Czy firmy szkolą swoich pracowników w zakresie ochrony danych osobowych więcej niż tylko na początku zatrudnienia? Jaki odsetek przedsiębiorstw nie robi tego wcale? Czy wiedzą, jak postępować w przypadku wycieku danych?
- Nieprzeszkoleni pracownicy popełniają podstawowe błędy
- MŚP lekceważą zagrożenia za strony hakerów?
- Przedsiębiorcy nie są czujni, a hakerzy nie śpią
- W jakie branże celują hakerzy?
- Co należy zrobić w przypadku wycieku danych?
Nieprzeszkoleni pracownicy popełniają podstawowe błędy
Dobre systemy zabezpieczeń w firmie to jedno, a nieprzeszkoleni pracownicy w tym temacie to druga strona medalu. Niezależnie od wielkości firmy. Nieświadomi pracownicy mogą popełniać podstawowe błędy: otwierać podejrzane e-maile, klikać w zawarte w nich linki, stosować słabe, łatwe do odgadnięcia hasła, wysyłać e-mailem nieszyfrowane pliki lub przechowują w chmurze niezabezpieczone dokumenty z danymi osobowymi, czy przegrywać je na niezabezpieczone pendrive’y bądź zewnętrzne dyski. Efekt może być taki, że w najlepszym wypadku firma może utracić zaufanie pracowników i klientów, a w najgorszym ponieść dotkliwą karę finansową.
Z badania przeprowadzonego na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów pod patronatem Urzędu Ochrony Danych Osobowych wynika, że 81 proc. firm z sektora MŚP szkoli pracowników z ochrony danych osobowych. Ale gorzej to wygląda, kiedy przyjrzeć się bliżej wynikom badania. Otóż aż 59 proc. ankietowanych, robi to tylko na początku zatrudnienia. Wśród nich dominują mikrofirmy (59 proc.) w porównaniu do średnich (52 proc.) i małych (40 proc.). Najczęściej są to przedsiębiorcy z branży usługowej (67 proc.) i budowlanej (61 proc.), z przewagą jednoosobowych działalności gospodarczych (63 proc.) niż spółek (55 proc.).
– Brak szkoleń u pracodawców widoczny jest w przypadku wielu zgłaszanych naruszeń ochrony danych. Można to zauważyć w przypadkach, w których do ujawnienia danych osobowych niewłaściwej osobie dochodzi w skutek nieprawidłowego zaadresowania przesyłki z danymi czy ataków ransomware, do których by nie doszło, gdyby personel był odpowiednio przeszkolony na okoliczność takich sytuacji. Ważne jest też by szkolenia były cykliczne, przypominające odpowiednie zasady bezpieczeństwa i cały czas dostosowywane do pojawiających się nowych zagrożeń – mówi Jacek Młotkiewicz, dyrektor Departamentu Kar i Naruszeń Urzędu Ochrony Danych Osobowych.
Okazuje się, że zaledwie 22 proc. ankietowanych deklaruje, że ponawia szkolenia pracowników w trakcie zatrudnienia. Co ciekawe, spośród nich korzystniej wypadają małe firmy (41 proc.) w porównaniu do średnich (35 proc.) i mikro (21 proc.). Jednym z powodów może być mniejsza rotacja personelu. Wyróżniają się przedsiębiorstwa z branży produkcyjnej (57 proc.), handlowej (35 proc.) i transportowej (34 proc.). Częściej są to spółki (31 proc.) niż jednoosobowe działalności gospodarcze (12 proc.).
MŚP lekceważą zagrożenia za strony hakerów?
Bardzo niepokojące jest to, że wyjątkowo lekceważące podejście ma aż 20 proc. respondentów, którzy wcale nie szkolą pracowników z ochrony danych osobowych. Spośród nich największy grzech popełniają mikrofirmy (20 proc.), a mniejszy małe (18 proc.) i średnie (14 proc.). Najczęściej tego przewinienia dopuszczają się przedstawiciele branży transportowej (32 proc.) oraz produkcyjnej i usługowej (po 20 proc.). Przeważają jednoosobowe działalności gospodarcze (25 proc.) niż spółki (15 proc.), które działają na rynku powyżej 10 lat (46 proc.).
– Wielu właścicieli firm z sektora MŚP lekceważy zagrożenie ze strony hakerów. Uważają, że nie są atrakcyjnym celem ataków. Często też nie wiedzą, że to człowiek jest najsłabszym ogniwem w starciu z cyberprzestępcami. W efekcie, jeśli nawet przedsiębiorcy stosują silne zabezpieczenia, to w wyniku jakiegokolwiek braku szkoleń zatrudnianego personelu znacznie zwiększają ryzyko błędu ludzkiego, który może zakończyć się kradzieżą lub wyciekiem danych. Nie tylko własnych pracowników, lecz także klientów i kontrahentów – ostrzega Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl.
