攻撃者の告知で知るデータ侵害

個人データ保護委員会の2023年6月8日付決定2023/1017は、侵害の発覚の仕方が制裁において決定的になり得ることを示しています。

デジタルゲームおよび娯楽プラットフォームを運営する管理者は、自社チームではなく、攻撃者がフォーラムでソースコードとデータベースを売却すると告知したことでサイバー攻撃を知りました。トルコ国内で90,182人が影響を受け、委員会は150万トルコリラの行政罰金を科しました。侵害は15か国のデータ保護当局にも通知されました。

罰則の根拠となったのは侵害そのものではなく、発覚の態様でした。ペネトレーションテストは実施されておらず、同一の脆弱性が二度利用され、パッチ管理方針は侵害後に初めて導入されていました。異常な動きを検知できなかった体制は、ログおよび監視義務が果たされていないことの推定として読まれました。

実務上の示唆は明確です。ログ記録、定期的なペネトレーションテスト、すでに施行されているパッチ方針は、侵害時に委員会へ提出し得る最も強力な資料です。評価は下記のブリーフィングにまとめました。