Na wstępnie trzeba zaznaczyć, że samo RODO nie wymaga, aby każdy administrator danych osobowych posiadał swoją stronę internetową. Warto ją jednak mieć, ponieważ w znaczącym stopniu ułatwia ona wypełnianie chociażby ciążącego na administratorze obowiązku informacyjnego. Jeżeli zdecydujemy się na własną witrynę w sieci, powinniśmy pamiętać o kilku ważnych kwestiach.

Po pierwsze bezpieczeństwo – Strona powinna być odpowiednio chroniona. Do tego celu konieczne jest w szczególności korzystanie z protokołu sieciowego zapewniającego bezpieczeństwo połączeń internetowych.

Jeżeli administrator wyznaczył Inspektora Ochrony Danych, to zgodnie z art. 11 w zw. z art. 10 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, ma obowiązek udostępnia danych inspektora, w postaci imienia, nazwiska i adresu poczty elektronicznej lub numeru telefonu, niezwłocznie po jego wyznaczeniu, na swojej stronie internetowej, a jeżeli nie prowadzi własnej strony internetowej, w sposób ogólnie dostępny w miejscu prowadzenia działalności. Zaznaczyć należy, że zgodnie z zaleceniami Urzędu Ochrony Danych Osobowych w/w dane muszą być łatwo dostępne, tj. w szczególności powinny znaleźć się przykładowo w zakładce „kontakt”, „RODO”, „ochrona danych” itp., chodzi o to, aby możliwość odnalezienia ich była łatwa i nie wiązała się z koniecznością spędzenia kilku minut na ich poszukiwanie.

Strona internetowa administratora powinna zawierać informacje dotyczące przetwarzanych przez niego danych, czyli Politykę Prywatności. Jest to nazwa umowna, równie dobrze dokument ten (lub po prostu zakładka) nosić może nazwę „RODO”, „Informacje o ochronie danych” itd. Dokument ten powinien zawierać w szczególności informacje wskazane w art. 13 RODO. Często bywa tak, że jest tam również zamieszczana informacja o plikach cookies. Obowiązek informowania o plikach cookies wynika z art. 173 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne, zgodnie z nim użytkownikom powinien zostać zakomunikowany m.in. cel przechowywania czy możliwości określenia przez nich warunków przechowywania lub uzyskiwania dostępu, za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez nich urządzeniach. Jak wspomniane zostało wyżej komunikat ten zamieścić można w Polityce Prywatności lub poza nią.

Zwracamy uwagę, że informacja o przetwarzaniu danych osobowych, zgodnie z RODO powinna zostać udzielona w momencie pozyskiwania danych (jeżeli dane zbierane są bezpośrednio od osoby, której dane dotyczą), w związku z powyższym, jeżeli na stronie internetowej zechcą Państwo umieścić formularz kontaktowy, to pod formularzem również powinna znajdować się informacja o przetwarzaniu danych osobowych. Może zostać to zorganizowane tak, że przed wysłaniem wiadomości przez formularz wymagane będzie odznaczenie checkboxa, o treści typu: „zapoznałem się z obowiązkiem informacyjnym dotyczącym przetwarzania danych osobowych”. Warto pamiętać, że obowiązek informacyjny można spełnić w sposób warstwowy, tzn. w pierwszym etapie umieszczamy wiadomości o tożsamości administratora, celu przetwarzania oraz prawach przysługujących z związku z przetwarzaniem i wskazujemy, gdzie można zapoznać się z pełną treścią obowiązku, najlepiej umieszczając link przekierowujący w to miejsce.

Zgodnie z zasadą minimalizacji danych, administrator nie powinien ich zbierać więcej niż jest to konieczne, należy zatem ostrożnie sformułować treść formularza, tak aby nie żądać obowiązkowego podawania tych danych przez osoby używające formularza, które w rzeczywistości nie są niezbędne.

Przez formularz kontaktowy lub ogólnie przez stronę mogą Państwo również zbierać zgody na przesyłanie informacji handlowych i marketingowych. Należy mieć jednak przy tym na uwadze, że zgody takie nie mogą być zaznaczone domyślnie i zakazane jest ich wymuszanie poprzez np. uzależnianie możliwości wysłania wiadomości do administratora, od ich udzielenia.

