ROMAN MŁODKOWSKI, BIZNES24: Naszym gościem jest Bartłomiej Drozd, ekspert serwisu Chroń PESEL. Witam bardzo serdecznie.
BARTŁOMIEJ DROZD, CHROŃ PESEL: Dzień dobry.
TO JEST AUTOMATYCZNA TRANSKRYPCJA ROZMOWY PRZEPROWADZONEJ
NA ANTENIE TELEWIZJI BIZNES24
RM: A, jak się okazuje, co wiemy za sprawą raportu Chroń PESEL zrobionego wspólnie z Krajowym Rejestrem Długów, wiele firm – małych i średnich przedsiębiorstw ma dosyć poważne problemy w postępowaniach w przetwarzaniu, jak to się teraz nazywa, danych osobowych, czyli w tym, co robią z danymi swoich pracowników.
Jak bardzo powszechny jest problem postępowania w sposób, nazwijmy to nieostrożny? Ja za chwilę się odetnę od określenia „nieostrożny”, bo jest kwestia wymogi kontra realia życia, ale nazwijmy to na razie nieostrożnym sposobem.
BD: To, żeby zbudować skalę może podam takie dane jak 95% przedsiębiorców w Polsce z sektora MŚP, czyli małe i średnie przedsiębiorstwa przetwarzają dane około 7,3 miliona pracowników – z danych GUS tak wynika. Czyli jest to liczba bardzo duża. Jak mamy 7,3 miliona pracowników, czyli każdy ma swoje dane osobowe, każdy ma PESEL, więc jest to bardzo łatwy i bardzo fajny kąsek dla hakerów. No, ponieważ jest to powiedzmy jedna czwarta naszego kraju, więc jest o co, że tak powiem kolokwialnie powalczyć.
RM: Jeśli się jest hakerem.
BD: Jeżeli jest się hakerem, oczywiście – bardzo słuszna uwaga. Natomiast, na czym, jak na czym polegają to przetwarzanie danych osobowych i jak oni to robią? Bo nie mówimy o danych swoich klientów, bo przecież też takie dane są i też te firmy z sektora MŚP przetwarzają dane swoich klientów, ale mówimy tylko o części związanej z pracownikami. Przekazują dane do biur finansowych, do biur księgowych, do biur rachunkowych czy do biur jakichś związanych z HR.
I tu głównie w badaniu skupiliśmy się na tym, w jakiej formie są przekazywane te dane. No i okazuje się, że prawie 40% firm przekazuje w dalszym ciągu w formie papierowej, która wydaje się już dawno poszła do lamusa. Niestety nie poszła. Jeszcze prawie 40% firm przekazują dane w formie papierowej.
Natomiast dla nas, jakby ludzi z dzisiejszych czasów powinni przekazywać je w formie elektronicznej. Ale w jakiej formie elektronicznej? Przekazują je w formie mailowej. I teraz, żeby przekazać dane to firmy małe i średnie powinny przekazywać dane w powiedzmy zaszyfrowany plik hasłem i dodatkowo zaszyfrowany mail. Przekazują je najczęściej mailem, bez zaszyfrowanego pliku. I tylko 31% z tych wszystkich firm przekazuje zaszyfrowany mail, który zawiera zaszyfrowany hasłem plik do tych biur rachunkowych do biur księgowych, niestety.
Co powoduje, że większość przekazuje albo tylko zaszyfrowany mail, gdzie ten załącznik prawdopodobnie w ogóle nie jest zaszyfrowany. Również jest taka jeszcze forma jak przekazywanie w formie pendriva. Oczywiście te pendrive’y najczęściej też nie są zaszyfrowane. W związku z tym, jeżeli wejdzie w niepowołane ręce taki pendrive czy taki mail wyślemy przez pomyłkę do kogoś innego wówczas, no niestety udostępniliśmy dane osobowe naszych pracowników i one są już na rynku.
RM: Jasne. Brzmi to dosyć przerażająco, bo to znaczy, że 69% firm, które wysyłają coś do swoich biur, robi to bez zachowania zasad, które powinno się zachować przy cyberbezpieczeństwie. Jakie są oprócz ryzyka, które generują ci pracodawcy dla swoich pracowników? No, bo wypływ danych, no to przede wszystkim jest problem, jeśli czyjeś dane wypłyną i on zostanie zaatakowany przez cyberprzestępców, zostaną mu ukradzione pieniądze, no to to ktoś, kto do tego doprowadził czy umożliwił, no to ponosi też moralną odpowiedzialność. Ale jakie są administracyjne, że tak powiem, koszty karne, jeśli robimy tego typu rzeczy w niewłaściwy sposób?
BD: Tu wchodzi Urząd Ochrony Danych Osobowych, no i prezes UODO nakłada karę w zależności od wycieku, w zależności od skali firmy. Natomiast te kary no, w zeszłym roku czy dwa lata temu były bardzo duże i tutaj też ostatnio wypowiadali się w tym zakresie, jeżeli chodzi o pendrive’y, no, bo były zgłoszone takie naruszenia ochrony danych osobowych i w związku z tym, no firma może zapłacić karę, nawet kilka procent przychodu, co jest dużym znacznym problemem w przypadku takich małych i średnich firm. Natomiast ja bym oprócz tych kar bardziej poszedł w kierunku tego, co należałoby zrobić, że jeżeli dzisiaj przecież oglądają nas przedsiębiorcy.
