ABD'de Veri İhlali Ne Zaman Gerçekten Veri İhlali Olarak Kabul Edilir?
Burada Lepide'de şirketlerin veri sızıntısını belirlemesine ve önlemesine nasıl yardımcı olduğumuz ve veri ihlali risklerini azaltmaya nasıl yardımcı olabileceğimiz hakkında çok konuşuyoruz. Ancak gerçek dünya koşullarında neyin ihlal teşkil ettiği her zaman açık değildir.
Bir ihlal hangi noktada teknik olarak bir ihlaldir (yani, ifşa etmekle yükümlü olmanız için hangi koşulların karşılanması gerekir)?
ABD'de tanımlar eyaletten eyalete farklılık gösterir ve ihlalin gerçekleştiği yere bağlı olarak önemli ölçüde farklılık gösterir.
Neler Kişisel Olarak Tanımlanabilir Bilgiler Olarak Sınıflandırılır?
ABD'deki çoğu eyalette, verilerin "veri ihlali" kuralları kapsamında değerlendirilmesi için "ihlal" muhtemelen ad, soyadı, SSN, resmi/eyalet kimlik bilgilerinin (pasaport bilgileri gibi) bir kombinasyonunu içerecektir. sürücü ehliyeti ayrıntıları ve daha fazlası (ulusal olarak tanınan kimlik formları dahil). Aynı zamanda her türlü kişisel banka bilgisini de içerir; hesap numaraları, sıralama kodları veya kullanıcı adları veya şifreler de dahil olmak üzere bankacılık hizmetlerine erişim sağlayabilecek herhangi bir şey.
Ancak bu durum eyaletten eyalete farklılık göstermektedir. Örneğin Teksas, Güney Dakota, Alabama ve Utah'ta sosyal güvenlik numarası, eyalet kimlik numarası veya mali hesap bilgilerinin ihlalinin ifşa edilmesi zorunluluğu yoktur.
Bu tür ihlalleri engelleyen en önemli zorluklardan biri, bireylerin birden fazla hesap için nadiren benzersiz şifreler atamasıdır. Kullanıcıların tek bir şifre alıp bunu birden fazla hizmet/hesap için kullanması çok daha yaygındır. Parolalar yanlış ellere geçerse ciddi hasar meydana gelebilir.
Sağlık Sektörü Ne Durumda?
Kuruluşunuz Oregon, Nevada, California, Montana, Nevada, Missouri, Illinois, Arizona veya Florida'da bulunuyorsa, ihlal edilen hastanın tıbbi geçmişine ilişkin bilgileri ifşa etmekle yükümlüsünüz.
Geçen hafta Wisconsin'deki sağlık hizmeti müşterilerimizden biriyle konuşuyorduk ve kendisi, DNA'nın kişisel bilgi (PII) olarak kabul edildiğini düşünen tek eyalette ikamet ediyor. Başka bir deyişle, DNA bilgileriniz ihlal edildiyse, Wisconsin'de gerçekleşmediği sürece sağlık hizmeti sağlayıcılarının bunu açıklama zorunluluğu yoktur. Sağlık hizmeti sağlayıcıları veya sigortacılar hakkındaki bilgiler (hasta bilgilerinden farklı olarak) Oregon, Kaliforniya, Kuzey Dakota, Montana, Illinois ve Florida'da daha geniş bir kapsama sahiptir ve hepsi bunun açıklanmaya değer olduğunu belirtmektedir.
Diğer Önemli Veri İhlali İstisnaları
Tüm sektörlerde, yalnızca Kuzey Dakota'da İşveren Kimliği ihlalini ifşa etmeniz gerekir ve yalnızca Teksas, doğum tarihinin ifşa edilmesinden sorumlu olduğu kabul edilir. Bununla birlikte, her iki eyalet de Annenin Kızlık soyadının ihlalini açıklamanızı gerektirir. İhlalin Vergi bilgileri içermesi durumunda açıklama yapılması gereken tek eyaletler Kuzey Dakota ve Washington'dur.
Veri İhlalleri Açısından Bunun Anlamı
Benim görüşüme göre muhtemelen tanımları ve açıklama kurallarını sıkılaştırmamız gerekiyor. Eğer DNA'm sızdırıldıysa bunu bilmek isterim, değil mi? Benzer şekilde, kimlik doğrulama için (çevrimiçi bankacılığa giriş yapmak gibi) Vergi Numarasının yaygınlığı göz önüne alındığında, bunun daha evrensel olacağını düşünürdüm.
Her şeyden çok ihlalin esasıyla ilgili. Bir sızıntının meydana gelmesinden ziyade neyin sızdırıldığıyla ilgili olması gerekmez. Bir kuruluşun bir veri ihlali yaşaması bana göre, bu durum uyumluluk ve güvenlik düzenlemeleri konusunda hazırlık eksikliğine ve Kişisel Olarak Tanımlanabilir Bilgilerimin hassas yapısının göz ardı edildiğine işaret eder (tabii ki bunun istisnaları da vardır).
İhlalin nedeni ne olursa olsun ve hangi bilgi sızdırılırsa sızdırılsın, olaya karışıp karışmadığımızı bilme hakkımız değil mi? İhlalin tanımı ve düzenlemesinin basitleştirilmesi gerekmektedir. Düzenleme ne kadar basit olursa, düzenleme o kadar evrensel hale gelir ve ihlallerin uygun şekilde ele alınması, ifşa edilmesi ve rapor edilmesi şansı da o kadar artar.