Ostatnią ważną kwestią, wartą poruszenia, jest umieszczanie zdjęć na witrynie internetowej, w kontekście utrwalonych na nich wizerunków osób, ponieważ zgodnie z dominującą interpretacją, to również podlega przepisom o ochronie danych osobowych. Ponadto, w wypadku zdjęć wchodzimy również na grunt prawa autorskiego, z czym wiążą się określone obowiązki z ustawy o prawach autorskich. Najogólniej rzecz ujmując zazwyczaj konieczne będzie uzyskanie zgody od osoby przedstawionej na zdjęciu na wykorzystanie wizerunku oraz przetwarzanie jej danych w taki sposób.

Ransomware to oprogramowanie umożliwiające zaszyfrowanie plików w systemie informatycznym przedsiębiorstwa. Odzyskuje ono dostęp do własnych zasobów dopiero po wpłaceniu okupu. Jedną z najskuteczniejszych metod zabezpieczenia się przed tego rodzaju atakiem jest przeprowadzenie socjotechnicznych testów penetracyjnych połączonych ze szkoleniem dla personelu. W zgodnej opinii specjalistów to właśnie błędy popełnione przez pracowników najczęściej umożliwiają cyber-przestępcom dostęp do systemów. Przestępcy mogą stosować wyrafinowane metody aby skłonić pracowników przedsiębiorstwa do umożliwienia im dostępu do urządzeń.

Zespół testujący kopiuje metody używane przez przestępców

W czasie testów pracownicy firmy mogą otrzymać wiadomości email lub telefony zawierające prośbę o zainstalowanie złośliwego oprogramowania lub podanie hasła dostępu do systemu. Pracownik zespołu testującego może również spróbować fizycznie dostać się do siedziby przedsiębiorstwa. Udając pracownika technicznego może spróbować uzyskać fizyczny dostęp do systemu lub poprosić pracowników o instalację odpowiedniego oprogramowania. 

Pozorowany atak może być przeprowadzony z użyciem domeny internetowej podobnej do domeny klienta. Popularną metodą jest też wysłanie do pracowników wiadomości udającej korespondencję od ich szefa. Taki email zwykle zawiera prośbę o otwarcie złośliwego załącznika, który umożliwia zespołowi testującemu przejęcie kontroli nad systemem. Pracownicy zespołu testującego mogą też podawać się za nowych pracowników przedsiębiorstwa lub za pracowników firmy telekomunikacyjnej próbujących usunąć usterkę.

Jakie są efekty testów

Zdecydowana większość socjotechnicznych testów penetracyjnych kończy się sukcesem zespołu atakującego. Podstawowe cele testu to obiektywna ocena odporności przedsiębiorstwa na prawdziwy atak oraz uświadomienie pracownikom metod używanych przez cyber-przestępców. Dlatego efektem testu, oprócz szczegółowego raportu, powinno być szkolenie dla pracowników. Z kolei długoterminowy cel to minimalizacja strat przy ewentualnym prawdziwym ataku   

Czego oczekują klienci

Klienci często decydują się na przeprowadzenie testu penetracyjnego w związku z wykryciem określonego cyber-zagrożenia. Wtedy ich naturalną potrzebą staje się szybki czas realizacji i szybkie przedstawienie raportu. Powszechne wymaganie klientów to udokumentowane (certyfikowsane) wysokie kompetencje zespołu przeprowadzającego atak.

Jednak najważniejszym oczekiwaniem klienta zwykle jest przełożenie wyników testu na konkretną wiedzę pozwalającą pracownikom na neutralizację ewentualnego, prawdziwego zagrożenia, które często jest w stanie sparaliżować pracę całego przedsiębiorstwa.

