Ochrona danych jest kluczowa dla firm i obywateli. W poniższym przeglądzie skupię się na obowiązkach związanych z naruszeniem ochrony danych osobowych oraz bezpieczeństwiee informacji w systemie informacyjnym (obszar cyber).
Celem wpisu jest zbudowanie świadomości i edukacja menedżerów i właścicieli przedsiębiorstw. Mimo obowiązku wyznaczenie konkretnych osób do obsługi tych zagadnień, warto spojrzeć na to z punktu widzenia zarządzania i dodatkowo – profesjonalnej komunikacji.
RODO w praktyce
Urząd Ochrony Danych Osobowych dostarcza nam „Poradnik dotyczący naruszeń ochrony danych osobowych”*.
Przypominam kilka ważnych kwestii z tego dokumentu:
Jak oceniać ryzyko związane z naruszeniami ochrony danych osobowych?
„Niektóre naruszenia ochrony danych osobowych mogą negatywnie wpływać na sytuację osób, których dane dotyczą, stwarzając ryzyko naruszenia ich praw lub wolności.
Skutki incydentów mogą być różne. Z tego powodu administratorzy zobowiązani są do przeprowadzania indywidualnej oceny ryzyka naruszenia praw lub
wolności osób fizycznych za każdym razem, gdy „stwierdzą” naruszenie ochrony danych osobowych. Wyniki tej oceny przesądzają o dalszych krokach podejmowanych przy każdym incydencie.
Aby prawidłowo ocenić ryzyko, administratorzy powinni oszacować:
- wagę potencjalnych konsekwencji;
- oraz prawdopodobieństwo ich wystąpienia;
- uwzględniając następujące okoliczności zdarzenia:
- rodzaj naruszenia ochrony danych osobowych;
- charakter, wrażliwość i zakres danych osobowych;
- łatwość identyfikacji osób, których dane dotyczą;
- dotkliwość konsekwencji dla osób, których dane dotyczą;
- cechy szczególne osób, których dane dotyczą;
- cechy szczególne administratora;
- liczbę osób, których dane dotyczą.
Ocena ryzyka
Wysokie ryzyko naruszenia praw lub wolności osób fizycznych
„Administratorzy mogą stwierdzić, że z naruszeniem ochrony danych osobowych wiąże się wysokie ryzyko naruszenia praw lub wolności osób fizycznych.
Oznacza to, że potencjalne konsekwencje incydentu mogą mieć:
➢ znaczną wagę;
➢ i/lub duże prawdopodobieństwo wystąpienia.
Choć każdy incydent należy analizować indywidualnie, uwzględniając różne kryteria, o wysokim ryzyku mogą świadczyć określone okoliczności zdarzenia,
w tym m.in.:
➢ objęcie incydentem wrażliwych danych osobowych (takich jak informacje
ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne,
przekonania religijne lub światopoglądowe, przynależność do związków
zawodowych, dane finansowe, dane genetyczne, dane biometryczne, dane
dotyczące zdrowia, seksualności, orientacji seksualnej, wyroków skazujących,
czynów zabronionych), a także informacje powszechnie wykorzystywane do potwierdzania tożsamości lub zawierania umów, takie jak seria i numer dowodu osobistego oraz numer PESEL;
➢ szeroki zakres danych osobowych objętych incydentem (im szerszy, tym wyższe ryzyko);
➢ szczególna dotkliwość możliwych skutków incydentu (takich jak kradzież
tożsamości, oszustwa finansowe, straty finansowe, problemy zawodowe,
uszczerbek na zdrowiu, silny stres, lęk i obniżone poczucie bezpieczeństwa);
➢ szczególny charakter osób objętych incydentem (takich jak dzieci, osoby starsze i osoby potrzebujące lub znajdujące się w trudnej sytuacji życiowej);
➢ duża liczba osób objętych incydentem (im większa, tym wyższe prawdopodobieństwo wystąpienia negatywnego skutku).
Zgłoszenie naruszenia ochrony danych osobowych
„Zgłoszenie naruszenia ochrony danych osobowych – to oficjalne poinformowanie organu nadzorczego o naruszeniu, które może wpłynąć na poufność, integralność lub dostępność danych osobowych. Celem zgłoszenia jest ograniczenie potencjalnych szkód dla osób, których dane dotyczą, poprzez szybką reakcję administratora i współpracę z Prezesem UODO.
Działania te pomagają zminimalizować konsekwencje incydentu, a także umożliwiają organowi nadzorczemu monitorowanie, czy administratorzy właściwie realizują swoje obowiązki.
Administratorzy mają obowiązek zgłaszać Prezesowi UODO naruszenia ochrony danych osobowych, które mogą stwarzać ryzyko naruszenia praw lub wolności osób fizycznych.
Naruszenie ochrony danych osobowych należy zgłosić jak najszybciej, nie później niż w ciągu 72 godzin od jego „stwierdzenia”, niezależnie od dni wolnych od pracy.
