REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

(Cyber)bezpieczna praca na home office krok po kroku

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Magda Judejko
Prawnik, Inspektor ds. Ochrony Danych Osobowych, Menadżer
(Cyber)bezpieczna praca na home office krok po kroku
(Cyber)bezpieczna praca na home office krok po kroku
Shutterstock

REKLAMA

REKLAMA

Jakimi zasadami bezpieczeństwa powinniśmy kierować się podczas pracy na home office? Oto 7 kroków do efektywnej, jak i cyberbezpiecznej pracy zdalnej.

(Cyber)bezpieczna praca na Home Office. Podsumowanie po webinarze hybrydowym Prawodokawy.pl

Z tego artykułu dowiesz się:

REKLAMA

  1. Jak zabezpieczyć sprzęt służbowy?
  2. Jakie środki zabezpieczeń należy wdrożyć?
  3. O zasadach wprowadzania haseł.
  4. Na czy polegają ataki hakerskie i jak się przed nimi chronić?
  5. Jak zgłaszać naruszenia?
  6. Jak i po co dbać o świadomość i szkolić pracowników?

REKLAMA

Czy w czasie pracy z biura powinniśmy kierować się z innymi zasadami bezpieczeństwa aniżeli w pracy zdalnej lub prywatnie korzystając z komputera? Odpowiedź brzmi — NIE. Nasze zachowanie w Internecie podczas pracy i życie prywatne bardzo mocno przenikają się i mają wpływ na strefę biznesową. Hakerzy przez prywatne konta społecznościowe i e-maile, z których korzystamy na sprzęcie firmowym, mogą dostać się do danych, informacji poufnych i technologii związanych z naszą firmą oraz pracą.

W czerwcu 2021 r. głośno było o włamaniu się na konta e-mail jednego z ministrów, ponieważ na sprzęcie „służbowym” otwierał prywatną pocztę i korzystał z kont na portalach społecznościowych. W ten sposób dał hakerom możliwość dostępu do informacji państwowych. Do dziś hakerzy publikują kolejne wiadomości ministra w sieci.

Podczas webinaru hybrydowego pt. “(Cyber)bezpieczna praca zdalna na Home Office” organizowanego przez PrawodoKawy.pl jednocześnie stacjonarnie w Save The Planet w Poznaniu oraz online, specjaliści wraz z uczestnikami wypracowali 7 kroków do efektywnej, jak i cyberbezpiecznej pracy zdalnej.

Krok 1. Zabezpiecz sprzęt, na którym Ty lub Twój pracownik wykonuje pracę zdalną

Bez względu na to, czy praca zdalna jest wykonywana na sprzęcie prywatnym, czy służbowym, obowiązują te same zasady bezpieczeństwa.

Dalszy ciąg materiału pod wideo

Jedna z uczestniczek Webinaru (Cyber)bezpieczeństwo na Home Office, wskazała:

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 1

Powyższe rozwiązanie jest najbardziej pożądane. Jednakże nie każdy pracodawca ma możliwości zapewnienia sprzętu służbowego.

Aby pracownik mógł korzystać bezpiecznie z prywatnego laptopa:

  • Należy utworzyć osobne zabezpieczone hasłem konto.
  • Dać pracownikowi dostęp do rozwiązania chmurowego.
  • Ściągnąć/zaktualizować program antywirusowy.
  • Ograniczyć do minimum możliwość korzystania podczas pracy z prywatnych kont na social mediach oraz prywatnej poczty.
  • Wprowadzić jasne zasady zachowania w sieci.
  • Przekazać pracownikom materiały edukacyjne (infografiki, tablice bezpieczeństwa).
  • Zorganizować szkolenie z RODO i Cyberbezpieczeństwa. Może być w e-learning lub online.

Najlepiej zabezpieczony sprzęt i tak nie będzie bezpieczny w rękach osób, które nie znają zasad bezpieczeństwa i zachowania się w czasie korzystania z sieci.

Uczestnik webinaru zapytał:

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 2

Trwają prace nad nowelizacją Kodeksu Pracy i uregulowanie m.in. pracy zdalnej na wypadek lockdown. Nic nie wskazuje na to, aby na pracodawcę nałożono obowiązek wyposażenia w sprzęt, w łącze lub ubezpieczenia sprzętu. Każdy pracodawca dobrowolnie może wyposażyć pracowników, nadal ma jednak obowiązek zapewnienia środków bezpieczeństwa, a także szkolić i uświadamiać pracowników.

