Ce facem după atacutile cibernetice asupra spitalelor românești? Nimic?

Editorial

Vizualizari: 9514

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Spitalele sunt o țintă a atacurilor ransomware în toată lumea, nu doar în România. Foarte multe astfel de incidente au fost raportate de spitale în ultimii ani și specialiștii vorbesc despre o creștere exponențială a numărului de cazuri.  Dar de ce sunt vizate spitale din România și de mai ales de ce sunt așa de multe incidente în domeniul sanitar? Și poate cea mai importantă întrebare: putem evita să devenim ținta unui atac cibernetic ? Pentru a răspunde la toate aceste întrebări, în primul rând, trebuie să înțelegem mai bine ce s-a întamplat și mai ales ce este acest tip de atac.

Ransomware-ul este un virus sau mai bine spus un software malițios care blochează accesul la fișierele stocate într-un sistem informatic, solicitând plata unei sume de bani în schimbul redobândirii accesului la acestea. De cele mai multe ori fișierele criptate de malware nu pot fi decriptate nici după efectuarea plății către atacatori. Acest tip de malware nu urmărește o vulnerabilitate a sistemului informatic ci o eroare umană, de cele mai multe ori fiind transmis ca atașament al unui e-mail, sub forma unei facturi, a unei comenzi sau alt tip de document, păcălind astfel utilizatorii mai puțin conștienți sau vigilenți.

Interesant este faptul că acest tip de malware nu ar fi putut depăși filtrele antivirusurilor existente pe piață, ceea ce subliniază o primă problemă din spatele acestui atac în spitalele din România: spitalele atacate nu avea sisteme antivirus actualizate iar angajații acestora nu au fost instruiți cu privire la identificarea unor asemenea atacuri.

Aceste atacuri cibernetice nu sunt ceva nou. Ele se petrec de multă vreme. Se bazează pe neatenția utilizatorilor, care primesc diferite mesaje pe email și accesează atașamentele acestor mesaje, care nu sunt ceea ce par a fi. De exemplu, ei cred că sunt documente word, PDF sau poze, dar în fapt ele sunt niște elemente executabile care pot bloca accesul la calculator sau la alte resurse ale rețelei. Faptul că acest atac se întâmplă în spitale poate fi doar o coincidență sau poate fi în urma unei analize pe care atacatorul a făcut-o cu privire la vulnerabilități. Vulnerabilități vin din faptul că stațiile utilizatorilor nu sunt actualizate la zi, nu au ultimele versiuni de aplicații sau nu au antiviruși instalați corespunzător. Poate că utilizatorii nu sunt instruiți în domeniul securității cibernetice, astfel încât să nu acceseze și să nu aibă încredere în resurse neautorizate. Această analiză o fac și atacatorii. Ei pot să își aleagă victime pe care să le păcălească în acest mod mai ușor. Nu știu să spun cu certitudine de ce sunt vizate spitale, dar știm foarte clar că acestea lucrează cu informații medicale care sunt date personale sensibile. Știm că spitalele au servicii medicale pe care le prezintă și online, au date medicale pe care le transmit pacienților online, fișe medicale, rezultate ale analizelor de laborator și probabil că atacatorul s-a gândit să exploateze vulnerabilități pentru că datele sunt foarte importante și sensibile.” declară Bogdan Savu, director de dezvoltare software la Tremend.

La o analiza mai atentă a infrastructurii din domeniul sanitar românesc identificăm încă un număr mare de echipamente conectate care nu beneficiază de ultimele patchuri de securitate sau chiar folosesc sisteme de securitate care nici măcar nu mai sunt actualizate de producători. De exemplu Windows XP, care nu mai beneficiază de suport și actualizare din partea Microsoft și este folosit în continuare pe scară largă în sistemul sanitar românesc, facând posibila funcționarea aparatelor de radiografii dentare, RMN-uri sau CT-uri. Prin infectarea unuia dintre aceste computere cu sistem de operare învechit se poate infecta apoi foarte simplu întreaga rețea.

Evident ne întrebăm de ce nu sunt așa de ușor de înlocuit aceste sisteme de operare învechite și răspunsul ar trebui sa îl căutăm fie la producătorii de echipamente medicale care ar trebui să actualizeze gratuit softurile de interfață cu echipamentul astfel încât să funcționeze în aceiași parametrii și pe sistemele de operare mai noi, fie la managementul unităților medicale care au amânat investițiile în sisteme noi de operare din lipsă de fonduri sau pur și simplu pentru ca echipamentele funcționează normal chiar dacă sunt vulnerabile în fața atacurilor cibernetice.

 Ce tipuri de malware au infectat sistemele din spitalele românești ?

Primul semnal de alarmă tras de CERT.RO ne anunța că „alerta a fost dată în urma raportării acestor incidente, mai multe într-o perioadă scurtă de timp. Este vizat domeniul sănătății, au fost vizate spitale, dar ne gândim că atacul se poate extinde, tocmai de aceea considerăm utilă alertarea celor care pot fi vizați de aceste atacuri.Vectorul de răspândire al atacului până acum a fost pe mail, reprezentând fișiere care aveau atașate facturi, care nu erau facturi, bilete de avion și tot felul de pseudo fișiere necesare activității curente ”, preciza Cătălin Aramă , directorul general CERT-RO.

"În legătură cu atacurile cibernetice de la spitale, Centrul Naţional Cyberint suspectează că atacatorii sunt de origine chineză. Au fost luate în calcul luând orele la care hackerii chinezi au fost activi şi indiciile lăsate în mesajele de răscumpărare", informează SRI, prin purtătorul de cuvânt al instituţiei, Ovidiu Marincea.

În urma unei investigații derulate de specialiști în securitate cibernetică din cadrul CERT-RO, Cyberint și Bitdefender, s-a constatat că formele de malware responsabile de atacurile cibernetice recente asupra unor spitale din România sunt Maoloa și Phobos. Acești doi malware nu sunt o noutate absolută, Maoloa fiind prima dată descoperit în februarie 2019 iar Phobos era cunoscut încă din decembrie 2018, așa cum reiese din articolul publicat de Playtech, din ianuarie 2019.

