REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

(Cyber)bezpieczna praca na home office krok po kroku

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Magda Judejko
Prawnik, Inspektor ds. Ochrony Danych Osobowych, Menadżer
(Cyber)bezpieczna praca na home office krok po kroku
(Cyber)bezpieczna praca na home office krok po kroku
Shutterstock

REKLAMA

REKLAMA

Jakimi zasadami bezpieczeństwa powinniśmy kierować się podczas pracy na home office? Oto 7 kroków do efektywnej, jak i cyberbezpiecznej pracy zdalnej.

(Cyber)bezpieczna praca na Home Office. Podsumowanie po webinarze hybrydowym Prawodokawy.pl

Z tego artykułu dowiesz się:

REKLAMA

  1. Jak zabezpieczyć sprzęt służbowy?
  2. Jakie środki zabezpieczeń należy wdrożyć?
  3. O zasadach wprowadzania haseł.
  4. Na czy polegają ataki hakerskie i jak się przed nimi chronić?
  5. Jak zgłaszać naruszenia?
  6. Jak i po co dbać o świadomość i szkolić pracowników?

REKLAMA

Czy w czasie pracy z biura powinniśmy kierować się z innymi zasadami bezpieczeństwa aniżeli w pracy zdalnej lub prywatnie korzystając z komputera? Odpowiedź brzmi — NIE. Nasze zachowanie w Internecie podczas pracy i życie prywatne bardzo mocno przenikają się i mają wpływ na strefę biznesową. Hakerzy przez prywatne konta społecznościowe i e-maile, z których korzystamy na sprzęcie firmowym, mogą dostać się do danych, informacji poufnych i technologii związanych z naszą firmą oraz pracą.

W czerwcu 2021 r. głośno było o włamaniu się na konta e-mail jednego z ministrów, ponieważ na sprzęcie „służbowym” otwierał prywatną pocztę i korzystał z kont na portalach społecznościowych. W ten sposób dał hakerom możliwość dostępu do informacji państwowych. Do dziś hakerzy publikują kolejne wiadomości ministra w sieci.

Podczas webinaru hybrydowego pt. “(Cyber)bezpieczna praca zdalna na Home Office” organizowanego przez PrawodoKawy.pl jednocześnie stacjonarnie w Save The Planet w Poznaniu oraz online, specjaliści wraz z uczestnikami wypracowali 7 kroków do efektywnej, jak i cyberbezpiecznej pracy zdalnej.

Krok 1. Zabezpiecz sprzęt, na którym Ty lub Twój pracownik wykonuje pracę zdalną

Bez względu na to, czy praca zdalna jest wykonywana na sprzęcie prywatnym, czy służbowym, obowiązują te same zasady bezpieczeństwa.

Dalszy ciąg materiału pod wideo

Jedna z uczestniczek Webinaru (Cyber)bezpieczeństwo na Home Office, wskazała:

Webinarium Cyber)bezpieczna <a class=praca zdalna na Home Office Pyt. 1"/>

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 1

Powyższe rozwiązanie jest najbardziej pożądane. Jednakże nie każdy pracodawca ma możliwości zapewnienia sprzętu służbowego.

Aby pracownik mógł korzystać bezpiecznie z prywatnego laptopa:

  • Należy utworzyć osobne zabezpieczone hasłem konto.
  • Dać pracownikowi dostęp do rozwiązania chmurowego.
  • Ściągnąć/zaktualizować program antywirusowy.
  • Ograniczyć do minimum możliwość korzystania podczas pracy z prywatnych kont na social mediach oraz prywatnej poczty.
  • Wprowadzić jasne zasady zachowania w sieci.
  • Przekazać pracownikom materiały edukacyjne (infografiki, tablice bezpieczeństwa).
  • Zorganizować szkolenie z RODO i Cyberbezpieczeństwa. Może być w e-learning lub online.

Najlepiej zabezpieczony sprzęt i tak nie będzie bezpieczny w rękach osób, które nie znają zasad bezpieczeństwa i zachowania się w czasie korzystania z sieci.

Uczestnik webinaru zapytał:

Webinarium Cyber)bezpieczna <a class=praca zdalna na Home Office Pyt. 2"/>

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 2

Trwają prace nad nowelizacją Kodeksu Pracy i uregulowanie m.in. pracy zdalnej na wypadek lockdown. Nic nie wskazuje na to, aby na pracodawcę nałożono obowiązek wyposażenia w sprzęt, w łącze lub ubezpieczenia sprzętu. Każdy pracodawca dobrowolnie może wyposażyć pracowników, nadal ma jednak obowiązek zapewnienia środków bezpieczeństwa, a także szkolić i uświadamiać pracowników.

