搜索

[4803] 2018-02-03_“数据泄露事件通报”中的这些问题，眼熟么？

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-16
2018-02-03_“数据泄露事件通报”中的这些问题，眼熟么？ “ 数 据 泄 露 事 件 通 报 ” 中 的 这 些 问 题 ， 眼 熟 么 ？ 原 创   E 安 全   E 安 全   2 0 1 8 - 0 2 - 0 3 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 2 月 3 日 讯   澳 大 利 亚 制 定 的 “ 数 据 泄 露 事 件 通 报 （ N D B ） ” 计 划 将 于 2 0 1 8 年 2 月 2 2 日 正 式 生 效 。 这 一 政 策 的 出 台 将 给 澳 大 利 亚 的 企 业 与 个 人 带 来 怎 样 的 影 响 ？ 反 映 出 组 织 机 构 在 安 全 程 序 上 存 在 那 些 缺 陷 ？ “ 数 据 泄 露 事 件 通 报 （ 数 据 泄 露 事 件 通 报 （ N D B ） ） ” 怎 么 通 报 ？ 怎 么 通 报 ？ 由 于 立 法 方 希 望 借 澳 大 利 亚 “ 数 据 泄 露 事 件 通 报 （ N D B ） ” 计 划 对 个 人 加 以 保 护 ， 因 此 当 N D B 正 式 生 效 时 各 类 组 织 机 构 都 需 要 在 保 护 自 身 持 有 的 数 据 方 面 承 担 更 多 责 任 。 “ 数 据 泄 露 事 件 通 报 （ N D B ） ” 计 划 归 属 于 澳 大 利 亚 《 1 9 8 8 年 隐 私 法 》 中 的 第 I I I C 部 分 ， 其 中 规 定 了 对 各 职 能 实 体 在 应 对 数 据 泄 露 事 件 方 面 的 具 体 要 求 。 这 意 味 着 澳 大 利 亚 隐 私 法 案 所 涵 盖 的 所 有 机 构 及 组 织 在 发 现 相 关 事 件 后 ， 将 必 须 快 速 发 布 通 报 以 披 露 可 能 导 致 个 人 信 息 遭 受 “ 严 重 损 害 ” 的 数 据 泄 露 问 题 。 个 人 税 号 （ T F N ） 接 收 人 也 应 在 T F N 信 息 涉 及 数 据 泄 露 的 情 况 下 ， 遵 循 数 据 泄 露 事 件 通 报 的 指 导 要 求 。 泄 露 事 件 向 谁 通 报 ？ 泄 露 事 件 向 谁 通 报 ？ 根 据 此 项 计 划 ， 除 通 报 受 影 响 的 个 人 之 外 ， 相 关 组 织 机 构 还 必 须 向 相 关 受 害 者 提 供 应 对 性 举 措 / 建 议 ， 包 括 后 续 处 理 其 自 有 信 息 的 办 法 。 各 项 数 据 泄 露 通 报 也 必 须 递 交 至 澳 大 利 亚 信 息 专 员 蒂 莫 西 · 皮 尔 格 瑞 姆 手 中 。 皮 尔 格 瑞 姆 在 采 访 当 中 解 释 称 ， N D B 计 划 正 式 确 立 了 业 界 对 于 数 据 泄 露 事 件 透 明 度 的 期 望 。 通 报 将 为 个 人 提 供 信 息 与 建