Incidentele de securiatate sunt o realitate zilnică

Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) a tras un semnal de alarmă încă de la începutul anului 2019, în urma sondajului "GDPR in HEALTH România" realizat în decembrie 2018 (link studiu).

Astfel, ASCPD a semnalat atunci faptul că 37,44% din instituțiile sanitare cuprinse în analiza s-au confruntat cu incidente de securitate și cu toate acestea 73,85% din total nu au  implementat un plan de reacție la incidentele de securitate. 70,26% încă foloseau adrese de email @yahoo.com sau @gmail.com în interes profesional în interiorul rețelei, expunând astfel organizație unor riscuri care pot fi evitate. Mai mult, 11.28% nu aveau implementate sisteme tehnice de protecție antivirus, cel mai des invocând lipsa fondurilor.

Fiecare organizație, nu doar cele din domeniul sanitar, trebuie să implementeze un plan de răspuns la incidente de securitate prin care să identifice și să descrie rolurile și responsabilitățile echipei de răspuns în cazul unei breșe de securitate și apoi să realizeze simulări practice pentru a testa modul de reacție a angajaților în cazul unui atac cibernetic.”, declara atunci Marius Dumitrescu, Președintele Asociației Specialiștilor în Confidențialitate și Protecția Datelor din România.

În contextul atacului derulat în prezent asupra spitalelor din România, Marius Dumitrescu a transmis faptul că “Asociația ASCPD a primit o solicitare de a sprijini un spital care a fost afectat de atacurile din ultimele zile și a oferit consultanță gratuită responsabilului cu protecția datelor pentru a gestiona cat mai eficient acest incident de securitate. Încurajăm operatorii să ne ceara sfaturi care sa-i ajute să prevină astfel de incidente înainte de a ne cere ajutorul în urma unui incident de securitate”.

Masurile întreprinse de Ministerului Sănătății

Sorina Pintea, Ministrul Sănătății, a atras imediat atenția asupra repercursiunilor pe care astfel de incidente le pot avea asupra pacienților spitalelor afectate.

În primul rând toate documentele care sunt eliberate de către un spital sunt eliberate dintr-un sistem informatic care dacă este blocat bineînțeles că îngreunează foarte mult activitatea de internare de exemplu, de eliberare a rețetelor. Până la urmă pierderea datelor ar fi o problemă majoră, de neconceput” a declarat Sorina Pintea pentru Digi24.

Alte declarații apaținând Ministrului Sănătății:

  • “Incidente izolate au mai existat, incidente în care spitalele și-au pierdut datele și care au fost recuperate, după caz, de informaticieni sau contra cost. Ultimul exemplu este spitalul din Huşi, care și-a pierdut toate documentele referitoare la pacienții care au fost internați în spital” (datele încă nu au fost recuperate)
  • “În 2017 a avut loc un atac informatic la un spital din Maramureș, Sighetu Marmației, s-au identificat hackerii respectivi, erau din altă țară, s-a plătit suma de 10.000 de euro”
  • "Este sigur că voi face plângere la DIICOT"
  • Întrebată dacă există o modalitate legală de a plăti sumele solicitate de atacatori, ministrul Sănătății a spus: "Există modalități legale. S-a luat legătura cu Curtea de Conturi. 10.000 de euro sunt nimic față de datele stocate acolo”.

Accesarea datelor pacienților este cruciala pentru îndeplinirea actului medical. Astfel, în urma atacului, sute de pacienți nu au putut beneficia de serviciile medicale în spitalele afectate, fiind invitați sa revină ulterior sau încurajați sa apeleze la serviciile altui spital. Recunoașterea valorii acestor date de către Ministrul Sănătății este un cuțit cu doua tăișuri. Deși semnalul era orientat spre mobilizarea instituțiilor medicale în vederea prevenii altor atacuri, atunci când afirmi că “10.000 de euro sunt nimic față de datele stocate acolo”, recunoscând că în trecut s-a optat pentru plata recompenselor solicitate de atacatori pentru decriptarea datelor, acest mesaj poate fi perceput de atacatori drept o încurajare de a continua atacurile și de a solicita recompense mult mai mari.

Dacă recunoștem importanța datelor pacienților, oare de ce nu au fost luate obligatoriu în fiecare spital măsuri pentru a le proteja, având în vedere că nu este prima dată când întâmpina acest tip de atacuri? Recuperarea datelor, fie că este realizată de specialiști în IT sau prin achitarea recompensei solicitate de atacatori, este mult mai costisitoare decât adoptarea măsurilor de securitate necesare prevenirii unor asemenea atacuri.

În totală contradicție cu mesajul Ministrului Sîănătății, instituțiile și companii cu competențe în domeniul securității cibernetice, printre care CERT-RO, Cyberint și Bitdefender, sfătuiesc utilizatorii infectați “să nu plătească atacatorilor taxele de decriptare solicitate”. Plata recompensei nu reprezintă o garanție că infractorii își vor onora promisiunea și le vor reda accesul la date și, în plus, ar putea fi țintite din nou de aceeași grupare, întrucât au deja un istoric de bun platnici”.

Raportarea incidentelor de securitate

Echipa CERT-RO îndeamnă fiecare operator să raporteze astfel de incidentele de securitate la numărul de telefon 1911 sau pe mail (alerts@cert.ro), cu includerea a două fișiere infectate (criptate) pentru analiză. Se recomandă să atașați acele fișiere într-o arhivă, protejate cu o parolă, pe care să o specificați în textul mesajului.

Mai mult, Art. 4 alin. (12) din Regulamentul UE 2016/679 definește "încălcarea securităţii datelor cu caracter personal" ca o încălcare a securităţii care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea. Regulamentul UE 2016/679 care a intrat in vigoare la 25 mai 2016 și se aplică în toate statele membre din 25 mai 2018 prevede că „în cazul în care are loc o încălcare a securității datelor cu caracter personal, operatorul notifică acest lucru autorității de supraveghere competente (...), fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la data la care a luat cunoștință de aceasta, cu excepția cazului în care este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice". În acest sens, Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal a emis Decizia nr. 128/2018 privind aprobarea formularului tipizat al notificării de încălcare a securităţii datelor cu caracter personal în conformitate cu Regulamentul (UE) 2016/679 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE precum și Decizia nr. 161 din 9 Octombrie 2018 privind aprobarea Procedurii de efectuare a investigațiilor. Formularul online de raportare a incidentelor de securitate este accesibil AICI.