Krok 2. Zadbaj o wdrożenie odpowiednich środków i zasad bezpieczeństwa

Kwestią, na którą należy zwrócić uwagę podczas wprowadzania środków ochrony fizycznej oraz organizacyjnej, jest określenie obszaru i czasu przechowywania danych, a także wprowadzenie odpowiednich działań proporcjonalnych do wymaganego poziomu zabezpieczenia.

Przykłady środków technicznych:

  • Każdy pracownik otrzymuje dostęp do unikalnego konta.
  • Dostęp do każdego systemu IT wymaga uwierzytelnienia przez podanie loginu i hasła.
  • Hasło ma wysoki stopień trudności (minimum 8 znaków, małe duże litery, znaki szczególne) oraz stosowany jest mechanizm cyklicznej zmiany haseł.
  • Dostęp do systemów IT i baz danych jest nadawany tylko w zakresie niezbędnym do wykonywania obowiązków.
  • W razie dłuższego braku aktywności stosowane są automatyczne blokady dostępu.
  • Kopie zapasowe służą do ochrony przed utratą danych.
  • Dyski są szyfrowane.
  • Systemy zabezpieczone są antywirusami.
  • Dostęp do sieci zabezpieczony jest przez firewall.
  • Prowadzone są szkolenia z RODO i Cyberbezpieczeństwa.
  • Stosowane są zabezpieczenia WPA2 dla firmowej sieci WiFi.
  • Dane osobowe w formie papierowej przechowywane są w zamkniętych szafach.
  • Po ustaniu terminu retencji dokumenty są niszczone w niszczarkach.
  • Stosowanie „Polityki czystego biurka”.

Ze swojego doświadczenia Uczestnicy webinaru dodali:

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 3

Krok 3 Pamiętaj, aby zabezpieczyć swoją drukarkę i wprowadź zakaz korzystania z zewnętrznych skanerów i kserokopiarek

REKLAMA

W firmach powinno wprowadzić się zakaz skanowania i kserowania firmowych dokumentach w zewnętrznych punktach ksero. Urządzenia ksero mają pamięć, dlatego należy mieć świadomość, że właściciele kserokopiarek mogą uzyskać dostęp do dokumentów i danych osobowych, które kopiujemy lub skanujemy.

Ponadto od 2019 r. zgodnie z zasadą minimalizacją danych osobowych nie powinno się kopiować dokumentów tożsamości w celu weryfikacji tzn. że prowadząc wypożyczalnię, usługi hotelarskie i inne nie możemy kopiować dokumentów w celu weryfikacji.

Wprowadzono przepisy, w których zakazano wykonywania replik dokumentów. Za sprawą nowych przepisów każdemu, kto wykona, sprzeda lub będzie posiadał w celu zbycia replikę dokumentu publicznego, będzie groziła kara grzywny, kara ograniczenia wolności albo pozbawienia wolności do lat 2.

Krok 4. Stosuj silne hasła i pamiętaj o ich regularnych zmianach

Rozporządzenie MSWiA doprecyzowało wymogi dotyczące haseł, w sytuacji, gdy przynajmniej jedno urządzenie infrastruktury sieci lokalnej podłączone jest do sieci publicznej.

Hasła:

  1. Powinny składać się z co najmniej 8 znaków oraz być złożone z małych i dużych liter, cyfr lub znaków specjalnych.
  2. Powinny być zmieniane nie rzadziej niż co 3 miesiące i zdecydowanie był to parametr najbardziej nielubiany.
  3. Należy wdrożyć Politykę Haseł.
  4. Warto wprowadzić tzw. menedżer haseł, który nie tylko bezpiecznie przechowa nasze dane logowania, ale również wygeneruje nam silne hasła, które następnie automatycznie będzie wprowadzał w panel logowania systemów, z których korzystamy.

Krok 5. Bądź czujny i np. sprawdzaj wiarygodność wiadomości e-mail lub SMS

Hakerzy atakują bez względu na to, czy pracujemy z firmy, czy zdalnie. Istotne jest to, że każdy powinien być świadomy, że większość ataków hakerskich bazuje na socjotechnice.

Na czym polega tzw. Phishing?

Hakerzy szukają jak najwięcej informacji o Tobie/pracownikach, a następnie przesyłają linki w odpowiednio spreparowanych wiadomościach (tzw. Phishing), które wpływają na odbiorcę i zachęcają lub zmuszają do wykonania operacji na zainfekowanych stronach, lub uruchamianie zainfekowanych załączników.

W konsekwencji otwarcia linku lub załącznika Haker otrzymuje dostęp do naszego komputera i, jeżeli mamy na nim dane firmowe, to zagrożenie dotyczy również danych klientów czy pracowników. To może to być początkiem problemów takich jak np. wyciek haseł do konta bankowego lub innych serwisów.