议 ， 帮 助 其 采 取 措 施 保 护 个 人 信 息 ， 同 时 尽 可 能 减 少 其 遭 受 危 害 的 风 险 。 这 些 小 机 构 这 些 小 机 构 / 企 业 不 需 要 通 报 企 业 不 需 要 通 报 ” 年 营 业 额 低 于 3 0 0 万 澳 元 （ 约 合 人 民 币 1 5 4 0 万 元 ） 的 情 报 机 构 、 非 营 利 性 组 织 或 小 型 企 业 、 信 用 报 告 机 构 、 卫 生 服 务 供 应 商 以 及 政 党 都 不 会 受 到 数 据 泄 露 事 件 通 报 计 划 的 约 束 。 并 非 所 有 并 非 所 有 “ 数 据 泄 露 事 件 数 据 泄 露 事 件 ” 都 需 要 披 露 都 需 要 披 露 一 般 而 言 数 据 泄 露 是 指 个 人 信 息 遭 遇 未 经 授 权 的 访 问 、 丢 失 或 披 露 ， 且 此 类 信 息 可 能 会 对 相 关 个 人 造 成 严 重 危 害 。 数 据 泄 露 的 具 体 实 例 包 括 ： 包 含 客 户 个 人 信 息 的 设 备 遭 遇 丢 失 或 盗 窃 、 包 含 个 人 信 息 的 数 据 库 遭 到 黑 客 入 侵 ， 个 人 信 息 被 错 误 提 供 给 不 当 对 象 。 若 无 任 何 合 法 理 由 就 浏 览 敏 感 客 户 记 录 的 员 工 可 能 构 成 数 据 泄 露 事 件 ， 因 为 其 并 无 访 问 相 关 信 息 的 明 确 授 权 。 这 些 信 息 不 用 通 报 这 些 信 息 不 用 通 报 数 据 泄 露 事 件 通 报 计 划 使 用 “ 符 合 标 准 的 数 据 泄 露 ” 这 一 表 述 ， 用 以 强 调 并 非 所 有 违 规 皆 须 进 行 通 报 。 英 联 邦 法 律 所 禁 止 或 规 定 不 可 使 用 或 披 露 的 信 息 。 澳 大 利 亚 联 邦 警 察 局 （ A F P ） 、 澳 大 利 亚 警 备 部 队 或 澳 大 利 亚 国 家 及 领 土 相 关 服 务 机 构 、 澳 大 利 亚 犯 罪 委 员 会 以 及 澳 大 利 亚 证 券 与 投 资 委 员 会 等 执 法 机 构 不 需 要 向 个 人 通 报 符 合 标 准 要 求 的 数 据 泄 露 事 件 ， 但 前 提 要 求 相 关 首 席 执 行 官 有 合 理 理 由 认 定 通 报 个 人 有 可 能 损 害 执 法 机 构 或 执 法 机 构 代 表 进 行 与 执 法 相 关 的 活 动 。 尽 管 并 非 所 有 数 据 泄 露 事 件 皆 须 进 行 通 报 ， 但 A F P 发 言 人 在 采 访 当 中 表 示 ， A F P 将 对 一 切 符 合 该 项 法 案 要 求 且 不 属 于 豁 免 范 畴 的 情 况 执 行 必 要 的 通 报 义 务 。
澳 大 利 亚 信 息 专 员 指 定 不 受 数 据 泄 露 事 件 通 报 计 划 约 束 的 泄 露 事 件 ， 同 样 可 以 免 于 进 一 步 披 露 。 根 据 澳 大 利 亚 2 0 1 2 年 《 健 康 记 录 和 信 息 隐 私 权 法 》 第 7 5 条 规 定 ， 其 中 涵 盖 的 数 据 泄 露 事 件 不 需 要 根 据 “ 数 据 泄 露 事 件 通 报 （ N D B ） ” 进 行 通 报 ， 因 为 其 设 立 有 自 己 的 约 束 流 程 ， 且 同 样 接 受 信 息 专 员 办 公 室 的 管 理 。 需 要 明 确 危 害 级 别 需 要 明 确 危 害 级 别 由 于 数 据 泄 露 事 件 通 报 计 划 当 中 规 定 出 一 项 客 观 性 基 准 ， 因 此 该 计 划 要 求 专 业 人 员 对 访 问 或 披 露 “ 可 能 会 带 来 严 重 危 害 ” 作 出 评 估 。 澳 大 利 亚 律 师 事 务 所 “ G i l b e r t + T o b i n ” 特 别 顾 问 梅 丽 莎 · 法 伊 在 采 访 中 进 一 步 指 出 ， 在 实 际 评 估 工 作 当 中 ， 相 关 组 织 机 构 应 将 其 中 的 “ 可 能 ” 解 释 为 “ 很 可 能 ” ， 而 不 仅 仅 是 存 在 一 定 可 能 性 。 