Art. 32 RODO nakłada na administratora obowiązek zastosowania środków technicznych i organizacyjnych odpowiednich do ryzyka. Najlepsze z nich są bezużyteczne, jeśli pracownik je obejdzie. Większość wycieków danych nie powstaje w wyniku ataku na doskonały system, ale przez błąd człowieka.
Hasła i logowanie
- Używaj długich i niepowtarzalnych haseł. Zdanie jest lepsze niż krótkie słowo ze znakami specjalnymi. Tego samego hasła nie używaj w kilku usługach.
- Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest dostępne.
- Hasła nie udostępniaj, nawet koledze ani przełożonemu. Nie zapisuj go na karteczce pod klawiaturą.
- Odchodząc od komputera, zablokuj go (w Windows klawisze Win + L).
- Hasła zapisuj w firmowym menedżerze haseł, jeśli firma z niego korzysta.
Phishing i oszukańcze wiadomości
Phishing to oszukańcza wiadomość, która ma sprawić, że ujawnisz dane, klikniesz szkodliwy link lub otworzysz załącznik. Istnieje też odmiana przez telefon i SMS. Rozpoznasz go po tym, że:
- ponagla („natychmiast”, „konto zostanie zablokowane”)
- adres nadawcy tylko przypomina prawdziwy
- zawiera niespodziewany załącznik lub link
- chce hasła, kodu lub płatności na nowe konto
- zwraca się ogólnie: „szanowny kliencie”
Co robić: nie klikaj, nie loguj się przez link, sprawdź wiadomość innym kanałem (telefonicznie, pod znanym numerem) i zgłoś ją zgodnie z zasadami firmy, najlepiej do działu IT lub bezpieczeństwa.
Praca zdalna i poza biurem
- Nie pracuj na danych w publicznej niezabezpieczonej sieci Wi-Fi bez bezpiecznego połączenia (VPN), które wyznaczyła firma.
- Zablokuj urządzenie, gdy od niego odchodzisz. W miejscach publicznych pilnuj, aby nikt nie widział twojego ekranu.
- Danych służbowych nie zapisuj w prywatnej chmurze ani nie wysyłaj na prywatny e-mail.
- Urządzeń służbowych nie pożyczaj rodzinie.
Papier i przestrzeń
- Dokumentów z danymi osobowymi nie zostawiaj na biurku, w drukarce ani na kopiarce. Po pracy zamknij je na klucz.
- Niepotrzebne dokumenty zniszcz w niszczarce, nie wyrzucaj ich do zwykłego kosza.
- Przy rozmowie o sprawach osobistych zastanów się, kto cię słyszy.
E-mail, udostępnianie i załączniki
- Przed wysłaniem sprawdź adresata. Błędnie wysłany e-mail to najczęstszy wyciek danych.
- Przy wiadomości zbiorczej do osób spoza grona kolegów używaj ukrytej kopii (UDW), aby adresaci nie widzieli adresów pozostałych.
- Wrażliwe załączniki chroń hasłem, a hasło wyślij innym kanałem.
- Udostępniaj przez link z ograniczonym dostępem, a nie publiczny.
Urządzenia i nośniki danych
Nieznanych dysków USB nie podłączaj do komputera. Utratę telefonu, laptopa lub dysku z danymi firmy zgłaszaj natychmiast. Szybkie zgłoszenie pozwala zablokować urządzenie lub zdalnie je wyczyścić.
Pseudonimizacja i szyfrowanie
Szyfrowanie oznacza, że bez klucza nikt danych nie odczyta. Art. 32 RODO wprost wymienia pseudonimizację i szyfrowanie jako możliwe środki. Jeśli urządzenie jest zaszyfrowane i zginie, ryzyko dla ludzi jest zwykle znacznie niższe.
Co zapamiętać
- Hasło jest osobiste. Nie udostępniaj go i używaj uwierzytelniania wieloskładnikowego.
- Phishing poznasz po ponaglaniu, dziwnym nadawcy i wezwaniu do działania.
- Dokumenty zamykaj na klucz, niszcz w niszczarce i przed wysłaniem sprawdzaj adresata.
- Utratę urządzenia lub podejrzenie wycieku zgłaszaj od razu.
Gdy coś się nie uda
Błąd może się zdarzyć każdemu. Wyślesz e-mail do niewłaściwego adresata, klikniesz link w oszukańczej wiadomości albo otworzysz załącznik, który budził twoje wątpliwości. Nigdy tego nie ukrywaj. Powiedz o tym od razu przełożonemu lub w IT. Szybkie zgłoszenie pozwala powstrzymać szkodę i dotrzymać terminów ustawowych, o których mowa w następnej lekcji.