Wyciek danych osobowych z firmy - jak mu zapobiec?

Ochrona danych osobowych w firmie

Każda firma, która przetwarza dane osobowe ma obowiązek zapewnić określone standardy bezpieczeństwa. W praktyce oznacza to, że przedsiębiorcy muszą podjąć działania zapobiegające wyciekowi danych. Co istotne, dane zabezpieczyć należy nie tylko przed dostępem osób nieuprawnionych, ale i przed celowym zniszczeniem czy zmodyfikowaniem w sposób niezgodny z prawem. Wyciek danych nie zawsze ma związek z atakiem hakerskim. Bardzo często dochodzi do niego poprzez nieuwagę i błędy pracowników (ponad połowa przypadków!). Do niewłaściwych zachowań należy m.in. zapisywanie haseł do systemów i programów na karteczkach przyczepionych do monitora czy też otwierania maili o niepewnej zawartości. Do wycieku danych może dojść także poza światem cyfrowym. Niemniej to właśnie w sieci najczęściej dochodzi do przestępstw związanych z kradzieżą danych osobowych bądź ich niewłaściwym wykorzystaniem. Jakie mogą być skutki takiej sytuacji?

Skutki wycieku danych

Wyciek danych może wiązać się poważnymi konsekwencjami. Zalicza się do nich m.in. kradzież lub sfałszowanie tożsamości, co nierzadko prowadzi do strat finansowych wynikających chociażby z wyłudzenia kredytu. W efekcie osoba, której dane zostały skradzione może mieć problemy ze zdolnością kredytową, wierzytelnością czy też z prawem. Wyciek danych doprowadza też nierzadko do szkód majątkowych i niemajątkowych, naruszenia dobrego imienia czy nawet szkód gospodarczych bądź społecznych. W jego wyniku dojść może także do zawarcia niekorzystnych umów oraz opublikowania utajonych informacji. Szkoda odczuwalna może być zatem dla pojedynczych pracowników, jak i dla całej firmy.

Cyberbezpieczeństwo - jak je zapewnić?

W każdym przedsiębiorstwie powinny zostać wdrożone środki bezpieczeństwa chroniące przed wyciekiem danych. Duże znaczenie mają w tym przypadku zwłaszcza technologie informatyczne. Jak już wspomniano do przestępstw związanych z wyłudzeniem danych dochodzi najczęściej w sieci (31% cyberataków kończy się ujawnieniem lub modyfikacją danych firmowych). Aby ich uniknąć należy skorzystać z szeregu rozwiązań określanych jako Data Loss Prevention (zapobieganie utracie danych). Pozwalają one zabezpieczyć się przed hakerami, złośliwymi oprogramowaniami oraz przypadkową utratą danych.

Rozwiązanie DLP przyjmują zróżnicowaną formę. Zalicza się do nich m.in. szyfrowanie i pseudonimizacja. Szyfrowanie polega na zastosowaniu mechanizmu kodowania informacji, dzięki czemu są one zrozumiałe wyłącznie dla osób, które posiadają tzw. klucz dekodujący. Pseudonimizacja to zaś zastąpienie danej rzeczywistej nazwą przybraną, co ma utrudnić identyfikację. Od anonimizacji różni ją fakt, że może być odwracalna.

Cyberbezpieczeństwo opiera się również na rozwiązaniach powszechnie znanych, np. stosowaniu antywirusów czy programów firewall. Dobra praktyka to także szyfrowanie dysków, na których przechowywane są istotne informacje, w tym dane osobowe. Kluczowe jest jednocześnie wyeliminowanie praktyk, które mogą prowadzić do wycieku danych. Najczęstsza z nich to włączanie opcji zapamiętywania haseł.

W tym miejscu należy również dodać, że niedopełnienie obowiązku wdrożenia odpowiednich środków technicznych może skutkować karą administracyjną, które wysokość sięga nawet 10 mln. euro.

Jak sprawdzić bezpieczeństwo systemów IT?

Ochrona danych osobowych to obowiązek administratora lub podmiotu przetwarzającego. Wiąże się on z koniecznością regularnego testowania i mierzenia skuteczności stosowanych środków technicznych, które mają gwarantować bezpieczeństwo przetwarzania danych. W tym celu często korzysta się z usług firmy zewnętrznej, której specjaliści przeprowadzają testy penetracyjne i przeglądy konfiguracyjne. Oznacza to, że przeprowadzają kontrolowany atak na system teleinformatyczny danej firmy, aby ocenić bieżący stan bezpieczeństwo systemu. Dzięki temu możliwe jest dostrzeżenie ewentualnych błędów i zaproponowanie zmian.

W czasach, gdy tak wiele działań i dziedzin życia przenosi się do sieci, zapewnienie bezpieczeństwa danych stanowi ważny cel w każdej firmie. Z pomocą przychodzi firma PwC świadcząca kompleksowe usługi cyberbezpieczeństwa. Nie może to być jednak zadanie realizowane jednorazowo, ale złożony oraz powtarzalny proces.