Pracownicy, co wydaje się być rzeczą dość naturalną, bronią się przed procedurami utrudniającymi bieżącą działalność, ignorując je lub przestrzegając ich w sposób pozorny. Tymczasem ochrona danych osobowych jest sprawą niezwykle poważną, dlatego przedsiębiorstwo powinno zadbać o to, aby stworzyć funkcjonalne regulacje, które zapewnią możliwość prowadzenia działalności zgodnej z obowiązującym prawem ochrony danych osobowych. Pracodawcy powinni pamiętać o tym, że to zazwyczaj właśnie błędy pracowników prowadzą do naruszeń bezpieczeństwa ochrony danych. Do najczęstszych przyczyn nalezą: niedbalstwo, lekkomyślność oraz brak odpowiedniej wiedzy. Przykładami mogą być: stosowanie łatwych do odgadnięcia haseł, pozostawianie ich zapisanych w widocznym miejscu, pozostawienie odblokowanego komputera lub wydruków na ogólnie dostępnej drukarce, zgubienie dokumentów czy wysłanie poczty elektronicznej do nieodpowiedniego adresata. Dodatkowo, w przypadku zaistnienia naruszeń, niewiedza pracowników i nieznajomość opracowanych procedur bądź ich brak, może prowadzić do niewłaściwej reakcji organizacji.

W celu uniknięcia odpowiedzialności związanej z ewentualnymi naruszeniami RODO przedsiębiorstwo powinno zadbać o to, aby pracownicy posiadali odpowiednią wiedzę oraz narzędzia pozwalające na stosowanie się do obowiązujących przepisów. Wszystkie osoby przetwarzające dane osobowe powinny znać podstawowe pojęcia związane z ochroną danych, np. wiedzieć jakie informacje stanowią lub mogą stanowić dane osobowe, czym jest przetwarzanie, jakie prawa mają osoby, których dane dotyczą, jaką rolę pełni Inspektor Ochrony Danych. Kolejnym zagadnieniem jest przeszkolenie personelu w zakresie reakcji na ewentualne naruszenia. Tutaj podstawowym warunkiem jest wiedza umożliwiająca stwierdzenie, czy doszło do naruszenia. Osoby przetwarzające dane osobowe muszą być świadome, jakie sytuacje są naruszeniami ochrony danych osobowych, a jakie nie. Powinny również wiedzieć, kto w przedsiębiorstwie pełni obowiązki Inspektora Ochrony Danych oraz jak mogą się z nim skontaktować. Ze względu na okoliczność, że utrzymanie wiedzy pracowników, w zakresie ochrony danych, na odpowiednim poziomie, powinno być jednym z priorytetów pracodawcy wskazane jest prowadzenie cyklicznych szkoleń. Mogą one być prowadzone w formie elektronicznej, co obniża ich koszty. Wiele firm decyduje się również na inne, bardziej kreatywne formy komunikacji wewnętrznej, takie jak konkursy czy plakaty skierowane do pracowników.

W interesie pracodawcy jest również stworzenie dokumentu opisującego obowiązki pracowników związane z ochroną danych osobowych. Możliwość wykazania dochowania należytej staranności w zakresie przeszkolenia pracowników i zapoznania ich z funkcjonującymi procedurami wewnętrznymi, może mieć przełożenie na wysokość ewentualnych kar związanych z naruszeniami. Szkoląc pracowników oraz dokumentując dochowanie należytej staranności pracodawca zabezpiecza się przed naruszeniami RODO na dwa sposoby. Po pierwsze zmniejsza ryzyko wystąpienia naruszeń w związku z ze zwiększeniem świadomości pracowników, po drugie, w wypadku wystąpienia naruszenia i dokonania jego zgłoszenia do urzędu, stawia się w lepszej pozycji w postępowaniu przed organem nadzorczym. Na najwyższe kary narażeni są bowiem ci przedsiębiorcy, którzy lekceważą obowiązujące przepisy oraz nie współpracują w należyty sposób z Prezesem Urzędu Ochrony Danych Osobowych.

Dlatego audyt zgodności z RODO pełni dwie funkcje. Po pierwsze zmniejsza ryzyko ewentualnych naruszeń, po drugie, jego przeprowadzenie w razie kontroli organu nadzorczego jest dowodem na zachowanie należytej staranności. Każdy przedsiębiorca samodzielnie ustala procedury oraz dobiera środki techniczne, które mają zapewnić przestrzeganie przepisów RODO. Celem tych działań jest zapewnienie aby gromadzenie i przetwarzanie danych osobowych w przedsiębiorstwie odbywało się w sposób przejrzysty dla osób, których dane dotyczą, w konkretnych, wyraźnych i prawnie uzasadnionych celach, było ograniczone do tego co niezbędne dla celów, w których dane są przetwarzane, a także aby dane były prawidłowe i aktualne. Ponadto przetwarzanie danych powinno mieć odpowiednią podstawę prawną a administrator powinien we właściwy sposób (fizycznie i elektronicznie) zabezpieczyć posiadane zasoby danych.

