Bez kategorii – Aegis Security Sp. z o.o.

Czy jesteś gotowy pozbyć się miliona Euro?

Maciej Malczewski — Thu, 22 Sep 2022 07:02:36 +0000

Właśnie tyle wynosi bowiem najwyższa kara w Polsce nałożona w styczniu 2022 roku przez Prezesa Urzędu Ochrony Danych Osobowych za nieprzestrzeganie przepisów rozporządzenia 2016/679. Ukarany administrator będzie musiał więc zapłacić prawie 5 milionów złotych, tym samym wyprzedzając dotychczasowego rekordzistę, firmę Morele.net, o ponad 300 tysięcy euro.

Chodzi o spółkę Fortum Marketing and Sales Polska S.A., w której doszło do trwającego 5 dni wycieku danych osobowych około 100000 klientów z jej bazy danych. Administratorowi nie pomógł fakt, iż bezpośrednią przyczyną wystąpienia naruszenia było niewłaściwe działanie podmiotu przetwarzającego (który otrzymał osobną karę, jednak niższą, w kwocie 53 tysięcy euro), z którym została podpisana umowa powierzenia. Organ nadzorczy uznał jednak, że podczas jej podpisywania administrator nie upewnił się, że procesor gwarantuje odpowiedni poziom bezpieczeństwa i poufności danych. PUODO zarzucił mu też szereg innych przewinień na gruncie RODO, co spowodowało, że większość odpowiedzialności spadło właśnie na niego.

Z punktu widzenia spółki jest to więc zapewne odczuwalna strata finansowa, a przecież organ nadzorczy wciąż ma ogromny margines w kwestii wyznaczania wymiaru kary. Maksymalna administracyjna kara pieniężna może, w świetle przepisów RODO, wynieść 20 milionów euro lub, w przypadku przedsiębiorstwa, 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z podanych kwot jest wyższa. Potencjalnie więc, przy bardziej surowej interpretacji organu, konto ukaranej spółki mogłoby zostać uszczuplone o nawet kilkakrotnie wyższą kwotę.

Oczywiście w większości przypadków naruszenia nie będą przybierały tak dużej skali, ale nawet jeśli jesteś przekonany, że Twojej firmie, ze względu na charakter czy zakres prowadzonej działalności, nie grożą równie wysokie kary, może się to okazać wyłącznie złudzeniem. Średnia wysokość kar dla polskich firm wynosi bowiem niespełna 90 tysięcy euro, a od momentu obowiązywania RODO w Polsce wymierzono 39 kar na łączną kwotę 3,398,718 euro (stan na dzień: 20.09.2022r.). Co więcej, wymierzane kary dotyczą coraz częściej małych i średnich podmiotów, a ich liczba z roku na rok rośnie.

Jeśli więc, mając na uwadze przytoczone fakty, Twoja odpowiedź na postawione wyżej pytane brzmi: „nie” i uważasz, że mógłbyś spożytkować swoje środki lepiej, wspierając rozwój własnej firmy i jej pracowników, zamiast opłacać kary, mamy dla Ciebie dobrą wiadomość: zabezpieczenie danych osobowych w firmie wcale nie jest tak skomplikowane jak mogłoby się wydawać.

Przydatne będzie jednak do tego powołanie w swojej organizacji Inspektora Ochrony Danych, który dzięki swojej wiedzy i doświadczeniu doradzi odpowiednie środki techniczne i organizacyjne, które zapewnią bezpieczeństwo przetwarzanych danych, co w rezultacie pozwoli Ci uniknąć zarówno strat finansowych, jak i, często bardziej dotkliwych, strat wizerunkowych.

Zadaniem IOD w Twojej firmie będzie sprawdzenie i ocena bieżącego stanu bezpieczeństwa danych osobowych, przygotowanie niezbędnej dokumentacji oraz dopilnowanie, aby wszystkie procesy przetwarzania przebiegały zgodnie z przepisami prawa. Jednym z jego działań będzie też zadbanie o odpowiedni poziom świadomości i wiedzy pracowników, co zapewni poprzez prowadzenie systematycznych szkoleń.

Jeśli chcesz więc oddać bezpieczeństwo danych osobowych w swojej firmie w ręce sprawdzonych specjalistów, sprawdź ofertę Aegis Security, która oferuje usługi w zakresie:
– audytu zgodności z RODO,
– dokumentacji RODO,
– wdrożenia RODO,
– szkolenia z ochrony danych osobowych,
– doradztwa w obszarze ochrony danych osobowych.

