تم اختراق الموقع وسرقة بيانات العملاء — من المسؤول قانونيًا وفي العقد؟

بدل البحث عن المذنب الآن اتخذوا هذه الخطوات الثلاث فورًا: 1) إذا لم تنتهِ مهلة الإبلاغ الرسمي 72 ساعة فتقدّموا بإبلاغ مبدئي لجهة حماية البيانات في الولاية. 2) خذوا نسخة لحظية (snapshot) من السيرفر وجمّدوا الأدلة، ولا تقوموا أبدًا بإعادة تركيب من الصفر فورًا. 3) استشيروا محاميًا متخصصًا في قانون المعلوماتية.

في العقود القياسية للوكالات عادةً ما يوجد بند "الوكالة غير مسؤولة عن الثغرات الأمنية الناشئة عن إضافات الطرف الثالث". من الصعب جدًا أنهم قدّموا ضمانًا شاملًا للثغرات والاختراق مقابل مبلغ زهيد مثل 350 EUR شهريًا. على الأرجح ستتجاوز التكاليف القانونية التعويض الذي ستدفعه الوكالة.

مررنا بحالة مشابهة قبل عامين. دفعنا 4,800 EUR لمعاينة مسرح الحادث وتقرير الأدلة الجنائية الرقمية، و3,200 EUR لمحامٍ متخصص. دائرة حماية البيانات لم تفرض غرامة لأننا أبلغنا في الوقت المناسب وأدرنا العملية بشفافية، واكتفت بإنذار. أما الدعوى التي رفعناها على الوكالة فاستمرت 14 شهرًا وانتهت بتسوية جزئية.

يجب إدراك التمييز القانوني جيدًا: في العلاقة الخارجية (الدولة والمواطنون المتضررون) أنتم وحدكم المسؤولون. أما في العلاقة الداخلية فيدخل العقد بينكم وبين الوكالة حيز التنفيذ. وإذا لم توقّعوا مع الوكالة عقد AVV (Auftragsverarbeitungsvertrag) فقد تتعرضون أيضًا لعقوبات من هيئة الرقابة لأنكم شغّلتم معالجة بيانات بدون عقد.

عندما حدث لنا الأمر قالت الوكالة "تم شن هجوم brute force على السيرفر، وكودنا نظيف". عرّضناه لخبير مستقل فتبيّن أن المصادقة الثنائية لم تكن إلزامية في لوحة الإدارة وأن ثغرة معروفة في نموذج لم تُرقَّع منذ 6 أشهر. عندما وضعنا التقرير على الطاولة غطّى تأمين المسؤولية المهنية للوكالة نصف الضرر.

هل عقدكم يحدد فترة التحديث؟ مثلًا هل يوجد بند "تُطبَّق التحديثات الحرجة خلال 48 ساعة"؟ وأيضًا هل كانت كلمات المرور وبيانات العملاء في قاعدة البيانات محفوظة مشفّرة (hash/salt) أم نصًا مكشوفًا؟

المثلث الكلاسيكي: الوكالة تلوم شركة السيرفر، وشركة السيرفر تلوم كاتب الإضافة، وكاتب الإضافة أصلًا غير موجود. أما الفاتورة فتصل دائمًا إلى صاحب النطاق ثم أنصحك بالاتصال بمحاميك من الآن.

ملاحظة: سُئل هذا أدناه، وكتبت الإجابة في الرسالة الثانية.

أتفق مع هذا. محاولة فعل هذا بمفردك هي أغلى الطرق.

إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أتابع الموضوع.

حدث معي العكس تماماً، لذلك أكتب هذا. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

عند النظر إلى العملية ككل، تتغير الصورة... لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

لم أكن أعلم بهذا.

صحيح نظرياً، لكنه لا يسير هكذا عملياً. بصراحة كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه. على كل حال أتمنى أن يفيدك هذا.

تشتت النقاش، دعني ألخصه. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

أتمنى أن يفيدك هذا.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

شكراً لكتابة هذا، فهو صحيح تماماً. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

دعني أتركها كملاحظة، قد تكون مفيدة.

أوافق. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

أتابع الموضوع.