Odc. 30 Zabezpieczenia techniczne danych, czyli czy kłódka i łańcuch wystarczą?

Dzień dobry Państwu. Witamy bardzo serdecznie w kolejnym odcinku naszego podcastu RODOłamacz. Przy mikrofonie Tomasz Osiej i Michał Czemiecki. Zaczniemy ten odcinek od takiego drobnego wytłumaczenia, dlaczego wybraliśmy temat, który wybraliśmy. Wybraliśmy temat związany z zabezpieczeniami technicznymi, środkami technicznymi, w zasadzie trudno jest nawet określić ten temat jednym słowem, dlatego że wiele osób, naszych klientów, ale osób, które też piszą na portal, przypuszczamy, że urząd ma z tą samą kwestią problem, zwraca się z pytaniem o taką listę środków, które są niezbędne, wystarczające, Do tego, żeby zabezpieczyć dane, czyli do takich warunków brzegowych, jak to zostało nazwane podczas webinaru, który odbył się w Urzędzie Ochrony Danych Osobowych.

I my, korzystając trochę z tego, co zostało powiedziane w trakcie tego webinaru, postanowiliśmy powiedzieć na ten temat trochę więcej i odesłać do tego, co udało nam się wyczytać z treści webinaru. Tak, tutaj dodajmy, że uważamy się za osoby do tego kwalifikowane odpowiednio, bo Tomasz miał piątkę z techniki, ja sklejałem modele, też uczestniczałem na technikę. I zaczniemy chyba od tego, że sam urząd się w czasie tego webinaru tłumaczył, że te niewskazanie wprost Ale z faktu, że powinny być one dobierane indywidualnie i powinny opierać się na

Powinien się opierać na analizie ryzyka, ale jeszcze chciałem wrócić do tego stwierdzenia, którego nie mogę pozostawić bez odpowiedzi. Mianowicie tak, uczęszczałem na zajęcia praktyczno-techniczne, w związku z tym rzeczywiście jesteśmy niezwykle predestynowani do tego, żeby powiedzieć o zabezpieczeniach technicznych i powiemy o nich jako osoby, które jednak studiów inżynierskich nie skończyły. Ale mamy taką wizję przed sobą, że jeśli powiemy o tych zagadnieniach w miarę ogólnie, ale jednocześnie pokażemy tą ścieżkę, to nam się uda. Ale spróbujmy, bo rzeczywiście punktem wyjścia jest coś ewidentnego dla wszystkich, czyli analiza ryzyka, czyli urząd zaczyna od tego, że stwierdza, że nie jest nieprzyjaźnie nastawiony do administratorów danych, ale ma taki problem, że nie może wskazać warunków brzegowych.

Punktem wyjścia dla niego, czy początkiem, Jest zrobienie analizy ryzyka, czyli takiego indywidualnego doboru środków opartego o słynną analizę ryzyka. Tak, i tutaj przedstawiciel urzędu też wskazał, co ciekawe, takie cztery elementy, na które zwracano uwagę przy wydawaniu decyzji. Pierwszy element oczywiście, czy w ogóle doszło do naruszenia ochrony danych, czy doszło do utraty poufności, integralności, dostępności. Następnie, czy wystąpiło tam wysokie ryzyko. Mamy też pomocniczo wydane inne wytyczne urzędu, jak postępować z naruszeniami, jak oceniać ryzyko. Stąd wiemy, że gdyby tam pojawił się PESEL, to już jest amen w pacierzu.

