GDPR er en flott ting hemmet av en dårlig idé

Den siste uken var viktig for deg og din personlige informasjon, uansett om du bor i EU eller ikke.

GDPR, den generelle databeskyttelsesforordningen som setter retningslinjer for hvordan personlig informasjon om EU-borgere blir samlet inn og behandlet, er nå offisiell. Det er en god idé - ensartede regler om hvordan informasjonen din blir samlet inn, hvordan den lagres og hvordan du kan ta den tilbake, er for lengst ute. Det har vært (og vil fortsette å være) mye diskusjon om hva som er bra, dårlig og stygt med GDPR, men de fleste som jobber i informasjonssikkerhet er enig i at målene er velmenende og vil gi den beskyttelsen vi alle trenger den 21. århundre.

En rekke populære nettsteder er bare ikke tilgjengelige for europeiske besøkende fordi du ikke er i samsvar med GDPR.

De enkelte artiklene i GDPR er imidlertid ikke så anerkjente. Etter å ha trådt i kraft fredag ​​25. mai ser vi allerede nedfall: New York Daily News, Chicago Tribune, LA Times og andre høyprofilerte nettsteder er nå utilgjengelig

i land som er dekket av GDPR-regelverket fordi de ikke var klare for de nye reglene. Mange andre nettsteder og online-tjenester har bombardert brukere med nye vilkår å godta, og klager er allerede inngitt mot bemerkelsesverdige teknologigiganter Google og Facebook fordi de ikke tilbyr gratis tjenester uten å la brukerne velge bort datainnsamlingen.

Mer: Google gjør det lettere å forstå og administrere brukerdata det samler inn {.cta .large}

Problemer som disse er ikke overraskende. Heller ikke følelsen av at skybaserte tjenester vil miste inntekter og bli tvunget til å øke prisene som følge av GDPR, som halvparten av deltakerne i Infosecurity Europe 2018 tror snart vil skje. De føler også at GDPR vil kvele innovasjon ettersom små organisasjoner ikke har råd til den nødvendige infrastrukturen for å være kompatibel. Dette er god diskusjon av menneskene som trenger å diskutere det. Bedre personvern er verdt timene frem og tilbake som trengs for å få det riktig.

Men det er en del av GDPR som jeg tror vil gjøre mer skade enn godt - artikkel 33s 72-timers rapporteringsregel. Du kan lese hele teksten her, men kjernen i det er at et selskap som holder personlig identifikasjon av EU-borgere er fullt ansvarlig for alle sikkerhetsbrudd, uansett årsak, og må gi fullstendig informasjon til en tilsynsutvalg innen 72 timer etter a brudd. Det er ikke noe bra med denne regelen, men to deler vil føre til at tjenesteleverandører dekker datainnbrudd i stedet for å rapportere dem på en ansvarlig måte.

Den første er tilsynsutvalget. Ulike land har forskjellige måter å styre innbyggerne på, men en ting de alle har til felles er fortrinnsrett når det gjelder å opprette og bemanne en offisiell komité. En venn av en venn eller den tredje fetteren som ikke kan slutte å be om en utdeling, er hovedkandidater for noen komiteens sete, og når det primære målet er å beskytte brukerdata, skal bare de mest kvalifiserte personene være det regnet som. La oss håpe det er nøyaktig hva som er gjort her, og regelverk kan tilpasses og håndheves av mennesker som har våre beste interesser og er kvalifiserte.

Små selskaper uten ressurser som er nødvendige for å gjøre en full undersøkelse av brudd, kan velge å dekke over dem.

Et større problem er tvungen 72-timers rapportering. Selv en fullt bemannet Fortune 500-organisasjon kommer ikke til å vite nok om et databrudd for å begynne å arkivere rapporter til et statlig byrå. Gitt så kort tid, forvent litt mer enn at selskapets informasjonssikkerhetsansvarlige sier at det var et brudd, og vi er ennå ikke sikre på noen detaljer. Det er lite mer enn bortkastet tid for alle involverte, og jeg vil heller bruke den tiden på å prøve å finne ut hvorfor, hvordan, når og hvem som omgir enhver form for databrudd.

Et mindre selskap som kanskje allerede sliter med å oppfylle GDPR-overholdelse, vil bli fristet til å undersøke om det kan inneholde bruddet og redusere skadene alene uten noen rapporter. Når du er under press og underbemannet, kan det høres ut som det riktige alternativet.

Det er tydeligvis aldri det. Men store og små selskaper har vært kjent for velg feil alternativ gang på gang når det kommer til ledningen. Enhver forskrift som er utformet for å beskytte brukere mot selskaper som tar dårlige beslutninger, er bedre uten en regel som kan presse dem til å gjøre nettopp det.

Ansvarlig og rask rapportering av en datarute er et must. Å tvinge selskaper som høster og holder dataene våre til å gjøre det rette, nytter ikke mye uten det. Opprette den rette tilsynskomiteen fylt med de rette menneskene for å revidere hvordan innbrudd behandles - eller til og med å tilby assistanse når de skjer - vil langt på vei gjøre GDPR til en mal for resten av verden Følg.

Jerry Hildenbrand

Jerry er Mobile Nation's bosatt nerd og stolt av det. Det er ingenting han ikke kan ta fra hverandre, men mange ting han ikke kan sette sammen igjen. Du finner ham på tvers av Mobile Nations-nettverket, og du kan slo ham på Twitter hvis du vil si hei.