Odc. 32 Same procedury zgodności nie czynią

Ten laptop został pracownikowi z mieszkania skradziony. Wójt przeprowadził analizę ryzyka. Ryzyko określił jako wysokie. Całość naruszenia zgłosił do prezesa Urzędu Ochrony Danych Osobowych. No a prezes z natury ciekawy i dociekliwy dociekał, pytając jak zabezpieczone były te laptopy. Wójt powiedział, że oczywiście laptopy były w urzędzie szyfrowane, przeprowadzona analiza ryzyka. No i urząd na nieszczęście wójta dopytał, czy ten konkretnie laptop również był szyfrowany. No i tutaj wójt niestety przyznał się, że pomimo, że właśnie przeprowadzona analiza ryzyka, wskazano, że występuje ryzyko, zagrożenie kradzieży takiego laptopa z danymi, I do tego dobrano środek techniczny jako szyfrowanie.

Odc. 32 Same procedury zgodności nie czynią. Odc. 32 Same procedury zgodności nie czynią. Odc. 32 Same procedury zgodności nie czynią. W którym punkcie jesteśmy? Jesteśmy w takim punkcie, gdzie ktoś podjął właściwe działania, czyli przeprowadził analizę ryzyka, podjął się szyfrowania całego sprzętu i tego nie zrobił, właściwie ocenił ryzyko przy utracie sprzętu służbowego, zgłosił do urzędu i urząd się temu przyjrzał jako prezes, jako osoba dociekliwa.

Odc. 32 Same procedury zgodności nie czynią. Odc. 32 Same procedury zgodności nie czynią. Odc. 32 Same procedury zgodności nie czynią. Odc. 32 Same procedury zgodności nie czynią. Odc. 32 Same procedury zgodności nie czynią. Odc. 32 Same procedury zgodności nie czynią. Odc. 32 Same procedury zgodności nie czynią. Natomiast parafrazując pewnego znanego polityka, można powiedzieć, że zasadniczo należy środki techniczne zaprojektowane wdrażać, a jak się nie wdrożyło, to też trzeba mieć w życiu trochę szczęścia. W tym przypadku akurat tego szczęścia wójtowi zabrakło, bo urząd summa summarum co stwierdził? Stwierdził, że oczywiście tutaj poprawnie, jak wspomniałeś, podjęto te środki proceduralne, natomiast faktycznie ich nie zastosowano, czyli naruszono przepisy.

I tu jest tak, że ten urząd, ta instytucja, wszystko jedno gdzie to będzie, ten ktoś się uczył, ale się nie nauczył. I urząd nałożył karę za to, że ktoś nie doprowadził tego do końca. I pytanie, czego nie robić? Jakim tropem nie iść? Bo nie możemy powiedzieć, nie robić analizy ryzyka, nie zabezpieczać. Tak, tylko jeżeli się powiedziało A, no to trzeba powiedzieć B. Chyba możemy wysnuć tutaj dwa wnioski. Pierwszy wniosek, który tutaj akurat do tej sytuacji nie miałby zastosowania, to znaczy, mieszmy siły na zamiary. To znaczy, przygotowujmy rzeczywiście dokumentację adekwatną, która na pewno zostanie wdrożona. Czyli jeżeli przygotowujemy... 25 stron załącznika do czwartej części polityki, która stanowi uzupełnienie procedury numer 43.

I teraz to jest pochodna trochę też tego, o czym powiedziałeś, to znaczy jak się przygotuje skomplikowaną dokumentację, to ona nigdy nie będzie działała, a wydaje mi się i tak odczytuję, chciałbym tak odczytywać też tą decyzję urzędu, Urząd nie ukarał za zbyt skomplikowaną dokumentację, tylko powiedział, ta dokumentacja musi być dobra, nie musi być nadzwyczajna, ona musi być dostosowana. No ale na Boga trzeba ją po prostu monitorować, bo jak się nie monitoruje, to mamy taki efekt, że wśród stu komputerów akurat ten 101 nie został zaszyfrowany. Tak, no i chyba moglibyśmy jeszcze trzeci wniosek sformułować, że urząd dosyć zero-jedynkowo patrzy na tą kwestię bezpieczeństwa. Znaczy nie można być w połowie w ciąży, nie można w połowie czegoś wdrożyć. No albo zostało wdrożone to, co zostało zaprojektowane, albo nie.

Tak, tutaj oczywiście pomocne są harmonogramy. Tak, pomocne są harmonogramy. Ja bym powiedział, że ten największy grzech, który popełnił wójt, to jest po prostu grzech zaniechania. Pozostawiono i zgłoszono do urzędu fakt, że pozostawiono. Chciał dobrze, jak wiemy, dobrymi chęciami. A wyszło, jak wyszło, żebym powiedział, jak zawsze. No ale na pewno tę decyzję można potraktować bardzo szkoleniowo i popatrzeć, czego nie robić, tym bardziej, że kara w wysokości 8 tysięcy złotych nie jest jakąś karą super wysoką, a ta funkcja prewencyjna taka powinna być, że my na podstawie tego się uczymy, czego nie należy robić, czyli nie należy pozostawiać czegoś W toku, w drodze niewykończonego czegoś, co później nam niestety odpłaci tym, co tutaj, czyli nałożoną karą.