- Dzisiaj otrzymałem e-mail, z którego treści wynikało, że ewidentnie nie był skierowany do mnie. Gdybym go zachował, miałbym dostęp do informacji o klientach pewnej firmy. Czy takie zdarzenia, których efektem może być ujawnienie danych osobowych, są częstym zjawiskiem?
Maciej Kaczmarski: Z naszej praktyki wynika, że niestety tak. Choć czasem nie zdajemy sobie z tego sprawy, to jednak tzw. incydenty związane z ochroną danych osobowych zdarzają się w firmach niemal każdego dnia. Tych mniejszych, jak podany przykład wysłania maila do niewłaściwego adresata, często nawet nie zauważamy, ale te naprawdę duże znajdują często swój finał w sądach i na łamach ogólnopolskich mediów. Efektem, poza oczywistymi stratami finansowymi (utrata klientów, kary sądowe, odszkodowania), są również ogromne straty wizerunkowe. Najczęstszym źródłem incydentów jest, jak pokazują statystyki, człowiek – jego niefrasobliwość, brak kompetencji, a także zwykła niewiedza.
- Jak sobie z tym radzić?
Aby uniknąć kłopotów związanych z naruszeniem przepisów o ochronie danych osobowych, warto zadbać o odpowiedzialne zachowania oraz właściwy poziom wiedzy swoich pracowników. Czasami naprawdę wystarczy niewiele, aby przeciwdziałać utracie danych, czy dostania się w ich niepowołane ręce. Przykładowo, chociaż pocztą elektroniczną posługujemy się już od wielu lat i wydawałoby się, że wszystko powinniśmy już o niej wiedzieć, to wciąż zdarzają się masowe wysyłki maili z otwartą listą adresową.
- Czyli zamiast opcji „ukryte do wiadomości", nadawca wpisuje wszystkie adresy odbiorców w pole „do wiadomości"?
Tak. A przecież wysyłając list w ten sposób, wszystkie zawarte tam adresy stają się widoczne dla każdej osoby, która danego maila otrzyma. Oczywiście można powiedzieć, że nie każdy taki adres musi być od razu uznany za daną osobową. Jednak najczęściej zawiera on nazwisko, czasem także imię adresata, a w połączeniu z domeną (np. nazwą firmy) na pewno taką stanowi. Pozwala bowiem zidentyfikować taką osobę.
To oczywiste naruszenie prawa do prywatności poszczególnych adresatów. Efektem mogą być ich skargi, publiczna krytyka takiego postępowania w sieci, np. za pośrednictwem mediów społecznościowych, a nawet sprawa sądowa. Najprostszym rozwiązaniem jest stosowanie tzw. kopii ukrytej, tj. wpisywanie wszystkich adresatów w rubryce „UDW".
- Nieprawidłowe adresowanie poczty elektronicznej to zapewne nie jedyny przykład niefrasobliwości towarzyszącej wykorzystywaniu technologii komunikacyjnych?
Częstą praktyką jest przesyłanie dokumentów zawierających poufne informacje, w tym dane osobowe, drogą mailową, bez ich zaszyfrowania. W efekcie dane łatwo mogą trafić w niepowołane ręce, np. przez błąd w adresie odbiorcy lub też odczytanie maila na komputerze odbiorcy przez inną osobę. Aby tego uniknąć, warto zabezpieczyć pliki hasłem, a hasło przesłać np. SMS-em.
Inne zagrożenie wiąże się z wynoszeniem danych z firmy bez szyfrowania nośników. A przecież coraz częstszą praktyką jest praca zdalna lub też kończenie różnych służbowych zadań w domu. Właśnie wtedy zabieramy ze sobą sprzęt elektroniczny i nośniki danych. Niestety, bardzo często żadne z tych urządzeń nie są szyfrowane, przez co, w przypadku ich zgubienia lub kradzieży, wszystkie zgromadzone na nich dane są bardzo łatwo dostępne dla niepowołanych osób. Rozwiązaniem jest ponownie szyfrowanie danych lub też korzystanie ze zdalnego szyfrowanego dostępu do zasobów firmy.
- Tylko, że jak firma wprowadza hasła i wymusza ich stosowanie, to pracownicy często zapisują je na karteczkach i wieszają na monitorze.
To prawda. Współcześnie korzystamy z mnóstwa różnego rodzaju haseł dostępu czy PIN-ów. Często wymogi, jakie muszą spełniać, sprawiają, że są one coraz trudniejsze do zapamiętania. Aby sobie ułatwić, pracownicy firm bardzo często zapisują je sobie na karteczkach i, niemal równie często, umieszczają w widocznych miejscach, np. na biurku przy komputerze. Efektem jest oczywiście możliwość udostępnienia danych nieuprawnionym osobom.
