Zer da segurtasun-urraketa bat eta zer egin urratsez urrats

Segurtasun-urraketa bat —edo datu-urraketa— ez da beti zibereraso sofistikatu bat. Askotan tren batean ahaztutako eramangailu bat da, okerreko pertsonari bidalitako mezu bat edo hutsegitez partekatutako karpeta bat. Aldea markatzen duena ez da gertatzea ehuneko ehunean saihestea, baizik eta argi izatea zer egin gertatzen denean. Gida honek azaltzen du zer den datu-urraketa bat RGPDren arabera, zer mota dauden eta edozein erakundek jarraitu behar duen protokolo antolatua: detektatu, geldiarazi, ebaluatu, dokumentatu eta, badagokio, jakinarazi.

Zer da segurtasun-urraketa bat?

RGPDak datu pertsonalen segurtasunaren urraketa deitzen dio, eta bere 4.12 art.an honela definitzen du: «datu pertsonalen —beste modu batean transmititu, kontserbatu edo tratatutakoak— ustekabeko edo legez kontrako suntsipena, galera edo aldaketa eragiten duen segurtasunaren edozein urraketa, edo datu horietarako baimenik gabeko komunikazio edo sarbidea».

Definizio hori astiro irakurtzea komeni da, ohiko okerra desegiten baitu. Urraketa bat ez da soilik informatika-eraso bat. Arauak kausa ustekabekoez hitz egiten du legez kontrakoez bezainbeste, eta eguneroko gertakariez, hala nola gailu bat galtzea edo behar ez zuenari sarbidea ematea. Hona hemen 4.12 art.an egokitzen diren ohiko adibideak:

• Eramangailu, mugikor, pendrive edo paperezko dokumentazioa duen karpeta baten galera edo lapurreta.
• Mezu edo dokumentu baten okerreko bidalketa okerreko hartzaile bati, edo hartzaileen zerrenda kopia irekian ikusgai duela.
• Sistema baterako baimenik gabeko sarbidea, kanpokoa (intrusioa) zein barnekoa (behar ez zituen datuak kontsultatzen dituen pertsona bat).
• Informazioaren zifratze maltzurra ransomware baten bidez, eskuraezin uzten duena.
• Datu-base baten ustekabeko ezabatzea edo aldaketa, segurtasun-kopiarik gabe.

Gakoa da ulertzea urraketak beti datu pertsonalak hartzen dituela erreferentziatzat: pertsona fisiko identifikatu edo identifikagarriei buruzko informazioa. Datu tekniko anonimoei soilik eragiten dien gertakari bat ez da urraketa bat RGPDren zentzuan, informatika-segurtasunaren arazo bat izan badaiteke ere, konpontzea komeni dena.

Urraketa motak: konfidentzialtasuna, osotasuna eta eskuragarritasuna

4.12 art.ak izen propioz etiketatzen ez baditu ere, bere idazketatik hiru urraketa mota ondorioztatzen dira, segurtasunaren zein dimentsiori eragiten dion. Gertakaria horietako batean sailkatzea da lehen urratsa gertatutakoa ondo ebaluatzeko.

Konfidentzialtasun-urraketa

Datuetarako baimenik gabeko sarbidea edo dibulgazioa dago. Behar ez zuenari bidalitako mezuaren kasua da, sistema baterako sarbide desegokiarena edo zerrenda baten ustekabeko argitalpenarena. Datuek existitzen jarraitzen dute eta osorik daude, baina dagokionak ez den norbaitek ikusi ditu.

Osotasun-urraketa

Datuak baimenik gabe aldatzen dira eta fidagarriak izateari uzten diote. Adibidez, erregistroen aldaketa desegoki bat edo informazioak errealitatea jada islatzen ez duen manipulazio bat. Hemengo arriskua da zuzenak izateari utzi dioten datuen gainean erabakiak hartzea.

Eskuragarritasun-urraketa

Datuetarako sarbide-galera edo haien suntsipena gertatzen da. Kasu tipikoa informazioa zifratzen duen ransomware-a da, kopiarik gabeko ustekabeko ezabatze bat edo euskarri baten matxura berreskuraezina. Datuek existitzen jarrai dezakete, baina erakundeak ezin ditu erabili behar dituenean.

