Co RODO mówi o ransomware?

Przeczytaj także: Atak hakerski na dział HR. Jak się zabezpieczyć?

RODO, czyli unijne Rozporządzenie o ochronie danych osobowych (General Data Protection Regulation) wchodzi w życie 25 maja 2018 roku. Konieczność wdrożenia jego regulacji zbliża się zatem wielkimi krokami. Treść rozporządzenia daje organizacjom wskazówki odnośnie zarządzania danymi osobowymi ich klientów. Wyjaśnia m.in., jak zabezpieczać takie dane i co robić w sytuacji, gdy utracą nad nimi kontrolę.

Ze względu na to, że RODO jest dokumentem o charakterze stricte prawnym, nieodzowne staje się wyjaśnienie, czym w jego rozumieniu jest „naruszenie ochrony danych osobowych”. Oto definicja wynikająca wprost z jego treści:

Zwrot „naruszenie ochrony danych” przywodzi na myśl firmę tracącą kontrolę nad poufnymi informacjami. W praktyce definicja RODO jest jednak znacznie szersza i może obejmować wiele różnych incydentów, w tym infekcje ransomware skutkujące blokadą dostępu do danych lub ich niszczeniem.

Co to oznacza dla firm?

Jak twierdzi dyrektor regionalny F-Secure, Michał Iwan, organizacje prawdopodobnie będą musiały zgłaszać takie infekcje władzom i klientom.

– Wykrycie oprogramowania ransomware (albo dowolnego innego złośliwego oprogramowania) na stacjach roboczych czy serwerach, które odgrywają ważną rolę w przetwarzaniu danych osobowych, może stanowić naruszenie ochrony tych danych i potencjalnie konieczne będzie informowanie o tego typu zdarzeniach – mówi Michał Iwan.

Artykuły 33 i 34 RODO określają, jak należy kontaktować się z władzami i osobami, których dane dotyczą. Pojawia się jednak wątpliwość – w rozporządzeniu stwierdzono, że jest to niezbędne tylko wtedy, gdy – parafrazując – naruszenie ochrony danych może powodować ryzyko naruszenia „praw lub wolności osób fizycznych”. Sytuacja nie jest do końca jasna w przypadku zaszyfrowania lub utracenia danych w związku z infekcją ransomware.

– Jeżeli atak ransomware wpłynie na zgromadzone przez firmę dane osobowe, problemem jest nie tylko sam wyciek i konieczność zgłoszenia go, ale również to, jak odzyskać dane, żeby kontynuować działalność biznesową. W przypadku braku kopii zapasowych, ponowne zgromadzenie danych potrzebnych do funkcjonowania firmy może być ogromnym, a często wręcz niewykonalnym przedsięwzięciem. Prawdopodobnie konieczne będzie zgłoszenie incydentu, nawet w przypadkach gdy dane zostały zniszczone, a nie skradzione – komentuje Michał Iwan.

Kluczową rolę w kwestiach bezpieczeństwa zawartych w RODO odegra gotowość do reagowania na sytuacje kryzysowe.

– Z praktycznego punktu widzenia, plany reagowania na cyberataki muszą zostać zaktualizowane i obejmować weryfikację czy dany incydent wymaga zgłoszenia na mocy RODO – podsumowuje Michał Iwan.