איזו אחריות מוטלת על עסק בעת חשיפת מידע על לקוחות?

[מודעה_1]

מידע של מיליוני לקוחות דלף

משרד הביטחון הציבורי הצביע על שורה של מפעלי טכנולוגיה שדלפו מידע על לקוחות או חברות תיווך שירותי מוניות שהשתמשו במידע על נוסעים שדלפו כדי להציע שירותים באמצעות הודעות SMS... משרד הביטחון הציבורי אמר גם כי המצב הנוכחי של דליפת ומכירה של מידע אישי הוא נפוץ, ציבורי ומסובך יותר ויותר. חמור מכך, מידע רב נמכר בפומבי במשך זמן רב, בכמויות גדולות במרחב הקיברנטי. הקנייה והמכירה לא מתרחשות רק באופן אינדיבידואלי, בין אנשים פרטיים, אלא גם כרוכות בהשתתפות של חברות, ארגונים ועסקים.

בשנת 2018, דווח בפורומים טכנולוגיים על מידע שדלף על Thegioididong.com ועל כך שהאקרים השיגו מידע חשוב כמו כתובות דוא"ל, היסטוריית עסקאות ואפילו מספרי כרטיסים, מה שגרם למיליוני לקוחות להיות חסרי מנוחה. ה-Gioi Di Dong פרסם מיד הודעה לעיתונות המאשרת שמדובר במידע מזויף, שהמערכת עדיין בטוחה, פועלת כרגיל ולא מושפעת. לאחר מכן, הכל נרגע בהדרגה.

Doanh nghiệp chịu trách nhiệm gì khi để lộ thông tin khách hàng?- Ảnh 1. — מידע אישי דולף, נדלף ונמכר בגלוי באינטרנט

באפריל 2018, VNG רשמה כי 160 מיליון חשבונות Zing ID נמצאים בסיכון לדליפה ועלולים להשפיע על חלק מקבצי לקוחות הגיימינג של החברה. החברה מסרה כי נקטה מיד באמצעים לטיפול, מניעת חדירה והגבלת מספר המשתמשים שנפגעו מהאירוע באמצעות אמצעים טכניים. עם זאת, VNG הודתה כי מספר משתמשים ודלף את המידע שלהם, אך "היקף המשתמשים שנפגעו בפועל מהאירוע הזה אינו גדול, מרוכז בלקוחות גיימינג ואינו משפיע על מוצרים אחרים של VNG", והתחייבה תמיד להבטיח את זכויותיהם ובטיחותם של הלקוחות, ותפתור ביסודיות כל בעיה שתתעורר עבורם...

לדברי מר וו דו טאנג, ממרכז אבטחת הסייבר של אתנה, במקרים ספציפיים כמו זה שהוזכר על ידי משרד הביטחון הציבורי, יש לערוך חקירה כדי לדעת האם מערכת החברה הותקפה או שעובדי החברה גנבו את הנתונים ושחררו אותם. אך תהיה הסיבה אשר תהיה, כאשר נתונים דולפים, פירוש הדבר שיש למערכת החברה פגיעות. הפגיעות כאן יכולה להיות טכנית או אנושית. לכן, יש לנטר וליישם באופן קבוע את הבטחת אבטחת הרשת ובטיחותה באופן כללי או את הגנה על הנתונים האישיים של הלקוחות, 24/24, 365 ימים בשנה, מבלי להיות רשלניים. מכיוון שאף אחד לא יכול להעז לאשר שהמערכת שלו תמיד בטוחה, מכיוון שהאקרים יכולים לתקוף בכל עת. שלא לדבר על המצב שבו עובדי החברה עצמה הם אלה שגונבים נתוני לקוחות כדי למכור אותם לגורמים חיצוניים...

בעולם יש עונשים כבדים, אבל בווייטנאם יש מעט סנקציות.

לאחרונה, אירעה סדרה של מקרים של דליפת מידע של לקוחות, אך כמעט אף יחידה לא נענשה או הוטלו סנקציות. בינתיים, מדינות ברחבי העולם הטילו עונשים כבדים על התנהגות זו. לדוגמה, ביולי 2019, החליטה ועדת הסחר הפדרלית של ארה"ב לקנוס את פייסבוק ב-5 מיליארד דולר לאחר שקיימברידג' אנליטיקה ניגשה ונוצלה באופן בלתי חוקי לנתונים האישיים של 87 מיליון משתמשים ברשת חברתית זו. על פי החקירה, פייסבוק אפשרה לקיימברידג' אנליטיקה גישה בלתי חוקית לנתונים של 50 מיליון משתמשים אמריקאים במהלך קמפיין הבחירות לנשיאות ב-2016 וכן במשאל העם על הברקזיט בבריטניה ב-2016... זהו הקנס הגדול ביותר בעולם אי פעם בגין שערורייה שדלפה נתוני משתמשים.