Trudno wyobrazić sobie sytuację, w której wystarczające może być jednorazowe przeprowadzenie audytu. Jeżeli przedsiębiorstwo po raz pierwszy bada zgodność swoich procedur z RODO, z pewnością rzetelnie przeprowadzony audyt wykaże konieczność wprowadzenia zmian. W takim przypadku audyt należy powtórzyć po ich wdrożeniu. Sytuacja jest analogiczna nawet w przedsiębiorstwach, w których przepisy RODO są od lat stosowane w świadomy sposób.

Należy też pamiętać o tym, że w przypadku dużych organizacji, osiągnięcie zgodności z RODO może być długotrwałym procesem. Jego podstawą zwykle jest podjęcie kilku strategicznych decyzji, na przykład – czy w przedsiębiorstwie należy wyznaczyć inspektora danych osobowych, albo czy wdrażać RODO samodzielnie, czy też przy udziale wyspecjalizowanej firmy zewnętrznej. Z kolei audyt może pomóc w odpowiedzi na bardziej szczegółowe pytania – na przykład jaki jest i powinien być zakres przetwarzanych danych (czy ma charakter minimalny), czy są stosowane właściwe klauzule i formularze zgód, czy przedsiębiorstwo właściwie wykonuje obowiązki wobec osób, których dane dotyczą a także w jaki sposób dane są chronione za pomocą środków fizycznych i elektronicznych.

W zależności od wielkości przedsiębiorstwa i stopnia komplikacji procesów przetwarzania danych, można przyjąć różne strategie związane z przeprowadzaniem audytów. Ponieważ procedura audytu nie jest w żaden sposób określona przez przepisy, możliwe jest przyjęcie elastycznego podejścia, na przykład wykonywanie częściowych audytów w ramach określonych obszarów działalności. Takie podejście daje przedsiębiorcy możliwość koncentracji na obszarach podwyższonego ryzyka.

Oznacza to, że szczególnie w większych firmach, audyt zgodności z RODO nie musi a nawet nie powinien być działaniem jednorazowym. Najlepszą strategią jest opracowanie planu uwzględniającego kontrolę poszczególnych obszarów działalności oraz bieżące wprowadzanie usprawnień.

„Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku (…)”.

Z powyższego tekstu wynika, że ustawodawca nie narzuca rodzaju środków technicznych, jakie należy zastosować dla ochrony zgromadzonych i przetwarzanych danych osobowych, oraz to, że administrator i podmiot przetwarzający powinien dokonać samodzielnej oceny ryzyka związanego z prowadzonymi operacjami przetwarzania oraz samodzielnie dobrać adekwatne środki ochronne.

Przy dobieraniu tych środków z jednej strony należy brać pod uwagę wielkość i zakres potencjalnych strat związanych z ewentualnymi naruszeniami, a z drugiej aktualną wiedzę techniczną i koszt wdrożenia rozwiązań zabezpieczających. 

Nie określając szczegółowych środków technicznych, jakie należy zastosować w każdym konkretnym przypadku, ustawodawca dość szczegółowo określa oczekiwania względem podmiotów przetwarzających. Są to:

–  pseudonimizacja i szyfrowanie danych osobowych;

–  zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów  i usług przetwarzania;

–  zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;

–  regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

Zgodnie z art. 32, ust. 2 RODO, przeprowadzana przez administratora ocena ryzyka musi uwzględniać w szczególności ryzyko wiążące się z:

–  przypadkowym lub niezgodnym z prawem zniszczeniem;

–  utratą;

–  modyfikacją;

–  nieuprawnionym dostępem.

Widać więc wyraźnie, że ustawodawca oczekuje od administratora i podmiotu przetwarzającego zabezpieczenia danych zarówno przez nieautoryzowanym działaniem osób trzecich, jak i przed różnego rodzaju działaniami losowymi.

