REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

(Cyber)bezpieczna praca na home office krok po kroku

Magda Judejko
Prawnik, Inspektor ds. Ochrony Danych Osobowych, Menadżer
(Cyber)bezpieczna praca na home office krok po kroku
(Cyber)bezpieczna praca na home office krok po kroku
Shutterstock

REKLAMA

REKLAMA

Jakimi zasadami bezpieczeństwa powinniśmy kierować się podczas pracy na home office? Oto 7 kroków do efektywnej, jak i cyberbezpiecznej pracy zdalnej.

(Cyber)bezpieczna praca na Home Office. Podsumowanie po webinarze hybrydowym Prawodokawy.pl

Z tego artykułu dowiesz się:

REKLAMA

  1. Jak zabezpieczyć sprzęt służbowy?
  2. Jakie środki zabezpieczeń należy wdrożyć?
  3. O zasadach wprowadzania haseł.
  4. Na czy polegają ataki hakerskie i jak się przed nimi chronić?
  5. Jak zgłaszać naruszenia?
  6. Jak i po co dbać o świadomość i szkolić pracowników?

REKLAMA

Czy w czasie pracy z biura powinniśmy kierować się z innymi zasadami bezpieczeństwa aniżeli w pracy zdalnej lub prywatnie korzystając z komputera? Odpowiedź brzmi — NIE. Nasze zachowanie w Internecie podczas pracy i życie prywatne bardzo mocno przenikają się i mają wpływ na strefę biznesową. Hakerzy przez prywatne konta społecznościowe i e-maile, z których korzystamy na sprzęcie firmowym, mogą dostać się do danych, informacji poufnych i technologii związanych z naszą firmą oraz pracą.

W czerwcu 2021 r. głośno było o włamaniu się na konta e-mail jednego z ministrów, ponieważ na sprzęcie „służbowym” otwierał prywatną pocztę i korzystał z kont na portalach społecznościowych. W ten sposób dał hakerom możliwość dostępu do informacji państwowych. Do dziś hakerzy publikują kolejne wiadomości ministra w sieci.

Podczas webinaru hybrydowego pt. “(Cyber)bezpieczna praca zdalna na Home Office” organizowanego przez PrawodoKawy.pl jednocześnie stacjonarnie w Save The Planet w Poznaniu oraz online, specjaliści wraz z uczestnikami wypracowali 7 kroków do efektywnej, jak i cyberbezpiecznej pracy zdalnej.

Krok 1. Zabezpiecz sprzęt, na którym Ty lub Twój pracownik wykonuje pracę zdalną

Bez względu na to, czy praca zdalna jest wykonywana na sprzęcie prywatnym, czy służbowym, obowiązują te same zasady bezpieczeństwa.

Dalszy ciąg materiału pod wideo

Jedna z uczestniczek Webinaru (Cyber)bezpieczeństwo na Home Office, wskazała:

Webinarium Cyber)bezpieczna <a class=praca zdalna na Home Office Pyt. 1"/>

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 1

Powyższe rozwiązanie jest najbardziej pożądane. Jednakże nie każdy pracodawca ma możliwości zapewnienia sprzętu służbowego.

Aby pracownik mógł korzystać bezpiecznie z prywatnego laptopa:

  • Należy utworzyć osobne zabezpieczone hasłem konto.
  • Dać pracownikowi dostęp do rozwiązania chmurowego.
  • Ściągnąć/zaktualizować program antywirusowy.
  • Ograniczyć do minimum możliwość korzystania podczas pracy z prywatnych kont na social mediach oraz prywatnej poczty.
  • Wprowadzić jasne zasady zachowania w sieci.
  • Przekazać pracownikom materiały edukacyjne (infografiki, tablice bezpieczeństwa).
  • Zorganizować szkolenie z RODO i Cyberbezpieczeństwa. Może być w e-learning lub online.

Najlepiej zabezpieczony sprzęt i tak nie będzie bezpieczny w rękach osób, które nie znają zasad bezpieczeństwa i zachowania się w czasie korzystania z sieci.

Uczestnik webinaru zapytał:

Webinarium Cyber)bezpieczna <a class=praca zdalna na Home Office Pyt. 2"/>

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 2

Trwają prace nad nowelizacją Kodeksu Pracy i uregulowanie m.in. pracy zdalnej na wypadek lockdown. Nic nie wskazuje na to, aby na pracodawcę nałożono obowiązek wyposażenia w sprzęt, w łącze lub ubezpieczenia sprzętu. Każdy pracodawca dobrowolnie może wyposażyć pracowników, nadal ma jednak obowiązek zapewnienia środków bezpieczeństwa, a także szkolić i uświadamiać pracowników.