隐 私 法 本 身 并 没 有 明 确 界 定 “ 严 重 危 害 ” 的 定 义 ， 但 在 数 据 泄 露 事 件 背 景 下 ， 其 可 能 指 对 目 标 个 体 的 严 重 身 体 、 心 理 、 情 绪 、 财 务 或 声 誉 损 害 。 与 个 人 健 康 状 况 相 关 的 信 息 ； 常 用 于 身 份 欺 诈 的 各 类 文 件 ， 包 括 医 疗 卡 、 驾 驶 执 照 与 护 照 信 息 ； 财 务 信 息 以 及 各 种 类 型 的 个 人 信 息 （ 而 非 单 一 个 人 信 息 ） 组 合 ， 往 往 可 能 曝 光 更 多 个 人 情 况 并 造 成 严 重 危 害 。 在 评 估 严 重 危 害 风 险 时 ， 各 职 能 实 体 应 考 虑 数 据 泄 露 后 可 能 引 发 的 各 种 潜 在 后 果 。 通 报 流 程 通 报 流 程 怀 疑 可 能 发 生 符 合 标 准 要 求 的 数 据 泄 露 事 件 的 组 织 及 机 构 ， 必 须 根 据 上 述 指 导 方 针 进 行 “ 合 理 且 快 速 的 评 估 ” ， 从 而 确 定 数 据 泄 露 是 否 可 能 对 受 影 响 的 个 人 造 成 严 重 危 害 。 如 果 某 一 职 能 实 体 拥 有 合 理 理 由 以 认 定 存 在 符 合 标 准 要 求 的 数 据 泄 露 行 为 ， 则 必 须 及 时 将 相 关 严 重 危 害 风 险 通 报 给 相 关 人
员 及 信 息 专 员 。 披 露 相 关 数 据 泄 露 情 况 的 组 织 机 构 必 须 填 写 《 数 据 泄 露 事 件 通 报 》 声 明 。 在 向 受 影 响 个 人 及 信 息 专 员 进 行 通 报 时 ， 报 告 当 中 必 须 包 含 以 下 信 息 ： 组 织 机 构 的 身 份 与 联 系 人 详 细 信 息 ； 数 据 泄 露 事 件 描 述 ； 相 关 信 息 类 型 ； 个 人 应 对 数 据 泄 露 事 件 时 应 采 取 的 建 议 性 步 骤 。 受 影 响 个 人 应 在 数 据 泄 露 事 件 被 发 现 后 的 3 0 天 内 得 到 通 知 ， 在 此 期 间 ， 相 关 职 能 实 体 可 以 自 行 开 展 违 规 行 为 调 查 。 数 据 泄 露 事 件 通 报 计 划 还 为 职 能 实 体 提 供 机 会 以 及 时 采 取 措 施 应 对 数 据 泄 露 事 件 ， 从 而 避 免 发 布 进 一 步 通 报 ， 例 如 向 个 人 通 报 数 据 泄 露 事 件 。 数 据 泄 露 事 件 未 进 行 披 露 的 情 况 数 据 泄 露 事 件 未 进 行 披 露 的 情 况 若 未 能 遵 守 数 据 泄 露 事 件 通 报 计 划 进 行 披 露 ， 则 将 被 视 为 “ 干 扰 个 人 隐 私 ” 的 行 为 ， 并 引 发 相 关 后 果 。 G i l b e r t + T o b i n 的 法 伊 解 释 称 ， 若 组 织 机 构 被 发 现 隐 瞒 符 合 通 报 标 准 的 数 据 泄 露 事 件 ， 或 者 被 发 现 没 有 报 告 符 合 标 准 的 数 据 泄 露 事 件 ， 则 将 被 视 为 存 在 个 人 隐 私 数 据 泄 露 并 对 个 人 隐 私 产 生 严 重 或 反 复 干 扰 的 行 为 ， 并 将 因 此 面 对 隐 私 法 所 制 定 的 民 事 处 罚 条 款 。 