בווייטנאם, ישנן תקנות רבות הקשורות לעונשים על דליפת מידע וחשיפתו. נכון לעכשיו, טיוטת הצו בנושא עונשים על הפרות מנהליות בתחום אבטחת הרשת (הנמצאת בהתייעצות וממתינה לפרסום הממשלה) קובעת כי העונש המרבי על ארגונים המפרים את התקנות בנושא הגנת מידע אישי הוא קנס של עד 5% מסך ההכנסות של שנת הכספים הקודמת בווייטנאם עבור הפרה שנייה או יותר. במקביל, ייתכן עונש נוסף של ביטול רישיון העסק של התעשייה המחייב איסוף מידע אישי למשך 1-3 חודשים.

בווייטנאם, אין קנה מידה להערכת ההשפעה של כל מקרה של דליפת מידע אישי, ולכן סביר להציע קנס המבוסס על הכנסות. אני חושב שזה יהיה צעד חדש קדימה בתהליך השליטה וההגנה על המידע האישי של אנשים.

מר וו נגוק סון, מנהל טכני של חברת טכנולוגיית אבטחת הסייבר VN

מר וו נגוק סון, המנהל הטכני של חברת טכנולוגיית אבטחת הסייבר VN, אמר כי עד כה, עקב היעדר תקנות מפורטות בנושא הגנת מידע אישי, עסקים וארגונים המפרים את החוק יהיו כפופים רק לעונשים מנהליים. לכן, הקנס המקסימלי המוצע של עד 5% מסך ההכנסות בטיוטה הקרובה מתאים לווייטנאם ובעל אפקט מרתיע, כך שליחידות יש אחריות גבוהה יותר בהגנה על נתוני הלקוחות. עם זאת, לדברי מר סון, קנס זה עדיין אינו גבוה בהשוואה לעולם. מכיוון שבמדינות רבות, רוב הקנסות יוערכו על סמך היקף ההשפעה של כל הפרה. לדוגמה, אם יש הפרה שמקורה בעסק קטן אך משפיעה באופן חמור על מספר רב של משתמשים, הקנס עדיין יהיה גדול מאוד. "בווייטנאם, עדיין אין קנה מידה להערכת ההשפעה של כל מקרה של דליפת מידע אישי, ולכן סביר להציע קנס על סמך הכנסות. אני חושב שזה יהיה צעד חדש קדימה בתהליך השליטה וההגנה על המידע האישי של אנשים", אמר מר וו נגוק סון.

מר וו דו טאנג, שהסכים לכך, ציין כי קביעת תקנות מפורטות יותר בנוגע לעונשים מנהליים ספציפיים וציבוריים על פעולות להגנה על המידע האישי של לקוחות תכריח עסקים לבחון מחדש את מערכות אבטחת הרשת שלהם. קיים תהליך של הערכה וניטור שוטפים של משאבים טכניים ואנושיים כאחד כדי להבטיח את סודיות מידע הלקוחות. זה דומה לתקנות להבטחת בטיחות אש בבנייני משרדים ובמקומות הומי אדם. סוכנויות ניהול המדינה צריכות גם לחזק את הפיקוח, הפיקוח והענישה המחמירה של עסקים המפרים את המדיניות. ההפרה הראשונה עשויה להתפרסם בתקשורת ההמונית; ההפרה השנייה תהיה כפופה לעונשים מנהליים תואמים ולאחר מכן השירות עשוי להיות מושעה לתקופה כדי שהעסק יוכל לחזק את מערכת אבטחת הרשת שלו.

בין אם עסק גדול או קטן, כאשר הוא מתחיל לפעול, עליו לעמוד בתקנות להבטחת אבטחת הרשת. זה לא רק מגן על נתונים אישיים של משתמשים אלא גם תורם להעלאת דירוג האשראי של וייטנאם בסביבה הכלכלית הדיגיטלית. זה יביא יתרונות נוספים לפעילויות סחר בינלאומיות ויפתח את הכלכלה הדיגיטלית של המדינה.

מר וו דו טאנג , מרכז אבטחת הסייבר אתנה

[מודעה_2]
קישור למקור