Gertakari berak hainbat mota konbina ditzake aldi berean. Datu-base bat lapurtu eta gainera zifratzen duen eraso batek konfidentzialtasunari eta eskuragarritasunari eragiten die aldi berean. Horregatik azterketa gertakariz gertakari egin behar da, ezer eman gabe.

Zer egin urratsez urrats urraketa baten aurrean

Gertakari bat detektatzen denean, erantzun profesionala antolatua da, ez presakoa. Metodoz jokatzeak irizpidez erabakitzen uzten du zer betebehar aktibatzen diren eta zein ez. Hau da ibilbide logikoa.

1. Detektatu eta baieztatu

Lehen urratsa da baieztatzea zerbait gertatu dela eta zertaz den. Alerta askok positibo faltsuak izaten dira; beste batzuk, benetako gertakariak. Idatzi noiz izan duzun gertaeraren berri, une hori baita ondorengo epeen hasiera markatzen duena. Berri izateak esan nahi du datu-arriskuren bat egon dela ziurtasun arrazoizko bat, ez hasierako susmo hutsa.

2. Geldiarazi

Ezer sakonki aztertu aurretik, kaltea geldiarazi behar da. Kasuaren arabera: kaltetutako ekipoa isolatu, arriskuan dauden sarbideak edo kredentzialak errebokatu, hutsegitez argitaratutako dokumentua sistematik kendu edo behar ez zuenari bidalitako mezua kentzeko eskatu. Geldiarazteak ez du urraketa konpontzen, baina hazi ez dadin saihesten du ebaluatzen den bitartean.

3. Arriskua ebaluatu

Hau da gainerako guztia erabakitzen duen urratsa. Pertsona kaltetuen eskubide eta askatasunetarako arriskua baloratu behar da, kontuan hartuta zer datu mota dauden tartean, haien bolumena, zenbat pertsonari eragiten dion, haiek identifikatzeko erraztasuna eta haientzako ondorio posibleak (adibidez, nortasun-ordezpena, galera ekonomikoak edo haien intimitatearen kaltea). Ebaluazio horren emaitzak erabakitzen du urraketa barne-erregistroan gelditzen den, gainera agintaritzari jakinarazten zaion ala kaltetuei ere komunikatu behar zaien.

4. BETI dokumentatu (RGPD 33.5 art.)

Hemen ez dago interpretazio-tarterik: urraketa guztiak dokumentatzen dira, jakinarazi edo ez. RGPD 33.5 art.ak arduraduna behartzen du edozein segurtasun-urraketa dokumentatzera, hari lotutako gertaerak, bere ondorioak eta hartutako neurri zuzentzaileak barne. Urraketen barne-erregistro horrek erakundeak gertakari bakoitza irizpidez baloratu zuela frogatzeko aukera ematen du, baita arriskurik ez ekartzeagatik jakinaraztea ez erabaki zirenak ere. Ondo dokumentatzea da, praktikan, arretaz jokatu izanaren froga onena.

5. Kontrol-agintaritzari jakinarazi arriskua dagoenean (RGPD 33. art.)

Ebaluazioak ondorioztatzen badu urraketak pertsonen eskubide eta askatasunetarako arriskua ekar dezakeela, RGPD 33. art.ak kontrol-agintaritzari (Espainian, AEPD) jakinaraztera behartzen du. Bidegabeko atzerapenik gabe egin behar da eta, ahal bada, urraketaren berri izan denetik 72 orduen barruan. Epe horretara iristen ez bada, jakinarazpenak atzerapenaren arrazoien azalpen bat izan behar du lagun. Jakinarazpenak urraketaren izaera, kaltetuen kategoriak eta gutxi gorabeherako kopurua, ondorio probableak eta hartutako edo proposatutako neurriak deskribatzen ditu.