Jeśli chodzi o drugą możliwość, należy wziąć pod uwagę takie czynniki jak lokalizacja przedsiębiorstwa, podatność na czynniki atmosferyczne, jakość infrastruktury elektrycznej i wodnej oraz poziom ochrony przeciwpożarowej. Każde z powyższych zagrożeń może być minimalizowane przy użyciu odpowiednich środków technicznych.

Jednak absolutnie kluczowym zagadnieniem jest ochrona danych osobowych przed nieautoryzowanym dostępem osób trzecich. Wymaga to dwóch rodzajów zabezpieczeń. Po pierwsze są to środki elektroniczne, takie jak hasła dostępu, oprogramowanie antywirusowe i szkolenia pracowników w zakresie cyber-bezpieczeństwa. Po drugie, konieczne jest zastosowanie zabezpieczeń fizycznych. Fizyczny dostęp do siedziby administratora jest niebezpieczny z dwóch powodów. Po pierwsze umożliwia kontakt ze zgromadzonymi w firmie dokumentami, po drugie ułatwia zdobycie haseł dostępu i penetrację systemów komputerowych.   

Planując ograniczenie dostępu do pomieszczeń należy rozważyć możliwość zastosowania: ogrodzeń zewnętrznych, właściwych zabezpieczeń drzwi i okien, kontroli dostępu przy pomocy środków elektronicznych i wyspecjalizowanego personelu. Zastosowane zabezpieczenia powinny być zaprojektowane w ten sposób aby opóźnić dostęp do ochronionych pomieszczeń na czas niezbędny do przybycia policji lub personelu agencji ochrony.

W interesie administratora jest wykazanie zarówno przed organem nadzorczym, jak i przed innymi zainteresowanymi podmiotami wywiązywania się z obowiązków związanych z art. 32 RODO. Rozporządzenie podpowiada w tym zakresie dwie metody postępowania, którymi są: zatwierdzony kodeks postępowania oraz zatwierdzony mechanizm certyfikacji. Szczegóły określają art. 40 i 42 RODO.

„Inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wykonywania zadań, o których mowa w art. 39.”

Z powyższego wynika, że sprawowanie funkcji inspektora danych osobowych nie jest uwarunkowane ukończeniem żadnych kursów ani zdaniem egzaminów. Wystarczają umiejętności określone przez art. 39 RODO a podmiotem oceniającym wiedzę kandydata w tym zakresie jest jedynie administrator bądź podmiot przetwarzający dane osobowe i zatrudniający inspektora.

Art. 39 RODO definiuje zadania inspektora danych osobowych. Są to:

a) informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzanie im w tej sprawie;

b) monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty;

c) udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35;

d) współpraca z organem nadzorczym;

e) pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach.

Oznacza to, że inspektor ochrony danych osobowych przede wszystkim musi posiadać rozległą wiedzę na temat obowiązujących regulacji oraz praktycznych aspektów stosowania przepisów RODO. Powinna ona dotyczyć między innymi umiejętności sporządzenia stosownej dokumentacji, podziału obowiązków związanych z ochroną danych osobowych, działań zwiększających świadomość personelu oraz przeprowadzania audytów.

Funkcja inspektora danych osobowych rzadko jest zajęciem na pełen etat. W związku z tym przedsiębiorcy decydują się na wyznaczenie pracownika, który pełni funkcję inspektora jednocześnie wykonując inne obowiązki.

Wyznaczony inspektor ochrony danych powinien mieć odpowiednie kwalifikacje zawodowe i fachową wiedzę na styku prawa i IT oraz praktykę w dziedzinie ochrony danych osobowych, dlatego często firmy korzystają z usługi outsourcingu Inspektora Ochrony Danych.

Zalety outsourcingu funkcji  IOD:

• – najwyższa jakość świadczonych usług;
• – szeroka wiedza z zakresu ochrony danych osobowych;
• – niezwłoczna reakcja w przypadku naruszenia ochrony danych osobowych;
• – optymalizacja kosztów.

