چگونه به طور قانونی به مسائل امنیت سایبری و داده های مرتبط رسیدگی کنیم

درک دیدگاه حقوقی امنیت سایبری

قانون امنیت سایبری یک زمینه پیچیده و به سرعت در حال تحول است که پایه ای را برای چگونگی محافظت سازمان ها از اطلاعات دیجیتال تعیین می کند، این قوانین به طور معمول حداقل کنترل های امنیتی را انجام می دهند، تعهدات اطلاع رسانی نقض را تعریف می کنند و مجازات هایی را برای حریم خصوصی غیر متعهد می کنند، در حالی که الزامات خاص توسط حوزه قضایی و صنعت متفاوت است، مجموعه اصلی اصول در اکثر چارچوب ها ظاهر می شود: به حداقل رساندن داده ها، کنترل دسترسی، رمزگذاری، پاسخ دادن پاسخ به حوادث و مقررات حسابرسی خاص از طریق مقررات پرداخت قانونی و مقررات پرداخت اطلاعات، اما قوانین انطباق قوانین پرداخت مالیات بر اساس مقررات پرداخت مالیات بر اساس مقررات پرداخت مالیات بر اساس مقررات پرداخت مالیات بر روی سطح قانونی و مقررات پرداخت می شود.

مقررات اصلی که باید بدانید

] GDPR (General Data Protection Regulation): انترو در سراسر منطقه اقتصادی اروپا، GDPR در هر سازمانی که داده های شخصی ساکنان اتحادیه اروپا را پردازش می کند، اعمال می شود؛ این نیاز به ارزیابی های حفاظت از داده، اطلاع رسانی اجباری نقض در عرض 72 ساعت دارد و می تواند تا 4٪ از گردش مالی سالانه جهانی یا 20 میلیون یورو، که هر کدام از آنها بالاتر است، جریمه کند.
[قانون حریم خصوصی مصرف کننده کالیفرنیا] و CPRA: این قوانین کالیفرنیا حقوق مصرف کنندگان را برای شناختن، حذف و انتخاب از فروش اطلاعات شخصی خود را نیز اعمال الزامات امنیتی داده دقیق و اجازه می دهد حقوق خصوصی اقدام برای نقض. [F:2California عمومی] دفتر [F3 ] ایجاد یک راهنمای رسمی و اصلاح شده در یادآوری.
[HIPAA] (قانون دسترسی به بیمه درمانی و پاسخگویی: ارائه دهندگان مراقبت های بهداشتی ایالات متحده، بیمه گران و شرکای تجاری خود باید اطلاعات بهداشتی محافظت شده (PHI) تحت قوانین حفظ حریم خصوصی و امنیت HIPAA را در 60 روز برای اکثر حوادث مورد نیاز است.
PCI DSS (پرداخت استاندارد امنیت داده های کارت اعتباری): در حالی که نه یک قانون، PCI DSS یک الزام قراردادی برای هر نهاد است که داده های کارت اعتباری را کنترل می کند.
لایحه SHIELD: قانون نیویورک تعریف اطلاعات خصوصی را گسترش داد تا شامل داده های بیومتریک، آدرس ایمیل با کلمات عبور و موارد دیگر باشد.
[قانون حفاظت از داده های عمومی برزیل]: مدل پس از GDPR، LGPD برزیل به هر سازمان پردازش داده های افراد در برزیل اعمال می شود، جریمه تا 2٪ درآمد (capped at 50 میلیون reais) و نیاز به یک افسر حفاظت از داده است.
PIPL (قانون حفاظت از اطلاعات شخصی چین): PIPL چین الزامات دقیق در پردازش داده ها، انتقال های مرزی و رضایت را به سازمان های خارج از چین اعمال می کند اگر آنها اطلاعات شخصی افراد داخل چین را پردازش کنند برای اهدافی مانند ارائه محصولات یا تجزیه و تحلیل رفتار.
چارچوب های غیر قابل قبول دیگر: چارچوب امنیت سایبری [هر چند داوطلبانه در ایالات متحده] به طور گسترده در رسیدگی های حقوقی به عنوان یک معیار برای امنیت معقول اشاره شده است. [SOX] کنترل داده های مالی برای شرکت های دستورالعمل امنیت سایبری عمومی، NI2 اکتبر 2024.

