Jakie podatności najczęściej prowadzą do naruszeń ochrony danych - wnioski z decyzji UODO

Skuteczna ochrona danych osobowych zaczyna się od identyfikacji błędów, które najczęściej prowadzą do naruszeń. Analiza decyzji UODO pokazuje, że większość incydentów nie jest skutkiem zaawansowanych ataków, lecz efektem powtarzających się, dobrze znanych podatności, zarówno technicznych, jak i organizacyjnych. W artykule prezentujemy narzędzie porządkujące te podatności i umożliwiające szybkie wskazanie obszarów największego ryzyka.

Przypisanie poszczególnych decyzji UODO do konkretnych przyczyn naruszeń pozwala jednoznacznie wskazać najczęstsze luki: niewłaściwe zarządzanie dostępami, błędne konfiguracje systemów, brak bieżącego nadzoru nad procesami czy nieadekwatne procedury operacyjne. Efektem jest praktyczna lista kontrolna, która pomaga zarządom i inspektorom ocenić, czy w ich organizacji nie występują mechanizmy już wcześniej skutkujące karami finansowymi. Celem naszego artykułu jest umożliwienie szybkiego ustalenia priorytetów, poprzez wskazanie konkretnych błędów i zaniedbań, które realnie doprowadziły do kar UODO.

Analiza zebranych danych – zagrożenia

W ujęciu normy ISO 27001 zagrożenie oznacza potencjalną przyczynę niepożądanego zdarzenia, które może prowadzić do naruszenia bezpieczeństwa informacji. Jest nim każdy czynnik – techniczny, ludzki lub środowiskowy – który może spowodować utratę poufności, integralności lub dostępności przetwarzanych danych.

Po przeanalizowaniu decyzji Prezesa UODO przyporządkowaliśmy zidentyfikowane zagrożenia do odpowiednich kategorii normy ISO 27002, odpowiadających obszarom, w których doszło do incydentów bezpieczeństwa informacji.

Pierwszą ważną kategorią są incydenty związane ze złośliwym oprogramowaniem, odpowiadające zabezpieczeniu 8.7: ochrona przed malware. Obejmują one przede wszystkim ataki typu ransomware, które wykorzystywały zarówno podatności techniczne w systemach, jak i błędy użytkowników, takie jak otwieranie zainfekowanych załączników czy brak aktualizacji oprogramowania. Takie incydenty stwierdziliśmy trzynaście razy, co potwierdza ich istotny udział w strukturze naruszeń.

Drugą kategorią są incydenty o charakterze fizycznym, powiązane z zabezpieczeniami 7.10: nośniki informacji oraz 5.14: przenoszenie informacji. Zaliczamy tu zarówno kradzieże i zagubienia elektronicznych nośników danych, jak i utratę dokumentacji papierowej zawierającej dane osobowe. Incydenty tej kategorii wystąpiły łącznie aż piętnaście razy – najczęściej spośród wszystkich grup. Mimo postępującej cyfryzacji tradycyjne zagrożenia fizyczne pozostają więc jednym z głównych źródeł naruszeń.

Trzecią kategorię stanowią przypadki nieuprawnionego dostępu logicznego do systemów i danych, przypisane do zabezpieczenia 5.15: kontrola dostępu. Chodzi tu o sytuacje, w których osoby nieupoważnione uzyskiwały dostęp do informacji, w tym również o przypadki ich niezamierzonego upublicznienia. W analizowanym materiale odnotowaliśmy dziesięć takich zdarzeń, co potwierdza, że nadal pojawiają się problemy z właściwym zarządzaniem uprawnieniami oraz mechanizmami uwierzytelniania.

Analiza zebranych danych – podatności

Podatności to słabości organizacyjne i techniczne, które umożliwiają materializację zagrożeń, a w konsekwencji prowadzą do naruszeń ochrony danych osobowych. Ich analiza w odniesieniu do kategorii normy ISO 27002 pozwala precyzyjnie wskazać obszary, w których systemy zarządzania bezpieczeństwem informacji najczęściej zawodzą w praktyce.

Zidentyfikowane słabości koncentrują się wokół obszaru przypisanego do zabezpieczenia 8.8: zarządzanie podatnościami technicznymi oraz weryfikacja skuteczności zabezpieczeń. Wyróżniamy tu brak regularnych testów bezpieczeństwa, w tym testów penetracyjnych, oraz brak bieżącej oceny odporności systemów na zagrożenia, a także używanie nieaktualnego lub nieweryfikowanego oprogramowania. Odnotowanie trzydziestu sześciu przypadków w tej kategorii jednoznacznie wskazuje na systemowy problem z utrzymaniem bezpieczeństwa środowisk IT.

Drugą pod względem liczebności grupę stanowią podatności o charakterze zarządczym i proceduralnym. Braki w politykach bezpieczeństwa, niewystarczające egzekwowanie obowiązujących procedur oraz nieprawidłowo przeprowadzona analiza ryzyka odpowiadają łącznie za dwadzieścia pięć przypadków. Wynik ten potwierdza, że źródłem wielu naruszeń są niedojrzałe procesy zarządzania bezpieczeństwem informacji, a nie wyłącznie luki technologiczne.