如 果 组 织 机 构 未 进 行 通 报 的 数 据 泄 露 事 件 相 当 严 重 ， 或 者 该 组 织 未 能 在 两 个 或 更 多 不 同 场 合 对 符 合 标 准 要 求 的 数 据 泄 露 事 件 进 行 通 报 ， 则 信 息 专 员 办 公 室 有 权 根 据 民 事 处 罚 要 求 对 其 处 以 最 高 2 1 0 万 澳 元 （ 约 合 人 民 币 1 0 5 0 万 元 ） 的 罚 款 ， 具 体 数 额 取 决 于 数 据 泄 露 可 能 导 致 之 后 果 的 严 重 性 与 潜 在 危 害 。 组 织 也 必 须 考 虑 到 自 身 品 牌 声 誉 受 损 并 导 致 商 业 损 害 的 风 险 ， 特 别 是 考 虑 到 消 费 者 对 于 组 织 机 构 数 据 管 理 政 策 及 流 程 的 信 任 度 正 愈 发 重 要 这 一 历 史 背 景 ， 能 够 快 速 、 高 效 且 全 面 地 对 数 据 泄 露 事 件 作 出 响 应 将 决 定 业 务 的 最 终 命 运 。 2 0 1 7 年 E q u i f a x 公 司 因 数 据 泄 露 事 件 遭 遇 的 影 响 及 作 出 的 响 应 方 式 就 是 最 典 型 的 例 子 。 信 息 委 员 会 与 信 息 专 员 办 公 室 的 职 能 作 用 信 息 委 员 会 与 信 息 专 员 办 公 室 的 职 能 作 用 信 息 专 员 在 数 据 泄 露 事 件 通 报 计 划 当 中 扮 演 多 种 角 色 ， 包 括 接 收 符 合 标 准 的 数 据 泄 露 事 件 通 知 ;   鼓 励 各 方 遵 守 此 计 划 ， 包 括 处 理 投 诉 及 进 行 调 查 ， 并 针 对 违 规 事 件 采 取 其 它 监 管 行 动 ;   向 监 管 机 构 提 供 意 见 及 指 导 ， 并 向 社 会 人 士 介 绍 此 项 计 划 的 运 作 情 况 等 等 。 信 息 专 员 办 公 室 已 经 发 布 了 关 于 此 项 计 划 的 指 导 性 方 针 ， 其 中 包 含 违 规 后 果 处 理 的 具 体 说 明 信 息 。
为 什 么 要 对 数 据 泄 露 事 件 进 行 通 报 ？ 为 什 么 要 对 数 据 泄 露 事 件 进 行 通 报 ？ 澳 大 利 亚 联 邦 政 府 曾 于 2 0 1 7 年 2 月 第 三 次 尝 试 通 过 数 据 泄 露 事 件 通 报 法 。 2 0 1 5 年 2 月 ， 澳 大 利 亚 联 邦 议 会 情 报 与 安 全 委 员 会 曾 就 数 据 泄 露 事 件 通 报 计 划 提 出 建 议 ， 此 后 澳 大 利 亚 开 始 实 施 强 制 性 数 据 保 留 法 。 怎 样 建 设 通 报 程 序 基 础 ？ 怎 样 建 设 通 报 程 序 基 础 ？ 根 据   G i l b e r t + T o b i n   方 面 的 说 法 ， 企 业 至 少 应 该 了 解 自 身 所 掌 握 的 数 据 、 保 存 位 置 以 及 哪 些 人 员 有 权 访 问 这 些 数 据 。 评 估 现 有 数 据 隐 私 与 安 全 策 略 及 程 序 ， 从 而 确 保 组 织 能 够 在 发 生 数 据 泄 露 事 件 时 适 当 而 迅 速 地 做 出 响 应 。 法 伊 在 采 访 中 表 示 ， 相 关 工 作 中 应 包 括 制 定 一 项 数 据 泄 露 响 应 计 划 ， 确 保 组 织 机 构 内 各 相 关 方 切 实 开 展 合 作 ， 并 迅 速 将 合 适 的 人 员 引 入 响 应 流 程 — — 包 括 来 自 I T 、 网 络 安 全 、 公 共 关 系 、 管 理 以 及 人 力 资 源 等 部 门 的 成 员 。 