چگونه قوانین "امنیت قابل اعتماد" را تعریف می کنند

بسیاری از قوانین حفاظت از داده ها، وظیفه اجرای «منطقی» یا «تحق» را بر اقدامات فنی و سازمانی اعمال می کنند، آنچه که «منطقی» به معنای آن است، اغلب به عواملی مانند حساسیت داده ها، اندازه سازمان، وضعیت درخواست اطلاعات در دسترس و شیوه های پایه و قانون گذاران به طور فزاینده ای به چارچوب های شناخته شده مانند ارزیابی های (FLT:0N[۳] [F] [F1] [F1] استفاده می شود.

مسئولیت های قانونی پس از یک دسترسی داده

هنگامی که یک نقض رخ می دهد، ساعت قانونی شروع به تیک زدن می کند.سازمان ها باید یک پچ از قوانین اطلاع رسانی فدرال و بین المللی را هدایت کنند، شواهد را برای حمایت از تحقیقات حفظ کنند و ارتباطات را به دقت مدیریت کنند تا از پذیرش مسئولیت های قانونی فوری شامل مشورت جذاب، حاوی حادثه، و مستندسازی هر اقدام انجام شده برای انجام سریع می تواند مسئولیت را به همراه داشته باشد - کاهش در اطلاع رسانی یا شواهد اطلاع رسانی ممکن است منجر به تنظیم مقررات و یا جریمه در تحریم های مدنی شود.

اعلان زمان و الزامات

]GDPR: قدرت نظارتی را در عرض 72 ساعت از آگاه شدن از نقض، افراد تحت تاثیر باید بدون تأخیر بدون تأخیر بدون توجه مطلع شوند، زمانی که این نقض خطر بالایی برای حقوق و آزادی های آنها ایجاد می کند. اطلاع رسانی باید شامل ماهیت نقض، دسته های داده های آسیب دیده و اقدامات برای کاهش آسیب باشد.
قوانین دولتی ایالات متحده: [FLT 1] تقریبا هر ایالت دارای یک قانون اطلاع رسانی نقض است. زمان خط از "ممکن ترین زمان ممکن و بدون تاخیر غیر منطقی" (به عنوان مثال، کالیفرنیا) به پنجره های خاص مانند 30 روز (به عنوان مثال، نیوجرسی) یا 45 روز (به عنوان مثال، اجازه داده شده، نیویورک، اطلاع رسانی دولتی در تگزاس) است.
نهادهای پوشش باید افراد مبتلا را در عرض 60 روز از کشف، وزیر HHS، و برای نقض تاثیر 500 نفر +، علاوه بر این، همکاران کسب و کار باید گزارش نقض به نهادهای تحت پوشش بدون تاخیر غیر منطقی.
پرداخت کارت Breaches: شبکه های پرداخت نیاز به اطلاع رسانی فوری دارند - اغلب در عرض 24 ساعت - برای جلوگیری از مسئولیت برای قوانین نام تجاری جعلی (Visa، مسترکارت، و غیره) دارای جدول زمانی و مجازات خود برای عدم انطباق.
دیگر Jurisdictions: LGPD برزیل نیاز به اطلاع رسانی در یک زمان معقول (معمولا 72 ساعت) را به PIPL چین بلافاصله به رگولاتورها و افراد اطلاع رسانی می کند اگر این نقض ممکن است باعث آسیب شود.

