Przypadkowe wycieki danych w pracy: co robić w ciągu pierwszych 72 godzin

Jeśli przypadkowo dopuścisz się naruszenia bezpieczeństwa danych w pracy, zgłoś to od razu wewnątrz firmy – zazwyczaj swojemu przełożonemu, zespołowi IT albo inspektorowi ochrony danych. Nie próbuj tego naprawiać po cichu i nie czekaj, aż dowiesz się, jak poważna jest sytuacja. W Wielkiej Brytanii i UE organizacja ma 72 godziny od momentu, gdy dowie się o naruszeniu, na powiadomienie organu ochrony danych, jeśli naruszenie zagraża osobom. W USA terminy zależą od stanu i branży, ale zegar zaczyna tykać w momencie, gdy organizacja się o tym dowie. Każda godzina, którą pracownik zwleka, skraca ten czas.

Większość naruszeń bezpieczeństwa danych to nie sprawka hakerów. Zaczynają się od zwykłego błędu: e-maila wysłanego do niewłaściwej osoby, arkusza kalkulacyjnego załączonego przez przypadek, laptopa zostawionego w pociągu. W tym artykule wyjaśniamy, co się liczy jako naruszenie bezpieczeństwa danych, pokazujemy typowe przykłady, krok po kroku omawiamy pierwsze 72 godziny, przedstawiamy zasady zgłaszania takich zdarzeń w Wielkiej Brytanii, UE i USA oraz wyjaśniamy, jak sprawić, by ludzie zgłaszali błędy, zamiast je ukrywać.

Co się uznaje za naruszenie bezpieczeństwa danych?

Naruszenie bezpieczeństwa danych osobowych to każdy incydent związany z bezpieczeństwem, który prowadzi do utraty, zniszczenia, zmiany, ujawnienia lub nieuprawnionego dostępu do danych osobowych. Nie ma znaczenia, czy było to celowe, czy przypadkowe, i nie musi wiązać się z cyberatakiem. Jeśli nieuprawniona osoba mogła zobaczyć, zmienić lub utracić dane dotyczące kogoś, to jest to naruszenie.

Naruszenie bezpieczeństwa to nie tylko wycieki danych. Usunięcie pliku klienta bez kopii zapasowej albo utrata dostępu do danych w wyniku ataku oprogramowania ransomware też się do tego zaliczają, bo dane nie są już dostępne dla osób, które ich potrzebują. Wiele z największych incydentów, takich jak te z naszego przeglądu największych cyberataków w Holandii, zaczęło się właśnie od tego rodzaju naruszenia dostępności.

Typowe przykłady przypadkowych wycieków danych w pracy

• E-mail wysłany do niewłaściwego odbiorcy. Funkcja autouzupełniania wybrała niewłaściwą „Sarah”, przez co zestawienie płac trafiło poza organizację. Organy ds. ochrony danych po obu stronach Atlantyku wymieniają błędnie skierowane e-maile wśród najczęstszych przyczyn zgłaszanych naruszeń.
• CC zamiast BCC. Biuletyn lub informacja dla klientów jest wysyłana tak, że adresy e-mail wszystkich odbiorców są widoczne dla pozostałych.
• Niewłaściwy załącznik. Ktoś chce wysłać szablon, a zamiast tego wysyła wersję wypełnioną danymi osobowymi, takimi jak imiona i nazwiska, adresy czy informacje medyczne.
• Link do udostępniania, który jest zbyt ogólnodostępny. Dokument jest udostępniany „każdemu, kto ma link”, a link trafia do przekazanej dalej wiadomości e-mail lub na publiczny kanał.
• Zgubione lub skradzione urządzenia. Nieszyfrowany laptop, telefon lub pendrive znika w drodze do domu.
• Papier i ekrany. Wydruki leżące na drukarce, pliki w worku na śmieci, ekran z danymi klientów widoczny dla gości.
• Dajesz się nabrać na e-mail phishingowy. Pracownik wpisuje swoje dane logowania na fałszywej stronie, a haker zyskuje dostęp do skrzynki pełnej danych osobowych.

