(Cyber)bezpieczna praca na home office krok po kroku

(Cyber)bezpieczna praca na Home Office. Podsumowanie po webinarze hybrydowym Prawodokawy.pl

Z tego artykułu dowiesz się:

1. Jak zabezpieczyć sprzęt służbowy?
2. Jakie środki zabezpieczeń należy wdrożyć?
3. O zasadach wprowadzania haseł.
4. Na czy polegają ataki hakerskie i jak się przed nimi chronić?
5. Jak zgłaszać naruszenia?
6. Jak i po co dbać o świadomość i szkolić pracowników?

Czy w czasie pracy z biura powinniśmy kierować się z innymi zasadami bezpieczeństwa aniżeli w pracy zdalnej lub prywatnie korzystając z komputera? Odpowiedź brzmi — NIE. Nasze zachowanie w Internecie podczas pracy i życie prywatne bardzo mocno przenikają się i mają wpływ na strefę biznesową. Hakerzy przez prywatne konta społecznościowe i e-maile, z których korzystamy na sprzęcie firmowym, mogą dostać się do danych, informacji poufnych i technologii związanych z naszą firmą oraz pracą.

W czerwcu 2021 r. głośno było o włamaniu się na konta e-mail jednego z ministrów, ponieważ na sprzęcie „służbowym” otwierał prywatną pocztę i korzystał z kont na portalach społecznościowych. W ten sposób dał hakerom możliwość dostępu do informacji państwowych. Do dziś hakerzy publikują kolejne wiadomości ministra w sieci.

Podczas webinaru hybrydowego pt. “(Cyber)bezpieczna praca zdalna na Home Office” organizowanego przez PrawodoKawy.pl jednocześnie stacjonarnie w Save The Planet w Poznaniu oraz online, specjaliści wraz z uczestnikami wypracowali 7 kroków do efektywnej, jak i cyberbezpiecznej pracy zdalnej.

Krok 1. Zabezpiecz sprzęt, na którym Ty lub Twój pracownik wykonuje pracę zdalną

Bez względu na to, czy praca zdalna jest wykonywana na sprzęcie prywatnym, czy służbowym, obowiązują te same zasady bezpieczeństwa.

Jedna z uczestniczek Webinaru (Cyber)bezpieczeństwo na Home Office, wskazała:

Powyższe rozwiązanie jest najbardziej pożądane. Jednakże nie każdy pracodawca ma możliwości zapewnienia sprzętu służbowego.

Aby pracownik mógł korzystać bezpiecznie z prywatnego laptopa:

• Należy utworzyć osobne zabezpieczone hasłem konto.
• Dać pracownikowi dostęp do rozwiązania chmurowego.
• Ściągnąć/zaktualizować program antywirusowy.
• Ograniczyć do minimum możliwość korzystania podczas pracy z prywatnych kont na social mediach oraz prywatnej poczty.
• Wprowadzić jasne zasady zachowania w sieci.
• Przekazać pracownikom materiały edukacyjne (infografiki, tablice bezpieczeństwa).
• Zorganizować szkolenie z RODO i Cyberbezpieczeństwa. Może być w e-learning lub online.

Najlepiej zabezpieczony sprzęt i tak nie będzie bezpieczny w rękach osób, które nie znają zasad bezpieczeństwa i zachowania się w czasie korzystania z sieci.

Uczestnik webinaru zapytał:

Trwają prace nad nowelizacją Kodeksu Pracy i uregulowanie m.in. pracy zdalnej na wypadek lockdown. Nic nie wskazuje na to, aby na pracodawcę nałożono obowiązek wyposażenia w sprzęt, w łącze lub ubezpieczenia sprzętu. Każdy pracodawca dobrowolnie może wyposażyć pracowników, nadal ma jednak obowiązek zapewnienia środków bezpieczeństwa, a także szkolić i uświadamiać pracowników.

Krok 2. Zadbaj o wdrożenie odpowiednich środków i zasad bezpieczeństwa

Kwestią, na którą należy zwrócić uwagę podczas wprowadzania środków ochrony fizycznej oraz organizacyjnej, jest określenie obszaru i czasu przechowywania danych, a także wprowadzenie odpowiednich działań proporcjonalnych do wymaganego poziomu zabezpieczenia.