چه چیزی را در یک اعلان Breach قرار دهید

یک اعلان قانونی معمولا شامل:

تاریخ یا تاریخ محدوده نفوذ (در صورت شناخته شدن)
انواع اطلاعات شخصی به خطر افتاده (به عنوان مثال، نام، شماره های امنیت اجتماعی، سوابق پزشکی، داده های کارت پرداخت).
شرحی از آنچه سازمان برای تحقیق و کاهش این حادثه انجام می دهد.
گام هایی که افراد می توانند برای محافظت از خود بردارند (به عنوان مثال، نظارت بر اعتبار، هشدار های تقلب، تغییرات رمز عبور).
اطلاعات تماس برای سوالات بیشتر، مانند یک خط گرم اختصاصی یا ایمیل.

مهم است که در مورد علت یا خطا در اطلاع رسانی تردید نکنید.زبان تورمی می تواند در دادرسی بعدی علیه شما استفاده شود. مشاور حقوقی باید قبل از ارسال همه ارتباطات را بررسی کند، علاوه بر این، برخی از حوزه های قضایی نیاز دارند که اعلان ها به چندین زبان یا از طریق کانال های خاص (به عنوان مثال، اطلاع کتبی، ایمیل، پست وب سایت) بسته به جمعیت آسیب دیده شده ارائه شوند.

مستند کردن حادثه برای حمایت قانونی

حفظ هر گونه ورود، ایمیل، گزارش قانونی و یادداشت های داخلی مربوط به نقض. Engage خارج از کارشناسان قانونی در اسرع وقت - کار آنها ممکن است توسط وکیل مشتری امتیاز اگر با مشورت هدایت می شود، حفظ یک جدول زمانی دقیق نشان می دهد که نقض آن شناسایی شده است، و گزارش شده است که این اسناد برای نشان دادن اعتماد خوب به تنظیم کنندگان و دفاع از مجازات خصوصی ضروری است.

تحقیقات قانونی و خصوصی

شرکت های قانونی خارجی از طریق مشاوره حقوقی بهترین عمل است که می تواند از یافته های تحقیقاتی تحت امتیاز وکیل و دکترین محصول کار محافظت کند. تنظیم کنندگان اغلب گزارش های قانونی را درخواست می کنند، اما با نگه داشتن آنها ممتاز، سازمان می تواند روایت را کنترل کند و از کاهش دفاع در پرونده های قضایی قانونی جلوگیری کند.

اجرای بهترین روش های قانونی قبل از یک BITY

مقرون به صرفه ترین راه برای رسیدگی به مسائل حقوقی امنیت سایبری، ایجاد یک وضعیت انطباق قوی قبل از وقوع یک حادثه است.یک استراتژی فعال احتمال نفوذ و موقعیت سازمان را برای پاسخ دادن به قانون اگر یک اتفاق می افتد کاهش می دهد.

ارزیابی ریسک منظم

قوانینی مانند GDPR و بسیاری از قوانین اطلاع رسانی نقض دولتی نیاز به ارزیابی های ریسک دوره ای دارند.این ها باید شناسایی کنند که اطلاعات شخصی کجا هستند، چه کسی دسترسی دارند و چه کنترل های امنیتی در محل قرار دارند.استفاده از نتایج برای اولویت بندی اصلاح و توجیه درخواست های بودجه برای اثبات مراقبت از هرگونه ارزیابی ریسکی بعدی باید حداقل به روز شود یا هر زمان که تغییرات قابل توجه رخ دهد، مانند راه اندازی محصول جدید و یا ردیابی خدمات پردازش داده های جدید.

برنامه پاسخ به حوادث کتبی (IRP)

IRP باید نقش های خاصی را (به عنوان مثال، مشاور حقوقی، قانونی، ارتباطات، HR)، تعریف اختیارات تصمیم گیری و ارائه روش های گام به گام برای مهار، ریشه کن کردن و بازیابی، شامل یک درخت ارتباطی با اطلاعات تماس برای مشاوران حقوقی، اپراتورهای بیمه سایبری و اجرای قانون (به عنوان مثال، روش گام به گام برای مهار، آزمون IR [F] باید از طریق یک برنامه تنظیم کننده موثر باشد.

