zgodność z ustawą o ochronie danych osobowych

Zgodność z ustawą o ochronie danych osobowych to przestrzeganie krajowych przepisów uzupełniających RODO.

Zakres ustawy i jej związek z systemami komputerowymi

Zgodność z ustawą z 10 maja 2018 r. o ochronie danych osobowych oznacza stosowanie polskich przepisów uzupełniających rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO. Ustawa określa między innymi status i zadania Prezesa Urzędu Ochrony Danych Osobowych, zasady postępowań prowadzonych przez organ nadzorczy oraz wybrane krajowe rozwiązania dotyczące ochrony danych. Sama ustawa nie jest instrukcją konfiguracji konkretnego laptopa, systemu Windows, macOS ani programu antywirusowego. Jej znaczenie techniczne wynika z tego, że organizacja przetwarzająca dane osobowe musi tak zorganizować swoje systemy informatyczne, aby ograniczyć ryzyko nieuprawnionego dostępu, utraty, zniszczenia lub ujawnienia danych.

Danymi osobowymi mogą być na przykład imię i nazwisko, adres e-mail, numer telefonu, adres zamieszkania, identyfikator klienta, adres IP lub informacje zapisane w dokumentach i bazach danych, jeżeli pozwalają zidentyfikować konkretną osobę. W praktyce komputer może zawierać takie dane w plikach użytkownika, skrzynce pocztowej, historii przeglądarki, kopiach zapasowych, bazie programu księgowego albo katalogu synchronizowanym z chmurą. Ocena zgodności musi więc obejmować nie tylko główną aplikację, lecz także dyski, nośniki wymienne, konta użytkowników, kopie tymczasowe i urządzenia używane do serwisowania lub diagnostyki.

Kontrola dostępu do danych zapisanych na urządzeniach

Techniczna realizacja ochrony danych zaczyna się od ograniczenia dostępu do informacji. Każdy użytkownik powinien korzystać z własnego konta, a uprawnienia należy dopasować do rzeczywistych obowiązków. Konto administratora nie powinno być używane do codziennej pracy z pocztą internetową ani dokumentami, ponieważ przejęcie takiej sesji daje złośliwemu programowi szerszy zakres działania. W systemach firmowych warto stosować uwierzytelnianie wieloskładnikowe, blokadę ekranu po okresie bezczynności, centralne zarządzanie kontami oraz odbieranie uprawnień po zakończeniu współpracy.

Na laptopach i komputerach PC dane przechowywane lokalnie można chronić przez szyfrowanie całego dysku, na przykład za pomocą mechanizmu dostępnego w danym systemie operacyjnym. Szyfrowanie nie zastępuje hasła do konta, kontroli dostępu ani kopii zapasowej, ale ogranicza możliwość odczytania danych po kradzieży urządzenia lub wyjęciu dysku. Klucze odzyskiwania powinny być przechowywane oddzielnie od chronionego komputera. Nie należy pozostawiać danych klientów na pulpicie, w folderze pobierania ani na nieszyfrowanym pendrive’ie, jeżeli nie jest to konieczne do wykonania określonej czynności.

Rejestry operacji, kopie zapasowe i obsługa incydentów

System ochrony danych powinien umożliwiać ustalenie, kto i kiedy uzyskał dostęp do określonych zasobów, zmienił uprawnienia albo skopiował plik, o ile takie rejestrowanie jest uzasadnione zakresem przetwarzania i oceną ryzyka. Logi systemowe muszą mieć wiarygodny czas, ograniczoną możliwość modyfikacji oraz określony czas przechowywania. Sam fakt włączenia logowania nie zapewnia bezpieczeństwa, jeśli nikt nie analizuje alertów dotyczących wielokrotnych nieudanych logowań, logowania z nietypowej lokalizacji lub masowego kopiowania danych.

Kopie zapasowe powinny obejmować dane potrzebne do odtworzenia pracy, a ich poprawność należy okresowo sprawdzać przez próbne odtwarzanie. Kopia przechowywana na stale podłączonym dysku może zostać zaszyfrowana razem z komputerem przez ransomware, dlatego warto stosować rozdzielenie kopii, ograniczenie dostępu i szyfrowanie nośników. W przypadku podejrzenia naruszenia trzeba zabezpieczyć logi, ustalić zakres zdarzenia, wskazać zaatakowane konta i urządzenia oraz udokumentować podjęte działania. Termin 72 godzin na zgłoszenie określonych naruszeń organowi nadzorczemu wynika z RODO, a nie bezpośrednio z samej polskiej ustawy.

Bezpieczne przetwarzanie danych podczas naprawy komputera

Naprawa laptopa lub komputera zawierającego dokumenty, zdjęcia, pocztę albo dane logowania powinna być poprzedzona ustaleniem zakresu dostępu do danych. Jeżeli do diagnozy wystarcza test podzespołów, nie ma technicznego uzasadnienia dla przeglądania prywatnych dokumentów. Dane można zabezpieczyć przez wykonanie kopii przez właściciela, użycie tymczasowego konta, odłączenie nośnika albo uruchomienie narzędzia diagnostycznego bez otwierania katalogów użytkownika. Przed przekazaniem sprzętu należy wylogować konta, odłączyć synchronizację chmurową i usunąć zapisane hasła, jeśli nie są potrzebne do naprawy.

Po zakończeniu prac trzeba usunąć tymczasowe kopie, obrazy dysków, pliki diagnostyczne i eksporty logów, chyba że istnieje udokumentowana podstawa do ich dalszego przechowywania. Nośniki przeznaczone do wymiany powinny zostać wymazane w sposób odpowiedni do rodzaju urządzenia i jego dalszego przeznaczenia albo fizycznie zniszczone, gdy wymagany jest wyższy poziom pewności. Zgodność oznacza w tym przypadku połączenie wymagań prawnych z konkretnymi procedurami: ograniczeniem dostępu, szyfrowaniem, kontrolą kopii, dokumentowaniem operacji i bezpiecznym usuwaniem danych.