Krok 2. Zadbaj o wdrożenie odpowiednich środków i zasad bezpieczeństwa

Kwestią, na którą należy zwrócić uwagę podczas wprowadzania środków ochrony fizycznej oraz organizacyjnej, jest określenie obszaru i czasu przechowywania danych, a także wprowadzenie odpowiednich działań proporcjonalnych do wymaganego poziomu zabezpieczenia.

Przykłady środków technicznych:

  • Każdy pracownik otrzymuje dostęp do unikalnego konta.
  • Dostęp do każdego systemu IT wymaga uwierzytelnienia przez podanie loginu i hasła.
  • Hasło ma wysoki stopień trudności (minimum 8 znaków, małe duże litery, znaki szczególne) oraz stosowany jest mechanizm cyklicznej zmiany haseł.
  • Dostęp do systemów IT i baz danych jest nadawany tylko w zakresie niezbędnym do wykonywania obowiązków.
  • W razie dłuższego braku aktywności stosowane są automatyczne blokady dostępu.
  • Kopie zapasowe służą do ochrony przed utratą danych.
  • Dyski są szyfrowane.
  • Systemy zabezpieczone są antywirusami.
  • Dostęp do sieci zabezpieczony jest przez firewall.
  • Prowadzone są szkolenia z RODO i Cyberbezpieczeństwa.
  • Stosowane są zabezpieczenia WPA2 dla firmowej sieci WiFi.
  • Dane osobowe w formie papierowej przechowywane są w zamkniętych szafach.
  • Po ustaniu terminu retencji dokumenty są niszczone w niszczarkach.
  • Stosowanie „Polityki czystego biurka”.

Ze swojego doświadczenia Uczestnicy webinaru dodali:

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 3

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 3

Krok 3 Pamiętaj, aby zabezpieczyć swoją drukarkę i wprowadź zakaz korzystania z zewnętrznych skanerów i kserokopiarek

REKLAMA

W firmach powinno wprowadzić się zakaz skanowania i kserowania firmowych dokumentach w zewnętrznych punktach ksero. Urządzenia ksero mają pamięć, dlatego należy mieć świadomość, że właściciele kserokopiarek mogą uzyskać dostęp do dokumentów i danych osobowych, które kopiujemy lub skanujemy.

Ponadto od 2019 r. zgodnie z zasadą minimalizacją danych osobowych nie powinno się kopiować dokumentów tożsamości w celu weryfikacji tzn. że prowadząc wypożyczalnię, usługi hotelarskie i inne nie możemy kopiować dokumentów w celu weryfikacji.

Wprowadzono przepisy, w których zakazano wykonywania replik dokumentów. Za sprawą nowych przepisów każdemu, kto wykona, sprzeda lub będzie posiadał w celu zbycia replikę dokumentu publicznego, będzie groziła kara grzywny, kara ograniczenia wolności albo pozbawienia wolności do lat 2.

Krok 4. Stosuj silne hasła i pamiętaj o ich regularnych zmianach

Rozporządzenie MSWiA doprecyzowało wymogi dotyczące haseł, w sytuacji, gdy przynajmniej jedno urządzenie infrastruktury sieci lokalnej podłączone jest do sieci publicznej.

Hasła:

  1. Powinny składać się z co najmniej 8 znaków oraz być złożone z małych i dużych liter, cyfr lub znaków specjalnych.
  2. Powinny być zmieniane nie rzadziej niż co 3 miesiące i zdecydowanie był to parametr najbardziej nielubiany.
  3. Należy wdrożyć Politykę Haseł.
  4. Warto wprowadzić tzw. menedżer haseł, który nie tylko bezpiecznie przechowa nasze dane logowania, ale również wygeneruje nam silne hasła, które następnie automatycznie będzie wprowadzał w panel logowania systemów, z których korzystamy.

Krok 5. Bądź czujny i np. sprawdzaj wiarygodność wiadomości e-mail lub SMS

Hakerzy atakują bez względu na to, czy pracujemy z firmy, czy zdalnie. Istotne jest to, że każdy powinien być świadomy, że większość ataków hakerskich bazuje na socjotechnice.

Na czym polega tzw. Phishing?