Źródła:
1) Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 19 stycznia 2022 r. (DKN.5130.2215.2020)
2) GDPR Enforcement Tracker (https://www.enforcementtracker.com/)

Ustawa o Sygnalistach nałoży szereg obowiązków na pracodawców, a ich niespełnienie wiąże się z zagrożeniem wysokimi karami

Adam Warawko — Fri, 10 Dec 2021 08:15:12 +0000

Sygnalista to osoba, która zgłasza lub ujawnia informacje w interesie publicznym, które dotyczą czynów nielegalnych, zabronionych, stanowiących zagrożenie bądź powodujących szkodę. Osoba, która dokonuje zgłoszenia, by zostać uznana za sygnalistę musi posiadać uzasadnione przekonanie, że informacja o naruszeniu jest prawdziwa.

Sygnalistami zgodnie z założeniami projekty ustawy będą mogli być m.in.:

pracownicy niezależnie od podstawy zatrudnienia, w tym osoby samozatrudnione, wolontariusze i stażyści;

członkowie struktur korporacyjnych spółki, w tym jej udziałowcy lub akcjonariusze oraz członkowie organów zarządzających i nadzorczych;

pracownicy zewnętrznych współpracowników danego podmiotu, czyli wykonawcy, podwykonawcy oraz dostawcy.

Statystyki nadużyć w Polsce:

50% polskich przedsiębiorców przyznało, że doświadczyło nadużyć w ciągu ostatnich dwóch lat;

55% nadużyć zostało popełnionych przez osoby z firmy;

w wyniku nadużyć co druga polska firma straciła ponad 400 000 zł;

poza stratami finansowymi nadużycia doprowadziły również do obniżenia morale pracowników (58%), pogorszenie relacji biznesowych (51%), negatywnego wpływu na wizerunek firmy (48%);

najczęstsze nadużycia to korupcja, nadużycia księgowe, cyberprzestępczość i nieetyczne prowadzenie biznesu;

63% nadużyć zostało popełnionych przez osoby z firmy;

w wyniku nadużyć 61% polskich firm straciło ponad 400 000 zł, a ponad 1/3 4 mln zł;

46% polskich przedsiębiorców przyznało, że doświadczyło nadużyć;

tylko 29% firma uważa, że nadużycie wzmocniło organizację;

tylko 6% nadużyć zostało zgłoszonych przez sygnalistów (45% w 2018 r.).

Źródło danych dot. nadużyć: https://www.pwc.pl/

Implementacja dyrektywy o sygnalistach, zgodnie z jej postanowieniami powinna nastąpić do 17 grudnia 20021 r. Gdyby ustawę udałoby się uchwalić w terminie oznaczałoby to, że obowiązki w niej określone, odnoszące się do osób zgłaszających nieprawidłowości, zaczęłyby obowiązywać pracodawców już w styczniu 2022 r.

Najważniejsze założenia projektu ustawy o ochronie osób zgłaszających naruszenia prawa:

Regulamin zgłoszeń wewnętrznych

Regulamin określający wewnętrzną procedurę zgłaszania naruszeń prawa i podejmowania działań następczych, zobowiązani będą wprowadzić:

Do 17 grudnia 2021 r.

Przedsiębiorcy zatrudniający co najmniej 250 pracowników (w oparciu o umowę o pracę);

Przedsiębiorcy wykonujący działalność w zakresie usług, produktów i rynków finansowych oraz zapobiegania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska – bez względu na ilość zatrudnionych pracowników.

Do 17 grudnia 2023 r.

Przedsiębiorcy zatrudniający od 50 do 249 pracowników.

Kluczowe przepisy karne

Kto dokonał zgłoszenia lub ujawnienia publicznego nieprawdziwych informacji podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3;

Kto wbrew przepisom ustawy nie ustanowił wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych albo ustanowiona przez niego procedura narusza art. 29 ust. 1, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

Dozwolona współpraca

Pracodawcy w sektorze prywatnym, którzy zatrudniają co najmniej 50, lecz nie więcej niż 249 pracowników, będą mogli na podstawie umowy dzielić się zasobami w zakresie przyjmowania i weryfikacji zgłoszeń oraz podejmowania działań następczych, pod warunkiem zapewnienia zgodności wykonywanych czynności z ustawą;

Pracodawcy w sektorze publicznym, będący jednostkami organizacyjnymi gminy, będą mogli ustalić wspólne, wewnętrzne procedury zgłaszania naruszeń prawa i podejmowania działań następczych, pod warunkiem zapewnienia ich odrębności i niezależności od zewnętrznych procedur dokonywania zgłoszeń.