Ucz się na błędach innych. Atak hakerski i kara 3 MLN zł na Morele.net.

  1. Hakerzy przez panel jednego z pracowników włamali się do systemu sklepu internetowego morele.net. Hakerzy uzyskali dostęp do danych wszystkich klientów.
  2. Klienci morele.net otrzymali wiadomość SMS z tzw. phishingiem „Dopłać 1 zł do zamówienia” link.
  3. Klienci, którzy kliknęli link i zalogowali się do banku, aby dopłacić 1 zł, mieli wyczyszczone konta.
  4. UODO uznało, że Morele.net nie zadbało o środki bezpieczeństwa i szkolenie dla pracowników i wydało za to decyzje o 2.8 mln kary. Ponadto pomimo odwołania się przez Morele.net do sądu. Sąd WSA w Warszawie utrzymał karę 2.8 mln w mocy.

Wynika z tego, że za brak odpowiednich zabezpieczeń i szkoleń pracowników, konsekwencje ponoszą zarówno przedsiębiorcy (administratorzy), jak i ich klienci.

Innym rodzajem ataku hakerskiego stają się ataki typu RANSOMEWEAR. Te ataki stały się realnym ryzykiem, praktycznie niezależnie od skali,czy od rodzaju działalności. Złośliwe oprogramowanie szyfruje dane zapisane na serwerach i uniemożliwia do nich dostęp, wymuszając zapłatę okupu za ich ponowne udostępnienie.

W listopadzie 2021 r. to Media Markt ma problem z zamówieniami po ataku typu RANSOMEWEAR.

  1. Hakerzy grupy Hive wykorzystują w czasie promocji Black Week oprogramowanie typu RANSOMWARE, aby zdobyć i zakodować dane sieci Media Markt i Saturn tak, by osoby odpowiedzialne traciły dostęp do danych.
  2. Wskutek ataku zablokowano działania placówek w Niemczech i Holandii.
  3. Za odblokowanie zaszyfrowanych danych przestępcy zażądali okupu w wysokości 240 mln dolarów.
  4. Media Markt zawiadomił organy typu UODO i walczył ze skutkami ataku. Jeszcze tydzień po ataku nie było na stronach informacji o niektórych produktach i zablokowane było korzystanie z niektórych usług.

Nie ma jednej metody obrony przed atakami. Przedsiębiorstwa muszą uszczelnić swoje zasoby informacyjne, tym bardziej podczas pracy zdalnej i w sposób stały, systemowy zabezpieczać się przed cyberatakiem.

Ponadto należy opracować system skutecznego reagowania i zgłaszania naruszeń, o czym poniżej.

Krok 6. Wprowadź zasady zgłaszania wycieków i naruszeń

Najważniejsze w zachowaniu bezpieczeństwa jest niezwłoczna informacja i reakcja na zdarzenie, które może nieść konsekwencje wycieku, kradzieży lub usunięcia danych. Prócz uszczelniania systemów i audytów niezbędna jest świadomość, jak reagować na określone sytuacje.

Wyciek spowodowany np. zgubieniem komputera, przypadkowym udostępnieniem danych na stronie, wysłaniem do wielu wiadomości bez ukrycia do UDW, działaniami hakerów, powinien być niezwłocznie zgłoszony do administratora (pracodawcy) i obsługi IT.

Skutkiem zdarzenia, które jest naruszeniem, może być zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych.

W celu zminimalizowania ewentualnych negatywnych skutków naruszenia zalecane jest:

  • Ignorowanie nieoczekiwanych wiadomości, w szczególności od nieznanych nadawców.
  • Zachowanie ostrożności w sytuacji odbierania połączeń telefonicznych od nieznanych numerów telefonów tzn. nieprzekazywanie obcym osobom przez telefon danych, haseł, informacji.
  • Zmienianie haseł m.in. na kontach bankowych, w serwisach społecznościowych, mailach, w tym mailach związanych z pracą, i wszelkich aplikacjach.
  • Aktywowanie raportów o próbach złożenia wniosków kredytowych na Twoje dane (https://www.bik.pl/klienci-indywidualni/alerty-bik)
  • Sprawdzenie, czy strona www jest szyfrowana tzn. czy adres strony www rozpoczyna się od „https://” przed wprowadzeniem na stronach www jakichkolwiek danych osobowych lub haseł.
  • Jak najszybciej przekazanie informacji do pracodawcy, jeśli dowiecie się o wykorzystaniu Twoich danych przez osobę nieuprawnioną,
  • Plany i rozwiązania, dotyczące ciągłości działania i odzyskiwania danych po awarii, muszą zawierać strategię pracy zdalnej, zapewniającą możliwość świadczenia pracy przez pracowników z dowolnej lokalizacji, bez narażania bezpieczeństwa sieci firmy.

