Στις 25.05.2019 συμπληρώθηκε ένας χρόνος από την εφαρμογή του Γενικού Κανονισμού Προστασίας Προσωπικών Δεδομένων (GDPR), η εφαρμογή του οποίου επηρέασε τον τρόπο λειτουργίας των εταιριών. Πιο συγκεκριμένα, οι εταιρίες κλήθηκαν να προσαρμόσουν πολιτικές και διαδικασίες διαχείρισης προσωπικών δεδομένων και να δημιουργήσουν υποδομές αντιμετώπισης περιστατικών παραβίασης ασφάλειας των συστημάτων τους.
Κάνοντας έναν γρήγορο απολογισμό βασιζόμενοι σε στοιχεία του IAPP (international association of privacy professionals) έχουμε τα ακόλουθα:
- άνω των 200.000 ήταν ο αριθμός των καταγγελιών στις τοπικές αρχές προστασίας δεδομένων προσωπικού χαρακτήρα
- άνω των 64.000 ο αριθμός των περιστατικών παραβίασης ασφάλειας,
- 375.000 επιχειρήσεις δήλωσαν Data Protection Officer στις αρχές προστασίας,
- €56 εκατ. ήταν το ποσό των προστίμων που επιβλήθηκαν από τις κατά τόπους Αρχές (το μεγαλύτερο επιβλήθηκε από την Γαλλική Αρχή Προστασίας στην Google).
Λαμβάνοντας υπόψη τα παραπάνω, βλέπουμε πως αντέδρασαν πελάτες/εταιρίες/ρυθμιστικές Αρχές στο νέο περιβάλλον που δημιουργήθηκε μετά τις 25.05.2018 με την εφαρμογή του Γενικού Κανονισμού Προστασίας Δεδομένων. Για πρώτη φορά είχαμε επίσημα καταγραφή περιστατικών παραβίασης ασφάλειας.
Τα περιστατικά παραβίασης ασφάλειας επηρεάζουν την ομαλή συνέχιση της επιχειρηματικής δραστηριότητας των επιχειρήσεων και μπορούν να οδηγήσουν σε διακοπή εργασιών.
Ένα περιστατικό παραβίασης ασφάλειας μπορεί να προκαλέσει αδυναμία χρήσης των εταιρικών συστημάτων και μη δυνατότητα εξυπηρέτησης των πελατών της. Αν το περιστατικό παραβίασης συνοδεύεται και από απώλεια προσωπικών δεδομένων πελατών, έχουμε δημιουργία άγχους και δυσαρέσκειας στους πελάτες, δυσαρέσκεια που μεταφράζεται σε απώλεια πελατών και εσόδων
Κάθε περιστατικό παραβίασης ασφάλειας δημιουργεί κρίση στην εταιρία και η διαχείρισή του απαιτεί εκπαιδευμένο ανθρώπινο δυναμικό, ύπαρξη Πλάνου Αντιμετώπισης Περιστατικών και ασφάλιση cyber insurance η οποία, εκτός από την κάλυψη των οικονομικών συνεπειών, προσφέρει την τεχνογνωσία διαχείρισης περιστατικών και τους ειδικούς οι οποίοι κάνουν το Πλάνο Αντιμετώπισης Περιστατικών της εταιρίας λειτουργικό.
Έρευνες δείχνουν ότι όταν μια επιχείρηση διαχειριστεί αποτελεσματικά ένα περιστατικό παραβίασης ασφάλειας και η ανάκαμψή της είναι γρήγορη, μπορεί να επωφεληθεί από υψηλότερα επίπεδα ικανοποίησης των πελατών της από ό, τι πριν από την κρίση.
Η εφαρμογή του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) βοηθάει τις επιχειρήσεις να προστατεύσουν τόσο την ομαλή λειτουργία τους όσο και τα προσωπικά δεδομένα των πελατών τους, και να προστατευτούν από μεγάλα διοικητικά πρόστιμα που μπορούν να τους επιβληθούν από την Αρχή Προστασίας Προσωπικών Δεδομένων.
Τα πιο συνηθισμένα περιστατικά που αντιμετωπίζουν οι επιχειρήσεις στην Ελλάδα είναι το κλείδωμα των συστημάτων τους από κακόβουλο λογισμικό (ransomware) και η αποστολή χρημάτων σε άγνωστο παραλήπτη (fraudulent instructions) μετά από λήψη παραποιημένου παραστατικού, συνήθως τιμολογίου προμηθευτή μέσω email. Και οι δύο παραπάνω περιπτώσεις αντιμετωπίζονται αποτελεσματικά με την ύπαρξη κατάλληλων διαδικασιών και εκπαίδευσης του ανθρώπινου δυναμικού της.
Αυτό που παρατηρήθηκε μετά την εφαρμογή του Γενικού Κανονισμού Προστασίας Προσωπικών Δεδομένων (GDPR) είναι ότι μέσα στους κύριους λόγους αγοράς ασφαλιστικής κάλυψης από τις εταιρίες, οι οποίοι είναι
- η ύπαρξη ενός περιστατικού παραβίασης ασφάλειας σε ανταγωνιστή,
- η ύπαρξη ενός περιστατικού στην ίδια την εταιρία,
- η απαίτηση ενός πελάτη/προμηθευτή για να προχωρήσει η μεταξύ τους συνεργασία,
ανέβηκε στην τρίτη θέση η απαίτηση ενός πελάτη/προμηθευτή για να προχωρήσει μια συνεργασία η ύπαρξη ασφαλιστικής κάλυψης. Η ανάγκη προστασίας των εταιριών από περιστατικά παραβίασης ασφάλειας που μπορούν να συμβούν σε συνεργαζόμενες με αυτές εταιρίες, τα οποία μπορούν να επηρεάσουν τις λειτουργίες τους και να τις φέρουν αντιμέτωπες με διοικητικά πρόστιμα τα οποία μπορούν να φθάσουν έως και 4% του ετήσιου τζίρου τους, ήταν η αιτία που ανέβασε στην τρίτη θέση την ύπαρξη ασφαλιστικής κάλυψης.
Για το λόγο αυτό, άρχισαν να ζητάνε την ασφάλιση των πελατών/προμηθευτών, μιας και ήταν ο καταλληλότερος τρόπος εξασφάλισης η ύπαρξη ασφαλιστικής κάλυψης σε σχέση με την διενέργεια ενός ελέγχου του οποίου τα αποτελέσματα, όσο καλά και να ήταν, δεν εξασφαλίζουν την διαθεσιμότητα των πόρων αντιμετώπισης ενός περιστατικού.
Για την ευαισθητοποίηση του ανθρώπινου δυναμικού των εταιριών, δημιουργήσαμε την εκπαιδευτική μηχανή στο διαδίκτυο cyberinsurancequote.gr, την οποία σας προτρέπουμε να χρησιμοποιήσετε.
Σχόλια