audyt RODO

Audyt RODO to ocena zgodności przetwarzania danych osobowych w systemie pocztowym z wymogami europejskiego rozporządzenia o ochronie danych.

Audyt RODO w systemie pocztowym — czym jest i jaki ma zakres

Audyt RODO dotyczący poczty elektronicznej polega na uporządkowanym sprawdzeniu, w jaki sposób są zbierane, przesyłane, przechowywane, udostępniane i usuwane dane osobowe znajdujące się w wiadomościach oraz załącznikach. Analizie podlega nie tylko sama skrzynka pocztowa, lecz także urządzenia, programy, konta użytkowników, kopie zapasowe, reguły przekazywania korespondencji i sposób reagowania na utratę dostępu. Celem nie jest samo znalezienie pojedynczego błędu technicznego. Istotne jest ustalenie, czy przyjęte rozwiązania odpowiadają zasadom legalności, przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania oraz poufności.

W praktyce podczas audytu ocenia się, czy poczta służbowa nie jest używana w sposób prowadzący do przypadkowego ujawnienia danych. Sprawdzeniu może podlegać kierowanie wiadomości na prywatne adresy, korzystanie z nieaktualnych programów, przechowywanie korespondencji bez ustalonego okresu retencji, wysyłanie dokumentów do niewłaściwego odbiorcy oraz pozostawianie aktywnych kont byłych użytkowników. Znaczenie ma także to, czy wiadomo, kto jest administratorem danych, jakie są podstawy przetwarzania i jakie informacje powinny zostać przekazane osobom, których dane trafiają do korespondencji.

Audyt może obejmować zarówno pojedynczą skrzynkę, jak i całą organizację pocztową używaną na komputerach oraz urządzeniach mobilnych. Zakres powinien zostać dopasowany do rzeczywistego sposobu pracy. Inne zagadnienia będą ważne przy korespondencji zawierającej dane klientów, inne przy obsłudze rekrutacji, a jeszcze inne przy przesyłaniu dokumentów księgowych lub medycznych. W każdym przypadku potrzebne jest rozdzielenie wymagań prawnych od ustawień technicznych, ponieważ poprawna konfiguracja programu nie zastępuje procedur, upoważnień i odpowiedzialności po stronie administratora danych.

Audyt RODO a zabezpieczenia poczty i kontekst techniczny

System pocztowy powinien być oceniany jako zestaw współpracujących elementów. Należą do niego konta, hasła, mechanizmy dodatkowego uwierzytelniania, urządzenia końcowe, sieć, oprogramowanie pocztowe, przeglądarki, serwery dostawcy oraz miejsca przechowywania kopii. Ryzyko może powstać w dowolnym punkcie tego łańcucha. Nawet bezpieczne konto nie zapewnia odpowiedniej ochrony, jeżeli wiadomości są automatycznie pobierane na komputer bez aktualnych zabezpieczeń albo pozostają dostępne na telefonie, który nie jest chroniony kodem blokady.

Weryfikacji wymaga sposób nadawania uprawnień. Należy sprawdzić, czy dostęp do skrzynek otrzymują wyłącznie osoby, które rzeczywiście go potrzebują, czy konta wspólne mają określone zasady korzystania oraz czy można ustalić autora wysłanej wiadomości. Warto porównać model dostępu do poczty z zasadą minimalnych uprawnień. Dostęp administracyjny powinien być oddzielony od codziennego konta użytkownika, a operacje związane z konfiguracją powinny pozostawiać możliwy do odtworzenia ślad.

Znaczenie ma również ochrona transmisji i poprawność konfiguracji domeny. W ramach audytu można przeanalizować mechanizmy ograniczające podszywanie się pod nadawcę, reguły obsługi poczty przychodzącej, zabezpieczenia połączeń oraz możliwość wykrywania nietypowego logowania. Nie powinno się jednak uznawać pojedynczego ustawienia za pełny dowód zgodności. Ochrona danych wymaga połączenia środków technicznych z instrukcjami dla użytkowników, szkoleniem, procedurą incydentów i regularnym przeglądem uprawnień.