Zgłoszenia można dokonać na kilka sposobów:
- Elektronicznie, poprzez wypełnienie dedykowanego formularza
elektronicznego dostępnego bezpośrednio na platformie biznes.gov.pl;
- Elektronicznie, poprzez wysłanie wypełnionego formularza na elektroniczną
skrzynkę podawczą na platformie epuap.gov.pl: /UODO/SkrytkaESP
- Elektronicznie, poprzez wysłanie wypełnionego formularza za pomocą pisma
ogólnego dostępnego na platformie biznes.gov.pl lub platformie epuap.gov.pl;
- Pocztą tradycyjną, poprzez wysłanie wypełnionego formularza na adres UODO.
Zgłoszenia wstępne, uzupełniające i kompletne
„Administratorzy nie zawsze dysponują wszystkimi niezbędnymi informacjami o naruszeniu ochrony danych osobowych w ciągu pierwszych 72 godzin od jego „stwierdzenia”.
Dlatego istnieją 3 rodzaje zgłoszeń:
- zgłoszenia wstępne, pozwalające przekazać podstawowe informacje w wymaganym terminie, z obowiązkiem późniejszego uzupełnienia;
- zgłoszenia uzupełniające, umożliwiające aktualizowanie informacji o incydencie w miarę ich gromadzenia;
- zgłoszenia kompletne, zawierające wszystkie wymagane informacje już przy pierwszym zgłoszeniu”.
Jakie informacje należy przekazać w zgłoszeniu naruszenia ochrony danych osobowych?
„W praktyce warto uwzględnić w zgłoszeniu następujące informacje:
- podstawowe informacje o administratorze i innych podmiotach mających związek z incydentem (np. współadministratorach, podmiotach przetwarzających lub podmiotach trzecich);
- okoliczności naruszenia ochrony danych osobowych (takie jak data i czas wystąpienia, „stwierdzenia” i zakończenia naruszenia, sposób wykrycia naruszenia, przyczyny naruszenia, rodzaj naruszenia, przebieg naruszenia, rodzaj i zakres danych objętych naruszeniem, liczba i kategorie osób, których dane dotyczą);
- skutki (jeżeli wystąpiły) i/lub możliwe skutki naruszenia ochrony danych osobowych dla osób, których dane dotyczą;
- uzasadnienie oceny ryzyka;
- podjęte działania zaradcze (jeżeli administrator je podjął) lub zaplanowane działania zaradcze wraz z deklarowaną datą ich realizacji (jeżeli administrator jeszcze ich nie podjął);
- wdrożone (jeżeli administrator je wdrożył) lub zaplanowane środki bezpieczeństwa służące zapobieganiu występowania podobnych incydentów w przyszłości wraz z deklarowaną datą ich wdrożenia (jeżeli administrator jeszcze ich nie wdrożył);
- szczegóły dotyczące zawiadomienia osób, których dane dotyczą, o naruszeniu ochrony danych osobowych117 (takie jak data zawiadomienia, treść zawiadomienia, metoda zawiadomienia, liczba zawiadomionych osób; jeżeli administrator je zawiadomił) lub – w stosownym przypadku – uzasadnienie decyzji o niezawiadomieniu osób, których dane dotyczą, o naruszeniu ochrony danych osobowych (art. 34 ust. 3 RODO);
- imię i nazwisko oraz dane kontaktowe IOD119 lub informacje o innym punkcie kontaktu wyznaczonym w organizacji administratora.
W prawidłowym zgłoszeniu naruszenia ochrony danych osobowych może pomóc uważne wypełnienie formularza dostępnego na stronie internetowej UODO.
*Link do dokumentu: https://uodo.gov.pl/pl/598/3563
NIS 2 i obowiązki
„Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, rozszerza katalog podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa. Zastąpiono dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych na podmioty kluczowe i podmioty ważne”.
Ministerstwo Cyfryzacji opracowało pomocny dokument: Zestaw pytań i odpowiedzi dotyczących stosowania ustawy KSC.
Wdrożenie systemu zarządzania bezpieczeństwem informacji w systemie informacyjnym.
Podmiot musi wdrożyć środki techniczne i organizacyjne mające na celu ograniczenie ryzyk.
Jakie są rodzaje incydentów?
„Incydenty dzielą się na:
1) incydent krytyczny – incydent skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi, klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV
2) incydent poważny – incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej
3) incydent w cyberbezpieczeństwie na dużą skalę – incydent, którego skutki przekraczają możliwości reagowania państwa lub który ma poważny wpływ na inne państwo członkowskie Unii Europejskiej.
Jakie są obowiązki z zakresu obsługi incydentów?
„Podmiot kluczowy lub podmiot ważny ma obowiązek zapewnić obsługę incydentu.
