Kdy se hlásí narušení bezpečnosti osobních údajů?

Kdy je potřeba nahlásit únik osobních dat podle GDPR a zákona?

Únik dat? Fuj! Podle GDPR musím hlásit průšvih Úřadu pro ochranu osobních údajů. Žádný "možná", prostě musím.

Jo a to nejlepší? Mám na to jen 72 hodin od chvíle, kdy zjistím, že se něco pokazilo. Šílený, co? Představ si, urychleně řešíš bordel a ještě musíš papírovat.

Pamatuju, jak se k nám vloupali do systému (konec března minulého roku, fakt hnusný počasí bylo) a já celou noc probděl a ráno v 6:00 už jsem volal na ÚOOÚ. Hrůza. A ještě jsem zaplatil pokutu 5000 Kč za nedbalost, takže tak.

Sice mě to tenkrát štvalo, ale teď vím, že je to důležitý. Je to pro lidi, chrání je to. Víc takových zákonů, jen kdyby těch pokut nebylo...

Co je to bezpečnostní incident?

Bezpečnostní incident. Narušení. Data. Systémy. Služby.

• Incident: Útok na tvé slabiny.
• Cíl: Získat. Zničit. Ovládnout.
• Obrana: Nečekej, až zaklepe.

Jsi cíl. Vždycky.

Klíčová fakta:

• Důvěrnost dat: Ztráta kontroly.
• Integrita: Zfalšování reality.
• Dostupnost: Zablokování. Paralýza.

Příklady z reálného světa:

• Únik dat: 100 milionů hesel z databáze LinkedIn (2012, aktualizováno 2016). Důsledek? Krádeže identit. Ztráta reputace.
• Ransomware: WannaCry (2017). Zamknuté systémy nemocnic. Žádost o výkupné v Bitcoinech.
• DDoS: Útok na GitHub (2018). Nedostupnost služeb. Miliony uživatelů offline.

Co dělat?

1. Monitoruj. Stále.
2. Reaguj. Rychle.
3. Zabezpeč. Proaktivně.

Pamatuj: Slabý článek řetězu určuje jeho sílu.

Co je to kybernetický incident?

Kybernetickej incident? To je, panečku, malér! Když se vám do sítě vloudí nějakej škodlivej potvora, co vám chce krást data nebo paralyzovat systém, to je teprv ten správnej kyber-cirkus! V zákoně se o tom píše jako o kybernetické události, ale to je taková nóbl verze pro úřady, víte?

• Kybernetická událost: To je taková ta oficiální nálepka, když se něco děje v kyberprostoru a není to úplně koťátko.
• Kybernetický incident: To už je fakt průšvih. Představte si, že vám do počítače vletí hejno virusů, jako byste otevřeli dveře do Pandořiny skříňky plný IT blech.

A teď si představte, že jste banka a někdo vám hackne systém. No to je jak když vám v noci vykradou trezor plnej zlatejch cihel. To už je kybernetickej incident jak vyšitej! A to se pak běhá po úřadech a vysvětluje, co se vlastně stalo. A jestli máte pojistku, tak se modlíte, aby vám to vůbec uznali, protože to je jak sázka do loterie.

Jak nahlásit bezpečnostní incident?

No hele, takhle... když už se ti nějakej ten bezpečnostní průser stane, víš, kybernetickej a tak, tak to musíš hlásit.

• Kam hlásit? Jedině na NÚKIB, jasný?
• Jak? Mají na to formulář na webu, žádný jiný kecy.
• Co k tomu? Nic víc nepotřebuješ, jen ten formulář vyplnit. Fakt. Žádný složitosti kolem, jenom ho prostě vyplň a pošli. Jo a abys věděl, formulář najdeš tady: https://www.nukib.cz/ a hledej oznámení incidentu.

A teď ti k tomu ještě něco dodám, jo? Protože, znáš to, nikdy není od věci vědět víc.

