Εμπιστοσύνη

Περιστατικά ασφάλειας και παραβιάσεις προσωπικών δεδομένων

Το κείμενο αυτό λέει τι κάνει ο διαχειριστής του filterit (ο «Διαχειριστής») όταν κάτι πάει στραβά: πώς ταξινομείται ένα περιστατικό, τι γίνεται τις πρώτες ώρες, και πότε και πώς ειδοποιούνται οι πελάτες, η εποπτική αρχή και τα υποκείμενα των δεδομένων. Είναι το μέρος της διαδικασίας περιστατικών που απευθύνεται στους πελάτες και η δέσμευση στην οποία παραπέμπει η Σύμβαση Επεξεργασίας Δεδομένων στον όρο της για τις παραβιάσεις.

Σχετικά: τα τεχνικά και οργανωτικά μέτρα, η σελίδα ασφάλειας και η πολιτική γνωστοποίησης ευπαθειών.

1. Ορισμοί

Περιστατικό ασφάλειας είναι κάθε συμβάν που θίγει, ή θα μπορούσε να θίξει, την εμπιστευτικότητα, την ακεραιότητα ή τη διαθεσιμότητα της υπηρεσίας ή των δεδομένων της. Παραβίαση προσωπικών δεδομένων (άρθρο 4(12) ΓΚΠΔ) είναι περιστατικό ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση σε προσωπικά δεδομένα.

Τι διαφοροποιεί αυτή την υπηρεσία από τις περισσότερες: το περιεχόμενο αποθηκεύεται καλυμμένο και σφραγισμένο, και οι αρχικές τιμές ζουν μόνο σε κρυπτογραφημένο vault. Η σοβαρότητα ενός περιστατικού εξαρτάται λοιπόν πάνω από όλα από ένα ερώτημα: ήταν προσβάσιμο το vault μαζί με κλειδί που το ανοίγει; Καλυμμένο περιεχόμενο χωρίς το κλειδί είναι ψευδωνυμοποιημένα δεδομένα· το vault με το κλειδί του είναι το κλειδί επαναταυτοποίησης για όλα.

2. Πώς να μας ενημερώσετε

  • Ευπάθειες και ύποπτα περιστατικά: contact@filterit.app, ιδιωτικά, πριν από κάθε δημοσίευση. Η διεύθυνση βρίσκεται και στο /.well-known/security.txt (RFC 9116).
  • Πελάτες με DPA: η ίδια διεύθυνση, με την ένδειξη «περιστατικό ασφάλειας». Επιβεβαιώνουμε τη λήψη και δίνουμε ένα σημείο επαφής για το περιστατικό.
  • Απαντάμε σε κάθε αναφορά. Ζητάμε να μη γίνονται δοκιμές σε λογαριασμούς ή δεδομένα άλλων.

3. Σοβαρότητα

Επίπεδο Ορισμός Παραδείγματα
1, κρίσιμο Επιβεβαιωμένη ή πιθανή έκθεση αποκρυπτογραφήσιμων προσωπικών δεδομένων, ή κλειδιού που ανοίγει το vault Κοινολόγηση του κύριου κλειδιού· αντιγραφή της βάσης του vault μαζί με τα μυστικά του server· ακάλυπτο περιεχόμενο σταλμένο σε λάθος παραλήπτη
2, υψηλό Έκθεση καλυμμένων αλλά προσωπικών δεδομένων, ή παραβίαση διαπιστευτηρίων και διακριτικών Κοινολόγηση διακριτικών γραμματοκιβωτίου· μαζική αντιγραφή καλυμμένων εγγραφών· κατάληψη λογαριασμού διαχειριστή
3, μέτριο Περιορισμένο συμβάν ασφάλειας χωρίς επιβεβαιωμένη έκθεση προσωπικών δεδομένων Αποκρουσμένη απόπειρα εισβολής· προσωρινό αρχείο που έμεινε πέρα από τη διάρκειά του· ευπάθεια εξάρτησης που βρέθηκε εκμεταλλεύσιμη
4, χαμηλό Απόκλιση από πολιτική ή ρύθμιση χωρίς κίνδυνο για δεδομένα Λάθος ρύθμιση που εντοπίστηκε πριν από έκθεση

Το επίπεδο μπορεί να αλλάξει όσο η έρευνα μαθαίνει περισσότερα.

