Art. 32 wymaga, aby firma i jej podmioty przetwarzające zapewniały odpowiedni poziom bezpieczeństwa. Większość naruszeń bezpieczeństwa nie wynika ze skomplikowanych ataków, lecz ze zwykłych błędów. Oto nawyki, które dają najwięcej.
Dostęp i hasła
- Używaj długich i niepowtarzalnych haseł. Długie zdanie jest lepsze niż krótkie, skomplikowane słowo. Nigdy nie używaj tego samego hasła do pracy i do prywatnych kont.
- Korzystaj z menedżera haseł, jeśli firma go oferuje.
- Włącz uwierzytelnianie wieloskładnikowe tam, gdzie to możliwe. Nigdy nie udostępniaj swoich kodów, także kolegom ani działowi IT.
- Blokuj ekran, gdy odchodzisz od stanowiska.
- Wolno ci otwierać tylko te informacje, których potrzebujesz do pracy. Sprawdzanie znanej osoby lub kolegi z ciekawości to nie praca i może być naruszeniem.
- Sprawdź odbiorcę, zanim klikniesz „wyślij”. Autouzupełnianie łatwo wybiera niewłaściwą osobę o tym samym imieniu.
- Gdy piszesz do wielu osób, które się nie znają, użyj UDW (Bcc). W przeciwnym razie ujawniasz wszystkim adresy e-mail pozostałych.
- Informacje poufne i wrażliwe powinny co do zasady być szyfrowane, gdy wysyłasz je e-mailem przez internet. Taka jest ocena Datatilsynet co do tego, co jest odpowiednim zabezpieczeniem. Użyj bezpiecznego rozwiązania pocztowego wybranego przez firmę.
- Nie wpisuj danych osobowych w temacie wiadomości.
Papier, urządzenia i praca z domu
- Utrzymuj porządek na biurku. Dokumenty z danymi osobowymi chowaj do zamkniętej szuflady.
- Używaj firmowej niszczarki lub zamykanego pojemnika na odpady, a nie zwykłego kosza na papier.
- Nie zapisuj danych na prywatnych urządzeniach, pendrive'ach ani w prywatnych usługach chmurowych, chyba że firma na to zezwoliła.
- Nie korzystaj z zewnętrznych narzędzi AI i nie wklejaj do nich danych klientów ani pracowników, chyba że firma dopuściła dane narzędzie do tego celu. To, co wpiszesz, często opuszcza firmę.
- W domu: korzystaj z bezpiecznego połączenia, nie pozwalaj rodzinie patrzeć na ekran i nie zostawiaj urządzenia odblokowanego w samochodzie ani w kawiarni.
- Nie rozmawiaj głośno o klientach lub pacjentach, np. w pociągu.
Phishing
Phishing to fałszywe e-maile, SMS-y lub telefony, które mają skłonić cię do podania informacji, kliknięcia linku lub zapłaty. Typowe oznaki:
- presja czasu („konto zostanie dziś zamknięte”) lub groźby
- nadawca, który wygląda jak znany, ale ma nieco inny adres
- link, którego adres nie pasuje do nadawcy
- nieoczekiwane załączniki
- „szef”, który nagle chce szybkiej płatności lub kart podarunkowych, albo kolega, który prosi o twoje kody
Co robisz:
- Nie klikaj, nie otwieraj i nie odpowiadaj.
- Sprawdź innym kanałem. Zadzwoń do nadawcy pod numer, który znasz.
- Zgłoś wiadomość swojemu działowi IT lub osobie odpowiedzialnej za bezpieczeństwo. Jeśli już doszło do kliknięcia lub wpisania czegoś, powiedz o tym od razu. Szybkie zgłoszenie może ograniczyć szkody.
Styrelsen for Samfundssikkerhed (duńska agencja ochrony ludności i bezpieczeństwa publicznego, dawniej Centrum Cyberbezpieczeństwa) ma porady dotyczące phishingu na samsik.dk.
Aktualizacje i nieznane programy
Instaluj aktualizacje bezpieczeństwa, gdy prosi o to dział IT. Wiele ataków wykorzystuje błędy, na które aktualizacja istnieje od dawna. Nie instaluj samodzielnie programów, aplikacji ani rozszerzeń i nie podłączaj nieznanych pendrive'ów. Jeśli coś dziwnego dzieje się na twoim komputerze, zgłoś to, zanim spróbujesz naprawić to samodzielnie.
Powiedz o tym bez wstydu
Każdego można oszukać. Najgorsze jest milczenie. Firma może zareagować tylko wtedy, gdy na czas dowie się o błędzie.