بر اساس تحلیل‌های جدید، حملات باج‌افزاری (Ransomware) که منجر به مسدود شدن سیستم‌های سازمانی می‌شوند، حتی در صورتی که هیچ فایلی توسط مهاجمان سرقت نشود، می‌توانند از نظر قانونی به عنوان «نقض داده‌های شخصی» (Personal Data Breach) در هند طبقه‌بندی شوند.
تفسیر قانون DPDP از نقض داده‌ها
قانون حفاظت از داده‌های شخصی دیجیتال (Digital Personal Data Protection Act یا به اختصار DPDP) در هند، تعریف جامع‌تری از نقض داده‌ها ارائه می‌دهد. طبق این قانون، هرگونه دسترسی غیرمجاز، تغییر یا تخریب داده‌های شخصی که منجر به از دست رفتن دسترسی یا کنترل بر آن‌ها شود، به عنوان نقض داده تلقی می‌شود.
در حملات باج‌افزاری، حتی اگر داده‌ها از محیط سازمان خارج نشوند (Exfiltration رخ ندهد)، اما به دلیل رمزنگاری شدن و عدم دسترسی سازمان به آن‌ها، این وضعیت به عنوان یک نقض داده شناخته می‌شود. در نتیجه، سازمان‌های فعال در هند موظف هستند چنین حوادث را به مقامات نظارتی گزارش کنند.
- تغییر پارادایم: تمرکز از «سرقت داده» به «از دست رفتن دسترسی به داده» تغییر یافته است.
- الزام قانونی: عدم گزارش‌دهی این نوع حملات می‌تواند منجر به جریمه‌های سنگین تحت قانون DPDP شود.
- تأثیر بر SOC: تیم‌های مرکز عملیات امنیت (SOC) باید معیارهای شناسایی و گزارش‌دهی حوادث را با این تعاریف قانونی تطبیق دهند.