To ryzyko na pewno będzie wysokie, ale kiedy administrator się przyznaje lub nie przyznaje To kolejnym krokiem jaki wykonuje urząd jest właśnie sprawdzenie poprawności wykonanej analizy ryzyka. I co ciekawe, jak sam ostatnio zauważyłeś, w kilku decyzjach już była kwestionowana metoda oceny ryzyka, czyli to jest trzeci krok. I czwarty to sprawdzenie czy do tej już posiadanej analizy ryzyka dobrano odpowiednie środki zabezpieczające. No i tutaj są dwie kwestie bardzo ciekawe, mianowicie nie uciekniemy od takich określeń jak wdrożenie odpowiednich środków technicznych i za wyjaśnienie co znaczy odpowiednie, to konia z rzędem temu kto powie co znaczy odpowiednie, ale cała zabawa z RODO trochę polega na tym, że ktoś napisał akt prawny, stworzył,

który został oparty w dużym stopniu o analizę ryzyka. My zresztą o tym mówiliśmy i trochę takim odzwierciedleniem tego jest to, o czym pisaliśmy na portalu dawno temu, czyli takiej drobnej, może nie nazywajmy tego wojną, ale nazywajmy pewnym polem wspólnym, na którym spotkało się RODO prawne, takie prawnicze podejście. Z podejściem dotyczącym bezpieczeństwa i tutaj to co łączy, czyli analiza ryzyka jest niezmiernie ważna, bo urząd po raz kolejny mówi w ten sposób. Pierwszy krok to jest sprawdzenie utrata, poufność, integralność, dostępność, czyli to nam się od razu w głowie układa w taki obraz pod tytułem naruszenie. Które może się przekształcić w coś, co jest więcej?

Za tym coś idzie, bo jeżeli my stwierdzimy, że którykolwiek z tych elementów mamy z tym do czynienia, to powinniśmy podjąć pewne środki. Pytanie jakie? Żeby do tego dojść, to znowu mamy przeanalizowanie tego, co jest. Jeżeli mamy wysokie ryzyko, to z tym są konkretne konsekwencje związane, a użycie odpowiednich środków, no to pytanie jak odpowiednich? I teraz, gdzie szukamy dalej podpowiedzi? Analizując dalej to, co urząd powiedział w trakcie tego webinaru, mówiąc najkrócej, urząd powiedział, co bierze pod uwagę przy wydawaniu decyzji, jakie okoliczności mają dla niego znaczenie. One troszeczkę się powtarzają, są rozwinięciem tego, o czym mówiliśmy wcześniej. Czyli mamy utratę dostępności do danych osobowych. Jest mega ważną okolicznością, dlatego że to jest pierwszy punkt, o którym mówiliśmy.

Istotny z punktu widzenia naruszenia praw, dodajmy, podkreślmy, podmiotu danych, a nie administratora. Kolejny element, czas po którym dane osobowe zostały odtworzone z kopii zapasowych, czy w ogóle taki element związany z kopiami zapasowymi też został rozwinięty i pojawiał się dalej. Tutaj też jest cała dyskusja na temat tego, czy kopie zapasowe to jakie mają znaczenie, w jaki sposób, ale nie chcę powiedzieć słowa odpowiednio powinniśmy zabezpieczać, czy odtwarzanie z kopii zapasowych odpowiednie, słowo odpowiednie oznacza, że powinno być to właściwe dla danej sytuacji. Tak inteligentnie staramy się z tego wybrnąć. Wystąpienie wysokiego ryzyka naruszenia. Tutaj ryzyko stopień naruszenia, no wiemy, osoby, które zajmują się RODO wiedzą, że jeżeli wystąpi nam wysokie ryzyko, to ma to bardzo ściśle określone konsekwencje, na przykład takie, że musimy powiadomić podmiot danych, co uruchamia następną potencjalny obszar wyzwań pod tytułem ktoś, kto się o tym dowie, zechce nas dopytać lub zapytać urząd, co z tym fantem zrobić i że taki fakt miał miejsce.

