ICO توجه توبيخاً إلى منظمتين بسبب قصور في ضبط الحسابات

الخلاصة

• وجه مكتب مفوض المعلومات البريطاني (ICO) توبيخاً إلى Ogi Networks وData Cymru بعد هجوم ببرمجية فدية في 2024. وأُخذت معلومات تخص 3,300 شخص، معظمهم أطفال.
• وجد المكتب قصوراً لدى الطرفين: في إدارة الحسابات لدى Ogi، وفي شروط المعالجة والمراقبة والتدقيق لدى Data Cymru.

تقول ICO إن الحادثة وقعت في 1 نوفمبر 2024. وأنشأت Ogi Networks حساباً اختبارياً باسم “Test2” في يناير 2012. وظلت كلمة المرور “Password1” مرتبطة به لأكثر من اثني عشر عاماً. وترجح ICO أن الحساب بقي نشطاً أو أُعيد تفعيله سهواً. ولا يشرح الإشعار كيف استُعيد الوصول.

وتقول ICO إن معلومات تخص 3,300 شخص أُخذت، وكان معظمهم أطفالاً. وارتبطت المعلومات بمشروعين لدعم الأطفال والأسر. كما شُفّرت بيانات بحجم 182.7 غيغابايت، وأُخذت 42 غيغابايت من أنظمة Data Cymru. هذان أمران منفصلان. ولا يقول الإشعار إن جميع الخدمات توقفت، ولا يقدّر الضرر الذي أصاب الأفراد.

وُجه إلى Ogi توبيخ لمخالفة المادة 32 من اللائحة العامة لحماية البيانات في المملكة المتحدة. وتذكر ICO ثلاثة أوجه قصور:

• لم تكن مراجعة الحسابات كافية.
• كانت ضوابط كلمات المرور ضعيفة.
• لم تكتمل مراجعة حسابات مسؤولي النظام المحليين.

أما Data Cymru، فتلقى توبيخاً لمخالفة المادتين 28(4) و32. وتحدد ICO مشكلتين إضافيتين. لم تتضمن ترتيبات معالجة البيانات الشروط المطلوبة. كما لم توضح من المسؤول عن تقديم الخدمة ومراقبتها وتدقيقها. وتقول ICO إن Data Cymru لم تضمن حذف الحساب الخامل أو تحديثه. وكانت مراجعات الحسابات غير منتظمة وغير مكتملة.

يوضح توزيع هذه المسؤوليات موضع الخلل. يستطيع مزود الخدمة إنشاء الحسابات وإدارة الضوابط التقنية. لكن على الجهة العميلة أن تعرف أي الحسابات ما زالت صالحة، ومن يراجعها، وأين يُسجل القرار. وإذا لم يحدد العقد مسؤولية المراقبة والتدقيق، فقد يبقى الحساب القديم بين المنظمتين. وقد رصدت ICO قصوراً لدى الطرفين؛ ولم تنسب كل خطوة في الحادثة إلى جهة واحدة.

وتفيد ICO بأن المنظمتين أبلغتا لاحقاً عن إجراءات تصحيحية. واكتفت الجهة الرقابية بالتوبيخ، من دون غرامة مالية. ويبقى السؤال التشغيلي: هل تستطيع الجهتان الآن تحديد المسؤول عن كل حساب وموعد انتهائه وطريقة مراجعته؟ لا يذكر الإشعار انقطاعاً للخدمة، ولا يكشف هوية الأطفال، ولا يقدّر العواقب اللاحقة.

المصادر: إعلان ICO؛ سجل الإنفاذ الخاص بـOgi Networks