Obowiązki RODO w dziale IT: szyfrowanie, dostępy, rejestr

Po stronie IT RODO oznacza konkretne ustawienia, procedury i decyzje, a nie teczkę z dokumentami od prawnika. Chodzi o to, co da się pokazać, gdy ktoś zapyta: jak chronicie dane? Rozporządzenie nie podaje listy wymaganych technologii. Wymaga „odpowiednich środków technicznych i organizacyjnych”, dobranych do ryzyka. Poniżej przekładam ten wymóg na obowiązki osoby lub firmy, która odpowiada za IT.

Co RODO mówi o bezpieczeństwie danych

Najważniejszy jest art. 32 RODO. Wymienia przykładowe środki: pseudonimizację i szyfrowanie, zapewnienie poufności, integralności, dostępności i odporności systemów, zdolność szybkiego przywrócenia dostępu do danych po incydencie oraz regularne testowanie skuteczności zabezpieczeń.

Zwróć uwagę na słowo „regularne”. Samo wdrożenie zabezpieczenia nie wystarcza, trzeba umieć wykazać, że działa. Tak działa zasada rozliczalności: administrator danych musi zgodność udowodnić, deklaracja to za mało. Wytyczne i decyzje publikuje Urząd Ochrony Danych Osobowych.

Sześć obowiązków IT wynikających z RODO

1. Wiedza o tym, gdzie są dane

Nie ochronisz danych, o których nie wiesz. Spisz systemy, w których przetwarzane są dane osobowe: ERP, system kadrowo-płacowy, CRM, poczta, serwer plików, sklep internetowy, narzędzia marketingowe, kopie zapasowe. Ta lista przyda się też przy rejestrze czynności przetwarzania.

2. Kontrola dostępów

• Każdy użytkownik ma własne konto, bez kont współdzielonych.
• Uprawnienia według zasady minimalnych potrzeb: handlowiec nie widzi list płac, magazynier nie widzi danych kadrowych.
• Uwierzytelnianie wieloskładnikowe do poczty i systemów dostępnych z internetu.
• Szybkie odbieranie dostępów przy odejściu lub zmianie stanowiska.
• Okresowy przegląd uprawnień z kierownikami działów.

Osobnej uwagi wymagają dane kadrowo-płacowe. Piszemy o nich w tekście o bezpieczeństwie danych kadrowo-płacowych.

3. Szyfrowanie

Szyfrowanie dysków laptopów i telefonów to najprostszy sposób, by zgubiony sprzęt nie oznaczał naruszenia danych. Do tego dochodzi szyfrowanie połączeń (HTTPS, VPN) i kopii zapasowych przechowywanych poza firmą. Gdy dane na zgubionym urządzeniu były skutecznie zaszyfrowane, ryzyko dla osób, których dotyczą, jest znacznie mniejsze. Jak wdrożyć to centralnie, opisujemy w tekście o szyfrowaniu laptopów firmowych.

4. Kopie zapasowe i odtwarzanie

RODO wymaga zdolności przywrócenia dostępu do danych. Oznacza to kopie zapasowe robione według planu, trzymane w więcej niż jednym miejscu i regularnie testowane. Atak ransomware, po którym firma nie może odtworzyć danych klientów, jest naruszeniem dostępności.

5. Aktualizacje i ochrona przed złośliwym oprogramowaniem

Nieaktualny system z publicznie znaną luką trudno uznać za odpowiednio zabezpieczony. Po incydencie padają pytania o zarządzanie aktualizacjami, ochronę antywirusową lub EDR i o to, czy firma wycofała systemy bez wsparcia.

6. Rejestrowanie zdarzeń

Logi logowań, zmian uprawnień i dostępu do najważniejszych danych pokazują, co się stało przy incydencie. Bez nich trudno ocenić zakres naruszenia i zdecydować o zgłoszeniu.

Rejestr czynności przetwarzania: rola IT

Rejestr czynności przetwarzania (art. 30 RODO) prowadzi administrator danych, ale bez IT trudno go rzetelnie wypełnić. Rejestr zawiera m.in. cele przetwarzania, kategorie danych i odbiorców, planowane terminy usunięcia oraz ogólny opis środków bezpieczeństwa.