Krok 2. Zadbaj o wdrożenie odpowiednich środków i zasad bezpieczeństwa

Kwestią, na którą należy zwrócić uwagę podczas wprowadzania środków ochrony fizycznej oraz organizacyjnej, jest określenie obszaru i czasu przechowywania danych, a także wprowadzenie odpowiednich działań proporcjonalnych do wymaganego poziomu zabezpieczenia.

Przykłady środków technicznych:

  • Każdy pracownik otrzymuje dostęp do unikalnego konta.
  • Dostęp do każdego systemu IT wymaga uwierzytelnienia przez podanie loginu i hasła.
  • Hasło ma wysoki stopień trudności (minimum 8 znaków, małe duże litery, znaki szczególne) oraz stosowany jest mechanizm cyklicznej zmiany haseł.
  • Dostęp do systemów IT i baz danych jest nadawany tylko w zakresie niezbędnym do wykonywania obowiązków.
  • W razie dłuższego braku aktywności stosowane są automatyczne blokady dostępu.
  • Kopie zapasowe służą do ochrony przed utratą danych.
  • Dyski są szyfrowane.
  • Systemy zabezpieczone są antywirusami.
  • Dostęp do sieci zabezpieczony jest przez firewall.
  • Prowadzone są szkolenia z RODO i Cyberbezpieczeństwa.
  • Stosowane są zabezpieczenia WPA2 dla firmowej sieci WiFi.
  • Dane osobowe w formie papierowej przechowywane są w zamkniętych szafach.
  • Po ustaniu terminu retencji dokumenty są niszczone w niszczarkach.
  • Stosowanie „Polityki czystego biurka”.

Ze swojego doświadczenia Uczestnicy webinaru dodali:

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 3

Webinarium Cyber)bezpieczna praca zdalna na Home Office Pyt. 3

Krok 3 Pamiętaj, aby zabezpieczyć swoją drukarkę i wprowadź zakaz korzystania z zewnętrznych skanerów i kserokopiarek

REKLAMA

W firmach powinno wprowadzić się zakaz skanowania i kserowania firmowych dokumentach w zewnętrznych punktach ksero. Urządzenia ksero mają pamięć, dlatego należy mieć świadomość, że właściciele kserokopiarek mogą uzyskać dostęp do dokumentów i danych osobowych, które kopiujemy lub skanujemy.

Ponadto od 2019 r. zgodnie z zasadą minimalizacją danych osobowych nie powinno się kopiować dokumentów tożsamości w celu weryfikacji tzn. że prowadząc wypożyczalnię, usługi hotelarskie i inne nie możemy kopiować dokumentów w celu weryfikacji.

Wprowadzono przepisy, w których zakazano wykonywania replik dokumentów. Za sprawą nowych przepisów każdemu, kto wykona, sprzeda lub będzie posiadał w celu zbycia replikę dokumentu publicznego, będzie groziła kara grzywny, kara ograniczenia wolności albo pozbawienia wolności do lat 2.

Krok 4. Stosuj silne hasła i pamiętaj o ich regularnych zmianach

Rozporządzenie MSWiA doprecyzowało wymogi dotyczące haseł, w sytuacji, gdy przynajmniej jedno urządzenie infrastruktury sieci lokalnej podłączone jest do sieci publicznej.

Hasła:

  1. Powinny składać się z co najmniej 8 znaków oraz być złożone z małych i dużych liter, cyfr lub znaków specjalnych.
  2. Powinny być zmieniane nie rzadziej niż co 3 miesiące i zdecydowanie był to parametr najbardziej nielubiany.
  3. Należy wdrożyć Politykę Haseł.
  4. Warto wprowadzić tzw. menedżer haseł, który nie tylko bezpiecznie przechowa nasze dane logowania, ale również wygeneruje nam silne hasła, które następnie automatycznie będzie wprowadzał w panel logowania systemów, z których korzystamy.

Krok 5. Bądź czujny i np. sprawdzaj wiarygodność wiadomości e-mail lub SMS

Hakerzy atakują bez względu na to, czy pracujemy z firmy, czy zdalnie. Istotne jest to, że każdy powinien być świadomy, że większość ataków hakerskich bazuje na socjotechnice.