Co robić w ciągu pierwszych 72 godzin po wycieku danych

1. Zgłoś to od razu wewnątrz firmy. Pracownik, który zauważył błąd, powinien poinformować o tym swojego przełożonego, dział IT albo inspektora ochrony danych. Terminy prawne zaczynają biec od momentu, gdy organizacja dowie się o sprawie, więc każdy dzień milczenia w zespole to dzień stracony.
2. Ogranicz szkody. Jeśli to możliwe, wycofaj e-mail, poproś odbiorcę o jego usunięcie i poproś o pisemne potwierdzenie, cofnij link do udostępniania, zdalnie wyczyść zgubione urządzenie albo zresetuj naruszone hasło.
3. Ustal, co się stało. Jakie dane były w grę, ile osób to dotyczy, jak wrażliwe są te dane i kto mógł je zobaczyć? Dane dotyczące zdrowia, finansów i dzieci mają większe znaczenie.
4. Oceń ryzyko dla osób, których to dotyczy. Czy może to doprowadzić do kradzieży tożsamości, dyskryminacji, strat finansowych lub cierpienia? Od tej oceny zależy, czy musisz powiadomić organ nadzorczy i osoby, których to dotyczy, zgodnie z zasadami opisanymi poniżej.
5. Powiadom odpowiednie organy, jeśli jest to wymagane. Złóż zgłoszenie na czas, nawet jeśli nie znasz jeszcze wszystkich szczegółów; zazwyczaj informacje można uzupełnić później. Poinformuj osoby, których to dotyczy, o tym, co się stało i co mogą zrobić, żeby się chronić.
6. Zarejestruj to, nawet jeśli tego nie zgłosisz. Prowadź wewnętrzny rejestr każdego naruszenia, podając fakty, skutki i to, co z tym zrobiłeś. Zgodnie z RODO jest to obowiązkowe, nawet w przypadku naruszeń, których nie zgłosiłeś.
7. Wyciągnij z tego wnioski. Znajdź przyczynę i popraw proces: ustawienia autouzupełniania, zasady udostępniania, symulacje phishingu dla zespołu, który dał się nabrać na fałszywą stronę logowania.

Zasady zgłaszania naruszeń bezpieczeństwa danych w Wielkiej Brytanii, UE i USA

Powyższe kroki mają zastosowanie wszędzie, ale terminy prawne i to, komu musisz się zgłaszać, zależą od tego, gdzie prowadzisz działalność i w jakiej branży działasz.

• Wielka Brytania. Zgodnie z brytyjskim rozporządzeniem o ochronie danych (UK GDPR) naruszenie, które może stanowić zagrożenie dla osób fizycznych, trzeba zgłosić do Biura Komisarza ds. Informacji (ICO) w ciągu 72 godzin od momentu jego wykrycia. Jeśli ryzyko dla osób fizycznych jest wysokie, musisz też poinformować je o tym bez zbędnej zwłoki.
• Unia Europejska. RODO przewiduje ten sam 72-godzinny termin, a zgłoszenie należy skierować do krajowego organu ochrony danych. Organizacje objęte dyrektywą NIS2 mogą też być zobowiązane do zgłaszania poważnych incydentów do krajowego zespołu CSIRT lub odpowiedniego organu: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca.
• Stany Zjednoczone. Nie ma jednej federalnej ustawy dotyczącej naruszeń bezpieczeństwa danych. Każdy stan ma własne przepisy dotyczące powiadamiania, a terminy wahają się od „bez nieuzasadnionej zwłoki” do ustalonej liczby dni. Do tego dochodzą przepisy branżowe, takie jak HIPAA w służbie zdrowia, która wymaga powiadomienia w ciągu 60 dni, oraz przepisy SEC, które nakładają na spółki giełdowe obowiązek ujawnienia istotnych incydentów w ciągu czterech dni roboczych.
• W każdym regionie. Umowy też mają znaczenie. Klienci i partnerzy często wymagają powiadomienia w ciągu określonej liczby godzin, czasem krótszej niż przewiduje to prawo.

Pracujesz za granicą? W UE organizacje z główną siedzibą zazwyczaj mają do czynienia z jednym głównym organem. W USA zasady ustala stan, w którym mieszkają osoby, których dane dotyczą, więc jedno naruszenie może wymagać kilku zgłoszeń.

Dlaczego pracownicy ukrywają błędy i jak to zmienić

Największym zagrożeniem w zarządzaniu naruszeniami bezpieczeństwa danych nie jest sam błąd, ale milczenie po jego popełnieniu. Pracownik, który wysłał plik na zły adres, często ma nadzieję, że nikt tego nie zauważy, zwłaszcza jeśli boi się reprymendy. Zanim naruszenie wyjdzie na jaw, termin już minął, a szkody się rozprzestrzeniły.

Organizacje, które dobrze radzą sobie z naruszeniami, sprawiają, że zgłaszanie ich jest łatwe i bezpieczne. Ludzie dokładnie wiedzą, komu mają o tym powiedzieć, pierwszą reakcją jest „dziękujemy za poinformowanie nas”, a błędy traktuje się jako problemy proceduralne, a nie osobiste porażki. Szkolenia pomagają na dwa sposoby: pokazują pracownikom, jak wygląda naruszenie, dzięki czemu potrafią je rozpoznać, a także sprawiają, że zgłaszanie staje się nawykiem, a nie krępującym wyznaniem.