Istotną rolę odgrywają również problemy techniczne związane z konfiguracją systemów oraz ochroną danych przy użyciu kryptografii. Do tej kategorii należą brak szyfrowania nośników danych oraz błędne ustawienia zabezpieczeń systemowych. W analizowanym materiale odnotowaliśmy dziewiętnaście takich przypadków. Oznacza to, że nawet podstawowe środki ochrony informacji nie są w wielu organizacjach stosowane konsekwentnie.

Kolejnym obszarem są podatności związane z relacjami z dostawcami i podmiotami przetwarzającymi dane. Brak weryfikacji bezpieczeństwa po stronie kontrahentów oraz niewystarczający nadzór nad realizowanymi przez nich procesami odpowiadają za jedenaście przypadków. Pokazuje to, że zarządzanie dostawcami nadal często odbywa się bez realnej kontroli poziomu zabezpieczeń.

Nie bez znaczenia pozostaje także czynnik ludzki. Niedostateczne przeszkolenie pracowników oraz poleganie na ich indywidualnej odpowiedzialności za zabezpieczania nośników danych odnotowaliśmy w dziesięciu przypadkach. Wyniki te wskazują na potrzebę stałego budowania świadomości bezpieczeństwa w codziennym funkcjonowaniu organizacji.

Analiza wykazała również braki w obszarze ciągłości działania, w szczególności niewłaściwe zarządzanie kopiami zapasowymi lub ich całkowity brak. Choć przypadki takich zaniedbań stanowią mniej liczną grupę, ich konsekwencje bywają szczególnie dotkliwe, zwłaszcza w razie ataków typu ransomware.

Podatności związane z bezpieczeństwem fizycznym oraz z pracą zdalną obejmują m.in. przetwarzanie danych na prywatnych urządzeniach, brak kontroli nad nośnikami informacji, a także niewłaściwy nadzór nad dokumentacją poza siedzibą organizacji. Ten obszar odpowiada za dziesięć przypadków. Potwierdza to, że granica między bezpieczeństwem IT a bezpieczeństwem fizycznym w praktyce nadal jest źródłem wielu problemów.

Całość dopełniają słabości w zakresie uwierzytelniania użytkowników, w tym brak mechanizmów wieloskładnikowych oraz niewłaściwe przechowywanie haseł, a także brak niezależnych audytów bezpieczeństwa informacji. Choć przypadki te występują rzadziej, świadczą o tym, że podstawowe mechanizmy kontroli nadal nie są standardem w każdej organizacji.

Podsumowanie

Przyporządkowanie podatności stwierdzonych przez Prezesa UODO do zabezpieczeń ISO/IEC 27002:2022 ukazuje spójny i powtarzalny obraz problemów występujących w organizacjach.

Podatności ogniskują się wokół obszaru zarządzania technicznym bezpieczeństwem systemów (zabezpieczenie 8.8), który odpowiada za niemal 30% wszystkich zidentyfikowanych przypadków. Wynika to przede wszystkim z braku systemowego podejścia do aktualizacji oprogramowania, testów bezpieczeństwa oraz monitorowania luk. Często organizacje wdrażają środki ochronne jednorazowo, ale zapominają o tym, by weryfikować ich skuteczność.

Znaczący udział mają również braki w warstwie zarządczej, w szczególności w zakresie polityk bezpieczeństwa i analizy ryzyka (20%). To potwierdza, że naruszenia rzadko są wyłącznie efektem ataku hakerskiego, a częściej – konsekwencją braku spójnego systemu zarządzania bezpieczeństwem informacji. Problemy konfiguracyjne i niewłaściwe stosowanie kryptografii dodatkowo zwiększają podatność środowisk IT na kompromitację danych.

Po stronie zagrożeń nie obserwujemy dominacji jednego wektora ataku. Incydenty cyfrowe, w tym ransomware, występują z podobną częstotliwością jak zdarzenia o charakterze fizycznym, takie jak utrata nośników, sprzętu lub dokumentacji. Uzupełniają je przypadki nieuprawnionego dostępu do systemów, często wynikające ze stosowania prostych haseł, braku MFA oraz nadmiernych uprawnień użytkowników.

Z perspektywy zarządzania cyberbezpieczeństwem wniosek jest jednoznaczny: skuteczna ochrona danych osobowych to dojrzały, ciągły proces, a nie jednorazowe wdrożenie technicznych. Priorytetami powinny być regularne testy zabezpieczeń, aktualność systemów, rzetelna analiza ryzyka, kontrola dostępu oraz dyscyplina w obszarze bezpieczeństwa fizycznego. Dopiero połączenie tych elementów ogranicza ryzyko wystąpienia naruszeń, które tak często są opisywane w orzecznictwie Prezesa UODO.