Na czym polega tzw. Phishing?

Hakerzy szukają jak najwięcej informacji o Tobie/pracownikach, a następnie przesyłają linki w odpowiednio spreparowanych wiadomościach (tzw. Phishing), które wpływają na odbiorcę i zachęcają lub zmuszają do wykonania operacji na zainfekowanych stronach, lub uruchamianie zainfekowanych załączników.

W konsekwencji otwarcia linku lub załącznika Haker otrzymuje dostęp do naszego komputera i, jeżeli mamy na nim dane firmowe, to zagrożenie dotyczy również danych klientów czy pracowników. To może to być początkiem problemów takich jak np. wyciek haseł do konta bankowego lub innych serwisów.

Ucz się na błędach innych. Atak hakerski i kara 3 MLN zł na Morele.net.

  1. Hakerzy przez panel jednego z pracowników włamali się do systemu sklepu internetowego morele.net. Hakerzy uzyskali dostęp do danych wszystkich klientów.
  2. Klienci morele.net otrzymali wiadomość SMS z tzw. phishingiem „Dopłać 1 zł do zamówienia” link.
  3. Klienci, którzy kliknęli link i zalogowali się do banku, aby dopłacić 1 zł, mieli wyczyszczone konta.
  4. UODO uznało, że Morele.net nie zadbało o środki bezpieczeństwa i szkolenie dla pracowników i wydało za to decyzje o 2.8 mln kary. Ponadto pomimo odwołania się przez Morele.net do sądu. Sąd WSA w Warszawie utrzymał karę 2.8 mln w mocy.

Wynika z tego, że za brak odpowiednich zabezpieczeń i szkoleń pracowników, konsekwencje ponoszą zarówno przedsiębiorcy (administratorzy), jak i ich klienci.

Innym rodzajem ataku hakerskiego stają się ataki typu RANSOMEWEAR. Te ataki stały się realnym ryzykiem, praktycznie niezależnie od skali,czy od rodzaju działalności. Złośliwe oprogramowanie szyfruje dane zapisane na serwerach i uniemożliwia do nich dostęp, wymuszając zapłatę okupu za ich ponowne udostępnienie.

W listopadzie 2021 r. to Media Markt ma problem z zamówieniami po ataku typu RANSOMEWEAR.

  1. Hakerzy grupy Hive wykorzystują w czasie promocji Black Week oprogramowanie typu RANSOMWARE, aby zdobyć i zakodować dane sieci Media Markt i Saturn tak, by osoby odpowiedzialne traciły dostęp do danych.
  2. Wskutek ataku zablokowano działania placówek w Niemczech i Holandii.
  3. Za odblokowanie zaszyfrowanych danych przestępcy zażądali okupu w wysokości 240 mln dolarów.
  4. Media Markt zawiadomił organy typu UODO i walczył ze skutkami ataku. Jeszcze tydzień po ataku nie było na stronach informacji o niektórych produktach i zablokowane było korzystanie z niektórych usług.

Nie ma jednej metody obrony przed atakami. Przedsiębiorstwa muszą uszczelnić swoje zasoby informacyjne, tym bardziej podczas pracy zdalnej i w sposób stały, systemowy zabezpieczać się przed cyberatakiem.

Ponadto należy opracować system skutecznego reagowania i zgłaszania naruszeń, o czym poniżej.

Krok 6. Wprowadź zasady zgłaszania wycieków i naruszeń

Najważniejsze w zachowaniu bezpieczeństwa jest niezwłoczna informacja i reakcja na zdarzenie, które może nieść konsekwencje wycieku, kradzieży lub usunięcia danych. Prócz uszczelniania systemów i audytów niezbędna jest świadomość, jak reagować na określone sytuacje.

Wyciek spowodowany np. zgubieniem komputera, przypadkowym udostępnieniem danych na stronie, wysłaniem do wielu wiadomości bez ukrycia do UDW, działaniami hakerów, powinien być niezwłocznie zgłoszony do administratora (pracodawcy) i obsługi IT.

Skutkiem zdarzenia, które jest naruszeniem, może być zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych.