Recomandări din partea specialiștilor

Conform surselor noastre, Ministerul Sănătății a transmis o adresa în data de 19.06.2019 prin care a informat unitățile spitalicești din subordinea sa cu privire la măsurile pe care acestea trebuie sa le implementeze pentru a preveni atacurile cibernetice, recomandări inițial emise de Centrul Național de Răspuns la Incidente de Securitate Cibernetică CERT-RO (CERT-RO)

CERT-RO, Cyberint și Bitdefender, precum și instituțiile cu competențe în domeniul securității cibernetice sfătuiesc utilizatorii infectați să nu plătească atacatorilor taxele de decriptare solicitate, ci să creeze copii ale datelor compromise și să se adreseze organelor de poliție. Odată ce plătesc recompensa, victimele nu au nicio garanție că infractorii își vor onora promisiunea și le vor reda accesul la date și, în plus, ar putea fi țintite din nou de aceeași grupare, întrucât au deja un istoric de bun platnici. Nu în ultimul rând, încasările îi vor ajuta pe atacatori să dezvolte amenințări informatice din ce în ce mai sofisticate, ceea ce va duce pe termen lung la și mai multe victime infectate.

Pentru a preveni infectarea cu ransomware, utilizatorilor li se recomandă să păstreze copii ale datelor importante, să folosească o soluție de securitate performantă și să evite să acceseze linkuri sau fișiere din email-uri nesolicitate.

CERT-RO atrage atenția, atât utilizatorilor cât și personalului care se ocupa de serviciile IT, asupra următoarelor măsuri imediate ce pot fi luate pentru a preveni infectarea cu aceste tipuri de aplicații malițioase:

  • nu deschideți fișierele primite prin e-mail decât în situația în care cunoașteți expeditorul iar în cazul unei suspiciuni adresați-vă personalului de specialitate
  • evitați accesarea ”ofertelor ” irezistibile din mediul online, indiferent de forma prin care le primiți (email, whatsapp, messenger, facebook etc.)
  • asigurați-vă că aveți un backup al fișierelor pe un dispozitiv care nu este conectat la rețea
  • asigurați-vă că dispozitivele pe care le utilizați atunci când navigați online sunt updatate și au instalate soluții de securitate (firewall, antivirus, antimalware etc.)
  • apelați numărul unic 1911 pentru raportarea acestor incidente
  • accesați ghidurile puse la dispoziție pe site-ul CERT-RO

Apreciem ca foarte importante aceste recomandări însa atragem atenția ca prevenirea atacurilor cibernetice nu ar trebui sa se limite doar la acestea, motiv pentru care am mai sublinia câteva măsuri importante:

  • auditarea sistemelor IT în vederea identificării vulnerabilităților
  • implementarea unor politici clare privind prelucrarea datelor personale
  • criptare datelor stocate pe dispozitivele mobile (laptop, tableta, memorii USB) pentru a împiedica accesarea datelor in caz de pierdere sau furt
  • criptarea datelor personale transmise prin e-mail
  • interzicerea accesării datelor de pe CD, DVD, stick-uri USB sau altele asemenea, dacă provin din surse nesigure.
  • echipamentele de lucru care stochează date personale vor fi parolate vor fi blocate atunci când nu vor fi utilizare (ctrl+alt+del → lock this computer)
  • asigurarea unui sistem de management al accesului, astfel încât fiecare utilizator să se logheze la echipamentul de lucru cu user și parolă proprii.

Una din cele mai importante aspecte pe care nu am regăsit-o în adresa Ministerului este necesitatea instruirii personalului. Un personal instruit va fi mult mai vigilent, va identifica eventuale pericole și va cunoaște procedurile pe care trebuie sa le urmeze pentru a identifica, semnala sau limita efectele unui atac cibernetic.

“În multe cazuri de ransomware, succesul acestora se bazează pe 4 mari tipuri de probleme: nu pe toate sistemele din reţea rulează un antivirus; sistemele de operare sunt vechi şi neactualizate; parolele folosite de administrator şi utilizatori sunt slabe; utilizatorii deschid fişiere anexate la e-mail fără să verifice sursa lor", precizează reprezentanţii Kaspersky.

Recomandările Kaspersky pentru protejarea clinicilor de accesul neautorizat, care poate avea consecinţe grave sunt:folosirea de parole complexe pentru a proteja toate punctele externe ale conexiunii; protejarea aplicaţiilor echipamentului medical din reţeaua locală cu parole, în cazul în care o persoană neautorizată ar avea acces în zonele considerate de încredere; protejarea infrastructurii de ameninţări cum sunt programele malware şi atacurile hackerilor, cu o soluţie de securitate complexă; actualizarea politicilor de securitate IT, dezvoltare unui management al patch-urilor, în timp real, şi realizarea de evaluări ale vulnerabilităţilor dar şi a unui backup la informaţiile critice, cu regularitate, şi păstrarea unei copii a backup-ului offline.

Eroarea umana și lipsa de instruire este adevarata problema

Conștientizarea pericolelor în domeniul securității este o parte esențială a formării angajaților și este cel mai eficient mod de a menține companiile în siguranță de la intruși și hackeri.

Atacurile cibernetice prejudiciază anual economia globală cu 400 miliarde de euro. Mai mult, impactul economic al criminalităţii cibernetice a crescut de cinci ori din 2013 până în prezent şi este considerată o provocare pentru securitatea internă a Uniunii Europene (UE). Totodată, în Europa, peste 50% din cetăţeni se consideră neinformaţi privind ameninţările cibernetice astfel că educaţia digitală, în domeniul securităţii cibernetice, este încă deficitară. În Europa peste 50% din cetăţeni se consideră neinformaţi privind ameninţările cibernetice, iar 70% din interprinderi au cunoştinţe minime despre aceste riscuri. În România educaţia digitală în domeniul securităţii informaţiilor continuă să fie deficitară. În anul 2018, România a fost atât generatoare de incidente de securitate cibernetică, cât şi ţintă, riscul fiind evaluat la nivel mediu, iar tendinţa fiind crescătoare.

