» KOMPAS FORSAFE 2020/2

Podstawa prawna naruszenia

Art. 32 RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Naruszenie danych osobowych klientów British Airways wynikało z braku odpowiednich środków bezpieczeństwa w przetwarzaniu danych.

Okres naruszenia: 22 czerwca – 5 września 2018 r.
Atak: Nieznany napastnik uzyskał dostęp do systemów IT i sieci British Airways , przekierowując dane kart płatniczych klientów na fałszywą stronę kontrolowaną przez napastnika (tzw. “skimming”).
Powiadomienie: British Airways zostało poinformowane o naruszeniu przez stronę trzecią i zgłosiło to do organu nadzorczego (ICO) 6 września 2018 r.
Skutki: Naruszenie dotknęło około 430,000 osób, a dane takie jak imię, adres, dane kart płatniczych (w tym CVV), dane logowania pracowników British Airways oraz kont administratorów zostały skradzione.
Decyzja ICO: ICO nałożyło na British Airways karę w wysokości £20,000,000, co stanowi znaczną redukcję w porównaniu do pierwotnie proponowanej kary £183,390,000. Redukcja kary uwzględniała działania łagodzące podjęte przez British Airways oraz wpływ pandemii COVID-19 na sytuację finansową firmy.

Wdrożenie odpowiednich środków bezpieczeństwa: Regularne aktualizacje systemów, monitorowanie i audyty bezpieczeństwa.
Dwustopniowe uwierzytelnianie: Wprowadzenie mechanizmu dwustopniowego uwierzytelniania dla wszystkich systemów przetwarzających dane osobowe.
Symulacje ataków phishingowych: Przeprowadzanie symulacji ataków phishingowych, aby zwiększyć świadomość pracowników na temat zagrożeń.
Ograniczenie dostępu: Zapewnienie, że dostęp do aplikacji, danych i narzędzi jest ograniczony tylko do tych, które są niezbędne do pełnienia roli użytkownika.
Szkolenia dla pracowników: Zwiększenie świadomości na temat zagrożeń cybernetycznych i procedur bezpieczeństwa.
Szyfrowanie danych: Zastosowanie zaawansowanych metod szyfrowania danych wrażliwych.
Szybka reakcja na incydenty: Ustanowienie procedur szybkiego reagowania na incydenty bezpieczeństwa.