W celu zminimalizowania ewentualnych negatywnych skutków naruszenia zalecane jest:

  • Ignorowanie nieoczekiwanych wiadomości, w szczególności od nieznanych nadawców.
  • Zachowanie ostrożności w sytuacji odbierania połączeń telefonicznych od nieznanych numerów telefonów tzn. nieprzekazywanie obcym osobom przez telefon danych, haseł, informacji.
  • Zmienianie haseł m.in. na kontach bankowych, w serwisach społecznościowych, mailach, w tym mailach związanych z pracą, i wszelkich aplikacjach.
  • Aktywowanie raportów o próbach złożenia wniosków kredytowych na Twoje dane (https://www.bik.pl/klienci-indywidualni/alerty-bik)
  • Sprawdzenie, czy strona www jest szyfrowana tzn. czy adres strony www rozpoczyna się od „https://” przed wprowadzeniem na stronach www jakichkolwiek danych osobowych lub haseł.
  • Jak najszybciej przekazanie informacji do pracodawcy, jeśli dowiecie się o wykorzystaniu Twoich danych przez osobę nieuprawnioną,
  • Plany i rozwiązania, dotyczące ciągłości działania i odzyskiwania danych po awarii, muszą zawierać strategię pracy zdalnej, zapewniającą możliwość świadczenia pracy przez pracowników z dowolnej lokalizacji, bez narażania bezpieczeństwa sieci firmy.

UWAGA! Nie bój się! Niezwłocznie zgłaszaj wycieki i/lub naruszenia do administratora. On jako administrator ma 72 h na samodonos do UODO. Zgłoszenie do UODO można składać w formie elektronicznej przez ePUAP.

Krok 7. Organizuj cykliczne szkolenia z bezpieczeństw danych osobowych, w tym z cyberbezpieczeństwa

Brak świadomości dotyczącej zasad bezpiecznego przetwarzania danych, w tym reguł bezpiecznej pracy zdalnej powoduje, że pracownik nie wie, że zdarzenie to incydent/naruszenie. Wyłącznie wtedy, gdy przejdzie szkolenie, zareaguje odpowiednio i będzie wiedział, że należy zgłosić zdarzenie do Zarządu lub Inspektora Ochrony Danych Osobowych (IOD).

Ponadto aż 80% naruszeń wynika z przyczyn wewnętrznych tzn. z błędu pracownika lub procesora. Badania SFODO 2018-2019 i 2020 wskazują, że źródłem naruszeń bezpieczeństwa danych osobowych jest błąd ludzki wynikający z niewiedzy.

Podczas kontroli Urząd Ochrony Danych Osobowych (UODO) wymaga przedstawienia wykazu szkoleń oraz szkoleń zaplanowanych na kolejny rok. Jeżeli naruszenie będzie rozpatrywane przez UODO, za każdym razem czy to jako Administrator czy jako Procesor, trzeba wykazać szczegółowe daty i nazwy minionych szkoleń oraz tych zaplanowanych na kolejny rok.

Jak organizować szkolenia z RODO w przedsiębiorstwie czy organizacji?

Warto podejść do Bezpieczeństwa Danych Osobowych jak do szkoleń z Bezpieczeństwa i Higieny Pracy (BHP), a zatem organizować cykliczne szkolenia z RODO i Cyberbezpieczeństwa.

Zalecane jest, aby:

  • szkolić wszystkich pracowników minimum raz do roku,
  • wprowadzić zasadę (procedurę), że nowy pracownik nim rozpocznie pracę, będzie uczestniczył w szkoleniu RODO i Cyberbezpieczeństwa.
  • IOD/pracownicy, którzy przetwarzają dane na dużą skalę, w tym dane szczególnej kategorii, powinni uczestniczyć w szkoleniach rozszerzonych.

Forma szkoleń powinna odzwierciedlać faktyczne potrzeby danego przedsiębiorcy lub organizacji. W dobie pracy zdalnej i rozwoju biznesu online rozwiązaniem jest wdrożenie szkoleń w formie e-learning RODO dla pracowników, szkoleń wideo dla Menadżerów lub organizacja szkolenia online na żywo.

Warto też co najmniej raz do roku przeprowadzać audyt bezpieczeństwa (RODO) i (Cyber)bezpieczeństwa, które polega na przeglądzie procesów, narzędzi, aplikacji, oraz dostosowanie klauzul i dokumentów, oraz przegląd danych.

