鉴于 《安全漏洞管理和通知指南》 由西班牙数据保护局（AEPD）发布，LETSLAW 希望提供一份摘要，概述 AEPD 为妥善应对安全漏洞而提供的最新指导方针。
通过本指南，AEPD 旨在确立一系列准则，以便企业在其安全漏洞政策中纳入统一的程序，从而对可能遭受的数据保护违规或侵犯行为作出 有效 的回应。
安全漏洞的检测、识别与分类
妥善管理安全漏洞的第一步是检测安全事件的来源。为此，应建立一个持续的检测流程，通过内部和外部来源进行。
一旦检测到对数据的非授权访问，必须确定是否存在 安全漏洞或安全事件。“安全事件”是通用术语，而“安全漏洞”是指影响个人数据的事件。
在确定存在安全漏洞后，应评估其 危害程度。为此，应分析以下要点：
- 关键性级别：在企业内部的影响。
- 受影响数据的性质、数量和类别。
- 后果：对个人造成的影响（确定严重程度等级）以及受影响人数。
安全漏洞的类型
了解安全漏洞的危害程度后，可将其分类为：
- 保密性漏洞：当存在未经授权的访问或访问者没有合法目的时发生。
- 完整性漏洞：当原始信息被篡改且数据替换可能有害时发生。
- 可用性漏洞：后果是在需要时无法访问原始数据。可能是暂时的（数据可恢复但需一段时间，可能对个人造成不利影响）或永久的（数据无法恢复）。
如何应对安全漏洞
为了管理安全漏洞，应制定一个应急预案或行动计划，根据受事件影响的不同处理活动，分配人力资源和物质手段。
行动计划应包括以下 4项措施：
- 遏制：必须采取快速且渐进的决策，以隔离网络并禁用相关功能，从而限制事件的任何移动或扩展。
- 根除：对于解决某些安全事件的影响是必要的，例如删除恶意软件或停用被入侵的用户账户。
- 恢复：一旦安全漏洞得到解决且已验证所采取的措施，应确认受影响活动的正常运行。此外，还应实施定期且有效的控制措施，以便对高风险流程进行详细跟踪。
- 通知：根据《通用数据保护条例》（GDPR）第33条，在发生影响个人数据的安全漏洞时，数据处理者应立即通知主管监管机构（西班牙数据保护局AEPD），并且如果可能，最迟在获知该情况后72小时内进行通知，除非该安全漏洞不太可能对自然人的权利和自由构成风险。
安全漏洞通知应包含的内容
通知应通过西班牙数据保护局电子网站上发布的专用表格进行提交。
通知应包括以下内容：
- 对 安全违规的性质的描述，指明受影响的个人数据记录的类别和数量。
- 对 可能后果的个人数据安全违规的描述。
- 对 已采取或拟采取的措施的描述，以补救个人数据安全违规，包括酌情采取的减轻已产生负面影响的措施。
- 在个人数据安全违规对用户构成高风险的情况下（例如：失去对个人数据的控制、身份被盗用），将向用户告知此情况。
- 向利益相关者传达的内容 应以清晰简洁的语言表达。该通知至少应包含以下内容：
- 事件的总体描述及发生时间。
- 个人数据安全违规的可能后果。
- 受影响的数据和个人信息的描述。
- 摘要说明迄今为止为控制潜在损害所采取的措施，以及获取更多信息的方式。
通知应以直接方式发送给受影响者，无论是通过电话、电子邮件、短信、邮政邮件，还是通过其他被认为适合发送给受影响者的手段。在以下情况下，无需向利益相关方通报安全违规：
- 当已采取保护措施，使受安全违规影响的个人数据对任何未经授权的人员而言不可解密且无法访问（例如通过加密手段）。
- 当通信所需努力不成比例时，此时应发布关于数据安全违规的公开通知。
风险评估
尽管如此，当安全漏洞构成高风险时，必须向西班牙数据保护局（AEPD）和用户发出通知。为此，西班牙数据保护局通过上述指南提供了检查是否存在高风险的依据，该风险将迫使企业向用户和西班牙数据保护局通报发生的事件。当安全漏洞构成高风险时，必须发出通知。
为此，确立了以下3项标准来计算风险等级：
- 受影响的个人数据量：这些数据可识别个人，设定从少于100条到超过100万条的评估标准。
- 数据类型分类：根据受损数据是否具有敏感性等因素进行分类。
- 影响程度：即暴露是否发生在企业内部、供应商范围内或互联网上的自由访问区域。
每个标准包含从较轻到较重的不同选项，并在括号中显示严重程度等级。
例如，就数量标准而言 存在以下等级：
- 少于100条记录（1）
- 超过1000条（2）
- 在1000至100,000之间（3）
- 超过10万（4）
- 超过100万（5）
这些严重程度等级的目的是 使用以下公式计算风险等级：
数量 x (类型 x 影响)
确定风险等级后，AEPD 根据得出的数值确立 两个基于该数值的网络安全事件通知标准：
- 为了向监管机构进行通知，风险等级应高于20分（或存在两个高类别情况，例如受影响数据属于敏感数据且数据暴露于公众）。
- 为了向受影响者进行通知，风险等级 应达到40分（或存在两个高类别情况）。
最后，一旦网络安全事件得到控制，建议编制一份最终报告，以收集信息、行动期限以及过程中采取的措施，从而拥有一份记录所有行动的文档，以便供第三方审查。
图片：Depositphotos