Zabezpečení osobních údajů

Bezpečnost a co může být v sázce?

Důsledky nedostatečné bezpečnosti mohou být závažné: společnosti mohou vidět, jak se jejich image zhoršuje, ztrácejí důvěru svých spotřebitelů, musí platit velké částky peněz, aby se zotavily z bezpečnostního incidentu (například po porušení zabezpečení osobních údajů, nebo musí ukončit svou činnost. Zabezpečené osobní údaje jsou v zájmu jednotlivců i organizací, které je zpracovávají.

Za účelem posouzení rizik vyplývajících z každé operace zpracování je nejprve vhodné určit potenciální dopad na práva a svobody dotčených fyzických osob. Zatímco organizace musí chránit své údaje (osobní či nikoli) ve svém vlastním zájmu, následující informace se zaměřují na ochranu údajů fyzických osob.

Zabezpečení údajů má tři hlavní složky: k ochraně integrity, dostupnosti a důvěrnosti údajů. Organizace by proto měly posoudit rizika pro:

1. neoprávněný nebo náhodný přístup k údajům - porušení důvěrnosti (např. krádež identity po zveřejnění výplatních pásek všech zaměstnanců společnosti);
2. neoprávněné nebo náhodné změny údajů - porušení integrity (např. nepravdivé obvinění osoby z protiprávního jednání nebo trestného činu v důsledku změny přístupových protokolů);
3. ztráta údajů nebo ztráta přístupu k údajům – narušení dostupnosti (např. nezjištění lékové interakce z důvodu nemožnosti přístupu k elektronickému záznamu pacienta).

Doporučuje se rovněž určit zdroje rizik (tj. kdo nebo co, by mohlo být příčinou každého bezpečnostního incidentu) s přihlédnutím k interním a externím lidským zdrojům (např. správce ICT, uživatel, externí útočník, konkurent) a interním nebo externím zdrojům, které nejsou lidské (např. poškození vodou, nebezpečné materiály, necílený počítačový virus).

Tato identifikace zdrojů rizik vám umožní identifikovat potenciální hrozby (tj. jaké okolnosti by mohly umožnit vznik bezpečnostního incidentu?) na podpůrných aktivech (např. hardware, software, komunikační kanály, papír atd.), které mohou být:

• používány nevhodným způsobem (např. zneužitím práv, manipulací s chybami)
• upraveny (např. zachycení softwaru nebo hardwaru - keylogger, instalace malwaru)
• ztraceny (např. krádež notebooku, ztráta USB klíče)
• pozorovány (např. pozorování obrazovky ve vlaku, geolokace zařízení);
• poškozeny (např. vandalismus, přirozené opotřebení)
• přetíženy (např. plná úložná jednotka, útok a odepření služby)
• nejsou k dispozici (např. v případě ransomwaru).

Doporučuje se proto:

• určit stávající nebo plánovaná opatření k řešení každého rizika (např. kontrola přístupu, zálohování, sledování a  zabezpečení prostor, šifrování)
• odhadnout závažnost a pravděpodobnost rizik na základě výše uvedených prvků (příklad stupnice, kterou lze pro odhad použít: zanedbatelné, střední, významné, maximální);
• provádí a ověřuje plánovaná opatření, pokud jsou stávající a plánovaná opatření považována za vhodná, zajišťuje jejich provádění a sledování;
• provádět pravidelné bezpečnostní audity: výsledkem každého auditu by měl být akční plán, jehož provádění by mělo být monitorováno na nejvyšší úrovni organizace.

Obecné nařízení o ochraně osobních údajů zavádí pojem „posouzení vlivu na ochranu osobních údajů“ (DPIA), které je povinné pro jakékoli zpracování osobních údajů, které by mohlo vést k vysokému riziku pro fyzické osoby. Posouzení vlivu na ochranu osobních údajů (DPIA) musí obsahovat plánovaná opatření k řešení zjištěných rizik, včetně záruk, bezpečnostních opatření a mechanismů k zajištění ochrany osobních údajů.

V praxi

• Chcete-li mít jasnější přehled o bezpečnostních rizicích, můžete například vytvořit tabulku řízení rizik a pravidelně ji aktualizovat. Tato tabulka může zahrnovat materiální a lidská rizika související se servery, počítači nebo prostory. Dostatečně predikovaná rizika mohou pomoci zmírnit důsledky v případě incidentu.

