Informacijski pooblaščenec pogodbenemu vzdrževalcu spletne trgovine izrekel globo, ker ni pravočasno odpravil znane kritične ranljivosti
+ -Informacijski pooblaščenec (IP) je obdelovalcu podatkov, ki je za upravljavca vzdrževal spletno trgovino, izrekel globo zaradi nezadostnega zagotavljanja varnosti podatkov. Obdelovalec namreč ni pravočasno zagotovil vseh potrebnih ukrepov za odpravo kritične ranljivosti, na katero ga je opozoril ponudnik platforme. Zaradi tega je zunanji napadalec lahko izkoristil ranljivost in na stran za zaključek nakupa vstavil dve zlonamerni skripti, ki sta lahko dostopali do osebnih podatkov strank, vključno s podatki o kreditnih karticah.
Upravljavec spletne trgovine je IP obvestil o kršitvi varnosti osebnih podatkov, potem ko je bil s strani ponudnika plačilnih storitev opozorjen na odtekanje podatkov o kreditnih karticah. Napadalec je pridobil dostop do šifrirnega ključa in se prijavil v administratorski račun, nato pa na podstran za vnos podatkov za nakup in plačilo, vstavil dve zlonamerni skripti.
Pogodba je izvajalca zavezovala k nameščanju popravkov
Ranljivost je bila javno znana že eno leto pred tem, ko je bil upravljavec obveščen o kršitvah. Ponudnik platforme je za njeno odpravo izrecno navedel dva koraka: namestitev nujnega varnostnega popravka in zamenjavo šifrirnega ključa. Obdelovalec se je s pogodbo zavezal, da bo spletno trgovino vzdrževal, redno pregledoval kodo in ob predhodni odobritvi upravljavca nameščal najnovejše varnostne popravke, vendar pa znane kritične ranljivosti ni ustrezno in pravočasno odpravil.
Splošna uredba o varstvu podatkov v 32. členu od upravljavcev in obdelovalcev zahteva izvajanje ustreznih tehničnih in organizacijskih ukrepov za zagotavljanje varnosti podatkov. Ta obveznost se nanaša tudi na redno testiranje, ocenjevanje in vrednotenje učinkovitosti sprejetih ukrepov. IP je v inšpekcijskem postopku ugotovil, da obdelovalec od avgusta 2024 do julija 2025 teh postopkov ni izvajal in mu zato izrekel globo zaradi kršitve 32. člena Splošne uredbe o varstvu podatkov.
Sprejeti ukrepi za izboljšanje varnosti in preprečevanje prihodnjih incidentov
Obdelovalec je po naročilu upravljavca po incidentu platformo posodobil na različico, ki ranljivost odpravlja. Odstranil je zlonamerno kodo, zamenjal šifrirni ključ in uvedel obvezno menjavo gesel za administratorje. Na straneh zaključka nakupa je uvedel strogo politiko varnosti vsebine, ki blokira izvajanje nepooblaščenih skript. Upravljavec je ustanovil interno skupino za odzivanje na incidente, jasneje določil odgovornosti za varnost trgovine in skrajšal čas od objave varnostnih popravkov do njihove namestitve. Sprejel je strožjo politiko, po kateri se kritične varnostne popravke obravnava in namesti takoj, obdelovalec pa mu mora vsak mesec pripraviti poročilo o novih popravkih in nadgradnjah. Upravljavec je o kršitvi obvestil posameznike, pri katerih je obstajala verjetnost odtujitve bančnih podatkov.
Varnost spletne trgovine terja stalno skrb
Za varnost obdelave osebnih podatkov odgovarjata tako upravljavec kot tudi obdelovalec. Ukrepov ne smeta le sprejeti, temveč morata njihovo učinkovitost tudi redno preverjati.