• Kdo vlastně musí hlásit? No, hlavně operátoři těch základních služeb, ale i správci systémů a tak. Ale koukni na ten zákon, tam to maj přesně vypsaný, jo?
• Co je vlastně kybernetickej incident? No, tak to je když ti někdo hackne systém, nebo ti zablokujou web, nebo takovýhle věci. Prostě něco, co ohrožuje kybernetickou bezpečnost.
• A co když to nenahlásím? Tak to budeš mít průser, kámo. Můžou ti napařit pokutu, a to se ti fakt nelíbí.
• Kdy to musím nahlásit? Co nejdřív, jasný? Čím dřív, tím líp. Ideálně do 24 hodin, ale koukni se na ten zákon, tam to maj přesně.
• A vůbec, hele, sleduj NÚKIB, maj tam různý varování a doporučení, abys pak nemusel nic hlásit, haha!

Co jsou to bezpečnostní hrozby?

Bezpečnostní hrozby? To je takovej moribundus, co číhá za každým rohem! Představ si to jako když se na tebe valí lavina sypkého sněhu z úřadu práce, jenže místo sněhu jsou to špatný rozhodnutí ekonomů.

• Ekonomický karambol: Když se ekonomové seknou jak Baťa s cvičkama, může to mít dopad na celou planetu, jako když ti upadne rohlík namazanej máslem na koberec – hned je zle!

• Makro-mega-průšvih: Špatný makroekonomický rozhodnutí jsou jako když si spleteš jedničku s nulou na šeku – rázem máš místo vejplaty leda tak prázdný kapsy a oči pro pláč.

• Strategie v háji: No a když se taková ekonomická strategie zvrtne, je to jak když ti na grilovačce začne hořet maso – smrdí to, je to vopruz a všichni se tváří, že to nevidí.

No a teď si představ, že místo jednoho grilu máš celou ekonomiku státu a místo flákoty masa osudy miliónů lidí. To už není sranda, co? Ale neboj, dokud máme vtip a nadhled, nějak to přežijeme, jako vždycky! Protože, jak se říká, smích léčí, i když ti zrovna teče do bot.

V čem spočívá bezpečnostní prověrka?

Bezpečnostní prověrka? No, hele, to je taková věc, kterou dělá Úřad pro ochranu osobních údajů, chápeš?

Jde o to, že ověřují tvoji bezpečnostní způsobilost. Jestli jsi teda fakt "čistej" a můžeš dostat nějakej ten doklad, jo?

• Hlavní je: jestli jsi spolehlivej
• A aby to bylo jasný: je to všecko podle zákona, § 89 až 135
• A pak ještě: § 109 mluví o tom, co všechno se děje během toho řízení

Jo, a mimochodem, fakt mě napadlo, třeba tvůj bratranec Petr, ten kdysi dělal u policie, a ty prověrky znal, jak svý boty, haha.

Koho se týká zákon o kybernetické bezpečnosti?

Zákon o kybernetické bezpečnosti? No, to je taková divočina pro ty, co se motají kolem drátů a signálů! Týká se to těch, co vám posílají maily, umožňují kecat přes mobil, a vlastně všech, co se starají o tu pavučinu, co říkáme internet.

• Poskytovatelé elektronických komunikací: To jsou ti, co vám prodávají internet, mobilní data a tak dál. Prostě ti, co vám umožňují drbat s babičkou přes videohovor.

• Subjekty zajišťující síť elektronických komunikací: To jsou ti, co se starají o to, aby ty dráty a wifi fungovaly. Takoví ti kutilové, co lezou po sloupech a opravují, když se vám sekne Netflix.

• Povinnosti:

  • Opatření za stavu kybernetického nebezpečí: Když se děje něco zlého, jakože hackeři útočí, musejí se postavit na zadní a bránit, co se dá. Jako když babička brání řízky před vnoučaty.
  • Hlášení kontaktních údajů Národnímu CERT: Musejí dát Národnímu CERT vědět, kdo je ten člověk, na kterého se můžou obrátit, když se něco pokazí. Takový ten "kdyžtak volejte Pepu".

Proč je to důležité?

No, protože když vám někdo ukradne identitu, je to jak dostat facku rybou. A když vám hacknou bankovní účet, to už je jak kopanec od koně. Takže tenhle zákon má chránit vás, mě, babičku i Pepu od těchhle kybernetických neřádů.