Fiecare operator de date este obligat să protejeze în mod corespunzător toate informațiile referitoare la angajații săi, precum și să protejeze informațiile comerciale confidențiale (inclusiv informații referitoare la clienți, angajați, afiliați). Pentru a atinge acest obiectiv și pentru a  minimiza riscul pierderii, furtului sau compromiterii informațiilor legate de afaceri sau de clienți, sistemele, procedurile operaționale și politicile corespunzătoare care sunt în vigoare trebuie revizuite și actualizate în mod regulat. Problemele de securitate sunt inregistrate zilnic, in absolut toate domeniile de activitate.

Procesul de digitalizare atrage după el și metode tehnice avansate de securitate, care cresc gradul de protecție al vieții private, dar trebuie să conștientizăm în primul rând că cea mai mare vulnerabilitate în cadrul unei organizații este chiar resursa umană. Este nevoie de educație a personalului mai mult decât investiții mari în soluții tehnice de securitate.

“În ultimele zile am avut ocazia sa vorbesc cu mai multi manageri de spital despre efectul atacurilor cibernetice si despre recomandarile Ministerului Sănătății și ale CERT.RO transmise în ultima perioada. Cu dezamagire pot spune că efectul acestor întamplari nefericite este unul redus, nu am semnalat nici o stare de alerta la nici un spital și nu am auzit să fie luate masuri de reevaluare sau testare a soluțiilor implementate ci mai degraba am auzit “noua nu ni se poate întampla acest lucru” și că “avem baieți tineri care sunt pregătiți”. Nimeni nu contesta pregatirea angajaților, spun doar ca este nevoie de o implicare mult mai mare a managementului și implementarea unui plan de raspuns la incidente de securitate care nu implică doar informaticienii. Mai mult decât investiții mari în soluții tehnice de securitate este nevoie de educație a personalului. Sa nu uitam ca acestia de cele mai multe ori semneaza formal documente prin care sunt informati ce masuri trebuie luate si nu sunt verificati ulterior si mai ales nu sunt luate hotarari drastice precum interzicerea utilizarii emailurilor personale pe echipamentele de la servici, de teama unor reactii negative din partea angajatilor la astfel de masuri nepopulare..Cursurile de specialitate si simularile de atacuri cibernetice ar trebuie facute periodic pentru a implementa in mod real proceduri de prevenire a incidentelor si proceduri de lucru pentru diminuare pierderilor si efectelor in aceste cazuri. Cred ca trebuie sa invatam din aceste cazuri si sa luam masurile necesare pentru a preintampina pierderea de date cu caracter personal a pacientilor si a angajatilor, renuntand totodata sa crede ca noua nu ni se poate intampla ”, a declarat Marius Dumitrescu,  Președintele Asociației Specialiștilor în Confidențialitate și Protecția Datelor din România.

“ În companiile responsabile se fac traininguri periodice de securitate la incendiu, în care ești învățat ce să faci și ce să nu faci când observi foc în clădire – pe unde s-apuci, cum să te ferești de pericol, ce să nu faci, pe cine s-anunți etc. Tot așa, ar trebui să fie organizate traininguri periodice se cybersecurity, în care angajații să învețe cum să identifice o tentativă de phishing, de ce să nu dea click pe orice link, oriunde, ce să facă și pe cine să anunțe când ceva merge prost. Apoi, testări permanente, controlate, pe angajați, cărora le întinzi capcane de phishing, să zicem, după care vezi ce se întâmplă, evaluezi progresul și o corectezi ce e de corectat”, explică Bogdan Botezatu, director de cercetare amenințări informatice la Bitdefender

În concluzie, spitalele din România sunt atacate pentru că sunt vulnerabile și este profitabil având în vedere valoarea informațiilor și caracterul sensibil și mai ales  precedentele create prin plata rascumpărării accesului la date. Putem evita aceste incidente dacă în primul rând renunțăm la mentalitatea ca “mie nu mi se poate întâmpla” și investim în instruirea resurselor umane, implementând planuri și proceduri de lucru în caz de atac cibernetic și alocând fonduri pentru a impune măsuri adecvate de protecție tehnică și organizatorică. 

Un nou curs ONLINE - Planul de răspuns la incidente de securitate

Conștientizarea pericolelor în materie de securitate este o problemă de conformitate și este necesară pentru a asigura respectarea unor standarde precum ISO27001. De aceea am lansat un nou curs pe platforma de E-learning DPO-NET.ro, intitulat „Planul de răspuns la incidente de securitate„.

Scopul acestui curs este de a a furniza o abordare cât mai clar definită și organizată pentru a gestiona amenințările reale sau potențiale asupra procesului de prelucrare a datelor cu caracter personal.Fiecare organizație trebuie să implementeze un plan de răspuns la incidente de securitate care să identifice și să descrie rolurile și responsabilitățile echipei de răspuns în cazul unei breșe de securitate care va pune planul în acțiune.

Cost curs: 190 LEI 

La finalul cursului se va accesa un chestionar grila cu zece intrebari alese aleatoriu din baza de date si daca rezultatul final al raspunsurilor corecte depaseste procentul de 70%, cursantul obtine automat un Certificat de Absolvire. 

Acest curs poate fi utilizat de Responsabilul cu Protectia Datelor (DPO) pentru a asigura informarea angajatilor operatorului de date, obtinand astfel si dovada instruirii acestora prin obtinerea Certificatului de Absolvire emis de dpo-NET.ro. Pentru inscrierea la curs este nevoie sa aveti un cont cu acces la cursurile online dpo-NET.ro.