UWAGA! Nie bój się! Niezwłocznie zgłaszaj wycieki i/lub naruszenia do administratora. On jako administrator ma 72 h na samodonos do UODO. Zgłoszenie do UODO można składać w formie elektronicznej przez ePUAP.

Krok 7. Organizuj cykliczne szkolenia z bezpieczeństw danych osobowych, w tym z cyberbezpieczeństwa

Brak świadomości dotyczącej zasad bezpiecznego przetwarzania danych, w tym reguł bezpiecznej pracy zdalnej powoduje, że pracownik nie wie, że zdarzenie to incydent/naruszenie. Wyłącznie wtedy, gdy przejdzie szkolenie, zareaguje odpowiednio i będzie wiedział, że należy zgłosić zdarzenie do Zarządu lub Inspektora Ochrony Danych Osobowych (IOD).

Ponadto aż 80% naruszeń wynika z przyczyn wewnętrznych tzn. z błędu pracownika lub procesora. Badania SFODO 2018-2019 i 2020 wskazują, że źródłem naruszeń bezpieczeństwa danych osobowych jest błąd ludzki wynikający z niewiedzy.

Podczas kontroli Urząd Ochrony Danych Osobowych (UODO) wymaga przedstawienia wykazu szkoleń oraz szkoleń zaplanowanych na kolejny rok. Jeżeli naruszenie będzie rozpatrywane przez UODO, za każdym razem czy to jako Administrator czy jako Procesor, trzeba wykazać szczegółowe daty i nazwy minionych szkoleń oraz tych zaplanowanych na kolejny rok.

Jak organizować szkolenia z RODO w przedsiębiorstwie czy organizacji?

Warto podejść do Bezpieczeństwa Danych Osobowych jak do szkoleń z Bezpieczeństwa i Higieny Pracy (BHP), a zatem organizować cykliczne szkolenia z RODO i Cyberbezpieczeństwa.

Zalecane jest, aby:

  • szkolić wszystkich pracowników minimum raz do roku,
  • wprowadzić zasadę (procedurę), że nowy pracownik nim rozpocznie pracę, będzie uczestniczył w szkoleniu RODO i Cyberbezpieczeństwa.
  • IOD/pracownicy, którzy przetwarzają dane na dużą skalę, w tym dane szczególnej kategorii, powinni uczestniczyć w szkoleniach rozszerzonych.

Forma szkoleń powinna odzwierciedlać faktyczne potrzeby danego przedsiębiorcy lub organizacji. W dobie pracy zdalnej i rozwoju biznesu online rozwiązaniem jest wdrożenie szkoleń w formie e-learning RODO dla pracowników, szkoleń wideo dla Menadżerów lub organizacja szkolenia online na żywo.

Warto też co najmniej raz do roku przeprowadzać audyt bezpieczeństwa (RODO) i (Cyber)bezpieczeństwa, które polega na przeglądzie procesów, narzędzi, aplikacji, oraz dostosowanie klauzul i dokumentów, oraz przegląd danych.

Magda Judejko
www.prawodokawy.pl

Zapisz się na newsletter
Zakładasz firmę? A może ją rozwijasz? Chcesz jak najbardziej efektywnie prowadzić swój biznes? Z naszym newsletterem będziesz zawsze na bieżąco.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Zakupy w sklepie stacjonarnym a reklamacja. Co może konsument?

Od wielu lat obowiązuje ustawa o prawach konsumenta. W wyniku implementowania do polskiego systemu prawa regulacji unijnej, od 1 stycznia 2023 r. wprowadzono do tej ustawy bardzo ważne, korzystne dla konsumentów rozwiązania.

Ponad 650 tys. firm skorzystało z wakacji składkowych w pierwszym półroczu

Zakład Ubezpieczeń Społecznych informuje, że w pierwszym półroczu 2025 r. z wakacji składkowych skorzystało 657,5 tys. przedsiębiorców. Gdzie można znaleźć informacje o uldze?

Vibe coding - czy AI zredukuje koszty tworzenia oprogramowania, a programiści będą zbędni?