Przydatne jest porównanie poczty elektronicznej z innymi kanałami komunikacji. Wiadomość może być szybka i łatwa do zarchiwizowania, lecz często jest kopiowana na wiele urządzeń i przekazywana dalej bez pełnej kontroli. Portal z indywidualnym dostępem może ograniczać liczbę kopii dokumentu, natomiast wymaga prawidłowego zarządzania kontami. Nośnik przenośny pozwala przekazać pliki poza pocztą, ale może zostać zagubiony. Każdy kanał powinien więc być oceniany pod kątem rodzaju danych, odbiorców, prawdopodobieństwa błędu oraz skutków ewentualnego ujawnienia.

Audyt RODO — typowe problemy wykrywane w korespondencji

Jednym z częstszych problemów jest wysyłanie wiadomości do wielu odbiorców w polu, które ujawnia ich adresy. W przypadku korespondencji kierowanej do osób niezwiązanych ze sobą może to prowadzić do ujawnienia danych kontaktowych. Należy ustalić, kiedy stosowane jest ukryte pole odbiorców, kiedy wiadomości są wysyłane indywidualnie oraz czy przed wysłaniem dokumentu sprawdzany jest adresata i zakres załączników.

Ryzyko powstaje również przy autouzupełnianiu adresów. Program może podstawić kontakt o podobnej nazwie, a pośpiech może spowodować wysłanie pliku do niewłaściwej osoby. Warto wprowadzić prostą kontrolę przed wysłaniem wiadomości zawierającej dane osobowe: sprawdzenie odbiorcy, treści, załączników oraz podstawy przekazania informacji. Przy dokumentach o większym znaczeniu można stosować dodatkowe potwierdzenie lub drugi kanał weryfikacji.

W audycie często ujawnia się zbyt długie przechowywanie korespondencji. Skrzynka może zawierać dane, które nie są już potrzebne do celu, dla którego zostały zebrane. Brak zasad porządkowania powoduje, że archiwum rośnie bez kontroli, a usunięcie wiadomości z głównej skrzynki nie zawsze oznacza usunięcie jej z kopii, urządzeń lub folderów synchronizowanych. Potrzebne jest określenie, które informacje należy zachować, przez jaki czas i kto może zatwierdzić ich usunięcie.

Problemem bywa także przekazywanie wiadomości między pracownikami bez sprawdzenia, czy odbiorca ma odpowiednie upoważnienie. Dotyczy to zwłaszcza korespondencji zawierającej dane klientów, kandydatów do pracy, kontrahentów lub osób kontaktujących się w sprawach reklamacyjnych. Należy ocenić, czy zakres dostępu wynika z obowiązków, czy skrzynki zespołowe są zarządzane w kontrolowany sposób oraz czy po zmianie stanowiska odbierane są dawne uprawnienia.

Warto sprawdzić, jak rozpoznawane są incydenty. Nietypowe logowanie, zniknięcie telefonu, wysłanie pliku do złego odbiorcy, przejęcie hasła lub masowe pobieranie poczty powinny uruchamiać określone działania. Istotne jest zapisanie czasu zdarzenia, zakresu danych, osób mogących uzyskać dostęp i wykonanych czynności. Sama zmiana hasła może być niewystarczająca, jeżeli nie odwołano aktywnych sesji, nie sprawdzono reguł przekazywania poczty i nie zabezpieczono pozostałych urządzeń.

Audyt RODO — praktyczne wskazówki do przygotowania

Przed rozpoczęciem przeglądu warto przygotować mapę przepływu informacji. Powinno się wskazać, skąd pochodzą dane, kto je wpisuje do wiadomości, kto może je odczytać, gdzie są zapisywane i kiedy są usuwane. Pomocne jest zebranie informacji o używanych skrzynkach, kontach wspólnych, urządzeniach mobilnych, programach pocztowych, kopiach zapasowych oraz usługach dodatkowych połączonych z pocztą. Taki opis ułatwia zauważenie miejsc, w których ta sama wiadomość jest powielana.