此 外 ， 各 组 织 机 构 还 应 不 断 审 计 并 加 强 网 络 安 全 战 略 、 保 护 措 施 与 工 具 ， 从 而 预 防 数 据 泄 露 事 件 的 发 生 。 法 伊 认 为 ， 组 织 成 员 对 数 据 泄 露 事 件 通 报 计 划 的 了 解 也 非 常 重 要 ， 因 此 人 员 应 接 受 适 当 培 训 ， 包 括 确 定 何 时 会 发 生 符 合 标 准 要 求 的 数 据 泄 露 事 件 ， 以 及 如 何 遵 循 职 能 实 体 内 的 政 策 与 程 序 以 确 定 后 续 处 理 方 案 。 而 安 全 事 件 响 应 工 作 还 应 进 一 步 延 伸 至 代 表 职 能 机 构 处 理 个 人 信 息 的 其 它 供 应 商 与 第 三 方 合 作 伙 伴 处 。 考 虑 是 否 有 国 际 业 务 覆 盖 欧 洲 地 区 考 虑 是 否 有 国 际 业 务 覆 盖 欧 洲 地 区 欧 盟 《 通 用 数 据 保 护 条 例 》 （ 简 称 G D P R ） 将 于 2 0 1 8 年 5 月 2 5 日 正 式 生 效 ， 全 球 各 持 有 欧 盟 地 区 个 人 用 户 数 据 的 组 织 机 构 都 必 须 提 高 自 身 保 护 水 平 ， 且 明 确 数 据 的 具 体 存 储 位 置 。 未 遵 守 法 规 要 求 的 组 织 机 构 可 能 被 处 于 最 高 2 0 0 0 万 欧 元 的 行 政 罚 款 ， 或 接 受 相 当 于 上 财 年 全 球 年 度 总 营 业 额 4 % 的 罚 款 ， 以
二 者 中 较 高 者 为 准 。 然 而 ， 法 律 要 求 并 不 权 限 于 欧 盟 区 域 之 内 ， 包 括 澳 大 利 亚 在 内 的 世 界 其 它 国 家 也 同 样 受 到 影 响 。 如 果 其 业 务 延 伸 至 欧 盟 范 围 之 内 ， 包 括 在 欧 盟 提 供 产 品 与 服 务 ， 或 者 需 要 追 踪 欧 盟 民 众 的 活 动 数 据 ， 则 同 样 需 要 接 受 上 述 G D P R 法 规 的 监 管 。 通 用 数 据 保 护 条 例 与 澳 大 利 亚 隐 私 法 中 包 含 一 系 列 共 通 性 要 求 ， 但 二 者 间 也 存 在 一 些 差 异 ， 其 中 一 大 关 键 性 因 素 在 于 数 据 泄 露 事 件 的 披 露 时 间 。 根 据 数 据 泄 露 事 件 通 报 计 划 ， 澳 大 利 亚 各 组 织 机 构 最 多 有 3 0 天 时 间 公 布 数 据 泄 露 事 件 ； 而 根 据 通 用 数 据 保 护 条 例 ， 机 构 需 要 在 发 现 事 件 后 的 7 2 小 时 内 向 主 管 部 门 通 报 ， 除 非 能 够 证 明 个 人 数 据 泄 露 不 会 对 自 然 人 的 权 利 与 自 由 造 成 风 险 。 法 伊 强 调 称 ， “ 总 如 果 澳 大 利 亚 的 某 一 组 织 机 构 受 到 G D P R 《 通 用 数 据 保 护 条 例 》 的 约 束 ， 则 其 必 须 同 时 遵 守 两 项 法 案 所 提 出 的 义 务 。 尽 管 这 两 项 制 度 存 在 不 同 的 要 求 ， 但 彼 此 之 间 并 不 互 斥 。 不 过 对 于 数 据 泄 露 事 件 而 言 ， 欧 盟 方 面 的 法 案 在 要 求 上 更 为 严 格 。 ” 事 件 通 报 程 序 如 何 真 正 落 地 ？ 事 件 通 报 程 序 如 何 真 正 落 地 ？ 