Zapraszamy do zapoznania się z naszą ofertą: Outsourcing IOD

Jednak istnieją również liczne sytuacje, w których ochrona poufnych danych jest wymagana przez prawo. Zgodnie z przepisami rozporządzenia RODO jest tak zawsze wtedy, gdy dotyczą one osób fizycznych. A więc chodzi o wszelkiego rodzaju akta personalne, ewidencje wynagrodzeń a nawet umowy czy faktury, jeżeli kontrahentami są osoby fizyczne. W takim przypadku w grę wchodzą nie tylko biznesowe skutki utraty kontroli nad danymi ale również odpowiedzialność odszkodowawcza i administracyjna. Dlatego forma przesyłania danych musi gwarantować ich poufność, integralność i autentyczność.

Najważniejsze zagrożenia to możliwość ujawnienia, zniszczenia lub modyfikacji zbiorów danych. Rozporządzenie RODO nie określa ściśle, jakie zabezpieczenia należy stosować. Wybór środków należy do administratora, a najważniejsze jest to, żeby były one skuteczne i właściwie dobrane pod kątem spodziewanych zagrożeń. Tak naprawdę oznacza to, że w przypadku gdy mamy do czynienia z danymi poufnymi, przesyłane pliki muszą być w odpowiedni sposób zaszyfrowane. Jedną z najważniejszych zasad powinien być też zakaz przesyłania poufnych danych za pomocą prywatnej poczty elektronicznej. 

W przypadku przesyłania zaszyfrowanych plików powstaje problem związany z koniecznością przekazania odbiorcy hasła. Hasło musi być dostarczone w bezpieczny sposób, z oczywistych względów inną metodą niż sam zaszyfrowany plik. Wbrew obiegowej opinii, przesłanie hasła osobno sms-em niekoniecznie musi być bezpieczną metodą, tym bardziej że wiele aplikacji biznesowych jest obecnie dostępnych poprzez smartfony. Pomocne może być jednak przesłanie hasła np.za pomocą szyfrowanego czatu. Dobrą praktyką jest też żądanie zmiany hasła przez użytkownika podczas pierwszego logowania.  

W celu zabezpieczenia przesyłanej poczty rekomenduje się stosowanie protokołu szyfrującego np. S/MIME. Jego włączenie spowoduje, że wysyłane wiadomości będą automatycznie szyfrowane zawsze, gdy to będzie możliwe. Zabezpieczenie przesyłanych wiadomości zawsze zależy od poziomu szyfrowania obsługiwanego przez usługi pocztowe poszczególnych adresatów. Jednak w przypadku przesyłania korespondencji wewnątrz firmy lub do stałych kontrahentów, można tym poziomem dość łatwo zarządzać.

Do zaszyfrowania poufnych danych należy wykorzystywać silne hasła. Najlepiej aby składały się z kilkunastu znaków, wielkich i małych liter, liczb i znaków specjalnych. Użytkownicy nie powinni używać tych samych loginów i haseł w celu logowania się do różnych aplikacji.  Należy też pamiętać o tym aby w przypadku jednoczesnego przesyłania wiadomości do wielu odbiorców wpisywać ich adresy email jako „ukryta kopia”. W przeciwnym wypadku każdy odbiorca będzie widział adresy email wszystkich pozostałych odbiorców, co może naruszać przepisy z zakresu ochrony danych osobowych.

Przedsiębiorcy powinni pamiętać, że w związku w przetwarzaniem danych osobowych ciąży na nich szczególna odpowiedzialność. Dlatego konieczne jest też systematyczne szkolenie pracowników z zakresu bezpieczeństwa IT.

Z punktu widzenia RODO, istotne są te sytuacje, w których w wyniku monitorowania pracowników mamy do czynienia z gromadzeniem i przetwarzaniem ich danych osobowych. Zgodnie z artykułem 4 p. 1 rozporządzenia RODO, dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Nie ulega wątpliwości, że w każdym z wyżej wymienionych przypadków, na podstawie zebranych danych można zidentyfikować osoby fizyczne. Oznacza to, że pracodawca stosujący każdą z metod musi mieć świadomość, że dotyczą go przepisy rozporządzenia RODO.

W związku z tym, podstawowym obowiązkiem pracodawcy jest stosowanie zasad dotyczących przetwarzania danych osobowych określonych w artykule 5 rozporządzenia. A mówią one między innymi, że dane muszą być przetwarzane zgodnie z prawem i w sposób przejrzysty dla osoby, której dotyczą, zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz przetwarzane w sposób zapewniający im bezpieczeństwo.