Magda Judejko
www.prawodokawy.pl

Autopromocja

REKLAMA

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code

    © Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

    Moja firma
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    KPO: Od 6 maja 2024 r. można składać wnioski na dotacje dla branży HoReCa - hotelarskiej, gastronomicznej, cateringowej, turystycznej i hotelarskiej

    Nabór wniosków na dotacje dla branży hotelarskiej, gastronomicznej i cateringowej oraz turystycznej i kulturalnej w ramach Krajowego Planu Odbudowy ogłoszono w kwietniu 2024 r. Wnioski będzie można składać od 6 maja 2024 r. do 5 czerwca 2024 r.

    Ile pracuje mikro- i mały przedsiębiorca? 40-60 godzin tygodniowo, bez zwolnień lekarskich i urlopów

    Przeciętny mikroprzedsiębiorca poświęca dużo więcej czasu na pracę niż przeciętny pracownik etatowy. Wielu przedsiębiorców nie korzysta ze zwolnień lekarskich i nie było na żadnym urlopie. Chociaż mikroprzedsiębiorcy zwykle zarabiają na poziomie średniej krajowej albo trochę więcej, to są zdecydowanie bardziej oszczędni niż większość Polaków.

    Duży wzrost cyberataków na świecie!

    Aż 28 proc. O tyle procent wzrosła liczba ataków cyberprzestępców. Hakerzy stawiają także na naukę i badania oraz sektor administracyjno-wojskowy. W Europie liczba ataków ransomware wzrosła o 64 proc. Jest się czego obawiać. 

    Nie zrobisz zakupów w swoim ulubionym sklepie osiedlowym, bo powrót VAT na żywność doprowadzi go do bankructwa

    Po ponad dwóch latach przerwy powrócił 5-procentowy VAT na żywność. Sieci dyskontów, które toczą wojnę o klientów, kuszą obietnicą, że cen nie podniosą, bo podatek wezmą na siebie. Korzystna dla klientów zapowiedź może okazać się zabójcza dla i tak słabnących i znikających z rynku małych sklepów.

    REKLAMA

    Windykacja należności krok po kroku

    Windykacja należności krok po kroku czyli jak odzyskać swoje pieniądze? Pierwszym krokiem jest windykacja przedsądowa. Co zrobić, aby windykacja była skuteczna już na tym etapie?

    Praca tymczasowa: Liczy się wynagrodzenie, lokalizacja miejsca pracy, czas trwania rekrutacji i szansa na stałą pracę

    Praca tymczasowa to nie tylko opcja dla studentów – najwięcej pracowników stanowią osoby w przedziale wiekowym 25-44 lata. Pracownicy tymczasowi przy wyborze oferty pracy najczęściej zwracają uwagę na wysokość wynagrodzenia, lokalizację miejsca pracy oraz szansę na stałe zatrudnienie, a także szybkość procesu rekrutacji.

    Uwaga! Zbyt częste zmienianie hasła ułatwia cyberataki

    Czy trzeba zmieniać hasło co miesiąc? Okazuje się, że zbyt częsta zmiana hasła ułatwia cyberataki. Wskazania do zmiany hasła przez pracowników po czasie od 30 do 90 dni powinny się zmienić. Kiedy zmiana hasła jest konieczna?

    Cyfrowa współpraca księgowych i przedsiębiorców

    Postęp w zakresie rozwiązań technologicznych oraz innowacje w sposobie komunikacji pomiędzy urzędami i podmiotami zmieniają sposób prowadzenia przedsiębiorstw - w szczególności małych i mikrofirm. Równocześnie szybka adopcja rozwiązań technologicznych sprawia, że cyfryzacja sektora publicznego - także na linii obywatel - urząd w kontekście przykładowo cyfrowych rozliczeń podatkowych – nabiera rozpędu i będzie coraz intensywniej dotykać również inne powiązane z nią sektory i branże. 

    REKLAMA

    Jak hakerzy wyciągają nasze dane? Uważaj na aktualizacje!

    Hakerzy nie próżnują i wciąż szukają nowych sposobów na wyciągnięcie danych. Wykorzystują pliki wirtualnego dysku twardego (VHD) do dostarczania wirusa - trojana zdalnego dostępu (RAT) Remcos. W Polsce szczególnie groźne są fałszywe aktualizacje. 

    Firmy przemysłowe stawiają na AI

    Większość firm (83 proc.) z sektora przemysłowego planuje zainwestować w sztuczną inteligencję w 2024 r. Tak wynika z najnowszego raportu "State of Smart Manufacturing". 

    REKLAMA