują się do ich przepisów, mogą zostać ukarane wysokimi grzywnami w wysokości do 4% ich rocznego globalnego obrotu lub do 20 milionów euro - w zależności od tego, która z tych kwot jest wyższa.

Dowiedz się, jak spełnić wymagania RODO dotyczące ryzyka związanego z ryzykiem związanym z osobami trzecimi >

Aby uzyskać bardziej techniczny przewodnik na temat zapobiegania naruszeniom danych, przeczytaj ten post.