Art. 32 RODO wymaga od administratora i podmiotów przetwarzających odpowiednich środków technicznych i organizacyjnych adekwatnych do ryzyka: między innymi szyfrowania, poufności i dostępności systemów, zdolności do przywrócenia danych i regularnych testów. Większość problemów bierze się jednak ze zwykłych błędów, a nie z wyrafinowanych ataków. Oto nawyki, które liczą się najbardziej.
Dostęp i hasła
- Używaj długich i różnych haseł do każdej usługi. Długie zdanie jest lepsze niż krótkie, skomplikowane słowo. Nie używaj w pracy haseł osobistych.
- Jeśli firma to oferuje, korzystaj z menedżera haseł i włącz uwierzytelnianie wieloskładnikowe.
- Nigdy nie udostępniaj swoich danych logowania, nawet współpracownikom ani pomocy technicznej. Każdy musi mieć własny dostęp, bo tylko wtedy wiadomo, kto co zrobił.
- Blokuj ekran, gdy odchodzisz od stanowiska.
- Otwieraj tylko dane potrzebne do pracy. Wyszukiwanie klienta, współpracownika lub znajomego z ciekawości to nie jest praca i może mieć konsekwencje dyscyplinarne, a w najpoważniejszych przypadkach karne (na przykład nielegalne uzyskanie dostępu do systemu informatycznego, art. 615-ter włoskiego kodeksu karnego).
- Sprawdzaj adresatów przed wysłaniem: autouzupełnianie łatwo wybiera niewłaściwą osobę o tym samym imieniu.
- Pisząc do wielu osób, które się nie znają, używaj ukrytej kopii (UDW), w przeciwnym razie ujawnisz wszystkim adresy pozostałych.
- Dane o zdrowiu, dokumenty tożsamości i inne wrażliwe informacje wysyła się bezpiecznymi narzędziami wybranymi przez firmę, na przykład plikami chronionymi hasłem przekazanym innym kanałem.
- Nie wpisuj danych osobowych w temacie wiadomości.
Papier, urządzenia i praca z domu
- Utrzymuj porządek na biurku, a kartki z danymi osobowymi chowaj do zamkniętej szuflady lub szafy. Używaj niszczarki albo specjalnych pojemników, nie zwykłego kosza.
- Nie zapisuj danych na prywatnych telefonach, pendrive’ach ani w prywatnych usługach w chmurze, jeśli firma na to nie pozwala.
- Nie wklejaj danych klientów ani współpracowników do narzędzi sztucznej inteligencji ani tłumaczy online, jeśli firma nie zatwierdziła ich do tego celu: to, co wpiszesz, może wyjść poza firmę.
- W domu lub w podróży korzystaj z bezpiecznego połączenia, nie zostawiaj ekranów widocznych dla innych, nie zostawiaj komputera w samochodzie i nie rozmawiaj głośno o klientach w pociągu czy w barze.
Phishing
Phishing to fałszywa wiadomość (e-mail, SMS, rozmowa, czat), która ma sprawić, że klikniesz, przekażesz dane lub zapłacisz. Typowe oznaki:
- pośpiech lub groźby („konto zostanie dziś zamknięte”);
- nadawca podobny do znanego, ale z nieco innym adresem;
- link, którego adres nie zgadza się z nadawcą;
- nieoczekiwany załącznik;
- fałszywy „szef”, który prosi o przelew lub karty podarunkowe, albo fałszywy współpracownik, który prosi o twoje dane logowania.
Co robić:
- Nie klikaj, nie otwieraj i nie odpowiadaj.
- Sprawdź innym kanałem: zadzwoń do nadawcy na numer, który już znasz.
- Zgłoś wiadomość pomocy informatycznej. Jeśli zdarzyło ci się już kliknąć lub wpisać dane, powiedz o tym od razu: szybkie zgłoszenie ogranicza szkody.
Agenzia per la cybersicurezza nazionale (ACN) (włoska Krajowa Agencja Cyberbezpieczeństwa) publikuje na swojej stronie porady dotyczące zagrożeń w sieci.
Aktualizacje i nieznane programy
Instaluj aktualizacje bezpieczeństwa, gdy prosi o to dział informatyki. Nie instaluj programów, aplikacji ani rozszerzeń z własnej inicjatywy i nie podłączaj nieznanych pendrive’ów.
Zgłoś błąd bez wstydu
Każdego można oszukać. Najgorsze jest milczenie: firma może zareagować tylko wtedy, gdy dowie się na czas.