Daca nu ati solicitat inca un astfel de cont, o puteti face prin completarea urmatorului formular: https://dpo-net.ro/solicitare-cont-acces-cursuri-online/, urmand ca in maxim 48 de ore sa primiti un email de confirmare privind inregistrarea, cu detalii despre autentificarea in sistem. 

Dacă aveți deja un cont creat, este necesar să achiziționați două unități (190 lei) pentru a vă putea înscrie. O puteți face completând următorul formular: https://dpo-net.ro/solicitare-unitati-cursuri/

Cuprinsul cursului online Planul de răspuns la incidente de securitate„:

1. Introducere
2. Etapele unui plan de răspuns la incidente de securitate
3. Cum recunoaștem un incident de securitate ?
4. Echipa de management a incidentelor de securitate
5. Cronologia evenimentelor în cazul unui incident de securitate
6. Exemple de incidentele care ar trebui raportate
7. Identificarea incidentelor de securitate,
8. Implicarea departamentelor de management și  IT / Conformitate
9. Notificările în regim de urgență
10 Actvități inițiale
10.1. Izolarea incidentelor de securitate
10.2.Cyber-Asigurări și externalizarea serviciilor de răspuns la inciente de securitate
10.3 Documentarea  și deschiderea rapoartelor de incident de securitate
10.4 Înființarea echipei de management a incidentului și analiza planurilor alternative
11. Activități port-incident
11.1 Analiza și planificarea
11.2 Investigația
11.3 Reducerea riscurilor și adoptarea măsurilor corective
11.4 Notificarea
11.5 Închiderea dosarului deschis pentru incidentul de securitate
11.6 Raportarea

ANEXA A -Formular de raportare a incidentelor de securitate
ANEXA B -Notificare de încălcare a securității datelor cu caracter personal
ANEXA C – Lista a celor mai frecvente amenințări de securitate

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

A început Războiul de independență al operatorilor de date din România

Editorial

Vizualizari: 3826

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Nu știu alții cum sunt dar eu când mă gândesc la operatorii de date cu caracter personal care își proclamă independența peste noapte mă apucă panica. Numai în ultimele trei luni mi-au trecut prin mână mai multe clauze contractuale care spuneau că

  • "Fiecare parte prelucrează date cu caracter personal exclusiv în baza Contractului principal. Părțile declară și convin că ambele vor acționa în calitate de operatori independenți în ce privește activitățile de prelucrare a datelor realizate în temeiul prezentului Acord" sau că
  • "Fiecare Parte acționează ca Operator separat de cealaltă Parte, și niciuna dintre Părți nu va accepta vreo răspundere pentru o încălcare de către cealaltă Parte a Legislației privind Protecția Datelor cu Caracter Personal. Pentru evitarea oricărui dubiu, Părțile își determină în mod independent scopurile și mijloacele de prelucrare a Datelor cu Caracter Personal. Mai mult, nicio prevedere din Contract sau din prezentul Acord nu va fi interpretată ca instituind o relație de tipul operatori asociați sau operator-persoană împuternicită de operator "

Am intuit motivația unor operatori de a se poziționa cât mai departe de partenerul cu care a încheiat un contract, mai ales pentru a evita măsurile de control sau monitorizare, auditurile organizatorice sau tehnice care ar putea fi solicitate de acest partener. Și totuși, o astfel de clauză strecurată într-un contract de colaborare sau prestări servicii legalizează această practică sau ne poziționează chiar înafara legii ?

In mintea mea răspunsul e simplu: NU, Nu putem să transferăm responsabilitatea respectării principiilor GPDR nici către DPO sau consultant și nici către o altă companie. Statutul de operator sau împuternicit este ceva clar definit de Regulament și exista situații când doua organizații sunt pe rând fie operator, fie împuternicit, în funcție de fluxul de date analizat.

Nu este posibil ca mâine dimineață să convoc AGA și să hotărâm cu unanimitate de voturi că noi nu suntem operatori și astfel nu avem obligațiile ce ne revin din acest statut. Deci, indiferent ce scriem noi într-un contract, orice procesare de date are operatori și împuterniciți la fel cum un copil are părinți. Dar în ziua de azi am văzut și mame surogat, mame care apelează la inseminare artificială și părinți de același sex. Deci poate că există și operatori independenți, doar că nu i-am cunoscut eu încă.

Voi avea ocazia de a aprofunda acest subiect săptămâna viitoare la București, în data de 11 Decembrie 2019, când se organizează a doua ediție a evenimentui dpo.Tools care și-a propus să analizeze motivele pentru care a apărut în România acest nou tip de operator, cu toate că nu se regăsește definit  în Regulamentul 679/2016.

Acest eveniment este organizat de Portalul dpo-NET.ro - Data Protection Officers Network în parteneriat cu Wolters Kluwer RomâniaNeoPrivacy RomâniaDecalex și unCommon Sense Advisory  și se desfășoară sub forma unui workshop, punându-se accent pe analize și studii de caz din domenii precum recrutarea resurselor umane, audit și marketing. Voi avea ocazia să coordonez acest workshop alături de Cristiana Deca, IAPP Romanian KnowledgeNet Chair, Data Protection Specialist și Legal Advisor Decalex  și Daniel Suciu, GDPR Implementation Consultant, unCommon Sense Advisory.  Locurile sunt limitate, taxa de participare fiind de 90 de lei.

Încă vă mai puteți înscrie la Workshop-ul dpo.TOOLS (București, 11.12.2019) „Operatorii independenti, realitate sau inventie ?”.

Ca să mă asigur că am ințeles bine tipurile de procesatori de date și mai ales ca să mă pregătesc pentru workshop-ul de săptămâna viitoare, am fugit la paginile Regulamentului  679/2016 crezând că este undeva o propoziție care mi-a scăpat. Recitesc cu atenție că Operatorul de date stabilește scopurile și mijloacele prelucrării datelor cu caracter personal. Altfel spus, dacă societatea/organizația Dumneavoastră decide „de ce” și „cum” ar trebui prelucrate datele cu caracter personal, aceasta este operatorul de date. Angajații care prelucrează date cu caracter personal în cadrul organizației Dumneavoastră fac acest lucru pentru a îndeplini sarcinile Dumneavoastră  în calitate de operator de date.

