Wyciek danych w firmie: jak rozpoznać, zgłosić do UODO w 72h

Czym jest wyciek danych, a czym „naruszenie ochrony danych” według RODO

W codziennym języku mówimy wyciek danych. RODO posługuje się szerszym pojęciem: naruszenie ochrony danych osobowych. To każde naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych.

Kluczowe jest to, że naruszenie nie musi oznaczać kradzieży przez hakera. Wyróżnia się trzy typy:

• Naruszenie poufności: dane trafiają do osoby nieupoważnionej. Przykłady: mail z listą klientów wysłany pod zły adres, faktura z danymi w cudzej przesyłce, przejęte konto, publiczny link do folderu, który miał być prywatny.
• Naruszenie integralności: dane zostają zmienione w sposób nieuprawniony, np. przez atakującego albo błąd systemu, i nie da się już ufać ich poprawności.
• Naruszenie dostępności: tracisz dostęp do danych. Klasyka to ransomware szyfrujący pliki, ale też skasowana baza bez kopii zapasowej albo awaria dysku z jedynym egzemplarzem dokumentów.

Ta definicja ma praktyczne znaczenie: zgubiony służbowy telefon bez blokady, przypadkowo usunięta baza czy „mail do wszystkich” to również naruszenia, nie tylko spektakularne ataki. Dlatego pierwszym pytaniem nie jest „czy nas zhakowano”, tylko „czy doszło do naruszenia bezpieczeństwa danych osobowych”.

Pierwsza godzina po wykryciu: 6 kroków, które robią różnicę

To, co zrobisz w pierwszej godzinie, decyduje o rozmiarze szkody i o tym, jak łatwo będzie później wykazać, że działałeś prawidłowo. Zachowaj spokój i przejdź po kolei.

1. Odetnij dostęp, nie odcinaj dowodów. Zablokuj przejęte konto, zresetuj hasła, odłącz zainfekowaną stację od sieci. Ale nie kasuj niczego i nie „czyść” systemu, bo usunięcie logów czy przeinstalowanie maszyny często niszczy dowody potrzebne do oceny zakresu.
2. Zabezpiecz logi i ślady. Zrób kopie logów z serwera, poczty, firewalla, systemu, w którym doszło do incydentu. To one odpowiedzą na pytanie „od kiedy” i „ile rekordów”.
3. Nie płać okupu pod wpływem paniki. Przy ransomware pierwsza reakcja to chęć „załatwienia sprawy”. Płatność niczego nie gwarantuje, a bywa, że dane i tak wyciekają. Decyzję podejmij po ocenie sytuacji, najlepiej ze wsparciem specjalistów.
4. Wyznacz osobę decyzyjną. Musi być jasne, kto koordynuje reakcję: kto rozmawia z IT, kto z zarządem, kto ewentualnie z klientami. Chaos kompetencyjny to sojusznik atakującego.
5. Udokumentuj czas wykrycia. Zapisz, kiedy i jak dowiedzieliście się o naruszeniu. Od tego momentu zaczyna biec zegar 72 godzin, a precyzyjna data bywa później kluczowa.
6. Oceń zakres. Jakie dane, czyje, w jakiej liczbie, czy były zaszyfrowane, czy mogły trafić na zewnątrz. Nawet wstępna ocena wystarczy, by podjąć następne decyzje.

Zegar 72 godzin: kiedy musisz zgłosić naruszenie do UODO

Najważniejszy przepis to art. 33 RODO. Mówi on, że administrator danych zgłasza naruszenie organowi nadzorczemu (w Polsce to UODO) bez zbędnej zwłoki, a jeżeli to możliwe, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Kilka rzeczy, które trzeba zrozumieć, żeby nie popełnić błędu:

• Termin liczy się od „stwierdzenia” naruszenia, czyli od momentu, w którym z wystarczającą pewnością wiesz, że do niego doszło, a nie od zakończenia całego dochodzenia. Nie czekaj z prześledzeniem sprawy do końca, jeśli już wiesz, że naruszenie miało miejsce.
• Zgłoszenie nie zawsze jest obowiązkowe. Jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób (np. wyciekły dane skutecznie zaszyfrowane, do których nikt nie ma klucza), zgłoszenie do UODO może nie być wymagane. Tę ocenę trzeba jednak przeprowadzić i udokumentować. Brak zgłoszenia musi być świadomą, uzasadnioną decyzją, a nie zaniechaniem.
• Czasem trzeba powiadomić też osoby, których dane dotyczą. Gdy naruszenie może powodować wysokie ryzyko dla ich praw i wolności, art. 34 RODO nakazuje zawiadomić te osoby bez zbędnej zwłoki, prostym i zrozumiałym językiem, tak by mogły się chronić (np. zmienić hasła, uważać na próby oszustwa).
• Prowadzisz rejestr naruszeń. Każde naruszenie, również to, którego nie zgłaszasz, dokumentujesz wewnętrznie. To wymóg RODO i pierwsza rzecz, o którą zapyta UODO.

A co, jeśli dane przetwarza dla Ciebie zewnętrzny dostawca?

Jeśli korzystasz z podmiotu przetwarzającego (hosting, system CRM, biuro rachunkowe, dostawca IT), to on ma obowiązek zgłosić naruszenie Tobie bez zbędnej zwłoki. Ale to Ty jako administrator odpowiadasz za zgłoszenie do UODO. Dlatego w umowach powierzenia warto mieć jasno zapisane terminy i sposób powiadamiania. Inaczej dowiesz się o incydencie za późno, by zdążyć w 72 godziny.

Co grozi za wyciek danych osobowych i jego zlekceważenie

Pytanie „co grozi za wyciek danych osobowych” pada zwykle w tej gorącej fazie. Odpowiedź ma dwie warstwy.

Po pierwsze, samo naruszenie nie zawsze kończy się karą. Organ patrzy przede wszystkim na to, jak firma zareagowała. Zlekceważenie obowiązków (brak zgłoszenia, brak dokumentacji, brak zabezpieczeń) jest traktowane znacznie poważniej niż sam incydent, który przy dobrych procedurach mógł być nie do uniknięcia.

Po drugie, RODO przewiduje realne sankcje finansowe: w najcięższych przypadkach do 20 mln euro albo 4% rocznego światowego obrotu firmy (w zależności od tego, która kwota jest wyższa). Do tego dochodzą koszty, o których łatwo zapomnieć: utrata zaufania klientów, roszczenia cywilne osób poszkodowanych, przestój operacyjny i czas zespołu pochłonięty gaszeniem pożaru.

To właśnie dlatego coraz więcej firm traktuje ochronę danych jak inwestycję, a nie koszt, i dlaczego warto mieć zawczasu przemyślane ubezpieczenie cyber dla firm, które realnie zadziała w chwili incydentu.

Najczęstsze przyczyny wycieków w małych i średnich firmach

W firmach 10–250 osób wycieki rzadko biorą się z zaawansowanych, „hollywoodzkich” ataków. Znacznie częściej to kilka powtarzalnych scenariuszy:

• Phishing i socjotechnika. Ktoś klika w link, podaje hasło na podrobionej stronie albo wykonuje przelew „na prośbę prezesa”. To wciąż najczęstsza droga wejścia. Jak ją rozpoznać, opisaliśmy w tekście o phishingu w firmie.
• Brak uwierzytelniania wieloskładnikowego (MFA). Jedno wykradzione hasło bez drugiego składnika otwiera skrzynkę, CRM albo panel administracyjny. MFA to jedno z najtańszych i najskuteczniejszych zabezpieczeń.
• Ransomware. Coraz częściej najpierw wykrada dane, a potem szyfruje, więc to nie tylko przestój, ale i wyciek danych. Więcej w artykule o tym, jak przygotować firmę na ransomware.
• Błąd ludzki. Zły adresat maila, źle ustawione uprawnienia do folderu, zgubiony nośnik. Nudne, ale odpowiada za ogromną część naruszeń.
• Shadow AI i niekontrolowane narzędzia. Pracownik wkleja poufne dane do publicznego czata albo podpina firmowe konto pod przypadkową aplikację. O ryzyku pisaliśmy przy okazji agentów AI i wycieku danych.

