Krav på incidentrapportering för säkerhets- eller konfidentialitetsbrott är inte universella – de definieras av organisationens policyer, branschregler (HIPAA, GDPR, FERPA, PCI-DSS) och kontraktuella skyldigheter.
Allmän princip
Om en incident potentiellt komprometterar konfidentialitet, integritet eller tillgänglighet av känslig information, bör den rapporteras. Fela på forsiktighetens sida.
Vanliga utlösande händelser som kräver rapport
- Obehörig åtkomst: Någon tittade, kopierade eller kom åt data utan auktorisation.
- Förlust eller stöld: Bärbar dator, telefon, USB-minne, pappersjournaler med PHI/PII förlorade eller stulna.
- Säkerhetsbrott: Hacking, skadlig kod, nätfiske, komprometterade inloggningsuppgifter, utnyttjad sårbarhet.
- Integritetsbrott: Information avslöjad till obehörig mottagare (feladressat e-post, fax, muntligt).
- Konfidentialitetsbrott: Brott mot NDA, advokat-klient privilegium, affärshemligheter, proprietär data.
- Systemfelkonfiguration: Publikt exponerad databas, öppen S3-bucket, felaktiga behörigheter.
Rapporteringsprocess
- Omedelbart: Meddela din chef, ledare eller utsedd säkerhet/integritetsombud.
- Formell rapport: Fyll i organisationens incidentrapportformulär (vad, när, var, vem, data inblandade, vidtagna åtgärder).
- Bevara bevis: Rensa inte enheter, radera inte loggar, "fixa" inte problemet innan forensisk granskning.
- Uppföljning: Samarbeta med utredning; implementera korrigerande åtgärder.
Regulatoriska tidslinjer (Exempel)
- HIPAA: Brott påverkar ≥500 individer → rapport till HHS inom 60 dagar; drabbade individer utan onödigt dröjsmål.
- GDPR: Rapportera till tillsynsmyndighet inom 72 timmar från upptäckt.
- Statliga brottslagar: Varierar (t.ex. CA: "i mest möjliga hastighet").
I tvivel, rapportera det. Din chef eller integritetsombud avgör om en formell regulatorisk rapport krävs. Tystnad skapar ansvar; rapportering möjliggör inneslutning.
