Po serii wycieków rząd zapowiada: będziemy publicznie wskazywać firmy, które zawiodły

Ostatnie tygodnie przyniosły w Polsce serię głośnych incydentów z danymi klientów. Najpoważniejszy dotyczył firmy MyDr, gdzie mowa jest nawet o 18 mln wykradzionych danych. Do tego doszły ataki na Medyc, na firmę odpowiedzialną za aplikację używaną przez gabinety stomatologiczne i na dostawcę oprogramowania dla dentystów. Zaatakowano też portal wakacje.pl, skąd wyciekły dane paszportowe, oraz Legimi, gdzie incydent objął 183 autorów.

Na tę serię zareagował rząd. Jak opisał Spider's Web, minister cyfryzacji Krzysztof Gawkowski zapowiedział podczas konferencji Cyber24 Days zmianę podejścia państwa do firm, które nie dbają o bezpieczeństwo.

Nowa doktryna: pomoc, ale i wskazywanie palcem

Według ministra dotychczasowa strategia, oparta głównie na dofinansowaniach do cyberbezpieczeństwa i cyfrowej transformacji, nie przyniosła oczekiwanych efektów. Polskie firmy, jak stwierdził, oszczędzały na zabezpieczeniach kosztem klientów.

Stąd zapowiedź nowej doktryny. Państwo ma nadal pomagać, ale jednocześnie informować opinię publiczną, kto odpowiada za incydenty i które firmy się nie zabezpieczyły. Minister mówił o pokazywaniu słabości całego rynku, od sportu i rolnictwa, przez administrację, po sektor medyczny.

Gawkowski podkreślił też, że cyberbezpieczeństwo nie może być ostatnią pozycją na liście wydatków ani wyłącznie zadaniem działu IT. To odpowiedzialność właścicieli, zarządów i rad nadzorczych. Państwo może wspierać, doradzać i dawać pieniądze, ale nie zabezpieczy systemów za przedsiębiorców. Minister energii Miłosz Motyka dodał, że zaniedbania mogą kosztować nie tylko pieniądze, ale w przypadku energetyki czy szpitali także ludzkie zdrowie i życie.

Co to oznacza dla mniejszych firm

Zapowiedź padła w kontekście dużych incydentów, ale dotyczy całego rynku. Jeśli prowadzisz sklep internetowy, gabinet z systemem rejestracji online albo serwis z kontami użytkowników, przetwarzasz dane osobowe i odpowiadasz za ich bezpieczeństwo na podstawie RODO. Wielkość firmy niczego tu nie zmienia.

Na razie znamy tylko zapowiedź polityczną. Nie wiadomo jeszcze, w jakiej formie państwo będzie informować o winnych ani jakie kryteria przyjmie. Obowiązki wynikające z RODO istnieją jednak od dawna: odpowiednie zabezpieczenia, zgłoszenie naruszenia do Prezesa UODO w ciągu 72 godzin od jego stwierdzenia i, w poważniejszych przypadkach, powiadomienie osób, których dane dotyczą.

Przegląd zabezpieczeń w siedmiu krokach

Nie musisz mieć działu bezpieczeństwa, żeby znacząco zmniejszyć ryzyko. Zacznij od podstaw:

1. Spisz, gdzie są dane klientów. Sklep, system rezerwacji, CRM, arkusze, skrzynka mailowa, narzędzia do newslettera. Często dane leżą w miejscach, o których nikt już nie pamięta.
2. Aktualizuj oprogramowanie. CMS, wtyczki, motywy i serwer to najczęstsze furtki. Ustal, kto i jak często to sprawdza.
3. Włącz uwierzytelnianie dwuskładnikowe do panelu sklepu, hostingu, poczty i kont reklamowych.
4. Ogranicz dostęp. Byli pracownicy, agencje, które już z Tobą nie współpracują, testowe konta administratorów: wszystko to warto usunąć.
5. Sprawdź kopie zapasowe i spróbuj raz odtworzyć z nich stronę. Kopia, której nie da się przywrócić, nie jest kopią.
6. Zbieraj mniej. Każde pole formularza, którego nie potrzebujesz, to dane, które mogą wyciec. Skany dokumentów i numery PESEL przechowuj tylko wtedy, gdy naprawdę musisz.
7. Przygotuj plan na incydent. Kto decyduje o zgłoszeniu do UODO, kto kontaktuje się z klientami, gdzie są dane kontaktowe dostawców. Te 72 godziny mijają szybko.

Ten przegląd nie wymaga dużego budżetu. Większość punktów to kwestia jednego popołudnia i decyzji, kto w firmie za co odpowiada. Zapisz wyniki w prostym dokumencie i wracaj do niego co kwartał. Jeśli współpracujesz z agencją lub informatykiem na zlecenie, poproś o krótkie podsumowanie: jakie wersje oprogramowania działają na stronie, kiedy była ostatnia aktualizacja i gdzie trzymane są kopie zapasowe. Taka notatka przyda się też wtedy, gdy trzeba będzie wykazać przed UODO, że firma dbała o bezpieczeństwo danych.

Nie zapominaj o dostawcach

Część opisanych incydentów dotknęła nie samych gabinetów czy klinik, ale firm dostarczających im oprogramowanie. To ważna lekcja: jeśli powierzasz dane zewnętrznemu systemowi, nadal jesteś administratorem tych danych. Upewnij się, że masz podpisane umowy powierzenia przetwarzania i wiesz, jak dostawca poinformuje Cię o problemie.

Dotyczy to także narzędzi działających na stronie: skryptów analitycznych, pikseli reklamowych, czatów czy widżetów. Każde z nich może przekazywać dane osobom trzecim. Warto wiedzieć, co faktycznie ładuje się na Twojej stronie, i ograniczyć to do niezbędnego minimum.

Odpowiedzialność zaczyna się od wiedzy

Zapowiedź ministra może być dla wielu firm niewygodna, ale zmierza w jasnym kierunku. Za dane klientów odpowiada ten, kto je zbiera, a nie państwo ani dział IT. Najlepsze, co możesz zrobić już dziś, to wiedzieć, jakie dane masz, gdzie są i kto ma do nich dostęp.

Jeśli chcesz zacząć od przeglądu tego, co dzieje się na stronie, możesz sprawdzić ją w naszym Skanerze zgody. Pokaże on, jakie narzędzia zewnętrzne uruchamiają się u odwiedzających i czy robią to dopiero po wyrażeniu zgody.

Źródło: Spider's Web

wyciek danychcyberbezpieczeństwoRODOUODO