Przykłady środków technicznych:

• Każdy pracownik otrzymuje dostęp do unikalnego konta.
• Dostęp do każdego systemu IT wymaga uwierzytelnienia przez podanie loginu i hasła.
• Hasło ma wysoki stopień trudności (minimum 8 znaków, małe duże litery, znaki szczególne) oraz stosowany jest mechanizm cyklicznej zmiany haseł.
• Dostęp do systemów IT i baz danych jest nadawany tylko w zakresie niezbędnym do wykonywania obowiązków.
• W razie dłuższego braku aktywności stosowane są automatyczne blokady dostępu.
• Kopie zapasowe służą do ochrony przed utratą danych.
• Dyski są szyfrowane.
• Systemy zabezpieczone są antywirusami.
• Dostęp do sieci zabezpieczony jest przez firewall.
• Prowadzone są szkolenia z RODO i Cyberbezpieczeństwa.
• Stosowane są zabezpieczenia WPA2 dla firmowej sieci WiFi.
• Dane osobowe w formie papierowej przechowywane są w zamkniętych szafach.
• Po ustaniu terminu retencji dokumenty są niszczone w niszczarkach.
• Stosowanie „Polityki czystego biurka”.

Ze swojego doświadczenia Uczestnicy webinaru dodali:

Krok 3 Pamiętaj, aby zabezpieczyć swoją drukarkę i wprowadź zakaz korzystania z zewnętrznych skanerów i kserokopiarek

W firmach powinno wprowadzić się zakaz skanowania i kserowania firmowych dokumentach w zewnętrznych punktach ksero. Urządzenia ksero mają pamięć, dlatego należy mieć świadomość, że właściciele kserokopiarek mogą uzyskać dostęp do dokumentów i danych osobowych, które kopiujemy lub skanujemy.

Ponadto od 2019 r. zgodnie z zasadą minimalizacją danych osobowych nie powinno się kopiować dokumentów tożsamości w celu weryfikacji tzn. że prowadząc wypożyczalnię, usługi hotelarskie i inne nie możemy kopiować dokumentów w celu weryfikacji.

Wprowadzono przepisy, w których zakazano wykonywania replik dokumentów. Za sprawą nowych przepisów każdemu, kto wykona, sprzeda lub będzie posiadał w celu zbycia replikę dokumentu publicznego, będzie groziła kara grzywny, kara ograniczenia wolności albo pozbawienia wolności do lat 2.

Krok 4. Stosuj silne hasła i pamiętaj o ich regularnych zmianach

Rozporządzenie MSWiA doprecyzowało wymogi dotyczące haseł, w sytuacji, gdy przynajmniej jedno urządzenie infrastruktury sieci lokalnej podłączone jest do sieci publicznej.

Hasła:

1. Powinny składać się z co najmniej 8 znaków oraz być złożone z małych i dużych liter, cyfr lub znaków specjalnych.
2. Powinny być zmieniane nie rzadziej niż co 3 miesiące i zdecydowanie był to parametr najbardziej nielubiany.
3. Należy wdrożyć Politykę Haseł.
4. Warto wprowadzić tzw. menedżer haseł, który nie tylko bezpiecznie przechowa nasze dane logowania, ale również wygeneruje nam silne hasła, które następnie automatycznie będzie wprowadzał w panel logowania systemów, z których korzystamy.

Krok 5. Bądź czujny i np. sprawdzaj wiarygodność wiadomości e-mail lub SMS

Hakerzy atakują bez względu na to, czy pracujemy z firmy, czy zdalnie. Istotne jest to, że każdy powinien być świadomy, że większość ataków hakerskich bazuje na socjotechnice.

Na czym polega tzw. Phishing?

Hakerzy szukają jak najwięcej informacji o Tobie/pracownikach, a następnie przesyłają linki w odpowiednio spreparowanych wiadomościach (tzw. Phishing), które wpływają na odbiorcę i zachęcają lub zmuszają do wykonania operacji na zainfekowanych stronach, lub uruchamianie zainfekowanych załączników.

