RODO i bezpieczeństwo systemów w małej firmie

✓

Bezpłatna analiza ryzyka IT

Sprawdź, które obszary bezpieczeństwa wymagają uwagi w Twojej firmie

23 pytania, około 10 minut, bez wiedzy technicznej. Na koniec dostajesz automatyczny wynik i wiesz, gdzie masz realne luki.

Zrób bezpłatną analizę →

Awaria serwera, przejęte konto Microsoft 365 albo wiadomość phishingowa wysłana z firmowej skrzynki mogą w kilka godzin zatrzymać pracę działu księgowości, sprzedaży lub obsługi klienta. RODO i bezpieczeństwo systemów nie są więc dwoma niezależnymi obszarami. Ochrona danych osobowych w praktyce zależy również od tego, czy firma potrafi zapobiegać incydentom, odpowiednio wcześnie je wykrywać i reagować, zanim problem obejmie całą organizację.

Dla małej i średniej firmy najtrudniejsze nie jest zwykle zrozumienie samej zasady ochrony danych. Trudność zaczyna się przy przełożeniu jej na codzienną pracę: kto ma dostęp do danych, czy logowania są odpowiednio zabezpieczone, czy ktoś zauważy nietypową aktywność na serwerze oraz czy zespół wie, co zrobić po podejrzeniu wycieku. Dobre podejście nie polega na kupowaniu wszystkich dostępnych narzędzi. Polega na dobraniu środków technicznych i organizacyjnych do skali działalności, rodzaju przetwarzanych danych oraz realnego ryzyka biznesowego.

Co łączy RODO i bezpieczeństwo systemów?

RODO wymaga, aby administrator danych wdrożył odpowiednie środki techniczne i organizacyjne, uwzględniając między innymi ryzyko naruszenia praw i wolności osób fizycznych. Przepisy nie wskazują jednej, uniwersalnej listy produktów ani jednej konfiguracji zabezpieczeń odpowiedniej dla każdej organizacji. Podejście oparte na ryzyku oznacza jednak konieczność świadomego doboru i okresowego weryfikowania stosowanych zabezpieczeń.

Systemy IT są miejscem, w którym dane osobowe są zbierane, przesyłane, przechowywane i udostępniane. Dotyczy to nie tylko systemu kadrowego czy CRM. Dane mogą znajdować się w skrzynkach pocztowych, na komputerach pracowników, serwerach plików, dyskach chmurowych, w kopiach zapasowych, systemach księgowych i aplikacjach używanych przez dział sprzedaży.

W praktyce bezpieczeństwo powinno chronić trzy podstawowe właściwości bezpieczeństwa przetwarzania danych: poufność, integralność i dostępność. Poufność oznacza, że dane nie trafiają do osób nieuprawnionych. Integralność pozwala ograniczać ryzyko nieuprawnionego lub przypadkowego zmodyfikowania danych. Dostępność jest potrzebna, aby uprawnieni pracownicy mogli korzystać z danych wtedy, gdy wymaga tego praca firmy. Podejście to znajduje odzwierciedlenie również w art. 32 RODO, który wskazuje m.in. na zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania.

Przykładowo ransomware może naruszyć dostępność danych przez zaszyfrowanie plików, ale jednocześnie zagrozić ich poufności, jeśli przestępcy wcześniej je skopiowali. Przejęcie konta pocztowego może prowadzić do odczytania korespondencji, wysłania fałszywych faktur i uzyskania dostępu do kolejnych usług. Jedno zdarzenie techniczne często ma więc konsekwencje operacyjne, finansowe i związane z ochroną danych osobowych.

RODO i bezpieczeństwo systemów: gdzie firmy tracą kontrolę

W wielu MŚP infrastruktura rozwija się stopniowo. Pojawia się kolejny komputer, nowa aplikacja w chmurze, konto dla współpracownika, zdalny dostęp dla serwisu lub dodatkowy dysk do przechowywania dokumentów. Każda taka decyzja może być uzasadniona biznesowo, lecz z czasem tworzy środowisko, nad którym nikt nie ma pełnego obrazu.

