Vi phạm Dữ liệu (Data Breach) là gì?

Vi phạm dữ liệu xảy ra khi bên không được ủy quyền truy cập, sao chép, truyền, xem, đánh cắp, hoặc sử dụng thông tin được bảo hộ. Vi phạm có thể xuất phát từ tấn công bên ngoài (tin tặc khai thác lỗ hổng, tấn công phishing đánh cắp thông tin đăng nhập nhân viên, ransomware mã hóa và xuất thông tin dữ liệu), mối đe dọa nội bộ (nhân viên bất mãn hoặc bất cẩn truy cập dữ liệu không nên), hoặc tiếp xúc ngẫu nhiên (lưu trữ đám mây được cấu hình sai, email tệp nhạy cảm vô tình, thiết bị không mã hóa bị mất). Loại dữ liệu bị phơi bày — thông tin cá nhân, dữ liệu thẻ thanh toán, hồ sơ sức khỏe, thông tin đăng nhập — xác định khung quy định nào được kích hoạt.

Luật thông báo vi phạm tạo ra thời hạn và thủ tục nghiêm ngặt mà tổ chức bị ảnh hưởng phải tuân theo. GDPR yêu cầu thông báo cho cơ quan giám sát liên quan trong vòng 72 giờ kể từ khi biết về vi phạm và thông báo cho cá nhân bị ảnh hưởng không chậm trễ. Luật thông báo vi phạm tiểu bang Mỹ khác nhau — hầu hết yêu cầu thông báo cho cư dân tiểu bang bị ảnh hưởng trong vòng 30–90 ngày. HIPAA yêu cầu thông báo cho cá nhân bị ảnh hưởng trong vòng 60 ngày và cho HHS, với thông báo truyền thông cần thiết cho vi phạm ảnh hưởng hơn 500 cư dân của một tiểu bang.

Nhiều doanh nghiệp tin rằng họ quá nhỏ để bị nhắm mục tiêu bởi tội phạm mạng — nhưng những kẻ tấn công ngày càng tự động hóa tấn công và nhắm mục tiêu doanh nghiệp nhỏ và trung bình chính xác vì họ có hàng phòng thủ yếu hơn. Hậu quả pháp lý và tài chính của vi phạm có thể là hiện hữu cho công ty nhỏ. Tư vấn an ninh mạng có thể đánh giá rủi ro hiện tại của bạn, triển khai các biện pháp phòng ngừa có tác động nhất, và giúp bạn xây dựng kế hoạch phản hồi sự cố để nếu vi phạm xảy ra, bạn có thể thực hiện nhanh chóng và đúng đắn thay vì ứng biến dưới áp lực.