No, przede wszystkim, jeżeli ktoś ma działalność i są to też małe – mikroprzedsiębiorstwa chociażby. Ostatnio słyszymy ciągle też o wycinkach z placówek medycznych. Te placówki medyczne to nie tylko duże firmy, które przechowują w chmurze, na serwerach zabezpieczonych, ale to też przede wszystkim lekarze, którzy mają mniejsze gabinety, przechowują dane pacjentów na przykład na swoich laptopach.
Tak samo mikroprzedsiębiorcy. Oni podobnie przechowują dane swoich pracowników na laptopach. Te laptopy są niezabezpieczone. Przede wszystkim musimy aktualizować antywirusy, kupić jakieś lepsze zabezpieczenia na ten komputer, tak żeby stworzyć jakąś barierę ochronną dla wejścia dla hakera.
Jeżeli już jesteśmy czynnikiem, który też może spowodować taki wyciek, na przykład wysyłamy, co miesiąc dane tych pracowników do tego wspomnianego już biura księgowego czy rachunkowego, zabezpieczajmy te biura. Też już mają odpowiednie szkolenie, też mają odpowiednią wiedzę, w związku z tym też starają się już odpowiednio te dane zabezpieczyć.
Natomiast sam przesył tych danych, żebyśmy korzystali z zabezpieczonych skrzynek pocztowych, nie korzystali z jakichś bezpłatnych skrzynek mailowych, w których najczęściej dochodzi do spamu, w których ktoś może się podszyć pod kogoś. I my przesyłając te dane, musimy je zaszyfrować.
Zaszyfrować nie tylko maila, ale również załącznik hasłem. To hasło nie przesyłać w treści tego maila, ale chociażby wysłać smsem do tego biura księgowego-rachunkowego to hasło smsem tak, żeby nie szło jednocześnie z mailem. Wówczas, jak po naszej stronie robimy taką minimalną część związaną z tym zabezpieczeniem tych danych i przede wszystkim trochę pogłębiać wiedzę, no, bo dzisiaj z każdej strony dowiadujemy się o tych problemach i niestety skutki uboczne są bardzo groźne, ponieważ ci nasi pracownicy mogą być poszkodowani.
RM: Panie Bartłomieju, tak Pana słucham i tak sobie myślę, że chyba zaczynam tęsknić za czasami, kiedy jednak był tylko papier, bo życie informatyka miała uczynić łatwiejszym, a staje się coraz bardziej skomplikowane i w gruncie rzeczy również kosztowne, biorąc pod uwagę wszystkie wydatki. A z takich praktycznych rzeczy jeszcze jakby Pan bardzo króciutko powiedział: zaszyfrować e-mail można, w jaki sposób i w jaki sposób można zaszyfrować załącznik? Na przykład plik Excel z listą płac?
BD: Bardzo prosto. Jest taka opcja w Excelu. Można kliknąć myszką, zaszyfrować. Wprowadzamy sami hasło, nadajemy to hasło i wówczas to hasło możemy wysyłać. Wtedy najlepiej smsem, najlepiej nie już mailem. Jeżeli dojdzie do wycieku a skrzynki mailowej, wówczas każdy będzie miał dostęp do tego.
RM: A zaszyfrowanie e-maila?
BD: Zaszyfrowanie maila podobnie – można najlepiej korzystać z połączeń VPN. To już jest takie bardziej skomplikowane. Myślę, że dla tych średnich firm to i powinien to być standard, kiedy korzystamy z sieci zabezpieczonej VPN. Wówczas ta sieć jest zabezpieczona i ona powoduje taką trochę ochronę przed wpływem niepotrzebnych czynników, czyli powiedzmy hakerach.
RM: No tak, ale VPN jest trudno osiągalny do zbudowania pomiędzy małą firmą zatrudniającą 2-3 osoby, a niewielkim biurem, bądźmy realistami. Zaczyna być to fantastyka albo realia dostępne wyłącznie dla wielkich firm. No, może świat zmierza w kierunku tego, żeby tylko wielkie korporacje mogły funkcjonować w biznesie?
BD: Ja myślę, że wystarczy porządny antywirus i wystarczy skorzystać z tych narzędzi tylko po prostu regularnie i pamiętać o tym, żeby zaszyfrować maila, zaszyfrować plik i wysyłać jakieś dane hasło i po prostu smsem umówić się z biurem rachunkowym.
RM: Dziękujemy bardzo. Bartłomiej Drozd, ekspert serwisu Chroń PESEL.pl był naszym gościem. Udanego tygodnia.
Masz firmę? Nie przegap ważnych informacji dla Twojego biznesu.
Telewizja dostępna w sieciach kablowych, na platformach satelitarnych, oraz w Internecie.
Kup dostęp online do telewizji BIZNES24
Tylko 11,99 zł za miesiąc, 99 zł za roczny dostęp przez stronę BIZNES24.TV
