Кратко

  • ICO вынесла порицания Ogi Networks и Data Cymru после атаки с применением программы-вымогателя в 2024 году; были похищены сведения о 3 300 людях, большинство из которых — дети.
  • Нарушения выявлены по обе стороны договора на обслуживание: у Ogi — в управлении учетными записями и паролями, у Data Cymru — в условиях обработки данных, мониторинге и аудите.

Управление комиссара по информации Великобритании (ICO) датирует инцидент 1 ноября 2024 года. Тестовую учетную запись «Test2» компания Ogi Networks создала в январе 2012 года; пароль «Password1» сохранялся более двенадцати лет. По данным ICO, учетная запись могла оставаться активной или быть случайно включена вновь. В сообщении не установлено, каким именно образом доступ восстановили.

Выводы шире, чем история одной учетной записи. ICO сообщает о похищении информации 3 300 человек, преимущественно детей; данные относились к двум проектам поддержки детей и семей. По сообщению регулятора, 182,7 ГБ данных были зашифрованы, а 42 ГБ получены из систем Data Cymru. Шифрование и похищение — разные факты. ICO не утверждает, что все затронутые службы прекратили работу, и не оценивает индивидуальный ущерб.

Регулятор распределил нарушения между участниками договора. Ogi получила порицание за нарушение статьи 32 британского GDPR. ICO указывает на недостаточные проверки учетных записей, слабый контроль паролей и неполный пересмотр локальных учетных записей администратора. Data Cymru получила порицание за нарушения статей 28(4) и 32. В соглашениях об обработке не хватало обязательных условий, а ответственность за предоставление, мониторинг и аудит услуги была определена неясно. ICO также считает, что Data Cymru не обеспечила удаление или обновление неактивной учетной записи; проверки проводились нерегулярно и не полностью.

Такое разделение обязанностей имеет значение. Подрядчик может создавать учетные данные и применять технические меры, но заказчику необходимо знать, какие записи остаются действующими, кто их проверяет и какой документ подтверждает завершение проверки. Если договор не распределяет функции мониторинга и аудита, старая учетная запись может остаться между двумя организациями, хотя обе обязаны соблюдать требования безопасности. ICO установила нарушения с обеих сторон, но не приписала все этапы инцидента только одной из них.

По данным ICO, обе организации позднее сообщили о корректирующих мерах. Регулятор вынес порицания, а не назначил денежные штрафы. Этап надзорного разбирательства завершен, но остается операционный вопрос: могут ли заказчик и подрядчик теперь показать, кто отвечает за каждую учетную запись, когда истекает срок ее действия и как проходит проверка? В сообщении не говорится о перебоях в работе служб, не называются пострадавшие дети и не оцениваются дальнейшие последствия.

Источники: сообщение ICO; материалы ICO о мерах в отношении Ogi Networks