Należy też sporządzić listę ról użytkowników. Przy każdej roli można określić, do jakich danych potrzebny jest dostęp, czy dostęp jest stały, czy czasowy, kto go zatwierdza oraz kiedy powinien zostać odebrany. Wskazane jest cykliczne porównywanie listy aktywnych kont z aktualnym wykazem osób współpracujących. Konto nieużywane powinno być wyłączone zgodnie z ustaloną procedurą, a nie pozostawione z nadzieją, że nie zostanie wykorzystane.

Ważnym elementem jest przygotowanie instrukcji dla użytkowników. Powinna ona wyjaśniać zasady wyboru odbiorców, postępowanie z załącznikami, ochronę haseł, korzystanie z urządzeń prywatnych, zgłaszanie pomyłek oraz zachowanie przy podejrzanych wiadomościach. Instrukcja powinna być krótka, zrozumiała i możliwa do zastosowania w codziennej pracy. Dokument, którego nikt nie zna i nie stosuje, nie daje realnej ochrony.

Wynik audytu najlepiej przedstawić w formie rejestru ustaleń. Przy każdym problemie można opisać przyczynę, możliwe skutki, poziom ryzyka, osobę odpowiedzialną, proponowane działanie i termin ponownej kontroli. Należy odróżnić usterkę wymagającą szybkiej reakcji od zalecenia organizacyjnego, które można wdrożyć etapami. Po wprowadzeniu zmian warto przeprowadzić test: sprawdzić dostęp, działanie procedury, reakcję na utratę urządzenia oraz możliwość odtworzenia informacji potrzebnych do wyjaśnienia incydentu.

Audyt RODO — kiedy zgłosić się do serwisu komputerowego

Wsparcie techniczne może być potrzebne, gdy nie można ustalić, gdzie są przechowywane kopie wiadomości, występują problemy z dostępem do kont, pojawiają się nieznane reguły przekazywania korespondencji albo urządzenia nie pozwalają na bezpieczne zarządzanie danymi. Konsultacja bywa również zasadna po wysłaniu poufnego dokumentu do niewłaściwego odbiorcy, po utracie telefonu lub laptopa, po podejrzeniu przejęcia hasła oraz przy zmianie dostawcy poczty. W takich sytuacjach należy zabezpieczyć dostępne informacje, ograniczyć dalsze rozprzestrzenianie danych i ustalić kolejność działań.

Warszawskie Pogotowie Komputerowe 24/7 może pomóc w technicznym uporządkowaniu środowiska używanego do obsługi poczty, w sprawdzeniu konfiguracji urządzeń oraz w przygotowaniu listy elementów wymagających dalszej oceny organizacyjnej. Ocena techniczna nie zastępuje porady prawnej ani formalnej analizy obowiązków administratora, ale może ułatwić ustalenie, jakie rozwiązania faktycznie działają, gdzie występują słabe punkty i jakie informacje powinny zostać przekazane osobie odpowiedzialnej za ochronę danych.

Do zgłoszenia warto przygotować opis problemu, rodzaj używanych urządzeń, informację o tym, kiedy pojawiło się zdarzenie, oraz wskazanie, czy chodzi o zwykłą kontrolę, zmianę konfiguracji, odzyskanie dostępu czy reakcję na incydent. Nie należy przesyłać pełnych wiadomości ani załączników zawierających dane osobowe, jeżeli nie jest to konieczne. Bezpieczniej jest opisać sytuację i przekazać wyłącznie informacje potrzebne do rozpoczęcia sprawdzenia. Dzięki temu audyt RODO może zostać połączony z praktycznym przeglądem sposobu korzystania z poczty, a zalecenia mogą odnosić się do rzeczywistych ustawień i codziennych czynności użytkowników.