zgodność z wytycznymi UODO

Zgodność z wytycznymi UODO to stosowanie się do zaleceń polskiego organu nadzorczego w praktyce przetwarzania danych.

UODO a techniczne przetwarzanie danych

Zgodność z wytycznymi UODO w środowisku komputerowym oznacza takie zaprojektowanie przetwarzania danych, aby można było określić, jakie informacje są zbierane, gdzie są przechowywane, kto może je odczytać i jak długo pozostają dostępne. Dotyczy to między innymi danych zapisanych na dyskach laptopów, komputerów stacjonarnych, serwerach plików, nośnikach USB oraz w kopiach zapasowych. Sama obecność hasła, programu antywirusowego lub zapory sieciowej nie potwierdza zgodności. Konieczne jest powiązanie zastosowanych zabezpieczeń z rzeczywistym sposobem używania systemu.

W praktyce technicznej analizuje się cały cykl życia informacji: utworzenie pliku, zapis na urządzeniu, przesłanie przez sieć, udostępnienie innemu użytkownikowi, archiwizację oraz usunięcie. Ważne jest także rozdzielenie danych zwykłych od informacji wymagających silniejszej ochrony, ograniczenie dostępu do niezbędnego minimum oraz możliwość wykazania, jakie działania wykonano w systemie. Wytyczne organu nadzorczego nie zastępują dokumentacji procesów, ale wskazują, że zabezpieczenia powinny odpowiadać ryzyku konkretnego środowiska.

Kontrola dostępu, konta i rejestry zdarzeń

Jednym z podstawowych elementów technicznego podejścia jest indywidualne konto użytkownika. Wspólne konto administratora utrudnia ustalenie, kto otworzył, zmienił albo usunął plik. Uprawnienia powinny wynikać z zakresu obowiązków, a nie z wygody konfiguracji. Konto używane do codziennej pracy nie powinno mieć uprawnień administratora, jeżeli nie są one potrzebne do wykonywania zadań. Po zmianie stanowiska lub zakończeniu współpracy dostęp trzeba niezwłocznie ograniczyć albo wyłączyć.

Istotne znaczenie ma uwierzytelnianie. Długie, unikalne hasła ograniczają ryzyko wykorzystania tych samych danych logowania w kilku usługach, natomiast uwierzytelnianie wieloskładnikowe dodaje drugi element weryfikacji, na przykład kod z aplikacji lub klucz sprzętowy. W systemach przechowujących informacje o użytkownikach należy skonfigurować rejestrowanie logowań, nieudanych prób dostępu, zmian uprawnień i operacji administracyjnych. Logi powinny mieć ograniczony dostęp oraz ochronę przed nieuprawnioną modyfikacją, ponieważ ich wartość dowodowa zależy od wiarygodności zapisu.

Szyfrowanie, kopie zapasowe i usuwanie informacji

Szyfrowanie danych ogranicza skutki utraty urządzenia lub nośnika. W laptopach można stosować szyfrowanie całego dysku, dzięki któremu odczyt zawartości bez prawidłowego klucza jest utrudniony nawet po wyjęciu dysku z obudowy. Przy przesyłaniu danych przez sieć należy korzystać z szyfrowanych połączeń, a nie z protokołów przesyłających dane jawnie. Klucze szyfrujące trzeba chronić oddzielnie od zaszyfrowanych danych. Samo włączenie szyfrowania nie wystarcza, jeżeli klucz jest zapisany w łatwo dostępnym miejscu albo dostęp do niego ma zbyt szeroka grupa osób.

Kopia zapasowa powinna obejmować dane potrzebne do odtworzenia pracy, a jej wykonanie powinno być okresowo sprawdzane przez próbę odtworzenia plików. Kopia podłączona stale do komputera może zostać zaszyfrowana razem z danymi podstawowymi, dlatego warto oddzielić ją logicznie lub fizycznie od środowiska roboczego. Przy wycofaniu dysku, pendrive’a albo komputera z użycia należy zastosować procedurę bezpiecznego usunięcia danych odpowiednią dla rodzaju nośnika. Zwykłe przeniesienie pliku do kosza nie usuwa jego zawartości w sposób pozwalający uznać informację za nieodwracalnie skasowaną.

Weryfikacja konfiguracji urządzeń w praktyce

Ocena zgodności technicznej może obejmować sprawdzenie aktualizacji systemu, stanu szyfrowania, konfiguracji kont, uprawnień do katalogów, działania zapory, ochrony przed złośliwym oprogramowaniem oraz sposobu wykonywania kopii zapasowych. Należy również ustalić, czy na urządzeniu nie pozostały nieużywane konta, stare programy z dostępem do danych lub pliki tymczasowe zawierające informacje wrażliwe. Wynik kontroli powinien wskazywać konkretną nieprawidłowość, jej wpływ na bezpieczeństwo oraz działanie korygujące, zamiast ograniczać się do ogólnego stwierdzenia, że komputer jest zabezpieczony.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów stacjonarnych PC i podzespołów, dlatego przy przekazaniu urządzenia do serwisu warto wcześniej opisać zakres danych zapisanych na dysku oraz sposób dostępu potrzebny do wykonania czynności. Diagnostyka sprzętowa może obejmować stan dysku, błędy systemowe, problemy z uruchamianiem i działaniem zabezpieczeń. Uprawnienia do danych powinny być udostępniane wyłącznie w zakresie niezbędnym do konkretnej czynności, a przed przekazaniem urządzenia należy ustalić, czy wymagane jest wykonanie kopii zapasowej.