Kapan Pelanggaran Data Benar-benar Dianggap sebagai Pelanggaran Data di AS?
Di Lepide kami berbicara banyak tentang bagaimana kami membantu perusahaan mengidentifikasi dan mencegah kebocoran data dan bagaimana kami dapat membantu mengurangi risiko pelanggaran data. Namun, tidak selalu jelas apa yang dimaksud dengan pelanggaran dalam konteks dunia nyata.
Pada titik manakah pelanggaran secara teknis merupakan pelanggaran (yaitu kondisi apa yang harus dipenuhi sebelum Anda dapat mengungkapkannya)?
Di AS, definisinya berbeda-beda di setiap negara bagian dan sangat berbeda tergantung di mana pelanggaran terjadi.
Apa yang Diklasifikasikan sebagai Informasi Identifikasi Pribadi?
Di sebagian besar negara bagian di AS, agar data dianggap berdasarkan aturan 'pelanggaran data', 'pelanggaran' tersebut kemungkinan besar akan berisi kombinasi nama depan, nama belakang, SSN, detail identitas resmi/negara bagian (seperti informasi paspor), rincian SIM dan lainnya (termasuk segala bentuk tanda pengenal yang diakui secara nasional). Ini juga mencakup informasi perbankan pribadi apa pun; seperti nomor rekening, kode sortir atau apapun yang berpotensi memberikan akses terhadap fasilitas perbankan, termasuk username atau password.
Namun, hal ini berbeda dari satu negara bagian ke negara bagian lainnya. Misalnya, di Texas, South Dakota, Alabama, dan Utah tidak ada persyaratan untuk mengungkapkan pelanggaran nomor jaminan sosial, identitas negara bagian, atau informasi rekening keuangan.
Salah satu tantangan utama dalam mencegah pelanggaran semacam ini adalah jarangnya individu menetapkan kata sandi unik untuk banyak akun. Jauh lebih umum bagi pengguna untuk mengambil satu kata sandi dan menggunakannya untuk beberapa layanan/akun. Jika kata sandi jatuh ke tangan yang salah, kerugiannya bisa sangat besar.
Bagaimana dengan Sektor Layanan Kesehatan?
Anda diwajibkan untuk mengungkapkan informasi yang berkaitan dengan riwayat kesehatan pasien yang dilanggar jika organisasi Anda berlokasi di Oregon, Nevada, California, Montana, Nevada, Missouri, Illinois, Arizona atau Florida.
Kami berbicara dengan salah satu pelanggan layanan kesehatan kami di Wisconsin minggu lalu, dan mereka tinggal di satu-satunya negara bagian yang menganggap DNA sebagai informasi pribadi (PII). Dengan kata lain, jika rincian DNA Anda dilanggar, tidak ada kewajiban bagi penyedia layanan kesehatan untuk mengungkapkannya kecuali hal itu terjadi di Wisconsin. Informasi seputar penyedia layanan kesehatan atau perusahaan asuransi (berbeda dengan informasi pasien) memiliki cakupan yang lebih luas di Oregon, California, North Dakota, Montana, Illinois, dan Florida, semuanya menganggap hal ini layak untuk diungkapkan.
Pengecualian Pelanggaran Data Penting Lainnya
Di semua sektor, hanya di North Dakota Anda perlu mengungkapkan pelanggaran ID Perusahaan, dan hanya Texas yang tanggal lahir dianggap bertanggung jawab untuk mengungkapkannya. Namun, kedua negara bagian ini mengharuskan Anda untuk mengungkapkan pelanggaran Nama Gadis Ibu. North Dakota dan Washington juga merupakan satu-satunya negara bagian yang mewajibkan pengungkapan jika pelanggaran tersebut berisi informasi Pajak.
Apa Artinya bagi Pelanggaran Data
Menurut pendapat saya, kita mungkin perlu memperketat definisi dan aturan pengungkapan. Jika DNA saya bocor, saya ingin mengetahuinya, bukan? Demikian pula, mengingat prevalensi Nomor Pajak untuk autentikasi (seperti masuk ke perbankan online), saya pikir ini akan lebih universal.
Ini tentang prinsip pelanggaran lebih dari apapun. Ini belum tentu tentang apa yang bocor, melainkan fakta bahwa kebocoran itu terjadi. Jika suatu organisasi mengalami pelanggaran data, bagi saya hal itu menandakan kurangnya persiapan terhadap peraturan kepatuhan dan keamanan, dan pengabaian terhadap sifat sensitif Informasi Identifikasi Pribadi saya (walaupun, tentu saja, ada pengecualian untuk hal ini).
Apa pun penyebab pelanggaran tersebut, dan informasi apa pun yang bocor, bukankah kita berhak mengetahui apakah kita terlibat? Definisi dan regulasi pelanggaran perlu disederhanakan. Semakin sederhana, semakin universal peraturan tersebut, dan semakin besar peluang pelanggaran untuk ditangani, diungkapkan, dan dilaporkan dengan benar.