Čl. 32 GDPR ukládá správci přijmout technická a organizační opatření odpovídající riziku. Ta nejlepší jsou k ničemu, pokud je zaměstnanec obejde. Většina úniků údajů nevzniká útokem na dokonalý systém, ale chybou člověka.
Hesla a přihlašování
- Používejte dlouhá a jedinečná hesla. Lepší je věta než krátké slovo se zástupnými znaky. Stejné heslo nepoužívejte na více službách.
- Zapněte vícefázové ověření všude, kde je k dispozici.
- Heslo nesdílejte, ani s kolegou nebo nadřízeným. Nepište ho na lísteček pod klávesnici.
- Při odchodu od počítače ho zamkněte (na Windows klávesy Win + L).
- Hesla ukládejte do firemního správce hesel, pokud ho firma používá.
Phishing a podvodné zprávy
Phishing je podvodná zpráva, která vás má přimět vyzradit údaje, kliknout na škodlivý odkaz nebo otevřít přílohu. Existuje i varianta po telefonu a SMS. Poznáte ho takto:
- naléhá („okamžitě“, „účet bude zablokován“)
- adresa odesílatele se jen podobá skutečné
- obsahuje nečekanou přílohu nebo odkaz
- chce heslo, kód nebo platbu na nový účet
- píše se v něm obecně „vážený zákazníku“
Co dělat: neklikejte, nepřihlašujte se přes odkaz, ověřte zprávu jiným kanálem (telefonicky na známé číslo) a nahlaste ji podle firemních pravidel, nejlépe oddělení IT nebo bezpečnosti.
Práce na dálku a mimo kancelář
- Nepracujte s údaji ve veřejné nezabezpečené Wi-Fi bez zabezpečeného připojení (VPN), které firma určila.
- Zamkněte zařízení, když od něj odejdete. Na veřejnosti dbejte, aby vám nikdo neviděl na obrazovku.
- Služební údaje neukládejte do soukromého cloudu ani neposílejte na soukromý e-mail.
- Služební zařízení nepůjčujte rodině.
Papír a prostor
- Dokumenty s osobními údaji nenechávejte na stole, v tiskárně ani na kopírce. Na konci práce je zamkněte.
- Nepotřebné dokumenty skartujte, nevyhazujte do běžného koše.
- Při rozhovoru o osobních věcech zvažte, kdo vás slyší.
E-mail, sdílení a přílohy
- Před odesláním zkontrolujte adresáta. Chybně odeslaný e-mail je nejčastější únik údajů.
- Při hromadné zprávě mimo kolegy používejte skrytou kopii (Bcc), aby adresáti neviděli adresy ostatních.
- Citlivé přílohy chraňte heslem a heslo pošlete jiným kanálem.
- Sdílejte odkazem s omezeným přístupem, ne veřejným.
Zařízení a nosiče dat
Neznámé USB disky nezapojujte do počítače. Ztrátu telefonu, notebooku nebo disku s firemními údaji hlaste ihned. Rychlé nahlášení umožní zařízení vzdáleně zamknout nebo vymazat.
Pseudonymizace a šifrování
Šifrování znamená, že data bez klíče nikdo nepřečte. Čl. 32 GDPR výslovně uvádí pseudonymizaci a šifrování jako možné opatření. Pokud je zařízení zašifrované a ztratí se, riziko pro lidi je obvykle mnohem nižší.
Co si zapamatovat
- Heslo je osobní. Nesdílejte ho a používejte vícefázové ověření.
- Phishing poznáte podle naléhavosti, podivného odesílatele a výzvy k akci.
- Dokumenty zamykejte, skartujte a před odesláním kontrolujte adresáta.
- Ztrátu zařízení nebo podezření na únik hlaste hned.
Když se něco nepovede
Chyba se může stát každému. Odešlete e-mail špatnému adresátovi, kliknete na odkaz v podvodné zprávě nebo otevřete přílohu, u které jste si nebyli jisti. Nikdy to neskrývejte. Ihned to řekněte nadřízenému nebo IT. Včasné nahlášení umožní škodu zastavit a splnit zákonné lhůty, o kterých se píše v další lekci.