Hakerzy szukają jak najwięcej informacji o Tobie/pracownikach, a następnie przesyłają linki w odpowiednio spreparowanych wiadomościach (tzw. Phishing), które wpływają na odbiorcę i zachęcają lub zmuszają do wykonania operacji na zainfekowanych stronach, lub uruchamianie zainfekowanych załączników.

W konsekwencji otwarcia linku lub załącznika Haker otrzymuje dostęp do naszego komputera i, jeżeli mamy na nim dane firmowe, to zagrożenie dotyczy również danych klientów czy pracowników. To może to być początkiem problemów takich jak np. wyciek haseł do konta bankowego lub innych serwisów.

Ucz się na błędach innych. Atak hakerski i kara 3 MLN zł na Morele.net.

  1. Hakerzy przez panel jednego z pracowników włamali się do systemu sklepu internetowego morele.net. Hakerzy uzyskali dostęp do danych wszystkich klientów.
  2. Klienci morele.net otrzymali wiadomość SMS z tzw. phishingiem „Dopłać 1 zł do zamówienia” link.
  3. Klienci, którzy kliknęli link i zalogowali się do banku, aby dopłacić 1 zł, mieli wyczyszczone konta.
  4. UODO uznało, że Morele.net nie zadbało o środki bezpieczeństwa i szkolenie dla pracowników i wydało za to decyzje o 2.8 mln kary. Ponadto pomimo odwołania się przez Morele.net do sądu. Sąd WSA w Warszawie utrzymał karę 2.8 mln w mocy.

Wynika z tego, że za brak odpowiednich zabezpieczeń i szkoleń pracowników, konsekwencje ponoszą zarówno przedsiębiorcy (administratorzy), jak i ich klienci.

Innym rodzajem ataku hakerskiego stają się ataki typu RANSOMEWEAR. Te ataki stały się realnym ryzykiem, praktycznie niezależnie od skali,czy od rodzaju działalności. Złośliwe oprogramowanie szyfruje dane zapisane na serwerach i uniemożliwia do nich dostęp, wymuszając zapłatę okupu za ich ponowne udostępnienie.

W listopadzie 2021 r. to Media Markt ma problem z zamówieniami po ataku typu RANSOMEWEAR.

  1. Hakerzy grupy Hive wykorzystują w czasie promocji Black Week oprogramowanie typu RANSOMWARE, aby zdobyć i zakodować dane sieci Media Markt i Saturn tak, by osoby odpowiedzialne traciły dostęp do danych.
  2. Wskutek ataku zablokowano działania placówek w Niemczech i Holandii.
  3. Za odblokowanie zaszyfrowanych danych przestępcy zażądali okupu w wysokości 240 mln dolarów.
  4. Media Markt zawiadomił organy typu UODO i walczył ze skutkami ataku. Jeszcze tydzień po ataku nie było na stronach informacji o niektórych produktach i zablokowane było korzystanie z niektórych usług.

Nie ma jednej metody obrony przed atakami. Przedsiębiorstwa muszą uszczelnić swoje zasoby informacyjne, tym bardziej podczas pracy zdalnej i w sposób stały, systemowy zabezpieczać się przed cyberatakiem.

Ponadto należy opracować system skutecznego reagowania i zgłaszania naruszeń, o czym poniżej.

Krok 6. Wprowadź zasady zgłaszania wycieków i naruszeń

Najważniejsze w zachowaniu bezpieczeństwa jest niezwłoczna informacja i reakcja na zdarzenie, które może nieść konsekwencje wycieku, kradzieży lub usunięcia danych. Prócz uszczelniania systemów i audytów niezbędna jest świadomość, jak reagować na określone sytuacje.

Wyciek spowodowany np. zgubieniem komputera, przypadkowym udostępnieniem danych na stronie, wysłaniem do wielu wiadomości bez ukrycia do UDW, działaniami hakerów, powinien być niezwłocznie zgłoszony do administratora (pracodawcy) i obsługi IT.

Skutkiem zdarzenia, które jest naruszeniem, może być zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych.