Zgłoszenie zewnętrzne

Zgłaszający będzie mógł dokonać zgłoszenia zewnętrznego bez uprzedniego dokonania zgłoszenia wewnętrznego.

Warto jednak podkreślić, że poszczególne wymogi dotyczące oprawa ochrony sygnalistów mogą jeszcze ulec zmianie, ze względu na to, że mimo upływającego terminu na implementację dyrektywy, prace nad projektem ustawy, w momencie pisania tego artykułu, nie są jeszcze ukończone. Mimo to warto już teraz podjąć działania mające na celu dostosowanie swojej organizacji do ogólnych wymogów projektu, ponieważ przewiduje on, że ustawa wejdzie w życie (będzie stosowana) po upływie zaledwie 14 dni od dnia jej ogłoszenia.

Testy socjotechniczne ułatwiają ochronę przed atakami „ransomware”

Dział IT — Fri, 18 Jun 2021 07:42:38 +0000

Ataki przeprowadzane przez oprogramowanie typu „ransomware” stały się ostatnio w pełni rozwiniętą branżą biznesu żyjącą z milionowych okupów płaconych przez duże przedsiębiorstwa. Użytkownicy systemów informatycznych są gotowi zrobić coraz więcej aby się przed nimi zabezpieczyć.

Ransomware to oprogramowanie umożliwiające zaszyfrowanie plików w systemie informatycznym przedsiębiorstwa. Odzyskuje ono dostęp do własnych zasobów dopiero po wpłaceniu okupu. Jedną z najskuteczniejszych metod zabezpieczenia się przed tego rodzaju atakiem jest przeprowadzenie socjotechnicznych testów penetracyjnych połączonych ze szkoleniem dla personelu. W zgodnej opinii specjalistów to właśnie błędy popełnione przez pracowników najczęściej umożliwiają cyber-przestępcom dostęp do systemów. Przestępcy mogą stosować wyrafinowane metody aby skłonić pracowników przedsiębiorstwa do umożliwienia im dostępu do urządzeń.

Zespół testujący kopiuje metody używane przez przestępców

W czasie testów pracownicy firmy mogą otrzymać wiadomości email lub telefony zawierające prośbę o zainstalowanie złośliwego oprogramowania lub podanie hasła dostępu do systemu. Pracownik zespołu testującego może również spróbować fizycznie dostać się do siedziby przedsiębiorstwa. Udając pracownika technicznego może spróbować uzyskać fizyczny dostęp do systemu lub poprosić pracowników o instalację odpowiedniego oprogramowania.

Pozorowany atak może być przeprowadzony z użyciem domeny internetowej podobnej do domeny klienta. Popularną metodą jest też wysłanie do pracowników wiadomości udającej korespondencję od ich szefa. Taki email zwykle zawiera prośbę o otwarcie złośliwego załącznika, który umożliwia zespołowi testującemu przejęcie kontroli nad systemem. Pracownicy zespołu testującego mogą też podawać się za nowych pracowników przedsiębiorstwa lub za pracowników firmy telekomunikacyjnej próbujących usunąć usterkę.

Jakie są efekty testów

Zdecydowana większość socjotechnicznych testów penetracyjnych kończy się sukcesem zespołu atakującego. Podstawowe cele testu to obiektywna ocena odporności przedsiębiorstwa na prawdziwy atak oraz uświadomienie pracownikom metod używanych przez cyber-przestępców. Dlatego efektem testu, oprócz szczegółowego raportu, powinno być szkolenie dla pracowników. Z kolei długoterminowy cel to minimalizacja strat przy ewentualnym prawdziwym ataku

Czego oczekują klienci

Klienci często decydują się na przeprowadzenie testu penetracyjnego w związku z wykryciem określonego cyber-zagrożenia. Wtedy ich naturalną potrzebą staje się szybki czas realizacji i szybkie przedstawienie raportu. Powszechne wymaganie klientów to udokumentowane (certyfikowsane) wysokie kompetencje zespołu przeprowadzającego atak.

Jednak najważniejszym oczekiwaniem klienta zwykle jest przełożenie wyników testu na konkretną wiedzę pozwalającą pracownikom na neutralizację ewentualnego, prawdziwego zagrożenia, które często jest w stanie sparaliżować pracę całego przedsiębiorstwa.