Organizační opatření

Zvyšování povědomí uživatelů

Je nezbytné, aby si zaměstnanci nebo uživatelé, kteří nakládají s osobními údaji (zpracovatelé údajů), byli vědomi rizik souvisejících se soukromím a aby byli informováni o opatřeních přijatých k řešení incidentů a o možných důsledcích v případě selhání.

V praxi

Zvyšování povědomí uživatelů může mít podobu:

• osvětové akce
• pravidelné aktualizace postupů vztahujících se k funkčnímu zařazení funkcí zaměstnanců a subjektů zpracovávajících osobní údaje
• interní komunikace – např. prostřednictvím e-mailových upomínek apod.

Dalším preventivním opatřením je zdokumentovat provozní postupy, průběžně je aktualizovat a učinit snadno přístupnými všem dotčeným subjektům zpracovávajícím osobní údaje. Konkrétně by jakákoli činnost zpracování osobních údajů, ať už se týká administrativních operací nebo jednoduchého použití aplikace, měla být v dokumentech, na které se mohou odvolávat, vysvětlena jasným jazykem a přizpůsobena každé kategorii zpracovatelů.

Nastavení vnitřní politiky

Informovanost interních zpracovatelů údajů může mít podobu dokumentu, který by měl být závazný a měl by být začleněn do vnitřních předpisů. Vnitřní politika by měla obsahovat zejména popis pravidel pro ochranu údajů a bezpečnost.

Další organizační opatření

• Zavést politiku klasifikace informací, která definuje několik úrovní a vyžaduje označování dokumentů a e-mailů obsahujících důvěrné údaje.
• Učinit viditelné a explicitní prohlášení na každé stránce papírového nebo elektronického dokumentu, který obsahuje citlivá data.
• Provádějte školení a osvětové akce v oblasti bezpečnosti informací. Pravidelné upomínky mohou být poskytovány prostřednictvím e-mailu nebo jiných interních komunikačních nástrojů.
• Zajistit podpis dohody o mlčenlivosti nebo zahrnout zvláštní doložku o mlčenlivosti týkající se osobních údajů do smluv se zaměstnanci a jinými zpracovateli osobních údajů.

Technická opatření

Zabezpečená zařízení

Důvěra ve spolehlivost vašich informačních systémů je klíčovou otázkou a zavedení vhodných bezpečnostních opatření, která jsou podle obecného nařízení o ochraně osobních údajů povinná, je jedním ze způsobů, jak toho dosáhnout.

Doporučuje se zejména zajištění:

• hardware (např. servery, pracovní stanice, notebooky, pevné disky)
• software (např. operační systém, obchodní software)
• komunikační kanály (např. optická vlákna, Wi-Fi, internet)
• papírové dokumenty (např. tištěné dokumenty, kopie)
• prostory

Zabezpečené pracovní stanice

Při zabezpečování pracovišť by mohly být zváženy následující kroky:

• zajistit mechanismus automatického blokování relací v případě, že pracovní stanice není po určitou dobu používána
• instalovat software firewallu a omezit otevírání komunikačních portů na ty, které jsou nezbytně nutné pro řádné fungování aplikací instalovaných na pracovní stanici
• používat pravidelně aktualizovaný antivirový software a mít politiku pravidelné aktualizace softwaru
• konfigurovat software tak, aby automaticky aktualizoval zabezpečení, kdykoli je to možné
• podporovat ukládání uživatelských dat na pravidelně zálohovaném úložném prostoru přístupném prostřednictvím sítě organizace, a nikoli na pracovních stanicích. Jsou-li data ukládána místně, poskytnout uživatelům možnosti synchronizace nebo zálohování a vyškolit je v jejich používání;
• omezit připojení mobilních médií (USB flash disky, externí pevné disky atd.) na základní nastavení
• zakázat automatické spouštění z vyměnitelných médií.

Co nedělat

• používat zastaralé operační systémy
• udělit administrátorská práva uživatelům, kteří nemají znalosti v oblasti počítačové bezpečnosti

Chcete-li jít dál

• zakázat používání stažených aplikací, které nepocházejí ze zabezpečených zdrojů
• omezit používání aplikací, které ke spuštění vyžadují práva na úrovni správce
• bezpečně vymazat údaje na pracovní stanici před jejich převedením na jinou osobu
• v případě ohrožení pracovní stanice vyhledejte zdroj a jakékoli stopy po narušení informačního systému organizace s cílem zjistit, zda nedošlo k ohrožení jiných prvků
• provádět bezpečnostní monitorování softwaru a hardwaru používaných v informačním systému organizace
• aktualizovat aplikace, pokud byla zjištěna a opravena kritická zranitelná místa
• neprodleně instalovat kritické aktualizace operačního systému naplánováním týdenní automatické kontroly
• šířit mezi všechny uživatele řádný postup a seznam osob, které je třeba kontaktovat v případě bezpečnostního incidentu nebo neobvyklé události ovlivňující informační a komunikační systémy organizace