Mamy kolejną rzecz, aktualne oprogramowanie. Urząd zwraca uwagę na to, wypunktowując to w swoim wystąpieniu. Powiedział wyraźnie, że aktualne oprogramowanie jest bardzo ważne. Stosowanie odpowiednich procedur odtworzenia danych z kopii zapasowych po wystąpieniu incydentu. To trochę się wiąże z tą wcześniej kopią zapasową. Stosowanie przez administratora stałego monitorowania aktualizacji systemów. De facto aktualizacja oprogramowania, to też się z tym wiąże. I urząd zwraca uwagę na końcu, w swoich punktach pisze, brak właściwie sporządzonych analiz ryzyka. Czyli w zasadzie spina tą analizą ryzyka wszystko to, co było powiedziane do tej pory. Znaczy powiem tak, trochę to wygląda tak chaotycznie, bo mamy tak. Utratę dostępności, później mamy kopie zapasowe, później następny punkt mówi o wysokim ryzyku, później mamy znowu powrót do kopii zapasowych, mamy aktualne oprogramowanie, aktualność oprogramowania i wszystko to jest wspinane analizą ryzyka.

Czyli zgodnie z zasadą rozliczalności nie można było wykazać, że te oprogramowanie, te środki, te zabezpieczenia są adekwatne dla zagrożeń, jakie zidentyfikowano, jeżeli chodzi o potencjalne naruszenie praw i wolności osób. I stąd urząd też w dalszej części tego swojego webinaru rzeczywiście wskazał na takie obszary, które jego zdaniem powinny zostać szczególnie zaopiekowane. I te podpowiedzi, które znajdujemy dalej, mówiąc o tym, co się znalazło w decyzjach, urząd zwraca uwagę, czy nakazał, mówiąc prosto, przyjrzenie się odtwarzaniu danych po wystąpieniu incydentu. To jest trochę takie zebranie statystyczne tych zaleceń, które urząd umieścił w decyzjach, o tyle ważne, że tak, tu są cztery punkty, za chwilkę podam te trzy kolejne.

One się w sposób logiczny wiążą z tym, co było wcześniej i są dla nas drogowskazem czy informacją, co najczęściej urząd nakazuje w decyzjach od strony bezpieczeństwa. Poprawienie i aktualizacja procedur odtwarzania danych Po naruszeniu, odtwarzanie danych, ale też aktualizacja oprogramowania. I kolejna rzecz, która wiąże się z tym w sposób ewidentny. Ponowne sporządzenie analizy ryzyka w celu uwzględnienia zagrożeń w postaci ataku z ośrodkiem oprogramowania itd. Generalnie rzecz biorąc, sporządzenie analizy ryzyka ponowne, czyli zamknięcie tego wszystkiego analizą ryzyka po incydencie i sprawdzenie co się zmieniło, To na to można trochę spojrzeć szerzej.

Za chwilkę do tego wrócimy. I teraz, jeżeli mamy kolejny punkt, który mówi o aktualności oprogramowania, to ja bym powiedział tak, że z tych czterech punktów można by zrobić tak naprawdę dwa. Jeden punkt dotyczy naprawienia tego, co było, czyli przyjrzenia się procedurze, odtworzenia aktualności programowania, czyli weryfikacja tego, zrobienie analizy ryzyka, ale ja też widzę to troszeczkę szerzej. To znaczy, jeżeli był jakiś incydent i mówi się o analizie ryzyka i tych nowych elementów, które do tego doszły, to jest przyjrzenie się procesowi, co jest równie ważne, żeby nie powiedzieć, że jest jeszcze większą wartością, bo to ma nas zabezpieczyć na przyszłość. I to, co nakazał urząd, To jest po prostu ponowna weryfikacja po incydencie, poprawienie tych elementów, sporządzenie ponownej analizy ryzyka, tylko użyję takiego słowa porządnej analizy ryzyka i poprawienie.