Szczególnej uwagi wymagają konta użytkowników i uprawnienia. Były pracownik z aktywnym dostępem do poczty, wspólne hasło do systemu księgowego czy konto administratora używane do codziennej pracy to przykłady sytuacji zwiększających ryzyko. Zasada minimalnych uprawnień oznacza, że użytkownik powinien otrzymywać dostęp odpowiedni do zakresu wykonywanych zadań, a nie dostęp „na wszelki wypadek”.

Drugim problemem jest brak aktualizacji i bezpiecznej konfiguracji. Nieaktualny system, otwarta usługa zdalnego dostępu lub źle skonfigurowane środowisko chmurowe mogą stworzyć drogę do ataku bez konieczności łamania złożonych zabezpieczeń. Równie istotne są kopie zapasowe. Backup, którego nie da się odtworzyć, nie wspiera skutecznie ciągłości działania, choć formalnie może istnieć.

Trzeci obszar to ograniczona widoczność zdarzeń. Firma może mieć firewall, program antywirusowy i mechanizmy wieloskładnikowego uwierzytelniania, ale nadal nie wiedzieć, że ktoś logował się nocą z nietypowej lokalizacji, wielokrotnie próbował uzyskać dostęp do plików lub wyłączył zabezpieczenie na stacji roboczej. Narzędzia ochronne są potrzebne, jednak bez odpowiedniej analizy zdarzeń mogą nie dać pełnej odpowiedzi na pytanie, czy incydent już trwa.

Zabezpieczenia proporcjonalne do ryzyka

Nie każda organizacja potrzebuje identycznej architektury bezpieczeństwa. Biuro rachunkowe przetwarzające dane klientów i pracowników będzie miało inny profil ryzyka niż firma produkcyjna z systemami wspierającymi logistykę i pracę zakładu. Znaczenie ma skala danych, ich charakter, liczba użytkowników, zależność firmy od systemów IT oraz skutki ewentualnego przestoju.

Punktem wyjścia powinna być rzetelna inwentaryzacja. Warto ustalić, gdzie znajdują się dane osobowe, jakie systemy je obsługują, kto administruje dostępami i które procesy nie mogą zostać zatrzymane bez istotnej szkody dla firmy. Taka mapa pozwala oddzielić realne priorytety od kosztownych działań, które nie rozwiązują najważniejszego problemu.

Następnie należy uporządkować podstawy operacyjne. Obejmują one między innymi zarządzanie kontami i dostępami, stosowanie wieloskładnikowego uwierzytelniania tam, gdzie jest dostępne, aktualizacje, ochronę urządzeń końcowych, kopie zapasowe oraz regularne testowanie możliwości odtworzenia danych. Warto też sprawdzić, czy firma ma kontrolę nad dostępami dostawców zewnętrznych i czy wie, jakie dane są przetwarzane w wykorzystywanych usługach chmurowych.

Same zabezpieczenia prewencyjne nie są jednak wystarczające. Część ataków wykorzystuje błąd człowieka, nowe podatności lub prawidłowe dane logowania przejęte w phishingu. Dlatego potrzebna jest również zdolność wykrywania anomalii i podejrzanych działań, a nie tylko blokowania znanych zagrożeń.

Monitoring jako element ochrony danych

Stały monitoring bezpieczeństwa pomaga zauważyć sygnały, których pojedynczy administrator lub właściciel firmy nie ma czasu stale śledzić. Mogą to być nietypowe logowania do Microsoft 365, eskalacja uprawnień, próby poruszania się po sieci, masowe usuwanie plików czy komunikacja urządzenia ze znaną infrastrukturą przestępczą.

Monitoring nie polega na gromadzeniu wszystkich logów bez celu. Jego wartość wynika z odpowiedniego zbierania, korelowania i analizowania informacji z komputerów, serwerów, firewalli, usług chmurowych i innych elementów środowiska. Platforma SIEM, taka jak Elastic Security, może zbierać i analizować zdarzenia, ale o skuteczności procesu decyduje również właściwa konfiguracja, odpowiednio przygotowane reguły detekcji, analiza alertów oraz jasno określona reakcja.

Dla MŚP utrzymywanie własnego zespołu pracującego przez całą dobę jest często nieproporcjonalne do możliwości organizacji. Model SOC as a Service pozwala korzystać z monitoringu 24/7 i wsparcia analityków bez budowania pełnego wewnętrznego SOC. VIRTUO SOC wspiera firmy w monitorowaniu środowisk Windows i Linux, serwerów, komputerów, zapór sieciowych, Microsoft 365 oraz wybranych środowisk i usług chmurowych, dobierając zakres monitoringu do faktycznego środowiska klienta.