Există și situația când societatea/organizația Dumneavoastră este operator asociat în cazul în care, împreună cu una sau mai multe organizații, stabilește în comun „de ce” și „cum” ar trebui prelucrate datele cu caracter personal. Operatorii asociați trebuie să încheie un acord care să stabilească responsabilitățile fiecăruia în ceea ce privește îndeplinirea normelor cuprinse în GDPR. Principalele aspecte ale acordului trebuie comunicate persoanelor fizice ale căror date se prelucrează.

Persoana împuternicită de operator prelucrează date cu caracter personal numai în numele operatorului. De obicei, persoana împuternicită de operator este un terț din afara societății. Cu toate acestea, în cazul grupurilor de întreprinderi, o întreprindere poate îndeplini rolul de persoană împuternicită de operator pentru o altă întreprindere.

Atribuțiile persoanei împuternicite de operator în raport cu operatorul trebuie precizate într-un contract sau într-un alt act juridic. De exemplu, contractul trebuie să precizeze ce se întâmplă cu datele cu caracter personal în momentul încetării contractului. O activitate tipică a persoanelor împuternicite de operatori este furnizarea de soluții informatice, inclusiv de stocare în cloud. Persoana împuternicită de operator poate subcontracta o parte a sarcinii sale la o altă persoană împuternicită de operator sau poate numi o persoană asociată împuternicită de operator numai dacă a primit în prealabil o autorizație scrisă din partea operatorului de date. Există situații în care o entitate poate fi operator de date, persoană împuternicită de operator sau ambele.

Uitați și două exemple clare de relații între operatori:

Operator și persoană împuternicită de operator

O fabrică de bere are numeroși angajați. Aceasta semnează un contract cu o societate de administrare a statelor de plată, pentru efectuarea plății salariilor angajaților. Fabrica de bere îi spune societății de administrare a statelor de plată când trebuie plătite salariile, când un angajat părăsește fabrica sau primește o mărire de salariu și îi furnizează toate celelalte date pentru fluturașul de salariu și pentru plată. Societatea de administrare a statelor de plată furnizează sistemul informatic și stochează datele angajaților. Fabrica de bere este operatorul de date, iar societatea de administrare a statelor de plată este persoana împuternicită de operator.

Operatori asociați

Societatea/organizația Dumneavoastră oferă servicii de babysitting printr-o platformă online. În același timp, societatea/organizația Dumneavoastră are un contract cu o altă societate, care vă permite să oferiți servicii cu valoare adăugată. Aceste servicii includ posibilitatea ca părinții nu doar să aleagă ce babysitter doresc, ci și să închirieze jocuri și DVD-uri pe care să le aducă babysitterul. Ambele societăți sunt implicate în organizarea tehnică a site-ului. În acest caz, cele două societăți au decis să utilizeze platforma în ambele scopuri (servicii de babysitting și închirierea de DVD-uri/jocuri) și vor partaja foarte frecvent numele clienților. Prin urmare, cele două societăți sunt operatori asociați, pentru că ele nu doar că au convenit să ofere posibilitatea unor „servicii combinate”, ci și proiectează și utilizează o platformă comună.

Vă promit că voi reveni săptămâna viitoare cu concluziile participanților la acest workshop care m-au avertizat deja că s-au pregătit cu argumente privind existența acestui timp de operator de date. Până cădem la pace, Războiul de independență al operatorilor din România continuă.

 

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Legea care a permis partidelor să copieze listele suplimentare încalcă GDPR-ul!?

Editorial

Vizualizari: 2466

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 (Regulamentului general privind protecţia datelor), în vigoare de la 31 iulie 2018, „riscă” să fie iar modificată, după ce miercurea trecută (27.11.2019) Președintele României a semnat Decretul privind promulgarea Legii pentru modificarea art. 8 alin. (1) al acestei legi.

În prezent, în Senat se află în lucru, încă de la jumătatea lunii septembrie a acestui an, o propunere de lege „care ar anula cecul în alb dat partidelor politice de prelucrare a datelor cu caracter personal”, a anunțat săptămâna trecută Asociația pentru Tehnologie și Internet (ApTI), pe contul său de social media.

Propunerea legislativă L554/2019 vizează abrogarea art.6 și 9 din Legea nr.190/2018 privind unele măsuri de punere în aplicare a Regulamentului (UE) 2016/679.

Conform Expunerii de motive la inițiativa legislativă, „dispozițiile art. 6 și 9 din Regulamentul (UE) 2016/679 stabilesc în mod expres condițiile de legalitate a prelucrării datelor, fără a acorda statelor membre posibilitatea de a adopta măsuri naționale în acest sens”.

În încheierea Expunerii de motive, inițiatorii au concluzionat că „ținând cont de implicațiile legii nr. 190/2018 în asigurarea unei aplicări corecte a Regulamentului (UE) 2016/679, rezultă că articolele 6 și 9 din această lege nu sunt în concordanță cu Regulamentul (UE) 2016/679 și încalcă dispozițiile acestuia, astfel că se impune abrogarea lor”.

Propunerea legislativă a avize favorabile favorabile din partea Consiliului Legislativ, Consiliului Economic şi Social, Comisiei pentru drepturile omului, egalitate de şanse, culte şi minorităţi, Comisiei pentru afaceri europene. În cazul în care aceasta nu va fi supusă unei dezbateri în Senat până la data de 11.12.2019, va fi adoptata tacit, urmând a fi transmisă spre dezbatere în Camera Deputaților, în calitate de Cameră decizională. 

Nu avem indicii că ar avea vreo legătură, însă ăa reamintim că legea nr. 190/2018 a făcut obiectul unei Reclamații înaintată Comisiei Europene de către ApTI ,la data de 14 februarie 2019, prin care semnala faptul că derogările pe care le introduce Legea nr. 190/2018 ridică probleme grave în ceea ce privește respectarea principiilor de prelucrare a datelor, asigurarea protecției individului și respectarea valorilor democratice. Unul dintre punctele reclamației a vizat chiar articolul 9 care stabilește modul în care partidele politice pot prelucra date personale, ApTI semnalând riscuri majore nu numai pentru protecția individuală, dar și pentru asigurarea unor procese democratice și neinfluențate.