Kiedy pracowałem wczoraj wieczorem nad newsletterem, do szablonu potrzebowałem wołacza imienia – chciałem, żeby mail zaczynał się od “Witaj Marku”, zamiast „Witaj Marek”. W Excelu nie da się tego zrobić w prosty sposób, a na ręczne przerobienie wszystkich rekordów straciłbym długie godziny. Poprosiłem więc ChatGPT o skrypt, który zrobi to za mnie. Po trzech sekundach miałem działający kod, a wołacze przerobiłem w 20 minut. Więcej czasu zapewne zajęłoby spotkanie, na którym zleciłbym komuś to zadanie. Czy coraz więcej takich zadań nie będzie już wymagać udziału człowieka?

Wellbeing, który naprawdę działa. Arłamów Business Challenge 2025 pokazuje, jak budować silne organizacje w czasach kryzysu zaangażowania

Arłamów, 30 czerwca 2025 – „Zaangażowanie pracowników w Polsce wynosi jedynie 8%. Czas przestać mówić o benefitach i zacząć praktykować realny well-doing” – te słowa Jacka Santorskiego, psychologa biznesu i społecznego, wybrzmiały wyjątkowo mocno w trakcie tegorocznej edycji Arłamów Business Challenge.

REKLAMA

Nie uczą się i nie pracują. Polscy NEET często są niewidzialni dla systemu

Jak pokazuje najnowszy raport Polskiej Agencji Rozwoju Przedsiębiorczości, około 10% młodych Polaków nie uczy się ani nie pracuje. Kim są polscy NEET i dlaczego jest to realny problem społeczny?

Polska inwestycyjna zapaść – co hamuje rozwój i jak to zmienić?

Od 2015 roku stopa inwestycji w Polsce systematycznie spada. Choć może się to wydawać abstrakcyjnym wskaźnikiem makroekonomicznym, jego skutki odczuwamy wszyscy – wolniejsze tempo wzrostu gospodarczego, mniejszy przyrost zamożności, trudniejsza pogoń za Zachodem. Dlaczego tak się dzieje i czy można to odwrócić? O tym rozmawiali Szymon Glonek oraz dr Anna Szymańska z Polskiego Instytutu Ekonomicznego.

Firma za granicą jako narzędzie legalnej optymalizacji podatkowej. Fakty i mity

W dzisiejszych czasach, gdy przedsiębiorcy coraz częściej stają przed koniecznością konkurowania na globalnym rynku, pojęcie optymalizacji podatkowej staje się jednym z kluczowych elementów strategii biznesowej. Wiele osób kojarzy jednak przenoszenie firmy za granicę głównie z próbą unikania podatków lub wręcz z działaniami nielegalnymi. Tymczasem, właściwie zaplanowana firma za granicą może być w pełni legalnym i etycznym narzędziem zarządzania obciążeniami fiskalnymi. W tym artykule obalimy popularne mity, przedstawimy fakty, wyjaśnimy, które rozwiązania są legalne, a które mogą być uznane za agresywną optymalizację. Odpowiemy też na kluczowe pytanie: czy polski przedsiębiorca faktycznie zyskuje, przenosząc działalność poza Polskę?

5 sprawdzonych metod pozyskiwania klientów B2B, które działają w 2025 roku

Pozyskiwanie klientów biznesowych w 2025 roku wymaga elastyczności, innowacyjności i umiejętnego łączenia tradycyjnych oraz nowoczesnych metod sprzedaży. Zmieniające się preferencje klientów, rozwój technologii i rosnące znaczenie relacji międzyludzkich sprawiają, że firmy muszą dostosować swoje strategie, aby skutecznie docierać do nowych odbiorców. Dobry prawnik zadba o zgodność strategii z przepisami prawa oraz zapewni ochronę interesów firmy. Oto pięć sprawdzonych metod, które pomogą w pozyskiwaniu klientów w obecnym roku.

REKLAMA

Family Business Future Summit - podsumowanie po konferencji

Pod koniec kwietnia niniejszego roku, odbyła się druga edycja wydarzenia Family Business Future Summit, które dedykowane jest przedsiębiorczości rodzinnej. Stolica Warmii i Mazur przez dwa dni gościła firmy rodzinne z całej Polski, aby esencjonalnie, inspirująco i innowacyjne opowiadać i rozmawiać o sukcesach oraz wyzwaniach stojących przed pionierami polskiej przedsiębiorczości.

Fundacja rodzinna po dwóch latach – jak zmienia się myślenie o sukcesji?

Jeszcze kilka lat temu o sukcesji w firmach mówiło się niewiele. Przedsiębiorcy odsuwali tę kwestię na później, często z uwagi na brak gotowości, aby się z nią zmierzyć. Mówienie o śmierci właściciela, przekazaniu firmy i zabezpieczeniu rodziny wciąż należało do tematów „na później”.

REKLAMA