W celu zminimalizowania ewentualnych negatywnych skutków naruszenia zalecane jest:

  • Ignorowanie nieoczekiwanych wiadomości, w szczególności od nieznanych nadawców.
  • Zachowanie ostrożności w sytuacji odbierania połączeń telefonicznych od nieznanych numerów telefonów tzn. nieprzekazywanie obcym osobom przez telefon danych, haseł, informacji.
  • Zmienianie haseł m.in. na kontach bankowych, w serwisach społecznościowych, mailach, w tym mailach związanych z pracą, i wszelkich aplikacjach.
  • Aktywowanie raportów o próbach złożenia wniosków kredytowych na Twoje dane (https://www.bik.pl/klienci-indywidualni/alerty-bik)
  • Sprawdzenie, czy strona www jest szyfrowana tzn. czy adres strony www rozpoczyna się od „https://” przed wprowadzeniem na stronach www jakichkolwiek danych osobowych lub haseł.
  • Jak najszybciej przekazanie informacji do pracodawcy, jeśli dowiecie się o wykorzystaniu Twoich danych przez osobę nieuprawnioną,
  • Plany i rozwiązania, dotyczące ciągłości działania i odzyskiwania danych po awarii, muszą zawierać strategię pracy zdalnej, zapewniającą możliwość świadczenia pracy przez pracowników z dowolnej lokalizacji, bez narażania bezpieczeństwa sieci firmy.

UWAGA! Nie bój się! Niezwłocznie zgłaszaj wycieki i/lub naruszenia do administratora. On jako administrator ma 72 h na samodonos do UODO. Zgłoszenie do UODO można składać w formie elektronicznej przez ePUAP.

Krok 7. Organizuj cykliczne szkolenia z bezpieczeństw danych osobowych, w tym z cyberbezpieczeństwa

Brak świadomości dotyczącej zasad bezpiecznego przetwarzania danych, w tym reguł bezpiecznej pracy zdalnej powoduje, że pracownik nie wie, że zdarzenie to incydent/naruszenie. Wyłącznie wtedy, gdy przejdzie szkolenie, zareaguje odpowiednio i będzie wiedział, że należy zgłosić zdarzenie do Zarządu lub Inspektora Ochrony Danych Osobowych (IOD).

Ponadto aż 80% naruszeń wynika z przyczyn wewnętrznych tzn. z błędu pracownika lub procesora. Badania SFODO 2018-2019 i 2020 wskazują, że źródłem naruszeń bezpieczeństwa danych osobowych jest błąd ludzki wynikający z niewiedzy.

Podczas kontroli Urząd Ochrony Danych Osobowych (UODO) wymaga przedstawienia wykazu szkoleń oraz szkoleń zaplanowanych na kolejny rok. Jeżeli naruszenie będzie rozpatrywane przez UODO, za każdym razem czy to jako Administrator czy jako Procesor, trzeba wykazać szczegółowe daty i nazwy minionych szkoleń oraz tych zaplanowanych na kolejny rok.

Jak organizować szkolenia z RODO w przedsiębiorstwie czy organizacji?

Warto podejść do Bezpieczeństwa Danych Osobowych jak do szkoleń z Bezpieczeństwa i Higieny Pracy (BHP), a zatem organizować cykliczne szkolenia z RODO i Cyberbezpieczeństwa.

Zalecane jest, aby:

  • szkolić wszystkich pracowników minimum raz do roku,
  • wprowadzić zasadę (procedurę), że nowy pracownik nim rozpocznie pracę, będzie uczestniczył w szkoleniu RODO i Cyberbezpieczeństwa.
  • IOD/pracownicy, którzy przetwarzają dane na dużą skalę, w tym dane szczególnej kategorii, powinni uczestniczyć w szkoleniach rozszerzonych.

Forma szkoleń powinna odzwierciedlać faktyczne potrzeby danego przedsiębiorcy lub organizacji. W dobie pracy zdalnej i rozwoju biznesu online rozwiązaniem jest wdrożenie szkoleń w formie e-learning RODO dla pracowników, szkoleń wideo dla Menadżerów lub organizacja szkolenia online na żywo.

Warto też co najmniej raz do roku przeprowadzać audyt bezpieczeństwa (RODO) i (Cyber)bezpieczeństwa, które polega na przeglądzie procesów, narzędzi, aplikacji, oraz dostosowanie klauzul i dokumentów, oraz przegląd danych.

Magda Judejko
www.prawodokawy.pl

Zapisz się na newsletter
Zakładasz firmę? A może ją rozwijasz? Chcesz jak najbardziej efektywnie prowadzić swój biznes? Z naszym newsletterem będziesz zawsze na bieżąco.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Tego zawodu nie zastąpi AI. A które czeka zagłada? Ekspert: Programiści są pierwsi w kolejce

Sztuczna inteligencja na rynku pracy to temat, który budzi coraz większe emocje. W dobie dynamicznego rozwoju technologii jedno jest pewne – wiele profesji czeka poważna transformacja, a niektóre wręcz znikną. Ale są też takie zawody, których AI nie zastąpi – i to raczej nigdy. Jakie branże są najbardziej zagrożone? A gdzie ludzka praca pozostanie niezastąpiona? O tym mówi Jan Oleszczuk - Zygmuntowski z Polskiej Sieci Ekonomii.