Art. 9 a constituit pârghia de care s-au folosit partidele politice pentru a accesa datele votanților înscriși pe listele suplimentare 

Al doilea alineat al acestui articol prevede că „Prelucrarea datelor cu caracter personal și special este permisă partidelor politice şi organizațiilor cetățenilor aparținând minorităților naționale, organizațiilor neguvernamentale, în vederea realizării obiectivelor acestora, fără consimțământul expres al persoanei vizate, dar cu condiția să se prevadă garanțiile corespunzătoare, menționate la alineatul precedent”. 

Astfel, acest articol permite (printre altele) partidelor politice să acceseze datele alegătorilor fără consimțământul expres al acestora, motiv pentru care partidele și nu s-au sfiit să se folosească din plin de această prevedere legală.

De curând, cu ocazia alegerilor pentru desemnarea Președintelui României, care au avut loc în 10 și 24 Noiembrie, ne-am trezit că datele înscrise pe listele suplimentare (semnătura, numele și prenumele, codul numeric personal, domiciliul, seria și numărul actului de identitate) au fost solicitate de partidele politice, aproape toate aceste solicitări fiind soluționate favorabil.

Iată ce scrie într-o cerere depusă de unul dintre partidele politice: „Partidul XXX  solicită copia listei electorale suplimentare conform interesului legitim conferit de art. 9 alin (2) din legea 190/2018 [...]”.

Accesul partidelor politice la listele suplimentare a fost posibilă pentru că, în data de 4 Noiembrie 2019, cu doar 4 zile înaintea alegerilor pentru președinția României, Biroul Electoral Central pentru alegerea Președintelui României din anul 2019 a emis Decizia nr. 84 / D / 04.11.2019 prin care se stabilesc condițiile în care reprezentanții formațiunilor politice în birourile electorale ale secțiilor de votare pot primi, la cerere, copii ale listelor electorale suplimentare, în conformitate cu dispozițiile art. VII din Ordonanța de urgență a Guvernului nr. 64/2019.

În data de 19 Noiembrie, Asociația Specialiștilor în Confidențialitate și Protecția Datelor împreună cu Asociația Expert Forum, organizație care luptă pentru drepturile omului și libertățile fundamentale, au sesizat Avocatul Poporului cu privire la prevederile care permit reprezentanților partidelor politice din secțiile de votare să copieze listele suplimentare.

vezi aici sesizarea înaintă Avocatului Poporului

Timeline-ul unei greșeli în lanț (sau a unui act premeditat)!

  • Iulie 2018 - Parlamentul României adoptată legea 190/2018
  • Septembrie 2019 - Guvernul adoptă Ordonanța de urgență  64/2019 prin care stabilește că „Reprezentanții formațiunilor politice în birourile electorale ale secțiilor de votare pot primi, la cerere, copii ale listelor electorale suplimentare, în condițiile stabilite prin decizie a Biroului Electoral Central
  • Septembrie 2019 - se înregistrează la Senat propunerea legislativă pentru abrogarea art. 6 și 9 din legea 190/2018, pe motiv că acestea încalcă dispozițiile Regulamentului general privind protecţia datelor
  • Noiembrie 2019 - cu doar 4 zile înainte de alegerile prezidențiale, BEC emite o decizie prin care dă frâu liber partidelor politice la a solicita datele înscrise în listele suplimentare, invocând art. 9 din legea 190/2018.

Cât de mare este impactul articolului 9 din L190/2018? 

Putem considera că datele noastre au fost numai bune de recoltat. Iar recolta a fost bogată! Conform statisticilor BEC, în turul I al alegerilor pentru Președintele României 1.721.911 de votanți au fost înscriși pe listele suplimentare, în timp ce în turul II au fost înscriși 2.094.401 de votanți.

Asociația Specialiștilor în Confidențialitate și Protecția Datelor a făcut eforturi pentru a estima amploarea la nivel național a invocării art. 9 din L190/2019, iar cifrele sunt cu adevărat alarmante.

Spre exemplu, în județul Mureș, în turul I al alegerilor prezidențiale, în cele 568 de secții de votare din acest județ au fost înregistrate 1247 de cereri de acces la listele suplimentare, deși nu au fost înregistrate suspiciuni de fraudare a alegerilor. Aproape toate aceste cereri au fost și aprobate.

Biroului Electoral Central răspuns unei solicitări a Asociației Specialiștilor în Confidențialitate și Protecția Datelor, comunicând faptul că va solicita formațiunilor politice să transmită Autorității Electorale Permanente, în termen de 30 de zile de la data primului tur de scrutin, „informații privind numărul cererilor” formulate de partidele politice pentru obținerea listelor suplimentare, „precum și numărul cererilor aprobate”.

Prin urmare, peste două săptămâni vom ști cu exactitate dimensiunea impactului art. 9 în timpul alegerilor prezidențiale și câte de mare este amploarea a ceea ce eu presimt că se va dovedi a fi cea mai mare încălcare a protecției datelor din istoria României.

Probabil sună a teorie conspirativă, însă nu ar trebui să uităm scandalurile ce au urmat votului prin care s-a decis ieșirea Marii Britanii din Uniunea Europeană. Îmi tot revine în minte o replică din filmul Brexit: The Uncivil War pe care HBO ni-l prezintă drept o dramă actuală și captivantă despre ce s-a întâmplat în culisele campaniei referendumului pentru Brexit: “Banii sunt una, domnule Banks. Dar datele înseamnă putere.

Lipsa de reacție, o consecință a faptului că românii sunt obișnuiți să le fie încălcate drepturile?

Faptul că în spațiul public nu au existat reacții articulate cu privire la accesul partidelor politice la listele suplimentare își poate găsi cu ușurință o explicație, având în vedere că probabil toate partidele care au susținut un candidat la alegerile prezidențiale s-au prevalat de art. 9 din L190/2018 pentru a obține listele suplimentare. Doar nu ne puteam aștepta ca lupul să strige „Lupii!”. 