Są też istotne, żeby to nie Janusz i synowie nam postawili i zabezpieczali taką sieć, Podobnie ma się sprawa z zarządzaniem podatnościami, czyli sprawdzać, aktualizować, badać czy pojawiły się jakieś luki. Jest wiele źródeł skąd o takich lukach dowiedzieć się możemy. Równie ostrożnie powinni podchodzić administratorzy do oprogramowania. Tutaj też urząd znowu wskazuje, że nie posiada takiej listy, aczkolwiek mamy coś takiego jak Narodowe Standardy Cyberbezpieczeństwa, oparte zresztą o wzory amerykańskie, jak wiemy wszystko co jest amerykańskie jest najlepsze. Tutaj jeszcze jedna kwestia się pojawiła a propos zagadnienia dotyczącego oprogramowania. Myślę, że na to warto zwrócić uwagę.

Urząd mówił o stosowaniu darmowych oprogramowań. Czy odrzucić je w całości? Czy można je stosować, pomimo tego, że są darmowe? A jeśli tak, to jak na nie patrzeć? Tak, i wskazał też na źródło, skąd czerpiemy to oprogramowanie, nawet to renomowane. Jeżeli ściągniemy je ze strony tanieprogramy24.pl.rk, no to możemy mieć pewne wątpliwości, czy jest to rzeczywiście zaufane źródło. Pliki instalacyjne. Tak, no i tutaj też kwestia tego, czy rzeczywiście taki plik pozyskaliśmy od dostawcy, producenta, pośrednika, czy też ktoś ściągając sobie z torrentów, nie znością lekkość bytu, przy okazji ściągnął plik instalacyjny. Oczywiście kolejna rzecz, my tak troszkę przeskakujemy przez te tematy umyślnie, bo nie chcemy się zagłębiać w kwestie techniczne być może, a raczej na pewno powinno to być zupełnie innym tematem poprowadzonym z naszymi, rozmowa z naszymi ludźmi, którzy zajmują się bezpieczeństwem u nas w firmie, ale zabezpieczenia poczty elektronicznej to też jest kolejne powiedziałbym takie hasło dotyczące tego, że chociaż poczta elektroniczna powinna być zabezpieczona odpowiednio, ale

Ja bym powiedział, że na takim poziomie, nie chcę powiedzieć laickim, ale takim codziennego użytku przy zabezpieczeniu poczty mamy też kwestię szyfrowania tego, co wysyłamy pocztą i czy szyfrujemy, czy hasłujemy, bo między szyfrowaniem i hasłowaniem oczywiście różnica jest, ale wszystko to wynika z analizy ryzyka tego, co wysyłamy, jakiej wagi są to informacje. Nie możemy zapominać o tym zabezpieczeniu poczty. No i samym konfiguracji, tutaj też urząd zwraca uwagę na konfigurację dotyczącą pracy zdalnej, bo ona z nami została i będzie. To też jest dużo szersze zagadnienie niż takie hasło pod tytułem praca zdalna, ale to nam trochę porządkuje te rzeczy, znaczy porządkuje o tyle, że wiemy na co urząd zwraca uwagę, bo takim tematem, który to wszystko spina zrozumiałym z punktu widzenia naszego jest kwestia szkoleń, czyli świadomości od czego powinniśmy wyjść i tą świadomość możemy budować

No i to, że urząd wspomniał o szkoleniach, to znaczy, że też to weryfikuje. Teraz pytanie, jakbyśmy to wszystko spięli jakąś klamrą, jeśli chodzi o to, o czym mówimy, czyli zastosowanie środków odpowiednich. Ja myślę, że tu są dwa słowa, to znaczy analiza ryzyka ewidentnie Wypływa nam od samego początku do końca. A drugie słowo, to ja bym powiedział zdrowy rozsądek przy stosowaniu zabezpieczeń. I kwestia też, na którą Urząd zwraca uwagę w kilku decyzjach, czyli bieżące monitorowanie aktualności tych zabezpieczeń. Tak, o monitorowaniu byśmy zapomnieli, ale to też tylko na razie mówimy o pewnym haśle, bo monitorowanie też dotyczy tego, czy i jak wdrożono zabezpieczenia. Ja też mam takie wrażenie, że monitorowanie jest może nawet trudniejsze niż samo wprowadzenie, bo wprowadzenie to jest pewna akcja jednorazowa.