Branża handlowa traci coraz więcej na kradzieżach w sklepach. Jak handlowcy rozwiązują ten problem

Zmorą branży handlowej wciąż są kradzieże sklepowe. Nasiliły się one w okresie wysokiej inflacji, ale teraz nie słabną w oczekiwanym tempie. Kradzieży z powodów ekonomicznych jest mniej, natomiast rozzuchwalili się złodzieje kradnący dla zysku.

Nadchodzi czas pożegnań z papierowymi fakturami. Wszystko co trzeba wiedzieć o e-fakturowaniu i KSeF

Krajowy System eFaktur powstał by ułatwić życie przedsiębiorcom, ale jest też nowym obowiązkiem, którego przestrzeganie narzuca prawo. Firmy, które nie będą przestrzegać jego zasad, muszą liczyć się z dotkliwymi karami, wynoszącymi nawet 100% kwoty podatku z faktury wystawionej poza KSeF.

Dlaczego rezygnują z założenia własnej firmy: kobiety mają inny powód niż mężczyźni

Aż 47 proc. ankietowanych Polaków nie chciałoby prowadzić własnej firmy – wskazują dane z raportu „Polki i przedsiębiorczość 2024: Bariery w zakładaniu firmy”. Kobiety przed założeniem własnej firmy powstrzymuje sytuacja rodzinna, a mężczyzn – stan zdrowia. Nowe dane.

REKLAMA

Branża meblarska mocno traci przez zagraniczną konkurencję, końca kłopotów nie widać

Wysokie koszty produkcji, spadający popyt i silna konkurencja z Azji osłabiają pozycję polskiej branży meblarskiej. Długi sektora, notowane w Krajowym Rejestrze Długów, sięgają już prawie 130 mln zł – coraz więcej przedsiębiorstw musi wybierać między utrzymaniem płynności a spłatą zobowiązań.

Prezydent zawetował. Przedsiębiorcy będą dalej płacić wysoką składkę zdrowotną a może rząd podejmie drugą próbę zmiany

Prezydent zawetował ustawę obniżającą składki zdrowotne dla przedsiębiorców. Rząd jednak nie ustępuje i podejmie kolejną próbę, powtarzając rozwiązania przyjęte w ustawie dokładnie w takiej samej treści. Jaka więc ma być składka zdrowotna gdy uda się przeprowadzić zmiany.

Rolnicy wierzą w dobrą koniunkturę - po dłuższej przerwie znów inwestują w maszyny rolnicze

W I kwartale 2025 roku rolnictwo było branżą z największym udziałem w finansowaniu maszyn i urządzeń przez firmy leasingowe – 28%, wynika z danych Związku Polskiego Leasingu. Rolnicy wracają do inwestowania wierząc w poprawę koniunktury w branży.

Mała firma, duże ryzyko. Dlaczego system ochrony to dziś inwestycja, nie koszt [WYWIAD]

Choć wielu właścicieli małych firm wciąż traktuje ochronę jako zbędny wydatek, rosnąca liczba incydentów – zarówno fizycznych, jak i cyfrowych – pokazuje, że to podejście bywa kosztowne. Dziś zagrożeniem może być nie tylko włamanie, ale też wyciek danych czy przestój operacyjny. W rozmowie z Adamem Śliwińskim, wiceprezesem Seris Konsalnet Security, sprawdzamy, jak MŚP mogą skutecznie zadbać o swoje bezpieczeństwo – bez milionowych budżetów, za to z myśleniem przyszłościowym.

REKLAMA

Polskie firmy chcą eksportować do USA, co z cłami

Polska gospodarka łapie drugi oddech czy walczy o utrzymanie na powierzchni? Jaka będzie przyszłość eksportu do USA? Eksperci podsumowali pierwszy kwartał 2025. Analizie poddany został nie tylko eksport polskich firm, ale i ogólny bilans handlu zagranicznego.

Teraz płatności odroczone także przy zakupach dla firmy

Polskie firmy uzyskują dostęp do płatności odroczonych oraz ratalnych w standardzie zbliżonym do tego oferowanego konsumentom. To duże ułatwienie, z którego skorzystają w pierwszej kolejności małe i średnie firmy.

REKLAMA