Richtlinie zur Reaktion auf Vorfälle & personenbezogene Datenverletzungen

Diese Richtlinie zur Reaktion auf Vorfälle & personenbezogene Datenverletzungen beschreibt, wie Chronos Web Tech Kft. Informationssicherheitsvorfälle und personenbezogene Datenverletzungen, die die Plattform Appointio.eu betreffen, identifiziert, verwaltet, untersucht, dokumentiert und darauf reagiert.

Ziel dieser Richtlinie ist es, die Auswirkungen von Vorfällen zu minimieren und gleichzeitig die Einhaltung geltender Datenschutzgesetze, einschließlich der Datenschutz-Grundverordnung (DSGVO), sicherzustellen.

Sicherheitsvorfall: Jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen oder Systemen gefährden kann. Beispiele sind unbefugte Zugriffsversuche, Malware-Infektionen, Dienstausfälle, versehentliche Offenlegung von Informationen und kompromittierte Benutzerkonten.

Verletzung des Schutzes personenbezogener Daten: Eine Sicherheitsverletzung, die zur versehentlichen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt.

Geringer Schweregrad: isolierte fehlgeschlagene Anmeldeversuche; nicht sensible Konfigurationsprobleme; vorübergehende Dienstverschlechterung.

Mittlerer Schweregrad: unbefugter Kontozugriff; Phishing, das interne Benutzer betrifft; versehentliche Offenlegung an einen unbeabsichtigten Empfänger.

Hoher Schweregrad: Ransomware; Kompromittierung der Datenbank; Diebstahl von Zugangsdaten; groß angelegte Dienstunterbrechung; bestätigte Verletzung des Schutzes personenbezogener Daten, die mehrere Benutzer betrifft.

1. Identifizierung: Potenzielle Vorfälle werden durch Überwachung, Protokollanalyse, Kundenmeldungen, Mitarbeitermeldungen und Drittanbieter-Benachrichtigungen erkannt.

2. Bewertung: Das Unternehmen bewertet betroffene Systeme, Benutzer, Daten, geschäftliche Auswirkungen und rechtliche Implikationen.

3. Eindämmung: Maßnahmen können die Deaktivierung von Konten, die Blockierung von bösartigem Datenverkehr, den Widerruf von API-Token und die Isolierung betroffener Systeme umfassen.

4. Untersuchung: Das Unternehmen untersucht die Ursache, den Angriffsvektor, die betroffenen Informationen, den Zeitplan und die Wirksamkeit bestehender Kontrollen.

5. Wiederherstellung: Zu den Aktivitäten können die Wiederherstellung von Backups, die Bereitstellung von Sicherheitspatches, der Wechsel von Zugangsdaten, die Validierung der Systemintegrität und die Überwachung auf wiederkehrende Aktivitäten gehören.

6. Gewonnene Erkenntnisse: Nach jedem bedeutenden Vorfall überprüft das Unternehmen die beitragenden Faktoren, die Wirksamkeit der Reaktion und Verbesserungsmöglichkeiten. Interne Verfahren können entsprechend aktualisiert werden.

Wenn nach Art. 33 DSGVO erforderlich, benachrichtigt das Unternehmen die zuständige Aufsichtsbehörde unverzüglich und, soweit machbar, innerhalb von 72 Stunden, nachdem es von einer meldepflichtigen Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat. Wenn nach Art. 34 DSGVO erforderlich, werden auch die betroffenen Personen informiert, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten dieser Personen darstellt.

Wenn Kundendaten betroffen sind, stellt das Unternehmen Informationen zur Verfügung, einschließlich der Art des Vorfalls, der Kategorien betroffener Daten, der wahrscheinlichen Konsequenzen, der Maßnahmen zur Schadensbegrenzung, der empfohlenen Kundenaktionen und der Kontaktinformationen.

Das Unternehmen führt interne Aufzeichnungen über bedeutende Sicherheitsvorfälle, einschließlich Vorfallkennung, Entdeckungsdatum, Vorfallkategorie, betroffene Systeme und Daten, ergriffene Maßnahmen, Lösungsdatum und gewonnene Erkenntnisse.

Zur Unterstützung von Untersuchungen kann das Unternehmen Authentifizierungsprotokolle, Anwendungsprotokolle, Sicherheitsprotokolle, Audit-Protokolle und Infrastrukturprotokolle führen. Protokolle sind, soweit technisch machbar, gegen unbefugte Änderungen geschützt. Der Zugriff auf Protokolle ist auf autorisiertes Personal beschränkt.

Wenn ein Vorfall einen Unterauftragsverarbeiter betrifft, arbeitet das Unternehmen mit dem Unterauftragsverarbeiter zusammen, um den Vorfall zu bewerten, Risiken zu mindern, rechtlichen Verpflichtungen nachzukommen und, falls erforderlich, betroffene Parteien zu benachrichtigen.

Die Verfahren zur Reaktion auf Vorfälle werden regelmäßig überprüft und aktualisiert, um neue Bedrohungen, rechtliche Entwicklungen, technologische Änderungen und betriebliche Erfahrungen zu berücksichtigen.

Kunden, Forscher und Dritte können vermutete Schwachstellen oder Sicherheitsvorfälle an [email protected] melden. Das Unternehmen fördert die verantwortungsvolle Offenlegung und wird Meldungen in gutem Glauben untersuchen.

Fragen zu dieser Richtlinie können an: Chronos Web Tech Kft. gerichtet werden.

E-Mail: [email protected] | Website: www.chronosweb.hu