brak analizy ryzyka dla przetwarzanych danych

Brak analizy ryzyka dla przetwarzanych danych to zaniedbanie zgodności, w którym nie oceniono potencjalnych zagrożeń dla ochrony danych osobowych.

Brak analizy ryzyka dla przetwarzanych danych – czym jest to uchybienie

Brak analizy ryzyka dla przetwarzanych danych oznacza sytuację, w której nie przeprowadzono uporządkowanej oceny zagrożeń związanych z pozyskiwaniem, wykorzystywaniem, przechowywaniem oraz udostępnianiem danych osobowych. Nie chodzi wyłącznie o brak pojedynczego dokumentu. Istotą problemu jest brak wiedzy o tym, jakie zdarzenia mogą naruszyć poufność, integralność albo dostępność informacji oraz jakie skutki mogłyby wyniknąć z takiego zdarzenia dla osób, których dane dotyczą.

Analiza ryzyka powinna obejmować procesy, systemy, urządzenia, dokumentację papierową, użytkowników oraz podmioty zewnętrzne uczestniczące w przetwarzaniu. Uwzględnia się między innymi zakres danych, ich szczególny charakter, liczbę osób, czas przechowywania, sposób udostępniania, lokalizację zasobów i zastosowane zabezpieczenia. Samo stwierdzenie, że dane są przechowywane w systemie informatycznym albo w dokumentach kadrowych, nie pozwala jeszcze ocenić poziomu zagrożenia.

W praktyce analiza powinna prowadzić do odpowiedzi na kilka podstawowych pytań: co mogłoby się wydarzyć, z jakiego powodu, z jakim prawdopodobieństwem oraz jakie konsekwencje poniosłyby osoby, których dane dotyczą. Dopiero na tej podstawie można racjonalnie dobrać środki organizacyjne i techniczne. Bez takiego rozpoznania zabezpieczenia często są dobierane przypadkowo, według przyzwyczajeń albo wyłącznie na podstawie dostępnych funkcji oprogramowania.

Brak analizy ryzyka dla danych a kontekst techniczny i porównanie zagrożeń

Ryzyko dotyczące przetwarzanych danych nie jest tym samym co ogólne ryzyko awarii sprzętu. Uszkodzenie dysku może spowodować niedostępność plików, lecz w pewnych okolicznościach może też doprowadzić do ich utraty, nieuprawnionego odczytu albo ujawnienia danych zapisanych na nośniku. Z kolei błędnie nadane uprawnienia mogą pozwalać na przeglądanie informacji bez żadnej awarii technicznej. Z tego powodu analiza powinna obejmować zarówno zdarzenia przypadkowe, jak i działania umyślne.

Warto odróżnić prawdopodobieństwo wystąpienia zdarzenia od jego wpływu. Przykładowo, pomyłkowe wysłanie wiadomości do niewłaściwego odbiorcy może być oceniane jako zdarzenie występujące sporadycznie, ale konsekwencje mogą być poważne, jeśli załącznik zawiera szeroki zestaw danych. Odwrotnie, krótkotrwała niedostępność formularza może zdarzać się częściej, lecz nie zawsze powoduje istotne naruszenie praw osób fizycznych. Ocena powinna więc uwzględniać oba wymiary.

Porównanie kilku procesów pomaga ustalić priorytety. Innych zabezpieczeń wymaga rejestracja klientów, innych obsługa zgłoszeń serwisowych, a jeszcze innych archiwizacja dokumentów pracowniczych. W każdym przypadku znaczenie mają między innymi: sposób identyfikacji użytkownika, zakres dostępu, wykonywanie kopii zapasowych, szyfrowanie, odporność na awarie, możliwość odtworzenia danych oraz procedura reagowania na incydenty. Nie każde zabezpieczenie musi być wdrożone w identyczny sposób, lecz każde powinno wynikać z rozpoznanych potrzeb.

Brak analizy utrudnia także wykazanie, że zastosowane środki są adekwatne. Sama obecność programu antywirusowego, zapory sieciowej lub hasła nie przesądza o właściwym poziomie ochrony. Znaczenie ma sposób konfiguracji, aktualność, zakres stosowania i kontrola działania. Nawet sprawne narzędzie nie zrekompensuje braku zasad dotyczących nadawania uprawnień, przechowywania kopii, korzystania z nośników przenośnych czy usuwania danych po zakończeniu celu przetwarzania.

Brak analizy ryzyka dla przetwarzanych danych – typowe problemy

Jednym z częstych problemów jest ograniczenie oceny do systemu informatycznego, z pominięciem obiegu dokumentów, rozmów telefonicznych, wydruków, korespondencji elektronicznej i pracy poza siedzibą. Ryzyko może powstać także wtedy, gdy dokument zostanie pozostawiony w miejscu dostępnym dla osób nieupoważnionych, gdy ekran pozostaje odblokowany albo gdy dane są przekazywane bez sprawdzenia adresata.

Drugim problemem jest tworzenie analizy raz, bez późniejszego przeglądu. Zmiana programu, dostawcy usług, lokalizacji, sposobu pracy lub zakresu zbieranych informacji może zmienić poziom ryzyka. Również incydent, reklamacja, wynik kontroli albo powtarzająca się pomyłka użytkownika powinny skłaniać do ponownej oceny. Dokument, który nie odzwierciedla aktualnego sposobu działania, ma ograniczoną wartość praktyczną.

