Co jest określane mianem wycieku danych w firmie?
Do wycieku danych dochodzi w sytuacji, kiedy informacje poufne zostają ujawnione w niezamierzony sposób. Najczęściej zostają one skradzione lub ujawnione nieautoryzowanym odbiorcom. W efekcie wycieku danych zazwyczaj zostają ujawnione personalia, numery kont bankowych oraz kart kredytowych, numery telefonów, jak również tajne informacje dotyczące przedsiębiorstwa, w tym handlowe czy finansowe.
Jakie rodzaje danych są podatne na wyciek?
Dane, które najczęściej stają się przedmiotem wycieku to:
- dane finansowe – np. numery kont bankowych i kart kredytowych;
- dane osobowe – np. numer PESEL, numery telefonów, adresy e-mail;
- dane handlowe – np. dane kontrahentów czy dostawców;
- dane informatyczne – np. loginy i hasła;
- własność intelektualna – np. badania, patenty, znaki towarowe.
Jakie są przyczyny wycieku danych?
Do wycieku danych może dojść z różnych przyczyn. Do najczęściej występujących można zaliczyć:
Błąd ludzki – brak wiedzy pracowników
Pracownicy w sposób nieświadomy mogą popełnić błąd, który będzie skutkował wyciekiem danych. Mowa tutaj m.in. o niewłaściwym odbiorcy wiadomości e-mail, utracie urządzeń przenośnych, na których znajdują się poufne informacje, nieprawidłowe zarządzanie hasłami czy pozostawienie komputera bez nadzoru i wylogowania.
Na wyciek danych ma również wpływ brak edukacji, który powoduje, że pracownicy nie posiadają odpowiedniej wiedzy, dotyczącej zabezpieczenia wrażliwych danych. Istotne jest zatem wdrożenie serii szkoleń z zakresu ochrony informacji oraz przeciwdziałania atakom hakerskim.
Cyberprzestępczość
Wyciek danych często wynika także z ataków hakerskich. Przybierają one różne formy, a najpopularniejszą z nich jest tzw. phishing. Jego zadaniem jest zmanipulowanie pracownika w celu pozyskania pożądanych informacji. Hakerzy wykorzystują różne kanały komunikacji, aby dotrzeć do swojej ofiary. Innym sposobem jest instalowanie złośliwego oprogramowania na komputerach pracowników czy właścicieli przedsiębiorstwa. Proceder ten najczęściej odbywa się poprzez wysłanie fałszywej wiadomości (zazwyczaj ponaglającej, aby wywołać szybką reakcję) zawierającej niebezpieczny link. Po kliknięciu, na urządzeniu instaluje się złośliwe oprogramowanie bez wiedzy użytkownika.
Brak odpowiednich zabezpieczeń
Mowa tutaj przede wszystkim o mocnych hasłach, które powinny być systematycznie zmieniane. Błędy w konfiguracji infrastruktury wewnętrznej również mogą być źródłem wycieku danych. Naruszeniem bezpieczeństwa firmy może być także kradzież lub zgubienie urządzeń. Utrata sprzętu firmowego stanowi poważne ryzyko dostępu osób postronnych do danych poufnych.
Jakie są konsekwencje wycieku danych?
W zależności od skali i rodzaju wycieku danych konsekwencje mogą być bardzo dotkliwe. Najczęściej przedsiębiorcy muszą mierzyć się z dużymi stratami finansowymi, zwłaszcza jeżeli Prezes UODO nałoży na podmiot karę. Jednak koszty obejmują także rekompensatę dla poszkodowanych osób, wydatki związane z likwidacją skutków i szkód wycieku, jak również środki poniesione w związku z prowadzonym śledztwem czy opłatami prawnymi. Innymi konsekwencjami są:
- spadek notowań na giełdzie;
- utrata zaufania wśród partnerów oraz klientów;
- utrata reputacji;
- przestoje w pracy;
- ryzyko prawne – procesy sądowe.
Jakie wymogi prawne i regulacyjne powinny chronić przed wyciekiem danych?
Obecnie bezpieczeństwo informacji stanowi jeden z najcenniejszych aktywów każdego przedsiębiorstwa. Kluczowa jest zatem kompleksowa ochrona wszystkich wrażliwych danych, ze szczególnym uwzględnieniem tych, które najbardziej narażone są na wyciek. Jednym ze sposobów jest wdrożenie ISO 27001, czyli międzynarodowej normy standaryzującej systemy zarządzania bezpieczeństwem informacji. Określa ona wymagania dla: ustanowienia, wdrożenia, utrzymania oraz ciągłego doskonalenia. To również zbiór wytycznych, dotyczących szacowania oraz postępowania z ryzykiem odnoszącym się do bezpieczeństwa informacji.
Jaka powinna być reakcja firmy na wyciek danych?
Każda firma powinna opracować strategię działania na wypadek wycieku danych. To swego rodzaju zbiór procedur, które należy wykonać natychmiast po ujawnieniu przedostania się informacji w niepożądane źródła lub kanały. W sytuacji naruszenia kluczowe znaczenie ma czas reakcji. Stąd też w pierwszej kolejności należy ustalić skalę problemu. Obowiązujące prawo stanowi, że przedsiębiorca ma 72 godziny od momentu stwierdzenia wycieku danych, na zgłoszenie tego faktu organowi nadzorczemu, czyli Prezesowi Urzędu Ochrony Danych Osobowych. Odstępstwem od tego obowiązku jest stwierdzenie nikłego prawdopodobieństwa wycieku danych osobowych. Dodatkowo przedsiębiorca zobowiązany jest do poinformowania o zaistniałym zdarzeniu wszystkie osoby, których prywatność mogła zostać naruszona wskutek wycieku danych (np. pracownicy, partnerzy czy klienci).
Jak zapobiegać wyciekom danych?
Chcąc zapobiec wyciekowi danych, kluczowe jest wdrożenie stosownych praktyk, do których należą:
- audyt bezpieczeństwa – każde przedsiębiorstwo powinno zarówno przestrzegać zasad ochrony danych, jak i systematycznie monitorować swoje zabezpieczenia. Ocenie powinien podlegać system chroniący przed utratą i wyciekiem danych, obejmujący infrastrukturę sieciową oraz serwerów.
- systematyczne szkolenia pracowników – edukacja z zakresu cyberbezpieczeństwa ma fundamentalne znaczenie dla ochrony danych poufnych. Szczególną uwagę należy poświęcić pracownikom nietechnicznym, którzy często pod wpływem chwili, zrobią prosty błąd, mający później poważne konsekwencje.
- wprowadzenie polityki silnych haseł – tutaj ważny będzie również manager haseł. To właśnie on przechowuje wszystkie dane logowania na jednej platformie.
- uwierzytelnienie dwuskładnikowe.
Wraz z rozwojem cyfryzacji wzrasta również zagrożenie związane z przechwytywaniem danych przez cyberprzestępców. Kluczowa jest zatem przemyślana strategia działania, która przede wszystkim skutecznie zabezpieczy przed potencjalnym wyciekiem danych.
Brak komentarzy