Firmy zatrudniające mniej niż 250 osób są zwolnione z prowadzenia rejestru tylko w wąskim zakresie: gdy przetwarzanie jest sporadyczne, nie stwarza ryzyka i nie obejmuje szczególnych kategorii danych. Firma, która regularnie przetwarza dane pracowników czy klientów, zwykle tego warunku nie spełnia.

IT dostarcza do rejestru informacje: w jakich systemach są dane, kto ma do nich dostęp, gdzie są przechowywane (w tym w jakim kraju, jeśli to chmura) i jak są zabezpieczone.

Dostawcy i umowy powierzenia

Każdy dostawca, który przetwarza dane w imieniu Twojej firmy, powinien mieć umowę powierzenia przetwarzania (art. 28 RODO). Dotyczy to dostawcy chmury i poczty, systemu ERP w modelu SaaS, firmy IT z dostępem administracyjnym, biura rachunkowego. IT zna tych dostawców najlepiej, więc to ono powinno prowadzić ich listę i sygnalizować, gdy pojawia się nowy.

Typowa luka to narzędzia, które pracownicy dodali na własną rękę: darmowy konwerter PDF, aplikacja do ankiet, prywatny dysk w chmurze. Dane klientów trafiają tam bez umowy i bez wiedzy firmy.

Naruszenie ochrony danych: co robi IT

1. Zabezpiecza sytuację: blokuje przejęte konto, odłącza zainfekowane urządzenie, zmienia hasła.
2. Zbiera informacje: jakie dane, ile osób, od kiedy, czy dane były zaszyfrowane.
3. Natychmiast informuje osobę odpowiedzialną za ochronę danych lub zarząd.
4. Dokumentuje zdarzenie. Każde naruszenie trzeba odnotować, nawet jeśli nie wymaga zgłoszenia.

Jeśli naruszenie może powodować ryzyko dla osób, administrator zgłasza je do UODO w ciągu 72 godzin od jego stwierdzenia. Termin biegnie także w weekend, dlatego procedurę trzeba znać wcześniej.

Minimalizacja i usuwanie danych

RODO wymaga, by dane nie były przechowywane dłużej, niż to potrzebne. Dla IT to kilka konkretnych zadań: zasady retencji w poczcie i systemach, usuwanie kont i danych byłych pracowników po okresie przejściowym, czyszczenie starych eksportów i kopii roboczych na dyskach sieciowych, bezpieczne niszczenie nośników ze sprzętu wycofywanego z użytku.

Częsty problem to „tymczasowe” kopie baz danych z migracji i testów, które leżą na serwerze latami. Raz w roku przejrzyj zasoby pod tym kątem.

Laptop zgubiony w pociągu

Typowy scenariusz: handlowiec zostawia w pociągu laptop z eksportem bazy klientów, a firma nie ma włączonego szyfrowania dysków. Trzeba przeanalizować naruszenie, zgłosić je do organu nadzorczego i rozważyć poinformowanie klientów. Po takim zdarzeniu firmy zwykle włączają szyfrowanie na wszystkich laptopach, blokują eksporty baz większości użytkowników i przenoszą pliki do chmury firmowej. Przy następnej zgubie ryzyko jest wtedy znacznie mniejsze.

Chcesz sprawdzić, czy zabezpieczenia techniczne w Twojej firmie odpowiadają wymaganiom RODO, i uporządkować dokumentację po stronie IT? Porozmawiajmy o obsłudze IT Twojej firmy.

Pytania, które słyszymy od zarządów

Czy RODO wymaga szyfrowania wszystkich danych?

Nie wprost. Szyfrowanie jest wymienione jako przykład środka bezpieczeństwa, a decyzja zależy od oceny ryzyka. Przy laptopach, telefonach i nośnikach wynoszonych poza biuro trudno jednak uzasadnić jego brak.

Kto w firmie odpowiada za RODO: IT czy zarząd?

Odpowiedzialność ponosi administrator danych, czyli firma, a w praktyce jej zarząd. IT wdraża i utrzymuje zabezpieczenia techniczne i dostarcza informacji do dokumentacji.

Czy zewnętrzna firma IT potrzebuje umowy powierzenia?

Jeśli ma dostęp do systemów, w których są dane osobowe, zwykle tak. Umowa określa zakres, cel i zasady przetwarzania oraz obowiązki dotyczące bezpieczeństwa.