4. Οι πρώτες ώρες

  1. Καταγραφή της ώρας γνώσης. Ξεκινά το 72ωρο του άρθρου 33 και το 48ωρο της DPA.
  2. Περιορισμός. Απομόνωση του θιγόμενου μέρους· εναλλαγή κάθε διαπιστευτηρίου που θα μπορούσε να εμπλέκεται (το κύριο κλειδί και τα παράγωγά του, το μυστικό υπογραφής συνεδριών, κλειδιά API, διακριτικά γραμματοκιβωτίου, κλειδιά παρόχων)· ανάκληση συνεδριών· αν εμπλέκεται διακριτικό γραμματοκιβωτίου, ανάκληση στον πάροχο και αποσύνδεση του γραμματοκιβωτίου· αν εμπλέκεται ο πάροχος μοντέλου, παύση των εξερχόμενων κλήσεων.
  3. Διατήρηση αποδεικτικών πριν η αποκατάσταση τα αντικαταστήσει: αρχεία καταγραφής, η αλυσίδα του αρχείου εξόδου, το αρχείο ελέγχου διαχειριστών, η κατάσταση των θιγόμενων συστημάτων.
  4. Εκτίμηση. Ποια δεδομένα, πόσα, καλυμμένα ή αποκρυπτογραφήσιμα, εκτέθηκε κλειδί, πόσο εύκολη είναι η επαναταυτοποίηση, ποιες οι πιθανές συνέπειες για τα πρόσωπα.
  5. Απόφαση για τις ειδοποιήσεις της ενότητας 5 και έναρξή τους.
  6. Άρση της αιτίας (διόρθωση, ρύθμιση, εναλλαγή κλειδιού με επανακρυπτογράφηση), επαλήθευση της ακεραιότητας του vault και της επιβολής διαρκειών και εκκαθαρίσεων, αποκατάσταση της υπηρεσίας, παρακολούθηση για επανεμφάνιση.

Η εναλλαγή του κύριου κλειδιού σημαίνει επανακρυπτογράφηση του vault υπό το νέο κλειδί· η βήμα προς βήμα διαδικασία βρίσκεται στο εσωτερικό εγχειρίδιο του Διαχειριστή και μια υποψία παραβίασης κλειδιού την ενεργοποιεί αμέσως, μαζί με την ανάκληση κάθε συνεδρίας.

5. Ειδοποιήσεις

Ποιος Πότε Τι
Πελάτες με DPA (ως υπεύθυνοι επεξεργασίας) Χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 48 ωρών από τη γνώση, για κάθε παραβίαση προσωπικών δεδομένων που αφορά τα δεδομένα τους Η φύση της παραβίασης, οι κατηγορίες και ο κατά προσέγγιση αριθμός υποκειμένων και εγγραφών, αν τα δεδομένα ήταν καλυμμένα ή αποκρυπτογραφήσιμα και αν εκτέθηκε κλειδί, οι πιθανές συνέπειες, τα μέτρα που ελήφθησαν και προτείνονται, το σημείο επαφής. Συμπληρώνεται όσο προχωρά η έρευνα.
Εποπτική αρχή (όπου ο Διαχειριστής είναι υπεύθυνος επεξεργασίας) Χωρίς αδικαιολόγητη καθυστέρηση και, αν είναι δυνατόν, εντός 72 ωρών από τη γνώση, εκτός αν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων (άρθρο 33) Το περιεχόμενο του άρθρου 33(3). Όπου οι πληροφορίες δεν είναι πλήρεις αμέσως, δίνονται σταδιακά (άρθρο 33(4)). Η αιτιολογία για τη μη ειδοποίηση, όπου αυτή είναι η απόφαση, καταγράφεται.
Υποκείμενα των δεδομένων Χωρίς αδικαιολόγητη καθυστέρηση όταν η παραβίαση ενδέχεται να προκαλέσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες τους (άρθρο 34) Με σαφή και απλή γλώσσα: τι συνέβη, ποια δεδομένα, τι μπορεί να σημαίνει για αυτά, τι κάναμε, τι μπορούν να κάνουν, πώς να μας βρουν. Δεν απαιτείται όταν τα δεδομένα ήταν ακατάληπτα για τον μη εξουσιοδοτημένο (για παράδειγμα καλυμμένο περιεχόμενο χωρίς έκθεση κλειδιού) ή ο υψηλός κίνδυνος έχει αρθεί με άλλον τρόπο.
Το κοινό Όταν ένα περιστατικό επηρέασε τη διαθεσιμότητα της υπηρεσίας ή πολλούς χρήστες Σύντομη ενημέρωση κατάστασης στο site, χωρίς προσωπικά δεδομένα.

Η ψευδωνυμοποίηση λαμβάνεται υπόψη στην εκτίμηση κινδύνου, και προς τις δύο κατευθύνσεις: η έκθεση μόνο καλυμμένου περιεχομένου μπορεί να είναι χαμηλότερου κινδύνου· η έκθεση του vault μαζί με κλειδί είναι υψηλού κινδύνου, επειδή η επαναταυτοποίηση γίνεται τετριμμένη.

6. Αναθεώρηση

Έκδοση Ημερομηνία Αλλαγή
1.0 2026-10-07 Πρώτη δημοσιευμένη έκδοση. Σοβαρότητα με βάση το αν εκτέθηκε κλειδί· 48 ώρες προς πελάτες (DPA), 72 ώρες προς την αρχή (άρθρο 33).