W jednej z jednostek publicznych wdrożono rozwiązanie, które miało poprawić cyberbezpieczeństwo i usprawnić pracę. Pracownicy dostali możliwość zdalnego resetu haseł, a dział IT zaczął przyjmować zgłoszenia mailowo — wystarczyło podać imię, nazwisko, stanowisko i PESEL, żeby potwierdzić tożsamość. Pozornie: szybko, wygodnie i „bezpiecznie”, bo przecież dane się zgadzają. Problem w tym, że właśnie taki model bywa bardzo ryzykowny. 🔐
Dlaczego? Bo PESEL, stanowisko czy służbowy adres e-mail nie są dziś skutecznym zabezpieczeniem tożsamości. To dane, które mogą zostać łatwo pozyskane lub wykorzystane przez osobę nieuprawnioną. W praktyce taka procedura może prowadzić do nieautoryzowanego dostępu do skrzynek, systemów kadrowych czy dokumentów zawierających dane osobowe. Z perspektywy RODO to nie tylko kwestia organizacyjna, ale też potencjalna słabość środków technicznych i organizacyjnych, które administrator powinien dobrać adekwatnie do ryzyka. Z perspektywy cyberbezpieczeństwa — klasyczny przykład procedury, która wygląda rozsądnie, ale ułatwia socjotechnikę.
Co warto zrobić inaczej? Przede wszystkim odejść od weryfikacji opartej na danych osobowych, które nie są tajne. Lepszym rozwiązaniem będzie wieloskładnikowe uwierzytelnianie, dedykowany system zgłoszeń z rejestracją incydentów, jasno opisana procedura resetu dostępu oraz regularne szkolenia pracowników z prób podszywania się i phishingu. Warto też sprawdzić, czy procedury IT, RODO i zarządzania ryzykiem są ze sobą spójne. ✅
Cyberbezpieczeństwo i ochrona danych to nie dwa osobne światy. To jeden proces, który powinien działać również wtedy, gdy wszystko wydaje się „praktyczne”. Jeśli chcesz uporządkować takie obszary w swojej organizacji, zapraszamy do kontaktu przez naszą stronę — link znajduje się w komentarzu.