Powyższe przepisy, a przede wszystkim obowiązek zachowania przejrzystości, oznaczają, że konieczne jest poinformowanie pracownika o sposobach monitorowania jego działalności w zakładzie pracy. Jest to istotne tym bardziej, że stosowane metody monitorowania mogą ingerować w sferę prywatności pracownika. Najlepiej, jeżeli te kwestie zostaną określone w regulaminie pracy lub umowie zbiorowej. Należy też pamiętać, że nie wolno gromadzić danych dotyczących spraw osobistych pracowników. Takie postępowanie naruszałoby gwarantowane przez konstytucję prawo do tajemnicy korespondencji.

Należy podkreślić, że zgodność przetwarzania danych z prawem nie może być zapewniona przez zgodę pracownika. Powszechnie uważa się, że skoro udzielenie takiej zgody jest niezbędnym warunkiem podjęcia pracy, to taka zgodna nie mogłaby być uznana za dobrowolną. Zgodnie z artykułem 5 pkt 1f rozporządzenia RODO, wystarczającą przesłanką stosowania monitoringu jest prawnie uzasadniony interes realizowany przez administratora.

Wprowadzając jakiekolwiek formy monitorowania pracowników należy pamiętać o RODO, jednak podstawową rolę w uregulowaniu problemu pełni kodeks pracy.

Artykuł 22.2 określa sytuacje, w których w zakładzie można zastosować monitoring wizyjny. Te sytuacje to: zapewnienie bezpieczeństwa pracowników lub ochrony mienia, kontrola produkcji lub zachowanie w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Ponadto dozwolone jest monitorowanie terenu zakładu pracy. Te zasady oznaczają, że zasady stosowania monitoringu wizyjnego są w Polsce bardzo liberalne.

Inne formy kontroli są z kolei uregulowane przez artykuł 22.3. Pracodawca ma prawo stosować kontrolę służbowej poczty elektronicznej pracownika, gdy jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystania czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi. Przepis ten stosuje się również do stosowania innych form monitoringu. Należy pamiętać, że monitoring nie może naruszać tajemnicy korespondencji i dóbr osobistych pracownika.

Przedsiębiorca nie mający wykształcenia informatycznego często może w ogóle nie zdawać sobie sprawy z tego, że system działa niewłaściwie i jest powodem strat dla przedsiębiorstwa. Odpowiedzią na te problemy jest okresowe przeprowadzanie audytów systemów komputerowych.

Profesjonalnie przeprowadzony audyt powinien brać pod uwagę takie czynniki jak charakterystyka branży, w której działa przedsiębiorstwo czy najnowsze trendy w otoczeniu konkurencyjnym i prawnym. Inaczej mówiąc, chodzi nie tylko o to jak działa system komputerowy ale również o to czy jest on właściwie wykorzystywanym narzędziem dla realizacji celów przedsiębiorstwa. Na przykład identyfikacja niewłaściwych procedur stosowanych przy pozyskiwaniu lub obsłudze klientów może przyczynić się do natychmiastowej poprawy sytuacji finansowej przedsiębiorstwa.

Z technicznego punktu widzenia w trakcie audytu systemu komputerowego należy zbadać: aktualność i wydajność systemów i aplikacji; wydajność urządzeń, w tym stacji roboczych, serwerów i sieci; bezpieczeństwo danych; zachowanie użytkowników systemu.

Audyt powinien być zakończony raportem wskazującym istotne zagrożenia oraz sugerującym konieczne do podjęcia działania. Konieczna może być wymiana elementów infrastruktury, instalacja nowych aplikacji oraz szkolenie personelu.

W zależności od potrzeby, elementem audytu mogą być na przykład testy penetracyjne systemów, stron WWW oraz aplikacji mobilnych. W ich ramach audytorzy przeprowadzają kontrolowany atak na zasoby informatyczne przedsiębiorstwa. Specyficzną formą testów penetracyjnych są testy w socjotechniczne, podczas których sprawdza się stosowanie procedur przez pracowników. W zgodnej opinii specjalistów, pracownicy stanowią najsłabsze ogniwo w zakresie bezpieczeństwa systemów.

