odpowiedzialność administratora

Odpowiedzialność administratora danych to obowiązek zapewnienia i wykazania zgodności przetwarzania z RODO.

Administrator danych a odpowiedzialność za system informatyczny

Odpowiedzialność administratora danych oznacza obowiązek takiego organizowania przetwarzania informacji, aby administrator mógł wykazać jego zgodność z przepisami oraz przyjętymi zasadami bezpieczeństwa. W praktyce administrator nie odpowiada wyłącznie za treść klauzul informacyjnych lub prowadzenie rejestru czynności. Odpowiada również za dobór środków technicznych i organizacyjnych stosowanych w systemach, aplikacjach, urządzeniach końcowych oraz usługach chmurowych, jeżeli służą one do przetwarzania danych.

Zakres tej odpowiedzialności obejmuje między innymi określenie, kto może uzyskać dostęp do konkretnego zbioru danych, w jakim celu dane są wykorzystywane, jak długo pozostają dostępne oraz kiedy powinny zostać usunięte albo zanonimizowane. Administrator powinien znać przepływ danych między formularzem, bazą danych, systemem kopii zapasowych, pocztą elektroniczną i urządzeniami pracowników. Brak takiej wiedzy utrudnia ocenę ryzyka oraz ustalenie, czy dane są przetwarzane zgodnie z ustalonym celem.

Kontrola dostępu, logi i ciągłość działania

Techniczna realizacja odpowiedzialności administratora wymaga stosowania kontroli dostępu adekwatnej do rodzaju danych i wykonywanych czynności. Konta użytkowników powinny być przypisane do konkretnych osób, a uprawnienia ograniczone do zakresu potrzebnego przy wykonywaniu obowiązków. Konto administratora systemu nie powinno służyć do codziennej pracy biurowej, ponieważ połączenie zwykłych czynności z uprawnieniami uprzywilejowanymi zwiększa skutki pomyłki lub przejęcia poświadczeń. Przy zmianie stanowiska albo zakończeniu współpracy uprawnienia powinny zostać niezwłocznie zweryfikowane i odpowiednio zmienione.

Istotnym elementem kontroli są logi zdarzeń. System może rejestrować między innymi logowanie, nieudaną próbę uwierzytelnienia, zmianę uprawnień, eksport danych, usunięcie rekordu oraz dostęp do określonego zasobu. Samo włączenie logowania nie zapewnia jednak bezpieczeństwa. Należy ustalić, jakie zdarzenia są rejestrowane, kto może przeglądać logi, jak długo są przechowywane i w jaki sposób chroni się je przed modyfikacją. Logi powinny mieć wiarygodny czas zdarzeń, dlatego serwery i urządzenia powinny korzystać z uzgodnionego źródła czasu. Analiza logów pozwala ustalić zakres incydentu, lecz nie zastępuje ograniczania dostępu ani aktualizacji oprogramowania.

Środki ochrony danych w codziennej eksploatacji

Administrator powinien uwzględnić bezpieczeństwo na całym cyklu życia danych. Przy przesyłaniu informacji przez sieć stosuje się szyfrowane protokoły, takie jak HTTPS z prawidłowo skonfigurowanym TLS, a przy połączeniach administracyjnych należy unikać nieszyfrowanych usług, w których hasła są przesyłane jawnym tekstem. Dane przechowywane na dyskach laptopów, komputerów i serwerów mogą być chronione szyfrowaniem całego nośnika, natomiast kopie zapasowe powinny być zabezpieczone przed odczytem przez osoby nieupoważnione oraz przed przypadkowym nadpisaniem.

Kopia zapasowa nie jest dowodem bezpieczeństwa, dopóki nie można jej odtworzyć. Administrator powinien określić, jakie dane są kopiowane, z jaką częstotliwością, gdzie przechowywane są kopie oraz ile poprzednich wersji pozostaje dostępnych. Test odtworzenia powinien sprawdzać nie tylko obecność plików, ale także możliwość uruchomienia aplikacji i zachowanie spójności danych. Warto rozdzielić uprawnienia do korzystania z systemu produkcyjnego od uprawnień do usuwania kopii, ponieważ przejęcie jednego konta nie powinno automatycznie umożliwiać zniszczenia wszystkich wersji zapasowych. Aktualizacje systemów operacyjnych, aplikacji i urządzeń sieciowych ograniczają ryzyko wykorzystania znanych podatności, ale przed wdrożeniem zmian należy uwzględnić testy oraz możliwość bezpiecznego wycofania aktualizacji.

Dokumentowanie decyzji i reakcja na incydent

Wykazanie odpowiedzialnego zarządzania wymaga dokumentowania decyzji technicznych i ich uzasadnienia. Przydatne są między innymi aktualny wykaz systemów, mapa przepływu danych, macierz uprawnień, procedura nadawania i odbierania dostępów, ewidencja aktualizacji, wyniki testów kopii zapasowych oraz rejestr incydentów. Dokumentacja powinna wskazywać właściciela systemu, osoby odpowiedzialne za wykonanie czynności i datę ostatniego przeglądu. Nie powinna ograniczać się do ogólnego stwierdzenia, że dane są bezpieczne, ponieważ taka deklaracja nie opisuje rzeczywistej konfiguracji ani sposobu kontroli.

W razie podejrzenia incydentu należy zabezpieczyć informacje potrzebne do ustalenia przebiegu zdarzeń, w tym logi, komunikaty systemowe, identyfikatory kont, czas wystąpienia problemu i zakres dotkniętych zasobów. Nie powinno się pochopnie usuwać plików, wyłączać mechanizmów rejestracji ani przywracać kopii bez zachowania danych diagnostycznych, ponieważ może to utrudnić ustalenie przyczyny. Następnie administrator powinien ograniczyć dalszy dostęp, zmienić zagrożone poświadczenia, usunąć podatność i sprawdzić, czy problem nie występuje w innych systemach. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku awarii urządzenia można zlecić diagnozę sprzętu, systemu operacyjnego lub nośnika używanego w środowisku pracy.