Jak ograniczyć ryzyko: 7 zabezpieczeń, które realnie działają

Nie da się zejść z ryzykiem do zera, ale można je drastycznie zmniejszyć i, co ważne, wykazać przed UODO, że firma stosowała „odpowiednie środki techniczne i organizacyjne”. Oto siedem, od których warto zacząć.

1. MFA wszędzie, gdzie się da: poczta, CRM, bankowość, panele administracyjne, dostęp zdalny. To fundament.
2. Kopie zapasowe w modelu 3-2-1, w tym offline. Backup, do którego atakujący nie ma dostępu z sieci, jest tym, co pozwala nie płacić okupu i szybko wrócić do pracy. Backup wpina się w szerszy plan ciągłości działania po awarii IT.
3. Monitoring i EDR. Systemy wykrywające nietypowe zachowania (masowe pobieranie plików, logowania z nietypowych lokalizacji) skracają czas między włamaniem a reakcją z tygodni do minut.
4. Segmentacja sieci. Oddzielenie użytkowników od serwerów, backupu i paneli zarządzania sprawia, że jedno przejęte konto nie daje dostępu do wszystkiego.
5. Kontrola danych wychodzących (DLP) i uprawnień. Zasada minimalnego dostępu: każdy widzi tylko to, czego potrzebuje. Regularny przegląd uprawnień wyłapuje „martwe” konta i nadmiarowe dostępy.
6. Szkolenia zespołu. Godzina na rozpoznawanie phishingu i bezpieczne obchodzenie się z danymi zwraca się przy pierwszym nieklikniętym linku.
7. Gotowy plan reagowania na incydent. Spisana procedura „kto, co i w jakiej kolejności robi” to różnica między spokojnym działaniem a paniką w dniu, w którym liczy się każda godzina.

Jeśli nie wiesz, na którym z tych punktów Twoja firma stoi najsłabiej, dobrym punktem wyjścia jest audyt bezpieczeństwa IT. Pokazuje luki, zanim znajdzie je ktoś inny.

Jak sprawdzić, czy dane Twojej firmy wyciekły

Bywa i tak, że to nie Ty wykrywasz wyciek danych pierwszy: dane pojawiają się w sieci, a Ty dowiadujesz się o tym od klienta albo z mediów. Warto proaktywnie sprawdzać, czy firmowe adresy i konta nie figurują w znanych wyciekach. Pomagają w tym publiczne serwisy sprawdzające naruszenia (np. wpisując firmowy adres e-mail), a w wersji dla organizacji usługi monitoringu wycieków i tzw. dark webu, które alarmują, gdy Wasze dane pojawią się na forach przestępczych.

To jednak tylko wykrywanie po fakcie. Jeśli sprawdzenie pokaże, że dane już krążą, wracasz do sekcji o pierwszej godzinie i zegarze 72 godzin. A jeśli chcesz mieć pewność, że firma jest przygotowana, zanim coś się wydarzy, najlepiej zacząć od audytu i wdrożenia zabezpieczeń z listy powyżej.

Podejrzewasz wyciek danych albo chcesz go uprzedzić?

Jeśli właśnie teraz mierzysz się z incydentem, liczy się każda godzina, a spokojna, uporządkowana reakcja jest równie ważna jak same zabezpieczenia. A jeśli czytasz to „na zapas”, to najlepszy moment, żeby sprawdzić, gdzie Twoja firma jest najbardziej narażona, i domknąć luki, zanim ktoś je znajdzie.

Dataone Business Solution pomaga firmom przygotować się na wyciek danych i reagować, gdy już do niego dojdzie: od audytu i wdrożenia zabezpieczeń, przez monitoring, po wsparcie w trakcie incydentu. Umów bezpłatną konsultację i zacznij od rozmowy o tym, jak wygląda dziś bezpieczeństwo danych w Twojej organizacji. 

Zobacz też: Audyt bezpieczeństwa IT | Phishing w firmie