Często konieczna jest też weryfikacja zgodności systemu informatycznego z przepisami rozporządzenia RODO. W przypadku gdy przedsiębiorstwo gromadzi i przetwarza dane osób fizycznych, ewentualne naruszenia lub włamania mogą być przyczyną roszczeń ze strony osób, których dane dotyczą. Osobnym problemem jest odpowiedzialność administracyjna przed władzami regulacyjnymi.

Skuteczność kontroli dostępu do systemów jest istotna szczególnie wtedy, gdy znajdują się tam dane osób fizycznych. Ewentualne włamanie może wtedy być naruszeniem restrykcyjnego rozporządzenia RODO i rodzić poważne konsekwencje finansowe dla właściciela systemu. Rozporządzenie nie stawia konkretnych wymagań dotyczących sposobu zabezpieczania systemów hasłami. Przedsiębiorca sam powinien ustalić swoją politykę haseł i powinna ona być elementem większego – obowiązkowego dokumentu, czyli polityki bezpieczeństwa.

Rozporządzenie RODO kładzie duży nacisk na dochowanie należytej staranności w działaniach związanych z gromadzeniem i przechowywaniem danych osobowych. Przygotowanie procedur dotyczących polityki haseł jest dowodem na dochowanie należytej staranności. Polityka bezpieczeństwa haseł powinna odnosić się do kilku zagadnień. Chodzi przede wszystkim o sposób budowy haseł, częstość ich zmiany a także procedury ich nadawania i postępowania z nimi przez użytkowników.

Budowa hasła

Długie hasła lepiej chronią przed nieautoryzowanym dostępem, jednak należy pamiętać, że są one bardziej uciążliwe dla użytkowników. Dlatego w zależności od stopnia ryzyka należy wybrać rozwiązanie, które będzie wystarczająco bezpieczne i wygodne w użyciu. Standardem powinno być ustalenie minimalnej długości hasła na osiem znaków. Wymagania te powinny rosnąć w przypadku systemów o krytycznym znaczeniu na przykład bankowych systemów transakcyjnych. Jeszcze bardziej restrykcyjne zabezpieczenia stosuje się w systemach związanych z bezpieczeństwem, na przykład ruchu drogowego lub kolejowego.

Standardem jest też wymaganie różnych rodzajów znaków: małych i wielkich liter, cyfr i znaków specjalnych. Użycie silnego hasła zmniejsza prawdopodobieństwo skuteczności brutalnego ataku praktycznie do zera.  

Jak często zmieniać hasła

Im dłużej dane hasło jest używane, tym bardziej rośnie ryzyko jego przyjęcia przez osoby nieautoryzowane. W związku z tym większość firmowych systemów komputerowych wymaga zmiany haseł w określonych odstępach czasowych. Najczęściej stosowanym rozwiązaniem jest zmiana hasła co 30 dni. Okres ten powinien ulec skróceniu w sytuacji gdy ewentualne naruszenie wiąże się z ryzykiem poważnych strat. Wielu administratorów stosuje również hasła jednorazowe, przekazywane najczęściej przez aplikacje mobilne.

Należy pamiętać, że wymaganie od użytkowników częstych zmian haseł może prowadzić do utrudnień w logowaniu do systemu. W związku z tym restrykcyjne regulacje należy wprowadzać tylko wtedy, kiedy są rzeczywiście uzasadnione przez potencjalne ryzyko.

Specyficznymi rodzajami haseł w firmie są hasła administracyjne. Powinny być one zdeponowane w bezpiecznym miejscu na wypadek nieobecności administratora.

Konieczne jest systematyczne szkolenie użytkowników

Według serwisu TeamsID, najbardziej popularne hasła na świecie to: 123456, password, qwerty czy football. Ponadto użytkownicy często zostawiają hasła zapisane na kartkach obok komputera lub w szufladach biurek. Nawet najlepiej opracowana polityka haseł nie spełni swojego zadania jeżeli użytkownicy systemów nie ustalą odpowiednio silnych haseł i nie będą się z nimi właściwie obchodzić.

Dlatego systematycznie prowadzone okresowe szkolenia pracowników firmy w bardzo istotny sposób mogą się przyczynić do redukcji ryzyka naruszeń i ograniczenia potencjalnych strat.