Însă lipsa de reacție a persoanelor înscrise pe acele liste nu reușesc să mi-o explic. Oare când vom renunța la a ne mai mulțumi cu statutul de victimă a sistemului și ne vom recăpăta curajul să ne apărăm drepturile? Regulamentul general privind protecția datelor este scutul pe care Uniunea Europeană l-a construit pentru a ne proteja datele personale, dar este esențial să învățăm să-l folosim. Dar iată că indolența noastră ne-a adus în situația în care GDPR-ul a fost folosit împotriva noastră, pentru a satisface interesele mai puțin legitime ale partidelor politice. 

Avem drepturi, iar GDPR-ul ne oferă instrumentele necesare și eficiente încât să ne putem opune atunci când considerăm că datele noastre sunt supuse unei prelucrări abuzive, ilegale. Oare de ce nu folosim aceste instrumente?

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

ORIZONTUL SECURITATII CIBERNETICE

„If you spend more on coffee than on IT security, you will be hacked. What’s more, you deserve to be hacked” (Richard Clarke) Cunoașteți vreo persoană care a […]

Operatorul GDPR în Epoca Internetului

Devine accesul liber la internet în era GDPR o problemă pentru operatori? Într-o proporție covârșitoare operatorii au pagini web de prezentare, contact sau  magazine online, pagini de Facebook, […]

Conformitatea GDPR se construiește cărămidă cu cărămidă

Ce presupune această schimbare din 25 mai 2018 și care este rolul ei? O întrebare cu o greutate, cu părere de rău pentru multe persoane este încă o […]

Principiile prelucrării datelor personale și rolul auditului preliminar

Celebrul GDPR este deja în aplicare de mai bine de un an de zile, suficient pentru ca fiecare antreprenor conectat on-line sau la diverse centre de afaceri să […]

15 recomandări GDPR pentru managerul de spital

“Mie nu mie se poate intampla, am băieți tineri și destepti la IT”  este argumentul unui manager de spital pentru a justifica lipsa de interes, resurse și timp […]

Când viața îți oferă lămâii, apelezi la GDPR

Un link postat de Cristiana Deca pe unul dintre conturile ei de social media m-a făcut să mă prăbușesc de râs, dar până să apuc să mă opresc […]

Societatea civila contestă legalitatea implementării tehnologiei de recunoaștere facială

Mai multe organizații nonguvernamentale au transmis autorităților o SCRISOARE DESCHISĂ prin care îți exprimă îngrijorarea cu privire la respectarea principiilor fundamentale ce țin de respectarea vieții private, prin punerea în […]

Cum ajunge o copie de buletin să coste 10.000 €? Încălcând GDPR-ul, desigur!

În data de 19 septembrie 2019, autoritatea de supraveghere belgiană a publicat un comunicat prin care a anunțat o sancțiune de 10.000 de euro pentru nerespectarea minimizării datelor […]

De ce românilor nu le pasă de viața lor privată ?

La începutul săptămânii trecute citeam despre implementarea unui sistem de recunoaștere facială care va folosi camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare și camere […]

Românii vor fi monitorizați de un sistem de recunoașterea facială

Camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare, camere ATM din România vor fi monitorizate de un sistem de recunoaștere facială. Controversele din jurul acestei tehnologii […]

Facebook riscă și îi fură job-ul lui Cupidon

Proaspătul lansat Facebook Dating ridică mai multe semne de întrebare privind confidențialitatea.  Cupidon a fost scos forțat la pensie când Facebook a anunțat ieri lansarea noului sau serviciu […]

Cine sunt campionii GDPR Summer Challenge 2019 ?

68 de participanți, grupati in 14 echipe, au luat startul in concursul GDPR Summer Challenge 2019 GDPR Summer Challenge este o competitie organizata de Dpo-NET.ro – Data Protection […]

Curtea de Justiție a hotărât: amprentarea angajatilor contravine GDPR-ului

Decizia Curții de Justiție din Amsterdam din 12 august 2019 pune pe jar mulți dintre angajatori. Control accesul angajatilor sau sistemele de autorizare care utilizează cititoare biometrice sunt, în cele mai […]

Giovanni Buttarelli (1957-2019)

Giovanni Buttarelli, liderul Autorității Europene pentru Protecția Datelor (EDPS), a murit înconjurat de familia sa în Italia, la vârsta de 62 de ani. Înmormântarea va avea loc sâmbătă, […]

A început GDPR Summer Challenge 2019!

68 de participanți din 14 echipe au luat startul in concursul GDPR Summer Challenge 2019. GDPR Summer Challenge este o simulare de caz la care participă mai multe […]

Ești DPO ? S-a lansat un MANUAL pentru tine!

Autoritatea de supraveghere italiană (Il Garante per la protezione dei dati personali) a publicat un manual în limba engleză menit să sprijine responsabilii cu protecția datelor (DPO) ai […]

Cine scapă de GDPR?

Autor: Alina Crăciun, Coordonator Editorial Wolters Kluwer Romania La mai bine de un an de la intrarea în vigoare a Regulamentului nr. 679/2016 privind protecția datelor cu caracter […]

GDPR Summer Challenge este pregătit de lansare!

Sâmbătă, 10 August 2019, începe primul concurs național din România destinat aprofundarii și mai ales verificării cunoștințelor în domeniul protecției datelor. Scopul este ca participantii să dobândească cât […]

Te-ai înscris la GDPR Summer Challenge?

Peste 50 de persoane s-au înscris până acum în concursul „GDPR Summer Challenge”, motiv pentru care organizatorii au decis creșterea numărului de membrii într-o echipă la 5 persoane, […]

Ghidul turistului GDPResponsabil. Află cum îți protejezi datele în concediu!

Vacanțele sunt acele momente în care încercăm să fugim de grijile de zi cu zi, însă una dintre ele ne va urmări oriunde am pleca: protejarea datelor noastre. […]