Ważne jest przy tym realistyczne oczekiwanie. Monitoring ogranicza czas wykrycia i wspiera szybszą reakcję, ale nie zastępuje aktualizacji, kontroli dostępu, kopii zapasowych ani świadomych użytkowników. Jest jednym z elementów spójnego procesu zarządzania ryzykiem.

Incydent bezpieczeństwa a naruszenie ochrony danych

Nie każde zdarzenie bezpieczeństwa automatycznie oznacza naruszenie ochrony danych osobowych. Zgubiony służbowy telefon, wykryty phishing, zainfekowany komputer czy błąd konfiguracji powinny zostać zbadane, ale ich konsekwencje mogą być różne. Kluczowe jest ustalenie, czy doszło do naruszenia bezpieczeństwa prowadzącego do zniszczenia, utraty, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych oraz jakie ryzyko stworzyło to dla osób, których dane dotyczą.

Dlatego firma potrzebuje procedury reagowania, która łączy działania techniczne z decyzjami organizacyjnymi. Powinna wskazywać, kto przyjmuje zgłoszenie, kto zabezpiecza dowody, kto podejmuje decyzje biznesowe, jak dokumentowane są ustalenia i kiedy w proces powinien zostać włączony inspektor ochrony danych lub doradca prawny. W razie potrzeby ocena obowiązków wynikających z RODO powinna uwzględniać konkretny stan faktyczny – ten tekst nie zastępuje porady prawnej.

Jeżeli analiza wykaże, że doszło do naruszenia ochrony danych osobowych powodującego ryzyko naruszenia praw lub wolności osób fizycznych, administrator może być zobowiązany do zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Nie oznacza to jednak, że każde zdarzenie cyberbezpieczeństwa należy automatycznie zgłaszać w tym terminie – najpierw konieczna jest ocena, czy zdarzenie stanowi naruszenie ochrony danych osobowych i jakie ryzyko wiąże się z tym naruszeniem.

Największym błędem jest czekanie na pełną pewność, podczas gdy atak nadal trwa. Najpierw trzeba ograniczyć jego zasięg: odizolować zagrożone urządzenie, zabezpieczyć konto, zachować dostępne logi i ustalić, jakie systemy mogły zostać objęte incydentem. Dopiero potem można wiarygodnie ocenić przyczynę, zakres oraz dalsze działania naprawcze.

Ludzie i procedury są częścią zabezpieczeń

Phishing nadal działa nie dlatego, że pracownicy są nieostrożni, ale dlatego, że wiadomości są coraz lepiej dopasowane do kontekstu firmy. Presja czasu, faktura od znanego kontrahenta, prośba rzekomego przełożonego lub informacja o blokadzie konta potrafią skłonić do szybkiego kliknięcia.

Szkolenia powinny uczyć rozpoznawania sytuacji ryzykownych i prostego zgłaszania wątpliwości. Równie ważne jest stworzenie środowiska, w którym pracownik nie obawia się zgłosić pomyłki. Wczesna informacja o kliknięciu w podejrzany link może umożliwić szybką zmianę hasła, unieważnienie sesji i sprawdzenie aktywności konta. Ukrywanie problemu z obawy przed konsekwencjami zwykle zwiększa skalę incydentu.

Dobrą praktyką jest również okresowe sprawdzanie, czy procedury działają poza dokumentem. Czy nowy pracownik otrzymuje tylko potrzebne dostępy? Czy po zakończeniu współpracy konto jest wyłączane? Czy zespół wie, gdzie zgłosić podejrzaną wiadomość? Czy kopię zapasową można odtworzyć w czasie akceptowalnym dla biznesu?

Bezpieczeństwo systemów nie jest jednorazowym projektem zakończonym po wdrożeniu narzędzia lub podpisaniu procedury. Najbardziej użyteczny kolejny krok to sprawdzenie jednego krytycznego procesu biznesowego – od danych, przez systemy i dostępy, aż po reakcję na awarię – i usunięcie najsłabszego ogniwa, które rzeczywiście może zatrzymać firmę.

Dyrektor ds. Technologii