بیمه سایبری: یک شبکه ایمنی قانونی و مالی

سیاست های بیمه سایبری می توانند هزینه های قانونی، تحقیقات قانونی، هزینه های اطلاع رسانی نقض، جریمه های قانونی (در برخی از حوزه های قضایی)، و حتی پرداخت های اخاذی را پوشش دهند، با این حال، سیاست ها به طور فزاینده ای در مورد نیاز به کنترل های پایه خاص - مانند احراز هویت چند عاملی و تشخیص نقطه پایانی - قبل از پوشش کار با یک کارگزار که متخصص در خطر سایبری برای اطمینان از سیاست های شناخته شده با بررسی دقیق و یا نقض سیاست های امنیتی، نیاز به طور دقیق، نیاز دارد.

بررسی های بین المللی و انتقال داده های Cross-Border

سازمان هایی که در سطح جهانی فعالیت می کنند باید با رژیم های حقوقی متناقض مقابله کنند. GDPR انتقال اطلاعات شخصی به کشورهایی را که سطح حفاظت از "توافق" را ارائه نمی دهند، محدود می کند.بی.ت.بی.ت.د.د.د. حفاظت از حریم خصوصی و عدم اطمینان قانونی مداوم در مورد SCCs قرارداد استاندارد (SCCs) به این معنی است که داده های بین المللی نیاز به ساختار قانونی دقیق دارند.

کنترل بر دردهایی که بر روی چندین جوگی تأثیر می گذارد

هنگامی که یک نقض شامل افراد در چندین کشور می شود، تعهدات اطلاع رسانی ممکن است تعارض داشته باشد، برخی قوانین یک مرجع واحد (به عنوان مثال، تحت مکانیسم تک توقف فروشگاه GDPR) را تعیین می کنند، در حالی که برخی دیگر نیاز به ثبت جداگانه در هر حوزه قضایی دارند، قانون کلی اطلاع از دقیق ترین الزامات است، اما این ممکن است امتیاز یا پیچیده در دیگر مکان های حقوقی است.

اقدامات حقوقی فعال: قراردادها و مدیریت فروشندگان

فروشندگان شخص ثالث یک علت اصلی نقض داده ها هستند که تحت قوانینی مانند GDPR، کنترل کننده داده ها به طور قانونی مسئول نقض های ناشی از پردازنده های آن است.سازمان ها باید از توافقنامه های پردازش داده (DPAs) استفاده کنند که تعهدات امنیتی مشابهی را که خودشان باید با آن ها مطابقت داشته باشند، پردازش کنند.

ضمایر های کلیدی برای شامل

الزامات حفاظت از امنیت و داده: حداقل کنترل های امنیتی (به عنوان مثال رمزگذاری در استراحت و در حمل و نقل، احراز هویت چند عاملی، تست نفوذ منظم استانداردهای شناخته شده مانند ISO 27001 یا SOC 2 نوع 2 به عنوان حداقل معیار.
اطلاع رسانی: فروشنده نیاز به اطلاع فوری (و در 24 ساعت در آخرین) هر گونه تخلف مشکوک باید شامل جزئیات اولیه و یک جدول زمانی برای گزارش کامل.
صدور مسئولیت و پاداش: فروشنده را به پذیرش مسئولیت برای نقض ناشی از غفلت و بی ثباتی خود و شما را برای هزینه های حاصل از جمله هزینه های قانونی، هزینه های اطلاع رسانی و جریمه های نظارتی.
بررسی و انطباق: حق حسابرسی شیوه های امنیتی فروشنده در اطلاع معقول و یا نیاز به گزارش SOC 2 نوع II برای فروشندگان پرخطر، در نظر گرفتن حق به آن بند با حداقل دوره های اطلاع رسانی.
پس از پایان قرارداد، حذف و یا بازگشت به حسابرس؛ و یا از طریق آن، به صورت ایمن، تمام اطلاعات شما را پس از پایان کار، از بین می برد و گواهی حذف را ارائه می دهد.
محدودیت های فرعی: فروشنده نیاز به دریافت رضایت کتبی قبل از شرکت زیر پردازنده و جریان همان تعهدات حفاظت از داده ها به آنها.