Przedsiębiorcy nie są czujni, a hakerzy nie śpią
Czy ryzyko jest rzeczywiście realne? Tak! W Polsce działa 2,3 mln mikro, małych i średnich firm. Tymczasem 12 proc. ankietowanych deklaruje, że doszło w nich do próby kradzieży danych osobowych. W rezultacie zagrożonych atakiem mogło być 281,5 tys. przedsiębiorstw z sektora MŚP. Z kolei co czwarty badany twierdzi (3 proc.), że próba włamania zakończyła się sukcesem cyberprzestępców. W efekcie hakerzy mogli wykraść dane z 70,4 tys. firm.
Warto jednak pamiętać, że mówimy tylko o wykrytych przypadkach. Przecież wielu respondentów może nie być świadomych, że hakerzy skutecznie wykradli dane z ich firm.
Włamania do komputerów nie pozostawiają śladów widocznych dla laików.
Spośród respondentów, którzy deklarują, że doszło w nich do próby kradzieży danych, odrobinę częściej ma to miejsce w średnich firmach (10 proc.) w porównaniu do mikro (9 proc.) i małych (7 proc.). Wśród nich dwukrotnie więcej jest spółek (12 proc.) niż jednoosobowych działalności gospodarczych (6 proc.), które na rynku funkcjonują od 5 do 10 lat.
W jakie branże celują hakerzy?
Cyberprzestępcy szczególnie upodobali sobie przedsiębiorstwa z branży transportowej, do których zgodnie z deklaracjami respondentów zdecydowanie najczęściej usiłowali się włamać (32 proc.). Z kolei kradzież danych osobowych zakończyła się sukcesem w przypadku 19 proc. przedsiębiorstw z sektora produkcyjnego.
– Firmy transportowe i produkcyjne są łakomym kąskiem dla hakerów ze względu na dużą liczbę realizowanych zamówień. W związku z tym przetwarzają dane osobowe wielu klientów. Tym bardziej ich wyciek lub kradzież przez hakerów w wyniku błędu nieprzeszkolonego pracownika może być bardzo kosztowny. Skutkiem będzie nie tylko dotkliwa kara finansowa, lecz zapewne utrata reputacji wśród partnerów biznesowych oznaczająca spadek zysków – mówi Bartłomiej Drozd.
Dla hakerów takie wykradzione dane osobowe mogą być bezcenne. Zgodnie z deklaracjami respondentów, 86 proc. firm z sektora MŚP przetwarza imię i nazwisko swoich pracowników. Nieco rzadziej numer telefonu (80 proc.), adres zamieszkania i numer PESEL (po 75 proc.). W dalszej kolejności adres e-mail (70 proc.), numer rachunku bankowego (68 proc.), numer dowodu osobistego (62 proc.) i dane zdrowotne (43 proc. – np. o absencjach lub przebytych chorobach).
Co należy zrobić w przypadku wycieku danych?
Czy przedsiębiorcy wiedzą, jakie kroki należy podjąć w razie próby lub po dokonaniu przez hakerów kradzieży, wycieku, utraty bądź wyłudzenia danych osobowych? Teoretycznie tak, ale... 59 proc. respondentów zgłosiłoby ten fakt organom ścigania. Natomiast 57 proc. ankietowanych poinformowałoby o tym poszkodowane osoby oraz zmieniłoby hasła dostępu na komputerach. Z kolei 52 proc. zwiększyłoby poziom zabezpieczeń. Niestety, ale oznacza to, że aż ponad 40 proc. właścicieli firm z sektora MŚP nie wie, jak prawidłowo zachować się w przypadku cyberataku.
Niepokoi także to, że zaledwie 42 proc. respondentów deklaruje, że w razie kradzieży danych zgłosiłoby ten fakt do Urzędu Ochrony Danych Osobowych. Pomimo że zgodnie z przepisami przedsiębiorcy jako administratorzy mają taki obowiązek, jeżeli istnieje prawdopodobieństwo (wyższe niż małe) szkodliwego wpływu na osoby, których dane dotyczą. Jeśli go nie dotrzymają, a istnieje ryzyko np. tzw. kradzieży tożsamości dla osób, których dane wykradziono, to administratorzy narażają się na wysokie kary ze strony Prezesa UODO. Może to oznaczać, że niemal co druga firma raczej będzie starała się zbagatelizować skutki utraty lub ukryć kradzież danych.
– Zgłoszone naruszenie może stanowić dla Prezesa UODO impuls do zbadania, jak administrator przestrzega przepisy RODO i dopiero gdy postępowanie wykaże nieprawidłowości może zostać wydana decyzja karowa – dodaje Jacek Młotkiewicz.
Natomiast 41 proc. respondentów w razie kradzieży lub wycieku danych udzieliłoby pomocy poszkodowanym poprzez włączenie im na koszt firmy usługi monitorowania użycia numeru PESEL. Natomiast 15 proc. wynajęłoby prawników.
***
Badanie zostało przeprowadzone przez TGM Research na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów pod patronatem Urzędu Ochrony Danych Osobowych (UODO) w maju 2024 r. techniką wywiadów internetowych (CAWI) na próbie 400 przedstawicieli firm MMŚP spełniających kryterium decyzyjności oraz przetwarzających dane osobowe.
Więcej ważnych informacji znajdziesz na stronie głównej Infor.pl