Aby nie być zmuszonym do zapisywania haseł, warto wybierać takie, które łatwo będzie zapamiętać. Co ciekawe, takie hasło wcale nie musi być łatwe do odgadnięcia – wręcz przeciwnie. Dobre hasło dostępu powinno składać się z co najmniej ośmiu znaków, małych i wielkich liter, a także cyfr lub znaków specjalnych. Dobrym hasłem będzie więc np. „MojPies-25" lub „MojaZuziaMa10Lat!" Prawda, że ich zapamiętanie nie będzie trudne?
Inna sprawa to udostępnianie haseł kolegom z pracy. Jest to niestety nagminne, szczególnie w sytuacjach związanych z nagłą nieobecnością jakiegoś pracownika, gdy potrzebny jest dostęp do jego danych. Rodzi to takie same zagrożenia, jak w przypadku zostawiania swoich haseł w widocznym miejscu na biurku. Nigdy nie ma pewności, ile osób i w jaki sposób wykorzysta przekazane hasło.
Jeśli istnieje konieczność dostępu do zasobów, do których nikt, poza nieobecnym pracownikiem, nie ma dostępu, istnieje możliwość przydzielenia tymczasowego dostępu do tych zasobów wskazanemu pracownikowi. Otrzymuje on wówczas od administratora IT swój własny login i hasło.
- Jeżeli jesteśmy przy komputerach, to jakie jeszcze błędy, potencjalnie zagrażające wyciekowi danych, popełniają przedsiębiorcy?
Oczywiście długo można by mówić o braku systemów chroniących przed włamaniami z zewnątrz, czyli atakami hakerów lub ich niewłaściwą konfiguracją, brakiem uaktualnień. Jednak warto zwrócić uwagę na inny, a na pewno rzadziej dostrzegany i opisywany problem. Otóż zdarzały się już przypadki szpiegostwa gospodarczego polegającego na podpatrywaniu, np. przy użyciu dobrych teleobiektywów, co znajduje się na monitorze pracownika szpiegowanej firmy. Sprzyjają temu przeszklone biurowce i oczywiście niewłaściwe ustawienia monitorów.
A te powinny być ustawione w taki sposób, aby uniemożliwić niepowołanym osobom dostrzeżenie tego, co się na nich aktualnie znajduje. Nie powinny być więc widoczne ani przez okno, ani przez drzwi, ani nawet przez współpracowników. Warto także rozważyć zainstalowanie specjalnych filtrów, dzięki którym to, co wyświetla się na monitorze, jest widoczne jedynie pod bardzo ograniczonym kątem.
- Jakie jeszcze incydenty może Pan wskazać?
Najlepiej będzie powołać się w tym miejscu na wyniki badań przeprowadzonych na zlecenie Generalnego Inspektora Ochrony Danych Osobowych. Jak z nich wynika, aż 80 proc. dokumentów, które powinny być niszczone w niszczarkach jest w polskich firmach i instytucjach po prostu wyrzucanych do koszta! Efektem są przypadki znajdowania dokumentacji medycznych czy wyciągów z kont bankowych na śmietnikach. Są osoby, które wiedząc, że takie skarby można tam znaleźć, celowo pod tym kątem przeszukują śmietniki w okolicach biurowców. Aby uniknąć strat wizerunkowych i odpowiedzialności karnej za bezprawne udostępnienie danych, warto zainwestować w niszczarkę i, co wydaje się oczywiste, korzystać z niej!
Jeszcze inny przykład wiąże się z pozostawianiem na zbyt długo różnego rodzaju wydruków na ogólnodostępnych drukarkach. Wiąże się to z często stosowanym rozwiązaniem drukarek sieciowych, na których można drukować zdalnie z niemal każdego komputera. Powoduje to oczywiste zagrożenia związane z tym, że nieuprawniona osoba może się przypadkiem zapoznać z danymi na wydrukach.
Aby temu zapobiec, należy jak najszybciej odbierać swoje dokumenty z drukarki, bądź też używać funkcji bezpiecznego wydruku – drukowanie rozpocznie się dopiero wówczas, gdy wpiszemy na drukarce swoje hasło czy też przyłożymy kartę dostępu.
Wreszcie zdarzają się przypadki, że pracownicy przekazują dane przez telefon, bez wcześniejszego upewnienia się, że rozmawiają z osobą upoważnioną do ich uzyskania. Tymczasem zawsze trzeba znaleźć sposób, aby potwierdzić tożsamość takiej osoby, a gdy nie jest to możliwe, odmówić przekazania informacji drogą telefoniczną i poprosić o skierowanie oficjalnego zapytania w formie pisemnej.
—rozmawiał Michał Kołtuniak