任 何 曾 从 供 应 商 手 中 购 买 安 全 解 决 方 案 的 组 织 都 很 清 楚 ， 要 全 面 保 护 组 织 机 构 并 非 易 事 。 赛 门 铁 克 公 司 澳 大 利 亚 、 新 西 兰 与 日 本 分 部 C T O 尼 克 · 赛 维 德 斯 在 采 访 中 表 示 ， “ 在 处 理 数 据 泄 露 事 件 时 ， 每 位 客 户 都 希 望 能 够 利 用 单 一 产 品 、 流 程 或 者 标 准 来 实 现 彻 底 预 防 。 ” 实 际 上 ， 数 据 泄 露 事 件 并 非 总 能 得 到 有 效 预 防 ， 多 数 情 况 下 仅 仅 可 以 得 到 缓 解 。 数 据 泄 露 事 件 有 可 能 源 自 网 络 入 侵 、 恶 意 内 部 人 士 威 胁 ， 甚 至 是 善 意 内 部 人 员 造 成 的 意 外 流 出 ， 这 一 切 都 拥 有 对 应 的 缓 解 措 施 。
赛 维 德 斯 将 缓 解 措 施 分 为 三 个 部 分 ： 其 一 ， 处 理 恶 意 攻 击 者 ； 其 二 ， 实 现 以 信 息 为 中 心 的 安 全 性 （ 适 用 于 全 部 情 况 ） ； 其 三 ， 缓 解 性 质 的 响 应 计 划 。 赛 维 德 斯 表 示 ， 大 多 数 组 织 并 不 具 备 有 效 的 应 对 计 划 以 处 理 数 据 泄 露 事 件 。 组 织 机 构 可 能 已 经 制 定 有 计 划 ， 但 就 目 前 来 看 ， 这 些 计 划 往 往 太 过 学 术 化 、 理 论 化 且 缺 少 可 行 性 这 些 计 划 往 往 太 过 学 术 化 、 理 论 化 且 缺 少 可 行 性 ， 甚 至 通 常 会 忽 略 事 件 本 身 甚 至 通 常 会 忽 略 事 件 本 身 。 组 织 需 要 建 立 报 告 事 件 流 程 ， 明 确 哪 些 人 员 需 要 参 与 其 中 ， 遵 循 怎 样 的 处 理 方 法 ， 同 时 提 供 明 确 的 公 关 信 息 。 用 户 明 显 更 重 视 透 明 度 与 清 晰 的 说 明 ， 而 对 某 些 组 织 提 供 的 模 棱 两 可 的 官 样 文 章 拒 绝 买 账 。 皮 尔 格 瑞 姆 则 补 充 称 ， “ 此 项 计 划 的 启 动 也 将 成 为 各 类 机 构 及 时 收 集 其 所 持 有 的 个 人 信 息 ， 并 重 新 思 考 如 何 加 以 管 理 的 重 要 机 会 。 通 过 确 保 个 人 信 息 得 到 妥 善 保 护 与 管 理 ， 企 业 将 能 够 抢 先 一 步 降 低 发 生 数 据 泄 露 事 件 的 可 能 性 。 ” 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 2 7 4 7 4 3 5 2 3 . s h t m l 推 荐 阅 读 ： 美 助 学 金 申 请 网 站 F A F S A 数 据 泄 露 ： 数 据 太 多 太 具 体 澳 洲 信 用 卡 系 统 8 5 0 0 名 员 工 数 据 泄 露 A P P L E B Y 数 据 泄 露 事 故 ： 全 球 富 豪 们 的 噩 梦 ！ 4 7 . 5 G 数 据 泄 露 ： 1 5 万 患 者 病 历 曝 光 澳 大 利 亚 政 府 发 布 数 字 化 身 份 框 架 草 案 “ 网 络 袋 鼠 ” ： 澳 大 利 亚 保 障 物 联 网 产 品 安 全 的 新 方 案 澳 大 利 亚 A S I C 投 入 6 0 0 0 万 澳 元 配 合 N u i x 公 司 实 现 数 据 分 析 与 监 控
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理