Nieprawidłowości pojawiają się również wtedy, gdy opis zagrożeń jest zbyt ogólny. Sformułowanie „możliwe włamanie” nie wskazuje, jaki zasób może zostać zaatakowany, jakie zabezpieczenie ma ograniczyć prawdopodobieństwo zdarzenia ani jak zostanie rozpoznane naruszenie. Przydatniejszy jest opis odnoszący się do konkretnego procesu, na przykład ryzyko uzyskania dostępu do folderu z dokumentami przez osobę, która nie powinna mieć uprawnień, wraz ze wskazaniem przyczyny, skutku i planowanego zabezpieczenia.

Problemem bywa także brak właściciela działań. Jeżeli nie wiadomo, kto ma sprawdzić uprawnienia, przetestować kopię zapasową, zaktualizować procedurę lub przeszkolić użytkowników, wnioski z analizy pozostają jedynie zapisem. Ocena ryzyka powinna kończyć się konkretnym planem: działaniem, osobą odpowiedzialną, terminem, sposobem potwierdzenia wykonania oraz zasadą późniejszego przeglądu.

Brak analizy ryzyka dla przetwarzanych danych – praktyczne wskazówki

Prace można rozpocząć od sporządzenia listy procesów, w których wykorzystywane są dane osobowe. Następnie dla każdego procesu warto określić kategorie danych, osoby mające dostęp, źródło danych, odbiorców, urządzenia i programy wykorzystywane do pracy, okres przechowywania oraz sposób usunięcia informacji. Taki opis pozwala zauważyć miejsca, które wcześniej pozostawały poza zakresem oceny.

Kolejny etap powinien obejmować katalog zdarzeń. W zależności od procesu mogą to być: utrata urządzenia, uszkodzenie nośnika, omyłkowe usunięcie pliku, ujawnienie danych niewłaściwej osobie, przejęcie konta, złośliwe oprogramowanie, nieuprawniona modyfikacja dokumentu, brak możliwości odtworzenia kopii albo niekontrolowane pozostawienie wydruków. Dla każdego zdarzenia należy wskazać przyczynę i możliwe następstwa.

Przydatne jest stosowanie jednolitej skali oceny, na przykład osobno dla prawdopodobieństwa i skutku. Skala nie musi być rozbudowana, ale powinna być opisana w sposób zrozumiały dla osób uczestniczących w procesie. Dzięki temu można porównywać wyniki i ustalać kolejność działań. Jeżeli ryzyko jest wysokie, potrzebne mogą być dodatkowe zabezpieczenia, ograniczenie zakresu danych, zmiana sposobu pracy albo konsultacja przed rozpoczęciem procesu.

Warto sprawdzić nie tylko istnienie zabezpieczenia, ale też jego działanie. Kopia zapasowa powinna być okresowo odtwarzana testowo, uprawnienia powinny być przeglądane, a procedura zgłaszania incydentów powinna być znana osobom, które mogą zauważyć problem jako pierwsze. Należy również zachować ślad wykonanych przeglądów, ponieważ pozwala to odtworzyć sposób podejmowania decyzji i wykazać, że ocena nie była czynnością jednorazową.

W przypadku urządzeń używanych do pracy z dokumentami znaczenie ma stan nośników, aktualność systemu, ochrona kont użytkowników oraz sposób przekazywania sprzętu do naprawy. Przed przekazaniem urządzenia należy ustalić, jakie dane mogą się na nim znajdować i jakie działania ograniczą dostęp do informacji. Jeżeli nie da się uruchomić urządzenia, zakres możliwych czynności powinien zostać ustalony z uwzględnieniem rodzaju nośnika i znaczenia zapisanych danych.

Brak analizy ryzyka dla przetwarzanych danych – kiedy zgłosić się do serwisu

Wsparcie serwisowe może być potrzebne wtedy, gdy ocena ryzyka ujawni problemy ze sprzętem wykorzystywanym do przetwarzania danych, takie jak niestabilne działanie, błędy nośnika, utrata dostępu do plików, problemy z uruchamianiem systemu albo konieczność bezpiecznego przygotowania urządzenia do dalszej pracy. Warto zgłosić się również przed planowaną wymianą dysku, przekazaniem sprzętu innej osobie lub próbą odzyskania danych, gdy istotne jest ograniczenie ryzyka przypadkowego ujawnienia informacji.

W Warszawie takie zgłoszenia przyjmuje Warszawskie Pogotowie Komputerowe 24/7. Przed rozpoczęciem prac można przekazać informacje o rodzaju urządzenia, charakterze problemu i znaczeniu zapisanych danych, aby sposób postępowania został dopasowany do sytuacji. Sama naprawa sprzętu nie zastępuje analizy ryzyka, lecz może usunąć techniczną przyczynę zagrożenia albo dostarczyć informacji potrzebnych do aktualizacji oceny.

Jeżeli brak analizy został ujawniony podczas kontroli, po incydencie lub przy wdrażaniu nowego procesu, nie powinno się ograniczać do sporządzenia krótkiego oświadczenia. Należy odtworzyć rzeczywisty obieg danych, określić zagrożenia, ocenić ich znaczenie, wdrożyć uzasadnione zabezpieczenia i zaplanować ponowny przegląd. Takie podejście pozwala połączyć wymagania ochrony danych z codziennym działaniem organizacji oraz zmniejszyć ryzyko, że podobne uchybienie powtórzy się przy kolejnym procesie.