آموزش کارکنان و محرمانه بودن

کارکنان اغلب ضعیف ترین پیوند هستند.از منظر حقوقی، سازمان ها باید آموزش منظم و خاص را در مورد فیشینگ، بهداشت رمز عبور و روش های رسیدگی به اطلاعات ارائه دهند.قراردادهای استخدام باید شامل بندهای محرمانه ای باشند که از خاتمه جان سالم به در می برند و همچنین ممنوعیت های روشن در برابر به اشتراک گذاری اعتبار و یا ذخیره اطلاعات حساس در مورد دستگاه های شخصی، هنگامی که یک نقض داخلی رخ می دهد، این شرایط قراردادی به حمایت از اقدامات انضباطی و محدود کردن آموزش و نظارت بر کارکنان و اجرای عملیات های جاسوسی کمک می کند.

چه کاری باید انجام دهید هنگام مواجهه با یک قانون امنیت سایبری یا تحقیقات

حتی با آماده سازی عالی، نقض می تواند منجر به شکایت - اغلب اقدامات کلاسی - و تحقیقات نظارتی.اولین اقدام پس از حفظ مشاور این است که امتیازات (تتورنی- مشتری و محصول کار) را برای محافظت از ارتباطات داخلی با قانونگذاران در حالی که عدم استفاده از دفاع از بسیاری از حوزه های قضایی، نشان دادن انطباق "خوب" با چارچوب های امنیتی شناخته شده می تواند کاهش سریع یا مجازات های قانونی، اما اگر به دنبال کاهش تعداد زیادی از افشای هزینه های قانونی و یا مجازات هستند.

Retention and Spoliation

هنگامی که دادرسی به طور منطقی پیش بینی می شود، یک نگه قانونی باید برای حفظ تمام داده های مربوطه صادر شود.عدم انجام این کار می تواند منجر به تحریم های قانونی، از جمله دستورالعمل های هیئت منصفه نامطلوب یا اخراج دفاع از سیستم های IT و حقوقی برای تعلیق سیاست های حذف خودکار و حفظ تمام log ها، ایمیل ها، پشتیبان گیری ها و تصاویر قانونی از چارچوب زمانی مربوطه استفاده از یک فرآیند رسمی برای شناسایی داده ها و تجزیه و تحلیل داده ها، زمانی که ارائه دهندگان داده های جمع آوری اطلاعات را در نظر می گیرند، دستورالعمل های اختصاصی را در نظر می گیرند.

نتیجه گیری

رسیدگی به مسائل مربوط به امنیت سایبری و نقض اطلاعات به طور قانونی نیاز به یک رویکرد فعال و چند لایه ای دارد که شامل انطباق، آمادگی حادثه، قراردادها و هماهنگی مرزی است. قوانین همچنان به سفت شدن، با مقررات جدید مانند قوانین افشای امنیت سایبری و مقررات سازمان اتحادیه اروپا، شما می توانید دستورالعمل های NIS2 اتحادیه اروپا را به سازمان های انطباق که به عنوان یک ارزیابی مسائل حقوقی - به جای اجرای دقیق مدیریت دقیق فنی - به طور جدی بهتر از تنظیم مقررات حفاظت از طریق مقررات قانونی، تنظیم مقررات قانونی، تنظیم مقررات اطمینان از اقدامات نظارتی، ارائه می کنند، تنظیم کننده هزینه های قانونی است.