Bezpieczeństwo informacji w urzędzie przy zdalnej pracy
Urząd gminy (85 pracowników) wprowadza pracę zdalną dla 20 osób. Pracownicy używają prywatnych laptopów i domowych sieci Wi-Fi. Dokumenty zawierające dane osobowe są przesyłane e-mailem na prywatne skrzynki, a następnie edytowane i odsyłane. Urząd nie ma polityki haseł ani uwierzytelniania dwuskładnikowego. Jeden z pracowników zgłosił, że jego laptop został zainfekowany złośliwym oprogramowaniem, ale „nic się nie stało”. W urzędzie działa system dziedzinowy, ale dostęp zdalny odbywa się przez zwykłe VPN bez MFA.
1. Zidentyfikuj główne ryzyka bezpieczeństwa informacji i wskaż, które naruszają zasady ochrony danych.
Read the worked answer
Główne ryzyka:
- Prywatne urządzenia bez zarządzania - brak kontroli nad aktualizacjami, oprogramowaniem antywirusowym, szyfrowaniem dysku. Ryzyko utraty danych.
- Przesyłanie danych osobowych na prywatne skrzynki - narusza zasadę poufności i integralności; dane wychodzą poza kontrolę administratora.
- Brak MFA i polityki haseł - zwiększa ryzyko przejęcia konta (phishing, brute force).
- Zainfekowany laptop - incydent bezpieczeństwa; brak zgłoszenia i analizy to naruszenie procedury.
- VPN bez MFA - dostęp zdalny do systemu dziedzinowego staje się wektorem ataku.
Naruszenia zasad ochrony danych:
- Zasada poufności (art. 5 RODO) - dane przetwarzane w sposób niezabezpieczony.
- Zasada rozliczalności - brak dokumentacji środków bezpieczeństwa.
- Potencjalnie naruszenie obowiązku zgłoszenia incydentu.
Uwaga: samo „nic się nie stało” nie jest oceną - trzeba ustalić, czy doszło do naruszenia danych (czy dane były dostępne dla osób nieuprawnionych).
2. Zaproponuj plan wdrożenia bezpiecznej pracy zdalnej z priorytetami.
Read the worked answer
Priorytety (najpierw najwyższe ryzyko):
- Natychmiast: wymusić MFA na VPN i kontach pocztowych; zablokować przesyłanie danych na prywatne skrzynki (polityka DLP).
- Krótki termin (1–2 tygodnie):
- Wprowadzić politykę haseł (długość, złożoność, rotacja, zakaz reużycia).
- Zapewnić służbowe urządzenia lub przynajmniej szyfrowanie dysku i antywirus na prywatnych.
- Wdrożyć procedurę zgłaszania incydentów.
- Średni termin (1–3 miesiące):
- Zdefiniować politykę pracy zdalnej (kto, na jakich urządzeniach, jakie dane).
- Wdrożyć zarządzanie urządzeniami (MDM) lub model dostępu przez pulpit zdalny do infrastruktury urzędu.
- Szkolenia z cyberhigieny (phishing, hasła, MFA).
- Długi termin:
- Audyt bezpieczeństwa, testy penetracyjne.
- Przegląd umów z dostawcami IT.
Zasada: dane osobowe nie powinny opuszczać kontrolowanego środowiska; jeśli muszą, to tylko przez szyfrowane kanały i na zarządzanych urządzeniach.
3. Pracownik zgłosił incydent. Jak powinien zareagować urząd zgodnie z RODO i dobrymi praktykami?
Read the worked answer
Reakcja:
- Izolacja urządzenia - odłączyć laptop od sieci, zabezpieczyć dowody (logi, obrazy dysku).
- Ocena incydentu - ustalić, do jakich danych mógł mieć dostęp atakujący, czy doszło do wycieku, czy dane były szyfrowane.
- Zgłoszenie do IOD (lub osoby odpowiedzialnej) - wewnętrzna procedura.
- Decyzja o zgłoszeniu do UODO - jeśli istnieje ryzyko naruszenia praw osób, zgłosić w ciągu 72 godzin.
- Zawiadomienie osób - jeśli wysokie ryzyko.
- Dokumentacja - wpis do rejestru naruszeń, opis działań zaradczych.
- Działania naprawcze - aktualizacje, skanowanie, zmiana haseł, przegląd uprawnień.
Dobre praktyki:
- Nie karać pracownika za zgłoszenie (kultura zgłaszania).
- Przeprowadzić analizę przyczyn (root cause).
- Poinformować kierownictwo i ewentualnie organ nadzorczy.
Kluczowe: „nic się nie stało” to nie analiza - trzeba udokumentować, że dane nie wyciekły, albo zgłosić naruszenie.