Oznacza to m.in. obowiązek:
- zgłoszenia wczesnego ostrzeżenia o incydencie poważnym, nie później niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego,
- zgłoszenia incydentu poważnego niezwłocznie, nie później niż w ciągu 72 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego,
- zapewnienia dostępu do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu, w zakresie niezbędnym do realizacji jego zadań,
- współdziałania podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT
- przekazania, na wniosek właściwego CSIRT sektorowego, sprawozdania okresowego z obsługi incydentu poważnego
- przekazania właściwemu CSIRT sektorowemu sprawozdania końcowego z obsługi incydentu poważnego, niepóźniej niż w ciągu miesiąca od dnia zgłoszenia
- informowania użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie tych usług
- podejmowania działań naprawczych. W ramach obsługi incydentów podmiot krajowego systemu cyberbezpieczeństwa może w szczególności podejmować działania w celu wykrywania źródła lub dokonywania analizy aktywności, w tym ruchu sieciowego, powodujących wystąpienie incydentu zakłócającego świadczenie usług przez ten podmiot. Uprawnienia te są niezbędne dla zapewnienia skutecznej reakcji na incydent, a w praktyce sprawiają one problemy praktyczne. Wykrycie źródła ataku często jest niezbędne do jego powstrzymania i przywrócenia normalnego funkcjonowania systemów.
Czym jest poważne cyberzagrożenie? Czy wiążą się z nim obowiązki informacyjne?
„Poważnym cyberzagrożeniem jest cyberzagrożenie, które przez swoje właściwości techniczne może mieć poważny wpływ na bezpieczeństwo systemów informacyjnych lub użytkowników tych systemów przez wywołanie poważnej szkody materialnej lub niematerialnej. Należy poinformować użytkowników podmiotu kluczowego lub podmiotu ważnego o możliwych środkach zapobiegawczych przed poważnym cyberzagrożeniem. Przydatny do realizacji tego obowiązku może być odpowiedni szablon (zobacz s. 51).”
Jakie miejsce ma tu komunikacja?
Poza sposobem zarządzania kryzysem informacyjnym (medialnym) – zobacz ten artykuł, warto spełnić te obowiązki informacyjne.
Komunikacja
– Kanał komunikacji
Wybrać kanał komunikacji adekwatny do zagrożenia i użytkowników – wiadomość email, SMS, media społecznościowe, aplikacja mobilna, strona internetowa
– Środki zapobiegawcze
W komunikacji wskazać środki, które użytkownicy mogą podjąć, aby zabezpieczyć się lub ograniczyć skutki poważnego cyberzagrożenia, np. rekomendacja instalacji oprogramowania antywirusowego, włączenie wieloskładnikowego uwierzytelnienia, edukacja z zakresu nowych zagrożeń.
– Czy informować o samym poważnym cybezagrożeniu?
Oszacować ryzyko dla komunikacji informacji o samym cyberzagrożeniu.
– Ewaluacja – czy komunikacja była skuteczna?
- Czy komunikacja dotarła do użytkowników?
Przeanalizować dostępne logi z użytych kanałów komunikacji np. liczba unikalnych wejść na stronę.
- Czy użytkownicy podjęli działania?
Przeanalizować dostępne informacje zwrotne od użytkowników np. reakcje w mediach społecznościowych.
- Inne mierniki
Przeanalizować inne mierniki, jeśli są dostępne.
Podział na sektory kluczowe i ważne
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, rozszerza katalog podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa. Zastąpiono dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych na podmioty kluczowe i podmioty ważne.
Podział na sektory kluczowe i ważne
Sektory kluczowe (Załącznik nr 1 do ustawy)
- Energia:
- wydobywanie kopalin
- energia elektryczna
- ciepło
- ropa i paliwa
- gaz
- energetyka jądrowa
- wodór
- Transport:
- lotniczy
- kolejowy
- wodny
- drogowy
- Bankowość i infrastruktura rynków finansowych
- Ochrona zdrowia:
- udzielanie świadczeń zdrowotnych i zdrowie publiczne
- produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych
- Zaopatrzenie w wodę pitną i jej dystrybucja
- Zbiorowe odprowadzanie ścieków
- Infrastruktura cyfrowa:
- infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej
- komunikacja elektroniczna
- Zarządzanie usługami ICT
- Przestrzeń kosmiczna
- Podmioty publiczne
Sektory ważne (Załącznik nr 2 do ustawy)
- Usługi pocztowe
- Inwestycje energetyki jądrowej
- Gospodarowanie odpadami:
- zbieranie odpadów
- transport odpadów
- przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów
- działania wykonywane w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami
- Produkcja, wytwarzanie i dystrybucja chemikaliów
- Produkcja, wytwarzanie i dystrybucja żywności
- Produkcja:
- wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro
- komputerów, wyrobów elektronicznych i optycznych
- urządzeń elektrycznych
- maszyn i urządzeń, gdzie indziej niesklasyfikowana
- pojazdów samochodowych, przyczep i naczep
- pozostałego sprzętu transportowego
- Dostawcy usług cyfrowych
- Badania naukowe
- Podmioty publiczne, inne niż wymienione w Załączniku nr 1
