ocena skutków dla ochrony danych (DPIA)

DPIA to ocena skutków dla ochrony danych, wymagana gdy przetwarzanie może powodować wysokie ryzyko dla osób.

Kiedy analiza DPIA jest potrzebna w systemie informatycznym

Ocena skutków dla ochrony danych, określana skrótem DPIA od angielskiego Data Protection Impact Assessment, jest udokumentowanym procesem analizy ryzyka związanego z planowanym przetwarzaniem danych. Stosuje się ją wtedy, gdy sposób przetwarzania może powodować wysokie ryzyko naruszenia praw lub wolności osób. Dotyczy to między innymi systemów gromadzących szczegółowe informacje o użytkownikach, rozwiązań wykorzystujących stałe monitorowanie, przetwarzania danych szczególnie wrażliwych oraz operacji wykonywanych na dużą skalę.

DPIA nie jest testem wydajności komputera ani audytem samego kodu programu. Jest analizą konkretnego procesu: jakie dane są zbierane, z jakiego źródła pochodzą, gdzie są zapisywane, kto może je odczytać, jak długo pozostają w systemie i jakie działania wykonuje aplikacja. W dokumentacji warto opisać również urządzenia końcowe, serwery, kopie zapasowe, połączenia sieciowe, interfejsy API oraz zewnętrzne usługi, jeżeli biorą udział w przepływie danych.

Opis przepływu danych i zasobów technicznych

Prawidłowa ocena rozpoczyna się od sporządzenia mapy przepływu danych. Należy wskazać punkt ich pozyskania, aplikację odpowiedzialną za obsługę, bazę danych, systemy pośrednie, mechanizmy synchronizacji oraz miejsca przechowywania kopii zapasowych. Przydatne są schematy architektury, konfiguracje zapór sieciowych, lista używanych portów, opis kont technicznych i rejestry połączeń. Samo stwierdzenie, że dane są „przetwarzane w systemie”, nie pozwala rzetelnie ocenić ryzyka.

W części technicznej opisuje się także zastosowane zabezpieczenia. Mogą to być szyfrowanie transmisji z użyciem TLS, szyfrowanie nośników, uwierzytelnianie wieloskładnikowe, role i uprawnienia, segmentacja sieci, filtrowanie ruchu, aktualizacje oprogramowania, ochrona przed złośliwym kodem oraz kopie zapasowe testowane pod kątem odtworzenia. Istotne jest rozróżnienie ochrony danych podczas przesyłania, podczas przechowywania i podczas przetwarzania w pamięci działającej aplikacji.

Ocena zagrożeń, podatności i możliwych skutków

Analiza ryzyka powinna łączyć prawdopodobieństwo wystąpienia zdarzenia z jego możliwym skutkiem dla osób. Przykładowymi zdarzeniami są nieuprawniony odczyt bazy danych, przejęcie konta administratora, wysłanie informacji do niewłaściwego odbiorcy, utrata laptopa z lokalną kopią danych, odtworzenie nieaktualnej kopii zapasowej albo pozostawienie danych w logach aplikacji. Przy każdym scenariuszu należy ustalić, które zasoby są zagrożone i jakie zabezpieczenia już działają.

Warto sprawdzić, czy uprawnienia odpowiadają rzeczywistym obowiązkom użytkowników, czy konta nieaktywne są blokowane, czy system rejestruje operacje administracyjne oraz czy logi nie zawierają pełnych identyfikatorów, haseł lub innych informacji, których nie trzeba utrwalać. Należy również przeanalizować procedurę usuwania danych, sposób obsługi błędów, dostęp dostawców zewnętrznych i możliwość szybkiego odcięcia utraconego urządzenia. Wynikiem DPIA może być lista działań redukujących ryzyko, na przykład ograniczenie zakresu danych, skrócenie okresu przechowywania, zmiana modelu uprawnień albo wdrożenie dodatkowego monitoringu.

DPIA jako dokument używany podczas zmian i incydentów

Ocena skutków nie powinna być jednorazowym plikiem przygotowanym wyłącznie przed uruchomieniem aplikacji. Trzeba ją zaktualizować, gdy zmienia się zakres danych, odbiorcy, lokalizacja systemu, dostawca chmurowy, sposób uwierzytelniania lub architektura sieci. Aktualizacji wymagają także sytuacje, w których pojawiła się nowa podatność, doszło do incydentu albo zabezpieczenia okazały się nieskuteczne podczas testu odtworzeniowego.

Podczas serwisowania laptopa lub komputera używanego do pracy z systemem objętym DPIA warto zachować kontrolę nad nośnikami i kopiami danych. Przed naprawą należy ustalić, czy diagnostyka wymaga dostępu do dysku, czy można użyć pustego konta testowego oraz czy dane powinny zostać zaszyfrowane lub czasowo usunięte z urządzenia. Po zakończeniu prac trzeba zweryfikować stan zabezpieczeń, dostępność szyfrowania, działanie aktualizacji i brak niepotrzebnych kont serwisowych. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego zakres dostępu do danych powinien być wcześniej jasno określony przez właściciela urządzenia.