|  | Sundhed og Sygdom >  | Folkesundhed og sikkerhed | Beredskab

Hændelsesrapportering for sikkerheds- & fortrolighedsbrud: Hvornår og hvordan man rapporterer

Hændelsesrapport-krav for sikkerheds- eller fortrolighedsbrud er ikke universelle – de defineres af din organisations politikker, brankereguleringer (HIPAA, GDPR, FERPA, PCI-DSS) og kontraktuelle forpligtelser.

Generel princip

Hvis en hændelse potentielt kompromitterer fortroligheden, integriteten eller tilgængeligheden af følsom information, bør den rapporteres. Fejl på forsigtighedens side.

Almindelige udløsende begivenheder der kræver rapport

  • Uautoriseret adgang: Nogen så, kopierede eller adgang til data uden autorisation.
  • Tab eller tyveri: Bærbar, telefon, USB-drev, papir-journaler med PHI/PII tabt eller stjålet.
  • Sikkerhedsbrud: Hacking, malware, phishing, legitimations-kompromittering, udnyttet sårbarhed.
  • Fortrolighedsbrud: Information afsløret til uautoriseret modtager (forkert adresseret e-mail, fax, mundtligt).
  • Konfidentialitetsbrud: Brud på NDA, advokat-klient privilegie, forretningshemmeligheder, proprietære data.
  • System-fejlkonfiguration: Offentligt eksponeret database, åbent S3-bucket, fejlrettede tilladelser.

Rapporteringsproces

  1. Øjeblikkelig: Underret din leder, manager eller udpegede sikkerhed/fortroligheds-medarbejder.
  2. Formel rapport: Udfyld din organisations hændelsesrapport-formular (hvad, hvornår, hvor, hvem, involveret data, handlede handlinger).
  3. Bevar beviser: Slet ikke enheder, slet logs, eller "ret" problemet før forensisk gennemgang.
  4. Opfølgning: Samarbejd med undersøgelse; implementer korrigerende handlinger.

Regulatoriske tidslinjer (Eksempler)

  • HIPAA: Brud påvirker ≥500 individer → rapport til HHS inden for 60 dage; berørte individer uden urimelig forsinkelse.
  • GDPR: Rapport til tilsynsmyndighed inden for 72 timer efter opdagelse.
  • Stats-brudlove: Varierer (f.eks. CA: "i den mest hensigtsmæssige tid").

I tvivl, rapportér det. Din leder eller fortrolighedsmedarbejder vil bestemme, om en formel regulatorisk rapport er påkrævet. Tavshed skaber ansvar; rapportering muliggør inddæmning.

Beredskab