Wyciek danych klientów sklepu internetowego – przykład
Sklep internetowy z tego przykładu (wszystkie dane są wymyślone) odkrył, że z jego bazy wyciekły dane kilkunastu tysięcy klientów. Przykład pokazuje pierwsze 72 godziny, koszty incydentu i to, jak zadziałało ubezpieczenie cyber.
Opracowanie: redakcja Asevra · Aktualizacja:
Krótka odpowiedź
Po wycieku danych osobowych administrator zgłasza naruszenie do Prezesa Urzędu Ochrony Danych Osobowych (UODO) bez zbędnej zwłoki – w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 ogólnego rozporządzenia o ochronie danych, RODO), a przy wysokim ryzyku zawiadamia też klientów (art. 34). W przykładzie polisa cyber pokryła informatykę śledczą, doradztwo prawne, powiadomienia i część przestoju sklepu, ale ubezpieczyciel sprawdzał też, czy firma spełniała wymogi bezpieczeństwa zadeklarowane we wniosku. Dane przykładowe.
Sytuacja
Sklep internetowy z akcesoriami sportowymi obsługuje około 20 000 klientów rocznie. Platformę sklepu z kilkoma wtyczkami utrzymuje sam właściciel z jednym informatykiem na zlecenie. Płatności obsługuje zewnętrzny operator, więc sklep nie przechowuje pełnych danych kart.
Rok wcześniej firma zawarła ubezpieczenie cyber. We wniosku zadeklarowała uwierzytelnianie dwuskładnikowe kont administratorów, codzienną kopię zapasową i regularne instalowanie poprawek bezpieczeństwa. Polisa obejmowała koszty reakcji na incydent, utratę zysku po przerwie w działaniu systemów i OC za naruszenie danych. Utrata zysku miała udział własny czasowy 12 godzin: za pierwsze 12 godzin przerwy odszkodowanie nie przysługuje.
Incydent
W piątek wieczorem klienci zaczęli zgłaszać fałszywe wiadomości z „potwierdzeniem zamówienia” i linkiem do płatności. Informatyk ustalił, że atakujący wykorzystał lukę w nieaktualizowanej od kilku miesięcy wtyczce i pobrał bazę klientów: imiona, nazwiska, adresy, e-maile, telefony i historię zamówień – około 18 000 rekordów.
Szukasz ubezpieczenia dla firmy?
Wskaż rodzaj ubezpieczenia i podaj dane kontaktowe. Formularz wypełnisz w kilka minut.
Co firma zrobiła w pierwszych 72 godzinach
- Telefon na infolinię ubezpieczyciela Polisa cyber zapewniała całodobowy kontakt z zespołem reagowania. Firma zgłosiła incydent w piątek w nocy, zgodnie z terminem z OWU.
- Odcięcie i zabezpieczenie dowodów Zespół informatyki śledczej wskazany przez ubezpieczyciela odciął dostęp atakującego i zabezpieczył logi. Sklep wyłączono na czas usuwania luki.
- Ocena naruszenia z prawnikiem Prawnik ocenił, że wyciek danych kontaktowych w połączeniu z historią zamówień niesie wysokie ryzyko wyłudzeń przez podszywanie się pod sklep (phishing).
- Zgłoszenie do UODO W niedzielę firma zgłosiła naruszenie Prezesowi UODO – w terminie 72 godzin od stwierdzenia naruszenia (art. 33 ust. 1 RODO).
- Zawiadomienie klientów Klienci dostali wiadomość o naruszeniu i ostrzeżenie przed fałszywymi linkami (art. 34 RODO). Firma uruchomiła infolinię.
Termin z OWU i komplet dokumentów mają znaczenie przy każdym zgłoszeniu szkody, także poza ubezpieczeniem cyber.
Jak zadziałała polisa
Sklep był wyłączony przez 4 dni. Ubezpieczyciel pokrył koszty reakcji na incydent i utratę zysku za czas przerwy, po odjęciu udziałów własnych.
Przy likwidacji ubezpieczyciel zwrócił uwagę na nieaktualizowaną wtyczkę: we wniosku firma zadeklarowała regularne poprawki bezpieczeństwa. Skutki nieprawdziwych lub nieaktualnych odpowiedzi we wniosku zależą od tego, o co pytał ubezpieczyciel, i od treści OWU, bo granice wyznacza obowiązek informacyjny przed umową. W tym przypadku ubezpieczyciel uznał, że pozostałe zadeklarowane zabezpieczenia działały, i wypłacił świadczenie, ale spór o ten punkt był realnym ryzykiem.
Otwarte pozostały dwie sprawy: ewentualne roszczenia klientów o odszkodowanie (art. 82 RODO), które polisa obejmuje w zakresie OC za naruszenie danych, oraz możliwa administracyjna kara pieniężna – jej ubezpieczalność jest niepewna i zależy od prawa i OWU.
Czego uczy ten przykład
- Termin 72 godzin liczy się od stwierdzenia naruszenia, a nie od zakończenia analizy. Plan reagowania i kontakt do zespołu ubezpieczyciela skracają pierwsze godziny.
- Ankieta bezpieczeństwa to część umowy. Deklaracje o poprawkach, kopiach i uwierzytelnianiu warto aktualizować razem z praktyką.
- Polisa OC działalności zwykle nie zastępuje cyber, bo kosztów własnych incydentu nie obejmuje (ubezpieczenie cyber a OC działalności).
- Przestój sklepu internetowego to strata od pierwszej godziny – udział czasowy w polisie decyduje, ile z niej zostaje po stronie firmy.
Wyciek danych i przestój platformy to główne ryzyka sklepów internetowych – więcej o ubezpieczeniach sklepu internetowego. Zakres polisy dla konkretnego sklepu ustala uprawniony dystrybutor ubezpieczeń (partner) po analizie potrzeb.
Czytaj dalej
Zobacz też
ArtykułBłąd biura – przykład
Co z roszczeń klienta pokryło OC biura rachunkowego po błędzie w VAT?
ArtykułWadliwy produkt – przykład
Co pokryje OC za produkt, gdy wadliwa partia wywoła pożary, a czego nie?
ArtykułWadium – przykład
Ile kosztuje wadium w pieniądzu, a ile gwarancja wadialna w przetargu na 6 mln zł?
ArtykułPożar hali – przykład
Ile odszkodowania dostaje firma po pożarze hali ubezpieczonej na wartość księgową?
Pytania
Najczęstsze pytania
Czy trzeba zgłaszać do UODO każdy wyciek danych?
Nie każdy. Zgłoszenia nie trzeba dokonywać, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób (art. 33 ust. 1 RODO). Ocenę i jej uzasadnienie warto udokumentować, bo administrator musi prowadzić rejestr wszystkich naruszeń.
Czy polisa cyber pokrywa koszty, jeśli wyciek nastąpił u dostawcy platformy?
To zależy od OWU. Część polis obejmuje incydenty u dostawców usług chmurowych i hostingu, często z podlimitem, inne tylko systemy samej firmy. Sprawdź definicję „systemu komputerowego” w umowie.