zgodność z GDPR

Zgodność z GDPR to inne, angielskojęzyczne określenie zgodności z unijnym rozporządzeniem o ochronie danych.

Zakres zgodności z GDPR w środowisku komputerowym

Zgodność z GDPR oznacza takie projektowanie i używanie systemów informatycznych, aby przetwarzanie danych osobowych odbywało się zgodnie z wymaganiami unijnego rozporządzenia o ochronie danych. W praktyce dotyczy to między innymi komputerów, laptopów, telefonów, serwerów, aplikacji, baz danych, kopii zapasowych, poczty elektronicznej oraz nośników używanych do przechowywania lub przesyłania informacji o osobach. Samo zastosowanie programu antywirusowego albo ustawienie hasła administratora nie potwierdza zgodności. Konieczne jest określenie, jakie dane są przetwarzane, gdzie się znajdują, kto może je odczytać i jak są usuwane.

Techniczna ocena zgodności obejmuje analizę całego cyklu życia informacji: od zebrania danych, przez zapis i udostępnianie, aż po archiwizację lub trwałe usunięcie. Istotne są także urządzenia pozostające poza główną siedzibą, na przykład laptop pracownika, zewnętrzny dysk USB albo komputer przekazany do naprawy. Jeżeli na takim urządzeniu znajdują się dane klientów, pracowników lub kontrahentów, trzeba uwzględnić ryzyko nieuprawnionego dostępu, utraty nośnika, odzyskania usuniętych plików oraz wykonania niekontrolowanej kopii.

Kontrola dostępu, szyfrowanie i rejestrowanie operacji

Jednym z podstawowych elementów technicznych jest ograniczenie dostępu do danych według rzeczywistych uprawnień użytkownika. Konto każdego pracownika powinno mieć tylko taki zakres dostępu, jaki jest potrzebny do wykonywania obowiązków. Współdzielenie jednego konta utrudnia ustalenie, kto otworzył, zmienił albo skopiował konkretny plik. W systemach obsługujących dane osobowe warto stosować indywidualne konta, silne uwierzytelnianie, automatyczną blokadę ekranu oraz okresowy przegląd członkostwa w grupach uprawnień. Nieaktywne konta powinny być wyłączane, a uprawnienia odebrane po zmianie stanowiska lub zakończeniu współpracy.

Szyfrowanie zmniejsza skutki utraty urządzenia lub przejęcia nośnika, ale nie zastępuje kontroli dostępu. Na laptopach można stosować szyfrowanie całego dysku, natomiast w przypadku plików przesyłanych przez sieć należy zabezpieczyć kanał komunikacji protokołem zapewniającym poufność i integralność transmisji. Hasła, klucze szyfrujące i kody odzyskiwania nie powinny być przechowywane razem z zaszyfrowanymi danymi. Dodatkową wartość ma rejestrowanie logowań, zmian uprawnień, operacji administracyjnych i dostępu do szczególnie istotnych zasobów. Logi powinny mieć ograniczony dostęp oraz określony czas przechowywania, ponieważ same mogą zawierać identyfikatory użytkowników, adresy IP lub inne informacje techniczne.

Kopie zapasowe, aktualizacje i bezpieczne usuwanie danych

System zgodny z wymaganiami bezpieczeństwa powinien mieć sprawdzony proces tworzenia i odtwarzania kopii zapasowych. Kopia zapasowa zawierająca dane osobowe jest kolejnym miejscem ich przetwarzania, dlatego musi być objęta kontrolą dostępu, ochroną przed nieautoryzowanym skopiowaniem oraz procedurą usuwania po upływie ustalonego okresu. Sam fakt wykonywania kopii nie wystarcza, jeśli nikt nie sprawdza, czy można ją odtworzyć po awarii. Test powinien obejmować rzeczywiste odzyskanie plików lub całego środowiska na wydzielonym systemie testowym, z zachowaniem ograniczeń dostępu do danych.

Ważne są również aktualizacje systemu operacyjnego, sterowników, aplikacji i urządzeń sieciowych. Niezałatane podatności mogą umożliwić przejęcie konta, odczyt plików albo instalację złośliwego oprogramowania. Aktualizacje należy wykonywać z wiarygodnych źródeł i kontrolować ich wynik, zwłaszcza na urządzeniach używanych poza firmową siecią. Przy wycofywaniu komputera, dysku lub pendrive’a zwykłe usunięcie pliku i opróżnienie kosza nie powinno być traktowane jako skuteczne zniszczenie danych. Nośnik trzeba wyczyścić metodą odpowiednią dla jego rodzaju albo fizycznie zniszczyć, jeżeli dalsze używanie nie jest planowane. W przypadku dysków SSD sposób bezpiecznego usuwania musi uwzględniać działanie kontrolera i mechanizmu rozpraszania zapisu.

Weryfikacja ustawień na laptopie i komputerze PC

Praktyczna kontrola urządzenia może obejmować sprawdzenie szyfrowania dysku, kont lokalnych, uprawnień do katalogów, automatycznej blokady ekranu, aktualności systemu, konfiguracji zapory sieciowej oraz obecności nieużywanych programów umożliwiających zdalny dostęp. Należy także ustalić, czy przeglądarki, klient poczty i komunikatory nie zapisują danych w profilu dostępnym dla innych osób. Szczególnej uwagi wymagają pliki tymczasowe, foldery pobierania, lokalne kopie załączników i dane pozostawione przez aplikacje po odinstalowaniu programu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego podczas prac przy urządzeniu warto wcześniej określić, jakie dane pozostają na dysku oraz czy serwisant powinien mieć do nich dostęp. Bezpiecznym rozwiązaniem jest przekazanie urządzenia po wykonaniu kopii zapasowej, wylogowaniu z kont i usunięciu zbędnych plików, a w razie potrzeby udostępnienie tymczasowego konta bez uprawnień administratora. Po zakończeniu prac należy sprawdzić, czy nie pozostały dodatkowe konta, programy diagnostyczne, pliki robocze ani kopie danych utworzone na nośnikach pomocniczych.