Plan reagowania na naruszenie ochrony danych: kto co robi w firmie
Plan reagowania na naruszenie ochrony danych w małej firmie przydziela pięć zadań konkretnym osobom: opanowanie, ocenę, zgłoszenie, zapis i naprawę. Dzięki temu w pierwszych godzinach nikt nie zgaduje, kto ma co zrobić. A powodem może być cokolwiek: laptop zostawiony w pociągu, przejęta skrzynka, z której ktoś wysyła faktury do Twoich klientów, albo login do CRM, który wypłynął tam, gdzie zdecydowanie nie powinien. Poniżej omawiam po kolei każdy krok i piszę, kto za niego odpowiada.
Spis treści
Kto co robi w planie reagowania na naruszenie danych w małej firmie?
Potrzebujesz trzech ról. Tylko tyle: koordynatora incydentu, osoby technicznej i osoby od komunikacji. Najpierw definicja. Naruszenie ochrony danych osobowych to każdy incydent bezpieczeństwa, w którym informacje o możliwych do zidentyfikowania osobach zostają utracone, zmienione, zniszczone albo trafiają w ręce kogoś, kto nie powinien ich widzieć. Każda rola potrzebuje też wskazanego zastępcy. Dlaczego? Bo incydenty nie czekają, aż wszyscy wrócą z urlopu.
- Koordynator incydentu (właściciel albo office manager): decyduje, czy zgłaszać naruszenie, zatwierdza komunikaty i prowadzi oś czasu zdarzeń. Zastępca: wspólnik lub doświadczony pracownik.
- Osoba techniczna (własny informatyk albo zewnętrzna firma IT): blokuje konta, zabezpiecza urządzenia, zbiera dowody. Zastępca: druga osoba kontaktowa u dostawcy.
- Osoba od komunikacji: pisze powiadomienia do klientów, pracowników i partnerów oraz odpowiada na pytania. Zastępca: koordynator incydentu.
Przygotuj jednostronicową listę kontaktów, wydrukowaną albo zapisaną offline. Wpisz na nią firmę IT, dostawców oprogramowania, prawnika i krajowy organ nadzorczy. Przejęta skrzynka to kiepskie miejsce do szukania numerów telefonów (zapytaj kogoś, kto próbował).
Krok 1: Opanuj szkody w pierwszej godzinie
Najpierw odetnij dalszy dostęp. Dochodzenie przyjdzie później. Pierwsza rusza osoba techniczna, a to, co robi, zależy od tego, co się stało:
- Zgubiony lub skradziony laptop: zablokuj go albo wyczyść zdalnie, a potem zmień wszystkie hasła, które były na nim zapisane.
- Przejęta skrzynka: zresetuj hasło, wyloguj wszystkie aktywne sesje i usuń reguły przekierowania dodane przez atakującego.
- Wyciek loginu do CRM: wyłącz tego użytkownika i zmień wszystkie współdzielone hasła, do których miał dostęp.
Przy okazji usuń konta, które nie powinny już istnieć. Byli pracownicy i dawni podwykonawcy to klasyczna luka, dlatego odbieranie dostępu odchodzącym pracownikom powinno być w każdym planie. I jeszcze jedno. Nie kasuj dowodów. Zachowaj podejrzane maile, zrzuty ekranu i znaczniki czasu.
Krok 2: Oceń, jakie dane wyciekły i czyje
Teraz ustal, jakich rodzajów danych i jakich osób dotyczy naruszenie oraz jak bardzo prawdopodobne jest, że ktoś faktycznie na tym ucierpi. Koordynator incydentu i osoba techniczna przechodzą razem przez te pytania:
- Którego systemu to dotyczy i jakie dane w nim były?
- Ilu mniej więcej osób dotyczy naruszenie?
- Czy dane były zaszyfrowane i czy da się je odtworzyć z kopii zapasowych?
Haczyk jest taki: dane jednego klienta zwykle siedzą jednocześnie w poczcie, arkuszach i CRM. Wyszukanie danych jednej osoby we wszystkich tych narzędziach daje dużo uczciwszy obraz tego, co wyciekło. Korzystasz z CRM w chmurze? Sprawdź, za co odpowiada dostawca, a za co Ty. Jeśli przed telefonem do niego doczytasz o podziale odpowiedzialności w chmurowym CRM, oszczędzisz sobie sporo wymiany wiadomości.
Krok 3: Zgłoszenie naruszenia z RODO - kogo i do kiedy powiadomić
Administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia. Ta zasada wynika z art. 33 tekstu RODO w EUR-Lex i ma jeden wyjątek: naruszenia, które raczej nie niosą ryzyka naruszenia praw lub wolności osób. Kto o tym decyduje? Koordynator incydentu.