Wskazówka: zapobiegaj naruszeniom bezpieczeństwa dzięki krótkim cotygodniowym szkoleniom

Guardey pomaga pracownikom unikać codziennych błędów, które są przyczyną większości naruszeń bezpieczeństwa. Co tydzień dostają zadanie trwające około trzech minut – na laptopie albo w aplikacji mobilnej na iOS i Androida – dotyczące takich tematów jak bezpieczne wysyłanie danych, udostępnianie plików, rozpoznawanie phishingu i zgłaszanie incydentów. Elementy grywalizacji, takie jak tabele wyników i serie sukcesów, motywują do działania, symulacje phishingu sprawdzają zdobytą wiedzę, a raporty gotowe do audytu pokazują wasze postępy w zakresie RODO, NIS2 i ISO 27001. Z Guardey korzysta już ponad 500 organizacji, w tym Parlament Europejski. Dowiedz się więcej o naszych szkoleniach z zakresu świadomości bezpieczeństwa lub zobacz, jak podchodzimy do kwestii świadomości prywatności.

Współpracujesz z partnerem IT? Jak dostawcy usług zarządzanych (MSP) pomagają przed i po naruszeniu bezpieczeństwa

Wiele małych i średnich firm nie zajmuje się samodzielnie obsługą IT, tylko korzysta z usług dostawcy usług zarządzanych (MSP) – firmy informatycznej, która za miesięczną opłatą dba o ich systemy, bezpieczeństwo i wsparcie techniczne. Kiedy dochodzi do naruszenia bezpieczeństwa, to zazwyczaj pierwsze pytania brzmią: czy da się odzyskać wiadomość e-mail, czy da się wyczyścić laptopa, do których skrzynek pocztowych uzyskano dostęp? Jeśli współpracujesz z MSP, zapytaj, czy zapobieganie naruszeniom i szkolenia z zakresu świadomości bezpieczeństwa są częścią twojego pakietu. Dla dostawców MSP dodanie takich środków zapobiegawczych to logiczny krok w stosunku do klientów, którzy właśnie przekonali się, jak kosztowny może być jeden nieodpowiedni e-mail.

Guardey jest dostępny na kilka sposobów, w tym za pośrednictwem e92plus – dystrybutora oferującego usługi o wartości dodanej, który specjalizuje się w cyberbezpieczeństwie dla dostawców usług zarządzanych (MSP) i sprzedawców w Wielkiej Brytanii, Irlandii, krajach Beneluksu i Skandynawii. Dostawcy usług zarządzanych (MSP) otrzymują miesięczne rozliczenia oparte na rzeczywistym zużyciu oraz jeden portal partnerski do zarządzania licencjami dla wszystkich swoich klientów, a do tego mogą liczyć na wsparcie dedykowanych menedżerów ds. partnerów MSP oraz wsparcie marketingowe przy wprowadzaniu nowej usługi na rynek. Dzięki temu dostawca usług zarządzanych może połączyć narzędzia do ochrony danych i szkolenia w jedną ofertę zarządzaną.

Najczęściej zadawane pytania dotyczące przypadkowych wycieków danych

Czy mogą cię zwolnić za przypadkowe naruszenie bezpieczeństwa danych w pracy?

Szczera pomyłka, o której od razu się zgłasza, rzadko stanowi podstawę do zwolnienia, choć zależy to od okoliczności, lokalnego prawa pracy i zasad obowiązujących u twojego pracodawcy. Ukrywanie naruszenia, ignorowanie jasnych procedur lub powtarzanie tego samego błędu jest traktowane znacznie poważniej. Szybkie zgłoszenie to prawie zawsze najlepsze, co możesz zrobić – zarówno dla firmy, jak i dla siebie.

Czy każde naruszenie bezpieczeństwa danych trzeba zgłaszać?

Nie. Zgodnie z RODO i brytyjskim RODO naruszenie trzeba zgłosić organowi tylko wtedy, gdy może ono stanowić zagrożenie dla ludzi. W USA to zazwyczaj przepisy stanowe określają, jakie rodzaje danych wymagają zgłoszenia. Każde naruszenie powinno jednak być odnotowane wewnętrznie, łącznie z uzasadnieniem, dlaczego nie zostało zgłoszone.

Jakie są przykłady naruszeń RODO?

Typowe przykłady to wysłanie danych osobowych do niewłaściwego odbiorcy, użycie pola „DW” zamiast „UDW”, udostępnienie pliku za pomocą otwartego linku, zgubienie niezaszyfrowanego laptopa, pozostawienie wydrukowanych dokumentów bez nadzoru oraz umożliwienie atakującemu dostępu do skrzynki pocztowej poprzez phishing. Większość z nich wynika raczej z ludzkiego błędu niż z awarii technicznej.

Jak zapobiegać przypadkowym wyciekom danych?

Połącz kilka technicznych środków zabezpieczających, takich jak opóźnione wysyłanie, szyfrowanie i linki z ograniczonym dostępem, z regularnymi szkoleniami. Pracownicy, którzy ćwiczą rozpoznawanie ryzykownych sytuacji, popełniają mniej błędów i znacznie szybciej zgłaszają te, które się zdarzają.

Żadna organizacja nigdy nie osiągnie poziomu zerowej liczby błędów. Różnica polega na tym, co dzieje się w ciągu kilku minut po popełnieniu błędu: czy pracownik podnosi słuchawkę, czy zamyka laptopa i liczy na szczęście. Taki odruch można wyćwiczyć.