6. Kaltetuei komunikatu arriskua handia bada (RGPD 34. art.)

Urraketak pertsonen eskubide eta askatasunetarako arrisku handia ekar dezakeenean, RGPD 34. art.ak gainera pertsona kaltetuei zuzenean komunikatzea eskatzen du, bidegabeko atzerapenik gabe eta hizkera argi eta sinplean. Helburua da haiek babestu ahal izatea: pasahitz bat aldatu, banku-mugimenduak zaindu edo ordezpen-saiakera posibleen aurrean adi egon. 34. art.ak berak salbuespenak aurreikusten ditu komunikazio honetarako, adibidez neurriak —hala nola zifratzea— aplikatu zirenean datuak hirugarrenentzat ulertezin bihurtzen dituztenak, edo banaka jakinaraztea ahalegin neurrigabea izango litzatekeenean eta komunikazio publiko baliokide bat aukeratzen denean.

Epeen eta ekintzen taula

Hau da betebehar bakoitzaren, RGPDn duen oinarriaren eta noiz aktibatzen den arteko erlazioa. Beti egin behar dena eta ebaluatutako arriskuaren mende dagoena bereizten laguntzen du.

Kontuan izan logika mailakatua: dokumentazioa unibertsala da, jakinarazpena arriskua egotearen mende dago eta kaltetuei komunikatzea arrisku handiarekin soilik aktibatzen da. Urraketa oro ez da azken mailara iristen, baina urraketa oro lehenengotik pasatzen da.

Urraketen protokoloa: aldez aurretik prestatu

Urraketa bati ondo erantzuteko modurik onena da aldez aurretik erabaki izana nola erantzungo den. Segurtasun-urraketen protokolo bat da, ezer gertatu aurretik, nork zer egiten duen eta zein ordenatan finkatzen duen barne-dokumentua. Ez da burokrazia: 72 orduko epe bat inprobisatu gabe betetzeko aukera ematen duena da.

Protokolo baliagarri batek, egunerokora eramanda, hau kontuan hartu ohi du:

• Barne-abisurako kanal argi bat. Taldeko edozein pertsonak jakin dezala nori abisatu zerbait arraroa detektatu bezain laster, egiteko beldurrik gabe. Urraketa asko berandu kudeatzen dira detektatzen dituenak nora jo ez dakielako.
• Erantzuna koordinatzeko arduradun bat. Erabakiak zentralizatzen dituen eta bakoitzak bere kabuz joka ez dezan saihesten duen figura bat.
• Gertakaria 33.5 art.aren arabera dokumentatzeko prest dagoen barne-erregistroaren txantiloi bat: zer gertatu zen, noiz jakin zen, zer datu eta pertsonari eragiten dion, zer egin zen eta zer emaitzarekin.
• Aldez aurretik definitutako arriskua ebaluatzeko irizpide bat, presiopean baloraziorik inprobisatu behar ez izateko.
• Langile teknikoaren, datuen babeseko aholkulariaren eta agintaritzari jakinarazteko bidearen kontaktu-datuak, eskura eta eguneratuta.

Urraketen protokoloa informazioaren segurtasun-politikaren esparru zabalago baten barruan kokatzen da, RGPD 32. art.aren neurri tekniko eta antolakuntzakoak definitzen dituena. Bi gauzak elkarren sostengu dira: segurtasun-neurri onek urraketen probabilitatea murrizten dute, eta protokolo on batek erantzun antolatua bermatzen du baten bat gertatzen denean hala ere.

Erantzuteko checklist-a

Gertatzen den egunean eskura izateko zerrenda bizkor bat. Ez du protokolo osoa ordezkatzen, baina lehen mugimenduak antolatzen ditu.

• ☐ Gertakaria baieztatu eta berri izan den data eta ordua idatzi.
• ☐ Geldiarazi: sistemak isolatu, sarbideak errebokatu, hutsegitez argitaratutakoa edo bidalitakoa kendu.
• ☐ Identifikatu gertakariak zer datu eta zenbat pertsonari eragiten dion.
• ☐ Sailkatu urraketa: konfidentzialtasuna, osotasuna, eskuragarritasuna edo konbinazio bat?
• ☐ Pertsona kaltetuen eskubide eta askatasunetarako arriskua ebaluatu.
• ☐ Dena dokumentatu urraketen barne-erregistroan (beti, 33.5 art.).
• ☐ Erabaki agintaritzari jakinaraztea dagokion (33. art.) eta, hala bada, epearen barruan egin.
• ☐ Erabaki arrisku handiagatik kaltetuei komunikatzea dagokion (34. art.).
• ☐ Errepika ez dadin hartutako neurri zuzentzaileak erregistratu.