Zgodnie z art. 33 ust. 3 zgłoszenie opisuje charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy, punkt kontaktowy, możliwe konsekwencje oraz podjęte lub planowane środki. Nie musisz też wysyłać wszystkiego naraz. Zgłoszenie można składać etapami.
Powiadomienie klientów, których dotyczy naruszenie, to osobny obowiązek, z art. 34. Jeśli naruszenie może powodować wysokie ryzyko dla ludzi, informujesz ich bezpośrednio, jasnym i prostym językiem. Bez prawniczego żargonu. Osoba od komunikacji pisze treść, koordynator incydentu ją zatwierdza. Nie wiesz, czy dany przypadek trzeba zgłosić? Zapytaj krajowy organ nadzorczy albo prawnika. To lepsze niż zgadywanie.
Krok 4: Zapisz wszystko w rejestrze naruszeń
Art. 33 ust. 5 wymaga dokumentowania każdego naruszenia, jego skutków i podjętych działań. Każdego, także tych, których postanowisz nie zgłaszać. Rejestr naruszeń powinien zawierać:
- Datę wykrycia naruszenia
- Kto je wykrył
- Co się stało
- Jakich danych i osób dotyczy
- Decyzję o ryzyku i jej uzasadnienie
- Kogo powiadomiono i kiedy
- Wprowadzone poprawki
Rejestr ma jednego właściciela, zwykle koordynatora incydentu. Trzymaj go tam, gdzie incydent go nie dosięgnie: na osobnym dysku, w papierowym segregatorze. Nie w skrzynce, która właśnie została przejęta. (Wydaje się oczywiste. A ludzie wciąż to robią.)
Krok 5: Usuń przyczynę, żeby sytuacja się nie powtórzyła
Załataj dziurę, przez którą doszło do naruszenia, a potem krytycznie przejrzyj sam plan. Typowe poprawki są dość nudne, w dobrym sensie: osobne hasło do każdego konta, mniej osób z wglądem w pełne listy klientów, szyfrowanie na każdym laptopie i telefonie oraz przywrócenie czystych danych z kopii zapasowych tam, gdzie wpisy zostały uszkodzone.
Część ciężkiej pracy może wykonać za Ciebie oprogramowanie. EpicCRM korzysta z ról użytkowników do ograniczania dostępu do danych klientów, więc handlowiec nie dostaje całej bazy kontaktów. Działa też na serwerach w UE z szyfrowaniem, backupem i kontrolą dostępu, a na stronie jest dostępna umowa powierzenia przetwarzania danych (DPA).
Na koniec zrób krótkie spotkanie po incydencie. Co zadziałało? Co szło za wolno? Potem zaktualizuj listę kontaktów.
Lista kontrolna reagowania na incydent do wydruku
Oto całość na jednej stronie: pięć kroków i osoba odpowiedzialna za każdy z nich:
- Opanowanie: osoba techniczna
- Ocena: koordynator incydentu razem z osobą techniczną
- Zgłoszenie: decyduje koordynator incydentu, treść pisze osoba od komunikacji
- Zapis: koordynator incydentu
- Naprawa: osoba techniczna, sprawdza koordynator incydentu
Moja rada? Napisz plan reagowania na naruszenie danych, zanim będzie potrzebny. Raz w roku przećwicz go na wymyślonym scenariuszu i przy każdej roli wpisz prawdziwe nazwiska. Jeśli zaczniesz go pisać w dniu naruszenia, tracisz czas, którego po prostu nie masz.
FAQ
Czy każde naruszenie ochrony danych osobowych muszę zgłaszać do organu nadzorczego?
Nie. Art. 33 ust. 1 zwalnia z tego obowiązku naruszenia, które raczej nie niosą ryzyka dla osób fizycznych. Nadal jednak wpisujesz je do rejestru naruszeń, razem z uzasadnieniem. W razie wątpliwości zapytaj organ nadzorczy albo prawnika.
Co, jeśli nie zdążę zebrać wszystkich informacji przed terminem?
Art. 33 ust. 4 pozwala przekazywać informacje etapami, bez dalszej zbędnej zwłoki. Wyślij więc to, co wiesz teraz, i uzupełniaj resztę w miarę postępów dochodzenia. Każde przekazanie zapisz w rejestrze.
Kto w małej firmie powinien odpowiadać za plan reagowania na naruszenie?
Właściciel albo office manager w roli koordynatora incydentu. Wyznacz zastępcę na czas jego nieobecności i miej na liście kontaktów osobę z zewnętrznej firmy IT.