V praxi

• Vaše kancelář má koncept otevřeného prostoru a máte mnoho zaměstnanců, ale také mnoho návštěvníků. Díky automatickému zámku sezení nemá nikdo mimo společnost přístup k počítači zaměstnance o přestávce nebo možnost sledovat, na čem pracuje. Kromě toho firewall a aktuální antivirus chrání prohlížení internetu vašich zaměstnanců a omezují riziko vniknutí do vašich serverů. Čím více opatření je zavedeno, tím obtížnější je pro osoby se zlým úmyslem nebo nedbalého zaměstnance způsobit škodu organizaci.

Ochrana prostor společnosti

Přístup do prostor musí být kontrolován, aby se zabránilo přímému neoprávněnému přístupu k papírovým spisům nebo k počítačovému vybavení, zejména serverům, nebo aby se tento přístup zpomalil.

Co dělat

• instalovat poplašná zařízení proti vniknutí a pravidelně je kontrolovat
• instalovat detektory kouře a protipožární zařízení a každoročně je kontrolovat;
• chránit klíče používané pro přístup do prostor a poplašné kódy
• rozlišit oblasti budov podle rizika (např. zajistit vyhrazenou kontrolu přístupu do počítačové místnosti)
• vést seznam osob nebo kategorií osob oprávněných ke vstupu do každé oblasti
• stanovit pravidla a prostředky pro kontrolu  přístupu návštěvníků, přinejmenším tím, že návštěvníky mimo veřejné prostory doprovází osoba z organizace
• fyzicky chránit počítačové vybavení specifickými prostředky (vyhrazený protipožární systém, nadmořská výška proti možnému zaplavení, redundantní napájení a/nebo klimatizace atd.)

Co nedělat

Poddimenzovat nebo zanedbat údržbu prostředí serverovny (klimatizace, UPS atd.). Porucha těchto zařízení často vede k odstavení strojů nebo otevření přístupu do místností (cirkulace vzduchu), což de facto neutralizuje bezpečnostní opatření.

Chcete-li jít dál

Může být vhodné vést záznamy o přístupu do místností nebo kanceláří, v nichž jsou uloženy materiály obsahující osobní údaje, které by mohly mít závažný negativní dopad na dotčené osoby. Informovat subjekty zpracovávající osobní údaje o zavedení takového systému, a to po informování zástupců zaměstnanců a konzultacích s nimi.

Zajistit, aby ve vyhrazených prostorách byla povolena přítomnost pouze oprávněných pracovníků, např.:

• uvnitř zakázaných prostor vyžadovat, aby všechny osoby nosily viditelně identifikační označení (odznak)
• návštěvníci (technický podpůrný personál atd.) by měli mít omezený přístup. Musí být zaznamenáváno datum a čas jejich příjezdu a odjezdu
• pravidelně přezkoumávat a aktualizovat přístupová oprávnění k zabezpečeným oblastem a podle potřeby je odstraňovat.

V praxi

• Vaše společnost se specializuje na e-commerce. Osobní údaje zákazníků uchováváte na serverech umístěných v oddělených prostorách. Za účelem zajištění přístupu k těmto údajům je vstup do těchto prostor chráněn čtečkou průkazů. Případný požár však vypukne vlivem zkratu. Díky instalovanému detektoru kouře, bude hasičský sbor rychle upozorněn a bude schopen omezit případnou ztrátu dat.

Ověřovat uživatele

Aby se zajistilo, že uživatelé budou mít přístup pouze k údajům, které potřebují, měl by jim být přidělen jedinečný identifikátor a před použitím počítačových zařízení by měla být ověřena jejich totožnost.

Mechanismy k dosažení autentizace osob jsou rozděleny do kategorií podle toho, zda zahrnují:

• co víme - např. heslo
• co máme - např. čipovou kartu
• charakteristický rys konkrétní osoby -  např. vlastnoruční podpis

Volba mechanismu závisí na kontextu a různých faktorech. Ověření uživatele je považováno za silné, pokud používá kombinaci alespoň dvou z výše uvedených kategorií.