W konsekwencji otwarcia linku lub załącznika Haker otrzymuje dostęp do naszego komputera i, jeżeli mamy na nim dane firmowe, to zagrożenie dotyczy również danych klientów czy pracowników. To może to być początkiem problemów takich jak np. wyciek haseł do konta bankowego lub innych serwisów.

Ucz się na błędach innych. Atak hakerski i kara 3 MLN zł na Morele.net.

1. Hakerzy przez panel jednego z pracowników włamali się do systemu sklepu internetowego morele.net. Hakerzy uzyskali dostęp do danych wszystkich klientów.
2. Klienci morele.net otrzymali wiadomość SMS z tzw. phishingiem „Dopłać 1 zł do zamówienia” link.
3. Klienci, którzy kliknęli link i zalogowali się do banku, aby dopłacić 1 zł, mieli wyczyszczone konta.
4. UODO uznało, że Morele.net nie zadbało o środki bezpieczeństwa i szkolenie dla pracowników i wydało za to decyzje o 2.8 mln kary. Ponadto pomimo odwołania się przez Morele.net do sądu. Sąd WSA w Warszawie utrzymał karę 2.8 mln w mocy.

Wynika z tego, że za brak odpowiednich zabezpieczeń i szkoleń pracowników, konsekwencje ponoszą zarówno przedsiębiorcy (administratorzy), jak i ich klienci.

Innym rodzajem ataku hakerskiego stają się ataki typu RANSOMEWEAR. Te ataki stały się realnym ryzykiem, praktycznie niezależnie od skali,czy od rodzaju działalności. Złośliwe oprogramowanie szyfruje dane zapisane na serwerach i uniemożliwia do nich dostęp, wymuszając zapłatę okupu za ich ponowne udostępnienie.

W listopadzie 2021 r. to Media Markt ma problem z zamówieniami po ataku typu RANSOMEWEAR.

1. Hakerzy grupy Hive wykorzystują w czasie promocji Black Week oprogramowanie typu RANSOMWARE, aby zdobyć i zakodować dane sieci Media Markt i Saturn tak, by osoby odpowiedzialne traciły dostęp do danych.
2. Wskutek ataku zablokowano działania placówek w Niemczech i Holandii.
3. Za odblokowanie zaszyfrowanych danych przestępcy zażądali okupu w wysokości 240 mln dolarów.
4. Media Markt zawiadomił organy typu UODO i walczył ze skutkami ataku. Jeszcze tydzień po ataku nie było na stronach informacji o niektórych produktach i zablokowane było korzystanie z niektórych usług.

Nie ma jednej metody obrony przed atakami. Przedsiębiorstwa muszą uszczelnić swoje zasoby informacyjne, tym bardziej podczas pracy zdalnej i w sposób stały, systemowy zabezpieczać się przed cyberatakiem.

Ponadto należy opracować system skutecznego reagowania i zgłaszania naruszeń, o czym poniżej.

Krok 6. Wprowadź zasady zgłaszania wycieków i naruszeń

Najważniejsze w zachowaniu bezpieczeństwa jest niezwłoczna informacja i reakcja na zdarzenie, które może nieść konsekwencje wycieku, kradzieży lub usunięcia danych. Prócz uszczelniania systemów i audytów niezbędna jest świadomość, jak reagować na określone sytuacje.

Wyciek spowodowany np. zgubieniem komputera, przypadkowym udostępnieniem danych na stronie, wysłaniem do wielu wiadomości bez ukrycia do UDW, działaniami hakerów, powinien być niezwłocznie zgłoszony do administratora (pracodawcy) i obsługi IT.

Skutkiem zdarzenia, które jest naruszeniem, może być zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych.