Ohiko galderak

Zer da segurtasun-urraketa bat RGPDren arabera?

RGPDren 4.12 art.ak datu pertsonalen segurtasunaren urraketa definitzen du datu pertsonalen ustekabeko edo legez kontrako suntsipena, galera edo aldaketa eragiten duen segurtasunaren edozein urraketa gisa, edo datu horietarako baimenik gabeko komunikazio edo sarbide gisa. Ez da soilik zibereraso bat: eramangailu bat galtzea, datuak dituen mezu bat okerreko hartzaileari bidaltzea edo paperezko dokumentazioa galtzea ere badira.

Segurtasun-urraketa guztiak jakinarazi behar zaizkio AEPDri?

Ez. Kontrol-agintaritzari soilik jakinarazten zaizkio pertsona kaltetuen eskubide eta askatasunentzako arriskua ekar dezaketen urraketak (RGPD 33. art.). Hala ere, urraketa guztiak, jakinarazi edo ez, barne-erregistro batean dokumentatuta gelditu behar dira (RGPD 33.5 art.). Jakinarazteko erabakia arriskuaren aurretiazko ebaluazio baten mendean dago, ez itxurazko larritasunaren mendean.

Zenbat denboraren barruan jakinarazi behar zaio urraketa bat kontrol-agintaritzari?

RGPDren 33. art.ak ezartzen du, urraketa jakinarazi behar denean, bidegabeko atzerapenik gabe egin dadila eta, ahal bada, gehienez 72 orduko epean arduradunak horren berri izan duenetik. Beranduago jakinarazten bada, atzerapenaren arrazoiekin batera joan behar da. Epea kontatzen hasten da erakundeak gertaera jazo dela ziurtasun arrazoizkoa duenetik, ez lehen zantzutik.

Noiz jakinarazi behar zaie urraketak kaltetutako pertsonei?

Urraketak pertsona kaltetuen eskubide eta askatasunentzako arrisku handia ekar dezakeenean (RGPD 34. art.). Kasu horretan bidegabeko atzerapenik gabe komunikatu behar zaie, hizkera argian, zer gertatu den, ondorio posibleak eta hartutako neurriak azalduz. Arriskua handia bada baina neurriak aplikatu badira eta horrek arriskua neutralizatzen badu, 34. art.ak berak salbuespenak aurreikusten ditu komunikazio honetarako.

Laburbilduz

Segurtasun-urraketa bat datu pertsonalen edozein suntsipen, galera, aldaketa, komunikazio edo baimenik gabeko sarbidea da (RGPD 4.12 art.), eta zibereraso batetik gaizki bidalitako mezu bateraino joan daiteke. Erantzun zuzena beti da metodikoa: detektatu, geldiarazi, arriskua ebaluatu, barne-erregistroan dokumentatu —hori beti, 33.5 art.aren eskakizunagatik— eta, arriskuaren arabera, kontrol-agintaritzari 33. art.aren epean jakinarazi eta kaltetuei 34. art.aren arabera komunikatu. Prest dagoen protokolo bat izateak une delikatu bat prozedura antolatu bihurtzen du.

Nola laguntzen dizun Certix-ek

Certix-en erakundeei laguntzen diegu beren urraketen protokoloa behar aurretik prestatzen eta unea iristen denean irizpidez kudeatzen. Barne-abisuaren zirkuitua, 33.5 art.aren araberako erregistro-txantiloia, arriskua ebaluatzeko irizpidea eta jakinarazpenaren koordinazioa definitzen ditugu dagokionean. Helburua ez da beldurra, baizik eta ordena: zehazki zer egin eta zer epetan jakitea.

Esparru osoa gure RGPDren gidan ulertzen hasi zaitezke edo protokoloa zure informazioaren segurtasun-politikan nola integratzen den berrikusi.

---

Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.