Qu’est-ce qu’un ransomware ?
Les ransomwares sont un type de malware qui vous empêche d’accéder à votre appareil et aux données qui y sont stockées, généralement en cryptant vos fichiers. Un groupe criminel exigera alors une rançon en échange du décryptage. L’ordinateur lui-même peut être verrouillé ou les données qu’il contient peuvent être cryptées, volées ou supprimées. Les attaquants peuvent également menacer de divulguer les données qu’ils volent*.
Vue depuis la première ligne
Le Équipe Experian de réponse aux crises et aux violations de données accompagnent les entreprises et les organisations de tous types pour faire face aux conséquences de ce type d’incidents. Nous avons constaté une augmentation de plus de 200 % par rapport à 2022 et il nous reste encore trois mois en 2023. Pendant cette période, notamment avec des vulnérabilités comme MOVEit, nous avons constaté que les processeurs de données ont vraiment souffert. Ces organisations détiennent les données de plusieurs clients et doivent comprendre comment assurer non seulement la récupération des consommateurs, mais également gérer leurs clients en même temps.
Dans cet article, j’aimerais partager certaines de nos expériences de collaboration avec des entreprises sur leurs plans de rétablissement des consommateurs et des employés et comment l’augmentation des « incidents liés au processeur de données » a ajouté des couches supplémentaires de complexité au processus.
Que sont les responsables du traitement et les sous-traitants ?
En vertu du RGPD britannique, les organisations responsables du traitement des données personnelles sont classées comme « contrôleurs » ou « sous-traitants ». Les responsables du traitement sont des organisations qui déterminent la finalité et les moyens du traitement des données personnelles. Ils ont une relation directe avec le client ou l’utilisateur final.
Les sous-traitants sont des organisations qui traitent des données personnelles pour le compte des responsables du traitement. Il s’agit généralement de prestataires de services externalisés, désignés pour traiter ou gérer des données dans un but défini par le responsable du traitement. Il peut s’agir de prestataires de services de paie, d’agences de marketing, d’imprimeries, de prestataires de gestion de retraite et de ressources humaines, ainsi que d’autres sous-traitants de processus métier.
Gestion de la communication client
Nous avons vu que les attaques de ransomware contre les processeurs de données posent des défis supplémentaires dans la gestion de la récupération. Les sous-traitants n’ont pas de relation directe avec le consommateur dont les données ont potentiellement été compromises. En fin de compte, c’est leur client – le responsable du traitement – qui entretient cette relation.
Par conséquent, le responsable du traitement des données estime souvent qu’il est de sa responsabilité d’envoyer des communications aux médias, aux parties prenantes internes et externes, ainsi qu’aux personnes concernées. Leur objectif sera de rassurer, de protéger leur marque et leur réputation et d’atténuer l’impact financier de l’événement.
Cette situation peut provoquer des tensions, dans la mesure où le partenaire sous-traitant (le sous-traitant) souhaite tirer parti des économies d’échelle sur plusieurs clients potentiels pour fournir une solution de récupération plus rentable. Ils voudront peut-être utiliser les services de récupération d’entreprises comme Experian pour rassurer et tranquillité d’esprit les employés et les consommateurs concernés.
Cela peut poser des problèmes particuliers en ce qui concerne le calendrier des notifications envoyées aux clients et aux employés. Non seulement le client voudra communiquer d’une certaine manière en accord avec sa culture et ses valeurs, mais il voudra également contrôler le timing de ces communications. Cela peut entraîner des problèmes lorsque les centres d’appels ou les services de surveillance sont mobilisés pour plusieurs clients plutôt qu’un seul.
Réorganiser les ressources
L’un des domaines clés sur lesquels les contrôleurs de données et les sous-traitants doivent s’entendre est le moment où les notifications sont envoyées et dans quel ordre. Il est important de comprendre que si toutes les communications de notification sont envoyées en même temps, cela entraînera une énorme augmentation de la demande de la part des clients qui souhaitent obtenir des informations complémentaires. En acceptant d’échelonner les communications sur un calendrier défini, le centre d’appels et autres ressources de communication entrantes peuvent offrir un service plus rapide et plus efficace, apportant confort et réassurance aux personnes touchées pendant cette période troublante.
Focus sur les consommateurs et les employés
UN réponse coordonnée de toutes les parties fournit les meilleurs résultats aux personnes touchées par une violation de données. Être informé que vos données personnelles peuvent avoir été compromises est déjà assez grave, mais ne pas pouvoir parler ou communiquer avec quelqu’un pour mieux comprendre et se rassurer ne fait qu’aggraver le problème. Une meilleure coordination permet d’optimiser les ressources, de réduire le temps global nécessaire à une résolution réussie, de minimiser les coûts grâce à des économies d’échelle – et de réduire les dommages financiers et de réputation causés aux parties concernées.
