Co twój pracownik ma w komórce? Na sprawdzenie masz czas do maja. RODO sprawi, że wyciek danych będzie sporo kosztować

RODO, czyli Rozporządzenie o Ochronie Danych Osobowych, weszło w życie na mocy uchwały Parlamentu Europejskiego i zacznie obowiązywać od 25 maja 2018 roku. Dla przedsiębiorcy, który przetwarza informacje o osobach fizycznych oznacza to, między innymi, konieczność wypracowania procedur, które pozwolą wspomniane informacje zabezpieczyć.

Problem w tym, że unijne przepisy nie precyzują, jak konkretnie należy chronić informacje o osobach trzecich, którymi operuje firma. Z punktu widzenia przedsiębiorcy to informacja zarówno dobra, jak i zła. Z jednej strony, sam decyduje, w jakim tempie i za pomocą jakich środków zabezpieczyć powierzone mu informacje. Z drugiej, jeśli do tej pory takich środków ostrożności nie stosował, w przepisach nie znajdzie konkretnych wytycznych, co do procedur, jakie w tym celu należy wdrożyć. Otrzyma natomiast informację, że jeśli tego zadania nie dopełni, czekają go spore kary.

Sankcje, jakie wiążą się z niedopełnieniem obowiązków uwzględnionych w RODO mogą sięgać 20 milionów euro lub 4 proc. rocznego obrotu przedsiębiorstwa. Biorąc pod uwagę, że danymi osobowymi operują zarówno wielkie banki, jak i średniej wielkości sklepy internetowe, jest to kara dotkliwa.

W informatorze przygotowanym przez Ministerstwo Cyfryzacji, jako przykład naruszenia podana została sytuacja z gatunku „analogowych”: „Kadrowa firmy X przekopiowała listę płac na niezaszyfrowanego pendrive’a, po czym zabrała go poza siedzibę firmy, by dokończyć pracę w domu. Niestety zgubiła go w drodze do domu”.

Scenariusz tego incydentu równie dobrze można osadzić w chmurze: „Kadrowa firmy X przekopiowała listę płac do dokumentu Google Docs, połączonego z jej prywatnym kontem pocztowym”. W przypadku drugiego scenariusza sytuacja robi się o tyle bardziej skomplikowana, że profesjonalny haker, który włamie się na skrzynkę stereotypowej kadrowej, raczej nie wyśle jej maila z zawiadomieniem o dokonaniu przestępstwa. Może za to nie pozostawić po sobie żadnych, widocznych dla laika śladów.

Podobnie nieuchwytny będzie ten cyberprzestępca, który zamiast pokonywać kolejne zabezpieczenia sieciowe, nakłoni księgową, aby na firmowym tablecie zainstalowała darmową aplikację. Program może, koniec końców, okazać się księgowej do niczego niepotrzebny. Przyda się natomiast hakerom, którzy za jego pośrednictwem uzyskają bieżący dostęp do zapisanych w pamięci urządzenia notatek listy płac.

Nietrudno wyobrazić sobie również sytuację, w której kolega księgowej z działu sprzedaży, pomiędzy jednym spotkaniem z klientem, a drugim, postanawia policzyć zrealizowane w tym miesiącu zlecenia. Ściąga więc na smartfona arkusz transakcji. Jako, że korzysta z ogólnodostępnego hotspota, wgląd w listę klientów firmy może teoretycznie uzyskać również haker, który obserwuje ten właśnie punkt dostępowy.

Z możliwości wystąpienia przedstawionych wyżej scenariuszy większość przedsiębiorców doskonale zdaje sobie sprawę. Do tej pory jednak zabezpieczenie urządzeń mobilnych było wyrazem przezorności i zdrowego rozsądku. Od połowy roku, w przypadku wielu firm, będzie regulowaną ustawowo koniecznością.

RODO nie narzuca konkretnych rozwiązań, jakie należy wprowadzić, aby zabezpieczyć się przed wyciekiem danych - każdy przedsiębiorca może więc wybrać rozwiązanie pasujące do charakteru i skali jego działalności. W firmach, w których panuje więc zasada: „Bring Your Own Device” wystarczającym rozwiązaniem może być więc wydzielenie na smartfonach pracowników swego rodzaju “bezpiecznej przestrzeni”, dostęp do której będzie dodatkowo chroniony. Takie możliwości daje na przykład KNOX. Aplikacja zamyka firmowe dane w wirtualnym sejfie i ustawia zaporę, uniemożliwiającą niepożądany dostęp - zarówno manualny, jak i zdalny. Dostępu nie uzyska więc ani przypadkowa osoba, która zdoła odblokować urządzenie, ani haker, usiłujący sforsować zapory części systemu zaszyfrowanej w ramach KNOX.

Urządzenia połączone w ramach FAMOC są chronione przed standardowymi zagrożeniami środowisk mobilnych. Firmowe dane można więc szyfrować i dodatkowo zabezpieczyć hasłami. System zabezpiecza również pocztę oraz przeglądarkę oraz pozwala wdrożyć konfigurowany zdalnie program antywirusowy.

Oprócz standardowych zabezpieczeń, FAMOC staje się swego rodzaju bazą danych o wszystkich firmowych urządzeniach: generuje monity dotyczące aktualizacji, raporty na temat stanu technicznego, czy nawet bieżący podgląd poziomu baterii.

Wprowadzenie w życie wytycznych RODO może być sporym wyzwaniem - szczególnie dla tych firm, w których temat bezpiecznego przechowywania i przetwarzania danych nie był do tej pory traktowany priorytetowo. Z drugiej strony, mimo że narzucony odgórnie, nakaz ten stanowi pozytywny bodziec do pochylenia się nad tematem cyberbezpieczeństwa i załatania ewentualnych luk w systemach, co w dłuższej perspektywie opłaci się zarówno firmom, jak i ich klientom.