V praxi

• Pro přístup do zabezpečené místnosti obsahující důvěrné informace si můžete nainstalovat čtečku průkazů („co máme“) spolu s přístupovým kódem („co víme“).

Správa oprávnění

Podle potřeby by měly být zavedeny  Diferencované úrovně profilů povolení.  Uživatelé by měli mít přístup k údajům pouze na základě potřeby ‚vědět‘.

Osvědčené postupy pro ověřování a správu povolení:

• definovat jedinečný identifikátor pro každého uživatele a zakázat účty sdílené několika uživateli. V případě, že je použití obecných nebo sdílených identifikátorů nevyhnutelné, vyžadovat interní validaci a zavést prostředky k jejich sledování (protokoly)
• uložit použití dostatečně přísných pravidel pro složitost hesel (např. alespoň 8 znaků, velká písmena a zvláštní znaky);
• bezpečně ukládat hesla
• odstranit zastaralá přístupová oprávnění
• provádět pravidelný přezkum (např. každých šest měsíců)

Co nedělat

• vytvářet nebo používat účty sdílené několika osobami;
• poskytnout administrátorská práva uživatelům, kteří je nepotřebují;
• poskytnout uživateli více práv, než je nezbytné;
• zapomenout odstranit dočasná povolení udělená uživateli (např. pro nahrazení);
• zapomeňte smazat uživatelské účty lidí, kteří opustili organizaci nebo změnili zaměstnání.

Chcete-li jít dál

Stanovit, dokumentovat a pravidelně přezkoumávat veškeré zásady kontroly přístupu, pokud jde o postupy prováděné organizací, které by měly zahrnovat:

• postupy, které mají být systematicky uplatňovány při příjezdu, odjezdu nebo změně přidělení osoby s přístupem k osobním údajům
• důsledky pro fyzické osoby s oprávněným přístupem k údajům v případě nedodržení bezpečnostních opatření
• opatření k omezení a kontrole přidělování a využívání přístupu ke zpracování.

V praxi

• Když do společnosti nastoupí nový zaměstnanec, musíte vytvořit nový vyhrazený uživatelský účet se silným heslem. Zaměstnanci by neměli sdílet své pověření mezi sebou, zejména pokud nemají stejnou akreditaci. V případě, že změní pozici, měli byste zkontrolovat jejich přístupová oprávnění k určitým souborům nebo systémům.

Pseudonymní údaje

Pseudonymizace je zpracování osobních údajů takovým způsobem, že už není možné přiřadit osobní údaje konkrétní fyzické osobě bez použití dodatečných informací. Tyto dodatečné informace musí být uchovávány odděleně a musí podléhat technickým a organizačním opatřením.

V praxi spočívá pseudonymizace v nahrazení přímo identifikujících údajů (např. jméno, osobní číslo, telefonní číslo atd.) v souboru údajů nepřímo identifikujícími údaji (alias, pořadové číslo atd.). To umožňuje zpracovávat údaje jednotlivců, aniž by je bylo možné přímo identifikovat. Identitu těchto osob je však možné vysledovat díky dodatečným údajům. Pseudonymizované údaje jsou tedy stále osobními údaji a vztahuje se na ně obecné nařízení o ochraně osobních údajů (GDPR). Pseudonymizace je na rozdíl od anonymizace také vratná.

Pseudonymizace je jedním z opatření doporučených GDPR k omezení rizik spojených se zpracováním osobních údajů.

Zvláštní situace

Bezpečnostní opatření pro práci na dálku

V souvislosti s prací na dálku je nezbytné zaručit bezpečnost zpracovávaných údajů a zároveň respektovat soukromí jednotlivců.

Co dělat:

• Vydat bezpečnostní politiku práce na dálku nebo alespoň soubor minimálních pravidel, která je třeba dodržovat, a sdělit tento dokument zaměstnancům v souladu s vašimi vnitřními předpisy
• Pokud potřebujete změnit obchodní pravidla svého informačního systému, abyste umožnili práci na dálku (např. změnit pravidla pro odbavení, vzdálený přístup správce atd.), zvažte související rizika a v případě potřeby podnikněte kroky k udržení úrovně bezpečnosti
• Vybavte všechny pracovní stanice svých zaměstnanců alespoň firewallem, antivirovým softwarem a nástrojem pro blokování přístupu ke škodlivým webům. Pokud zaměstnanci mohou používat své vlastní zařízení, poskytněte pokyny k jeho zajištění (viz "Bezpečnostní opatření pro BYOD")
• Nastavte VPN, abyste se vyhnuli přímému vystavení vašich služeb internetu, kdykoli je to možné. Povolit dvou faktorové ověřování VPN, pokud je to možné
• Poskytněte svým zaměstnancům seznam nástrojů pro komunikaci a spolupráci vhodných pro práci na dálku, které zaručují důvěrnost výměn a sdílených dat. Zvolte nástroje, které ovládáte, a zajistěte, aby poskytovaly alespoň nejmodernější ověřování a šifrování komunikace a aby přenášená data nebyla znovu použita k jiným účelům (zlepšení produktu, reklama atd.). Některý spotřebitelský software může přenášet uživatelská data třetím stranám, a proto je obzvláště nevhodný pro firemní použití.

Bezpečnostní opatření pro (BYOD - Bring Your Own Device) práci na vlastním zařízení

S rozvojem BYOD, zejména v malých a středních podnicích, hranice mezi profesním a osobním životem mizí. I když práce na vlastních zařízeních samo o sobě nepředstavuje zpracování osobních údajů, je stále nutné zajistit bezpečnost údajů.

Zkratka "BYOD" odkazuje na používání vybavení osobních počítačů v pracovním kontextu. Příkladem může být zaměstnanec, který k připojení k podnikové síti používá osobní vybavení, jako je počítač, tablet nebo smartphone.

Možnost použití osobních nástrojů je především záležitostí volby zaměstnavatele a vnitrostátních právních předpisů. Nařízení GDPR vyžaduje, aby úroveň zabezpečení zpracovávaných osobních údajů byla stejná bez ohledu na použité zařízení. Zaměstnavatelé odpovídají za bezpečnost osobních údajů své společnosti, včetně případů, kdy jsou uloženy na terminálech, nad nimiž nemají fyzickou nebo právní kontrolu, ale jejichž použití povolili pro přístup k IT zdrojům společnosti.

Rizika, proti kterým je nezbytné chránit vaši organizaci, sahají od jednorázového útoku na dostupnost, integritu a důvěrnost údajů až po obecný kompromis informačního systému společnosti (vniknutí, virus apod.).

Příklady

Možnosti, jak by mohla vypadat zlepšení úrovně bezpečnosti ve vaší organizaci:

• Pravidelně informovat a vzdělávat zpracovatele údajů o rizicích souvisejících s ochranou soukromí
• Vytvořit vnitřní politiku a udělit jí závaznou platnost
• Zajistit, aby zpracovávané osobní údaje byly přiměřené, relevantní a omezené jen na nezbytnou míru (tzv. ‚minimalizace údajů‘).
• Zavést ochranu údajů podle proncipi ‚návrh a nastavení‘
• Zavést politiku klasifikace informací pro důvěrné údaje
• Uvedení konkrétního údaje na dokumentech obsahujících citlivé údaje (osobní údaje zvláštní kategorie)
• Provádění školení a osvětových akcí v oblasti bezpečnosti informací s pravidelným opakováním
• Uzavření dohody o mlčenlivosti se zaměstnanci nebo uzavření zvláštní doložky o mlčenlivosti
• Zajištění automatického uzamčení relací, aktuální firewall a antivirus, zálohovací úložiště pro uživatele
• Omezte fyzické připojení (USB klíčenky, externí pevné disky atd.) na základny
• Ochrana prostor společnosti (např. poplašná zařízení proti vniknutí, detektory kouře, chráněné klíče, rozlišená místnost podle rizika, povolení ke vstupu do konkrétních prostor, zvláštní protipožární systém)
• Přiřazení uživatelům jedinečných identifikátorů
• Požadovat autentizaci pro přístup k počítačovým zařízením
• Správa oprávnění (např. oddělené profily podle potřeb, jedinečný identifikátor, silná hesla)
• Vypracovat politiku bezpečnosti práce na dálku a pro vzdálený přístup
• Odebrání zastaralých přístupových oprávnění
• Provádět pravidelný přezkum oprávnění
• Pseudonymizovat nebo anonymizovat údaje se zaměřením na omezení opětovné identifikace jednotlivců
• Šifrování dat, aby bylo zabráněno neoprávněnému přístupu
• Instalovat VPN pro práci na dálku a vzdálené přístupy
• Zabezpečit osobní zařízení, která jsou  používána pro práci (BYOD)