W celu zminimalizowania ewentualnych negatywnych skutków naruszenia zalecane jest:

• Ignorowanie nieoczekiwanych wiadomości, w szczególności od nieznanych nadawców.
• Zachowanie ostrożności w sytuacji odbierania połączeń telefonicznych od nieznanych numerów telefonów tzn. nieprzekazywanie obcym osobom przez telefon danych, haseł, informacji.
• Zmienianie haseł m.in. na kontach bankowych, w serwisach społecznościowych, mailach, w tym mailach związanych z pracą, i wszelkich aplikacjach.
• Aktywowanie raportów o próbach złożenia wniosków kredytowych na Twoje dane (https://www.bik.pl/klienci-indywidualni/alerty-bik)
• Sprawdzenie, czy strona www jest szyfrowana tzn. czy adres strony www rozpoczyna się od „https://” przed wprowadzeniem na stronach www jakichkolwiek danych osobowych lub haseł.
• Jak najszybciej przekazanie informacji do pracodawcy, jeśli dowiecie się o wykorzystaniu Twoich danych przez osobę nieuprawnioną,
• Plany i rozwiązania, dotyczące ciągłości działania i odzyskiwania danych po awarii, muszą zawierać strategię pracy zdalnej, zapewniającą możliwość świadczenia pracy przez pracowników z dowolnej lokalizacji, bez narażania bezpieczeństwa sieci firmy.

UWAGA! Nie bój się! Niezwłocznie zgłaszaj wycieki i/lub naruszenia do administratora. On jako administrator ma 72 h na samodonos do UODO. Zgłoszenie do UODO można składać w formie elektronicznej przez ePUAP.

Krok 7. Organizuj cykliczne szkolenia z bezpieczeństw danych osobowych, w tym z cyberbezpieczeństwa

Brak świadomości dotyczącej zasad bezpiecznego przetwarzania danych, w tym reguł bezpiecznej pracy zdalnej powoduje, że pracownik nie wie, że zdarzenie to incydent/naruszenie. Wyłącznie wtedy, gdy przejdzie szkolenie, zareaguje odpowiednio i będzie wiedział, że należy zgłosić zdarzenie do Zarządu lub Inspektora Ochrony Danych Osobowych (IOD).

Ponadto aż 80% naruszeń wynika z przyczyn wewnętrznych tzn. z błędu pracownika lub procesora. Badania SFODO 2018-2019 i 2020 wskazują, że źródłem naruszeń bezpieczeństwa danych osobowych jest błąd ludzki wynikający z niewiedzy.

Podczas kontroli Urząd Ochrony Danych Osobowych (UODO) wymaga przedstawienia wykazu szkoleń oraz szkoleń zaplanowanych na kolejny rok. Jeżeli naruszenie będzie rozpatrywane przez UODO, za każdym razem czy to jako Administrator czy jako Procesor, trzeba wykazać szczegółowe daty i nazwy minionych szkoleń oraz tych zaplanowanych na kolejny rok.

Jak organizować szkolenia z RODO w przedsiębiorstwie czy organizacji?

Warto podejść do Bezpieczeństwa Danych Osobowych jak do szkoleń z Bezpieczeństwa i Higieny Pracy (BHP), a zatem organizować cykliczne szkolenia z RODO i Cyberbezpieczeństwa.

Zalecane jest, aby:

• szkolić wszystkich pracowników minimum raz do roku,
• wprowadzić zasadę (procedurę), że nowy pracownik nim rozpocznie pracę, będzie uczestniczył w szkoleniu RODO i Cyberbezpieczeństwa.
• IOD/pracownicy, którzy przetwarzają dane na dużą skalę, w tym dane szczególnej kategorii, powinni uczestniczyć w szkoleniach rozszerzonych.

Forma szkoleń powinna odzwierciedlać faktyczne potrzeby danego przedsiębiorcy lub organizacji. W dobie pracy zdalnej i rozwoju biznesu online rozwiązaniem jest wdrożenie szkoleń w formie e-learning RODO dla pracowników, szkoleń wideo dla Menadżerów lub organizacja szkolenia online na żywo.

Warto też co najmniej raz do roku przeprowadzać audyt bezpieczeństwa (RODO) i (Cyber)bezpieczeństwa, które polega na przeglądzie procesów, narzędzi, aplikacji, oraz dostosowanie klauzul i dokumentów, oraz przegląd danych.

Magda Judejko
www.prawodokawy.pl