Phishing pracownika jako incydent danych: kiedy zgłosić naruszenie

Nie każde kliknięcie powoduje naruszenie ochrony danych

Phishing może doprowadzić do kradzieży hasła, przejęcia sesji lub ujawnienia danych, ale ocena RODO wymaga ustalenia, czy doszło do naruszenia poufności, integralności lub dostępności danych osobowych. Trzeba określić zakres informacji, osoby, których dotyczy incydent, oraz potencjalne skutki. Samo otrzymanie fałszywej wiadomości nie musi oznaczać zgłaszalnego naruszenia. Rzetelne postępowanie zaczyna się od izolacji zdarzenia, zabezpieczenia logów i oceny ryzyka dla praw i wolności osób.

Termin 72 godzin i zawiadomienie osób

Art. 33 RODO przewiduje zgłoszenie naruszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw lub wolności. Zawiadomienie osób, których dane dotyczą, podlega odrębnemu progowi wynikającemu z art. 34. Ważne jest zapisanie chwili stwierdzenia zdarzenia, przesłanek oceny ryzyka i działań ograniczających skutki. Nie należy mylić wykrycia podejrzanej wiadomości z ustaleniem naruszenia danych.

Przykład przejęcia skrzynki pocztowej

Pracownik podał hasło na podrobionej stronie logowania, a napastnik uzyskał dostęp do firmowej skrzynki. Dla oceny obowiązków z RODO konieczne jest ustalenie, jakie wiadomości i załączniki były dostępne, czy nastąpił odczyt lub eksport danych oraz jakie zabezpieczenia zadziałały. Nie należy utożsamiać każdego kliknięcia w link z potwierdzonym naruszeniem danych osobowych. W pierwszej kolejności trzeba zabezpieczyć logi, przerwać dostęp i określić skalę incydentu.

Ocena ryzyka i informowanie osób

Administrator powinien zapisać moment stwierdzenia naruszenia, kategorie danych oraz prawdopodobne skutki dla zainteresowanych osób. Zawiadomienie UODO i poinformowanie osób podlegają różnym przesłankom ustawowym. Dokumentacja musi umożliwiać odtworzenie, dlaczego przyjęto określony poziom ryzyka. Nie wystarczy przesłać lakonicznego zgłoszenia wyłącznie z informacją „phishing”, jeśli można ustalić rodzaje danych i rzeczywistą skalę naruszenia.

Incydent wykryty po weekendzie: jak ustalić termin zgłoszenia

Pracownik otrzymał fałszywą wiadomość w piątek, ale administrator dowiedział się o możliwym przejęciu konta dopiero w poniedziałek po sprawdzeniu logów. Dla oceny terminu zgłoszenia nie wystarczy mechanicznie przyjąć daty otrzymania wiadomości: trzeba ustalić moment stwierdzenia naruszenia ochrony danych osobowych, charakter zdarzenia oraz ryzyko dla praw osób. Art. 33 RODO wymaga zgłoszenia odpowiedniemu organowi, jeżeli nie zachodzi wskazany ustawą wyjątek, bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin od stwierdzenia. Analiza powinna zachować chronologię sygnałów, logi techniczne i przyczyny oceny ryzyka. Odrębnie ustala się, czy potrzebne jest poinformowanie osób, których dane dotyczą.

Podstawa oceny i kwalifikacja zdarzenia

Należy odtworzyć chronologię wiadomości, działania użytkownika, uruchomione sesje, logowania, pobrane pliki i ewentualną zmianę uprawnień. Samo wykrycie podejrzanej wiadomości i potwierdzone ujawnienie danych to różne sytuacje prawne.

Obowiązki organizacyjne i dowody

W razie naruszenia ochrony danych osobowych administrator dokonuje oceny ryzyka dla praw lub wolności osób. Art. 33 RODO reguluje zgłoszenie organowi nadzorczemu, a art. 34 odrębnie odnosi się do zawiadomienia osób przy wysokim ryzyku. Terminy nie mogą być sztucznie opóźniane przez oczekiwanie na pełną ekspertyzę techniczną.

Postępowanie praktyczne i konsekwencje

W pierwszych godzinach należy ograniczyć sesje i tokeny dostępu, zabezpieczyć logi, ustalić dane objęte zdarzeniem i prowadzić dokumentację. Raport techniczny powinien dostarczyć faktów do odrębnej kwalifikacji prawnej, a nie zastępować tej kwalifikacji.

Przykład zastosowania

Po fałszywej wiadomości pracownik ujawnił hasło. Administrator ustala, czy wystąpiły logowania i dostęp do danych, a następnie ocenia obowiązek zgłoszenia.

Incydent bezpieczeństwa a naruszenie ochrony danych

Sam fakt otrzymania wiadomości phishingowej nie oznacza jeszcze naruszenia ochrony danych osobowych. Trzeba ustalić, czy pracownik kliknął link, ujawnił poświadczenia, uruchomił złośliwy kod oraz czy doszło do nieuprawnionego dostępu, utraty lub ujawnienia danych. Ocena ma dotyczyć realnego zdarzenia i kategorii informacji, nie wyłącznie rodzaju ataku. W praktyce potrzebne są logi logowania, zakres przyznanych uprawnień, informacje o koncie i ewentualnych operacjach wykonanych po przejęciu hasła.

Zgłoszenie do UODO i liczenie 72 godzin

Art. 33 RODO przewiduje zasadniczy termin 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Nie każde kliknięcie phishingowe wymaga automatycznie zgłoszenia. Trzeba jednak udokumentować ocenę ryzyka, podjęte czynności ograniczające skutki, zakres danych i moment uzyskania przez administratora wystarczającej wiedzy o incydencie. Przy wysokim ryzyku może powstać dodatkowy obowiązek zawiadomienia osób, których dane dotyczą, zgodnie z art. 34 RODO.

Podstawa prawna

Art. 4 pkt 12, art. 33–34 RODO. Urzędowy tekst rozporządzenia jest dostępny w EUR-Lex, a zakres stosowania należy zestawić z faktami i właściwymi regulacjami sektorowymi.