"Hackeatu gaituzte" da ia edozertarako erabiltzen den esaldia, enpresa paralizatzen duen ransomware batetik okerreko pertsonari mezu bat bidaltzen dion langile batera arte. Arazoa da, RGPDren ondorioetarako, ez dela gauza bera, eta terminoak nahastea arrazoi izan daiteke jakinarazi behar ez zenuen zerbait jakinaraztea edo, okerrago, jakinarazi behar zenuen zerbait ez jakinaraztea. Ikus ditzagun kontzeptuak adibide zehatzekin.
Zer da ziberersaso bat
Ziberersasoa zure sistemen aurkako ekintza nahita egina da: kanpoko norbaitek (edo batzuetan barrukoak) zure azpiegiturara sartzen, kaltetzen edo erabilezin uzten saiatzen da. Ransomwarea, phishing zuzendua, pasahitzen aurkako indar gordineko erasoak edo zure webgunean ahultasun bat ustiatzea ziberersasoak dira. Atzean asmo zehatz bat duen erasotzaile bat dago.
Ziberersasoak datu pertsonalen hauste bat ekar dezake edo ez. Norbaitek ransomwarearekin zure artxiboak zifratzen baditu baina artxibo horiek ez badituzte bezero edo langileen datu pertsonalik, zure negoziorako ziberersaso larria jasan duzu, baina ez derrigorrez AEPDri jakinarazi behar diozun hauste bat. Gainera pertsonen datuak atzitu edo erauzten baditu, orduan bai dagoela hauste bat.
Zer da segurtasun-hauste bat (datu pertsonalena)
RGPDk ematen dion zentzuan, segurtasun-hauste bat datu pertsonalen konfidentzialtasuna, osotasuna edo erabilgarritasuna arriskuan jartzen duen edozein gorabehera da, zein delarik ere kausa. Hori ziberersaso bat baino askoz zabalagoa da: giza akatsak eta hutsegite teknikoak ere barne hartzen ditu, erasotzailerik gabe.
Bezeroen datuak dituen mezu elektroniko bat okerreko hartzaile bati bidaltzea segurtasun-hauste bat da, nahiz eta inork ezer "erasotu" ez izan. Langileen datu-base bat duen zifratu gabeko ordenagailu eramangarri bat galtzea hauste bat da. Interneten publikoki eskuragarri dagoen dokumentu-karpeta bat uzten duen konfigurazio-akats bat hauste bat da. Kasu horietako bakar batek ere ez du erasotzaile aktibo bat behar, eta hala ere datu-filtrazioa duen ziberersaso batek bezalako betebehar legal berberak aktibatzen dituzte.
Zergatik den garrantzitsua diferentzia hau jakinarazteko orduan
AEPDk ez du galdetzen "ziberersaso" bat jasan duzun: datu pertsonalen segurtasun-hauste bat egon den galdetzen du. Horregatik, jakinarazi behar duzun erabakitzeko irizpidea ez da "erasotu al naute?", baizik eta "pertsonen datuen konfidentzialtasuna, osotasuna edo erabilgarritasuna arriskuan jarri al da?". Erantzuna baiezkoa bada, jakinaren gainean zaudenetik jakinarazteko epe legala 72 ordukoa da, nondik datorren ere.
Honek ondorio praktiko garrantzitsu bat du: ezin duzu jakinarazpena baztertu "ez delako benetako hackeo bat izan" soilik. Giza akats txoro batek, masiboki bidalitako mezu batean okerreko artxiboa eranstea bezala, erasotzaile sofistikatu batek bezain beste behartu zaitzake jakinaraztera. Betebehar hori noiz aktibatzen den sakonago azter dezakezu gure gidan: datu-hauste bat RGPDren arabera jakinarazteko betebeharra.
Ez galtzeko adibideak
- Ziberersasoa, datu-hausterik gabe: langile batek hautematen eta irekitzen ez duen phishing saiakera bat. Ez da datuetarako sarbiderik izan, ez dago jakinarazi beharreko hausterik.
- Ziberersasoa, datu-hauste batekin: erasotzaile batek zure CRMra sartzen da eta bezeroen basea deskargatzen du. Biak aldi berean dira, eta bai, jakinarazi behar da.
- Haustea, ziberersasorik gabe: zure enpresako langile batek nahigabe soldata-orri bat bidaltzen dio plantilla osoari hartzaile bakar bati bidali beharrean. Ez dago erasotzailerik, baina bai haustea.
- Ez bata ez bestea: zure webguneak ordu batzuk huts egiten ditu ostalaritza-arazo batengatik, inoren daturik arriskuan jarri gabe. Ez da datuetan garrantzia duen ziberersasoa, ezta datu pertsonalen haustea ere.
Gertatu zaizuna kategoria hauetako batean sartzen den zalantzarik baduzu, seguruena hauste bat izan daitekeenaren moduan tratatzea eta irizpide horrekin ebaluatzea da, ez "hackeo itxura duen ala ez" delakoarekin.
Alerta Brecha-k nola lagun diezazukeen
Terminoak bereiztea ondo dago, baina benetan garrantzitsuena garaiz jakitea da zerbait gertatu dela. Alerta Brecha-n etengabe zaintzen dugu zure enpresaren datuak (postak, domeinuak, telefonoak) ezagutzen diren ihesaldietan agertzen ote diren, jatorria ziberersaso bat edo hirugarrenen akats soil bat izan den kontuan hartu gabe. Plan Básico bat dugu (9€/hilabete, asteroko monitorizazioa) eta Plan Profesional bat (14,50€/hilabete lehen urtean, 29€/hilabete ondoren, eguneroko monitorizazioarekin, berehalako alertarekin eta AEPDri jakinarazteko PDF aurrez kargatuarekin). Sarbide goiztiarreko fasean zaudenez, itxaron-zerrendan izena eman dezakezu.
---
Gogoratu artikulu honek izaera dibulgatiboa besterik ez duela eta ez duela ordezkatzen lege-profesional kualifikatu baten aholkularitza. Zure egoerari buruzko zalantza zehatzak konpontzeko, jarri harremanetan aditu batekin.