Do napisania tego artykułu skłoniła mnie ostatnia rozmowa telefoniczna jaką odbyłem z osobą zarządzającą jedną z większych sieci placówek medycznych oraz ostatni wyciek danych z MyDr.

Rozmawialiśmy między innymi o bezpieczeństwie systemów i danych. W pewnym momencie usłyszałem argument, który - parafrazując - sprowadzał się do tego, że skoro placówki korzystają z rozwiązania dostarczanego przez zewnętrzną firmę, to kwestie bezpieczeństwa leżą przede wszystkim po stronie tego dostawcy a placówka nie ponosi już odpowiedzialności za przekazane dane. Wygodne założenie a jednocześnie bardzo niebezpieczne i mylne.

To jeden z bardzo niebezpiecznych mitów związanych z SaaS, chmurą i hostingiem.

Po incydencie bezpieczeństwa, o którym ostatnio jest tak głośno, wszyscy pytają "jak mogło do tego dojść?". Moim zdaniem powinniśmy także pytać, czy organizacje powierzające dane zewnętrznym dostawcom rzeczywiście wiedzą komu je powierzają, jakie ryzyko się z tym wiąże, jakie zabezpieczenia stosuje ich dostawca – zarówno technologiczne jak i organizacyjne.

Pamiętaj, że jeśli Twoja firma korzysta z usług IT innych firm to i tak TY jako właściciel jesteś administratorem przetwarzanych danych. Dostawcy czy usługodawcy, z których usług korzystasz to tylko podmioty którym powierzyłeś przetwarzanie danych.

W świetle prawa między innymi RODO administrator powinien korzystać z podmiotów przetwarzających, które zapewniają odpowiednie gwarancje wdrożenia środków technicznych i organizacyjnych. Samo podpisanie umowy powierzenia przetwarzania danych nie wystarczy i nie zrzuca z Ciebie odpowiedzialności przed organem nadzorczym.

Firma powinna przeprowadzić analizę ryzyka i ocenić jego wpływ na działanie organizacji i bezpieczeństwo danych.

Jeżeli organizacja nie wie:
- gdzie faktycznie znajdują się jej dane,
- kto ma do nich dostęp,
- z jakich podwykonawców korzysta dostawca,
- jakie mechanizmy uwierzytelniania i kontroli dostępu funkcjonują w systemie,
- jak wygląda szyfrowanie danych,
- jak szybko instalowane są poprawki bezpieczeństwa,
- jak wygląda monitoring zdarzeń i reagowanie na incydenty,
- jak długo przechowywane są kopie zapasowe,
- kiedy i w jaki sposób dane są usuwane,
- gdzie dane trafią w przypadku zakończenia umowy,
- czy dostawca jest regularnie audytowany,
to trudno mówić o świadomym zarządzaniu ryzykiem.

Przy wyborze dostawcy główne pytanie w firmach to "Ile to będzie kosztowało?".

Nie padają natomiast pytania o:
- architekturę rozwiązania,
- model dostępu,
- zarządzanie podatnościami,
- kopie zapasowe,
- ciągłość działania,
- obsługę incydentów,
- podwykonawców,
- lokalizację danych,
- transfery poza EOG,
- możliwość przeprowadzania kontroli i audytów.

Kolejnym błędem, jeśli w ogóle firma zainteresuje się tematem analizy ryzyka, jest to, że wykonywana jest tylko raz, zostaje zapisana w pliku docx czy xlsx, odkładana i wszyscy o niej zapominają. To tak samo, jak by jej nie było!

Świat się zmienia, zagrożenia cybernetyczne ewoluują, codziennie pojawiają się nowe, zmienia się sposób działania hackerów. Dodatkowo pracownicy się zmieniają, zmieniają się systemy informatyczne. To, poza zapisami wynikającymi bezpośrednio z przepisów i norm, wymusza między innymi potrzebę prowadzenia szkoleń zwiększających świadomość cyberzagrożeń cyklicznie, co najmniej raz w roku.

Dodatkowo przepisy NIS2, które obejmują między innymi branżę medyczną, RODO oraz norma ISO 27001 wymagają od organizacji posiadania, ale co ważne także aktualizowania i analizowania następujących procedur/rejestrów:
- Rejestr czynności przetwarzania
- Rejestr dostawców i podmiotów przetwarzających
- Analizę ryzyka
- Ocenę skutków dla ochrony danych
- Rejestr incydentów
- Rejestr wniosków RODO
- Rejestr uprawnień i regularne przeglądy dostępów
- Politykę retencji i usuwania danych
- Procedury backupu, odtwarzania i ciągłości działania
- Procedury zarządzania podatnościami i aktualizacjami

I przede wszystkim dokumenty te muszą żyć i odzwierciedlać stan faktyczny. Nie mogą to więc być uniwersalne pakiety dokumentów/szablonów kupione w sklepie internetowym!

Należy także pamiętać, że NIS2 nakłada odpowiedzialność personalną na Członków Zarządu czy właścicieli firm (w zależności od formy działalności). Oznacza to, że jako Prezes/Właściciel odpowiadasz całym swoim majątkiem za ewentualne konsekwencje niewywiązania się z nakładanych wymogów prawnych, organizacyjnych i technicznych.

Dlatego wykonaj analizę poziomu cyberbezpieczeństwa Twojej firmy już dziś.

Wspólnie z kancelarią adwokacką adwokat Anna Tumas świadczymy usługi audytu wewnętrznego i doradztwa w zakresie cyberbezpieczeństwa oraz zgodności z RODO i NIS2/KSC.

Łączymy perspektywę techniczną, organizacyjną i prawną: od analizy ryzyka i weryfikacji dostawców, przez przegląd architektury i zabezpieczeń, po dokumentację, procedury, umowy,obowiązki regulacyjne oraz przygotowanie organizacji do audytu lub kontroli.

Celem takiego audytu nie jest stworzenie kolejnego segregatora dokumentów. Celem jest realne podniesienie bezpieczeństwa przetwarzanych danych oraz zmniejszenie ryzyka związanegoz niezgodnością z wymogami prawnymi i dobrymi praktykami stosowanymi dzisiaj w świecie IT.

Bo odpowiedzialności za bezpieczeństwo nie da się przenieść jednym podpisem pod umową SaaS!