Nie ma skutecznej ochrony danych osobowych bez dbania o cyberbezpieczeństwo

20 lipca w Urzędzie Ochrony Danych Osobowych odbyła się konferencja „NIS2 i KSC w praktyce”. Głos zabrało w niej kilkunastu ekspertów i ekspertek, a w charakterze słuchaczy udział wzięło (online i na żywo) niemal 1500 osób. Podczas czterech paneli poruszono kwestie wzajemnych relacji RODO i przepisów NIS2 i KSC, właściwego podziału ról w budowaniu sytemu cyberbezpieczeństwa, a także pozycji inspektorów ochrony danych w tym systemie.

Wystąpienie otwierające wydarzenie wygłosił Konrad Komornicki, zastępca Prezesa UODO. Zwrócił w nim uwagę, że jesteśmy krajem, który doświadcza największej liczby cyberataków w całej Europie. W zeszłym roku w naszym państwie zgłoszono 270 tys. incydentów cyberbezpieczeństwa, co oznacza wzrost o 150 proc.  w porównaniu z 2024 r. Podobne wzrosty zgłoszeń naruszeń odnotowuje Urząd  Ochrony Danych Osobowych.

„Nie można skutecznie chronić danych osobowych bez zapewnienia cyberbezpieczeństwa. Są to naczynia połączone. Cieszę się, że sektor prywatny i publiczny wymieniają poglądy, ważny jest dla nas głos praktyków” – powiedział Konrad Komornicki.

Zastępca Prezesa UODO dodał, że Urząd jest włączony w system S46, pozwalający zgłaszać incydenty cyberbezpieczeństwa – i to nie tylko jako użytkownik, lecz również jako organ nadzorczy. Podkreślił również ,że NIS2 wprowadza nową odpowiedzialność w podmiotach zobowiązanych do implementacji Dyrektywy tj. odpowiedzialność bezpośrednią kierownictwa tych podmiotów.

Kiedy i kogo można weryfikować w KSC?

Pierwszy panel dotyczył kwestii weryfikacji karalności kandydatów do pracy w kontekście zarządzania ryzykiem. Moderatorem był Piotr Drobek, Dyrektor Departamentu Innowacyjności i Zarządzania Danymi w UODO, a w roli prelegenta wystąpił Sławomir Chmielewski, Chief Security Officer w Orange Polska oraz członkowie Społecznego Zespołu Ekspertów przy Prezesie UODO: dr hab. Marlena Sakowska-Baryła, prof. UŁ (Uniwersytet Łódzki), dr Dominika Dörre-Kolasa, dr hab. Arwid Mednis (Uniwersytet Warszawski) oraz dr Paweł Litwiński. 

Dyskusja dotyczyła tego, czy obowiązujące przepisy dają pole do interpretacji kwestii zakresu ochrony danych, jakie może zbierać pracodawca będący podmiotem kluczowym lub ważnym. Paneliści zgodzili się, że przepisy art. 8 i 11 KSC, które wprowadzają prawo i obowiązek weryfikacji karalności pracownika i kandydata do pracy nie są jednoznaczne. Podkreślili też, że odnoszą się one do osób wykonujących wskazane w ustawie zadania. Nie ma więc wątpliwości, że aby zgodnie z prawem zbierać dane o tych osobach (nie tylko pracownikach, ale i zatrudnionych w oparciu o umowy cywilnoprawne) organizacja podlegająca KSC musi najpierw należycie zmapować wykonywane zadania i odpowiedzialny za nie personel.

Więcej kontrowersji budziło to, w jakim stopniu dana osoba musi być zaangażowana w wykonywanie tych zadań – czy decydujący powinien być wpływ, jaki ma na podejmowanie decyzji w ramach danego procesu, i na ile należy uwzględniać osoby pełniące role pomocnicze tj. obsługujące proces (np. przenoszące nośniki danych). Spory wywołuje również to, od którego momentu można zbierać dane o tych osobach i czy zarządzający podmiotem ważnym lub kluczowym może to zrobić z własnej inicjatywy, czy też jedynie wymagać od pracownika/kandydata odpowiednich zaświadczeń. Ciekawym wnioskiem z dyskusji było stwierdzenie, że podmioty wykonujące takie strategiczne działania muszą operować w ramach trójkąta wyznaczonego przez RODO, KSC oraz kodeks pracy. W zależności od okoliczności, interpretacja powinna zbliżać się do jednego z wierzchołków.

Jak radzić sobie z incydentami ochrony danych i cyberbezpieczeństwa

Panel drugi dotyczył incydentów w rozumieniu RODO i NIS2. Moderatorem był  dr Mirosław Gumularz, przewodniczący Społecznego Zespołu Ekspertów przy Prezesie UODO. W dyskusji udział wzięli: Małgorzata Kozak, Dyrektor Departamentu Rozwoju Rynków i Spraw Konsumenckich w Urzędzie Regulacji Energetyki, dr hab. Agnieszka Gryszczyńska, prof. UKSW, Dyrektor Departamentu do Spraw Cyberprzestępczości i Informatyzacji Prokuratury Krajowej, Maciej Siciarek, Dyrektor Pionu CSIRT NASK PIB, Marcin Wysocki, Zastępca Dyrektora Departamentu Cyberbezpieczeństwa  w Ministerstwie Cyfryzacji, oraz dwóch członków SZE: dr inż. Rafał Tomasz Prabucki (Łukasiewicz AI), oraz Tomasz Izydorczyk.

Małgorzata Kozak, zwróciła uwagę, że choć w branży energetycznej powstaje coraz więcej podmiotów, to świadomość obowiązków związanych z cyberbezpieczeństwem i ochroną informacji jest wśród nich niska. Tymczasem informacje o poborze prądu czy geolokacji sprawiają, że energetyka wie o nas więcej niż branża bankowa. Maciej Siciarek podkreślił natomiast, że incydent cyberbezpieczeństwa często stanowi też wyciek danych, choć wielu zgłaszających nie ma świadomości. Dlatego CSIRT NASK informuje ich, by sprawdzili incydent także pod kątem RODO i ewentualnie zgłosili go do Urzędu Ochrony Danych Osobowych.

Z kolei Agnieszka Gryszczyńska wskazała, że prócz reżimu KSC i RODO, nie należy zapominać także o kodeksie karnym i zgłaszaniu cyberataków jako przestępstw. O ile dla obywatela jest to tylko obowiązek społeczny, to w przypadku funkcjonariusza państwowego brak zgłoszenia może być uznany za niedopełnienie obowiązków. Zwróciła też uwagę, że oprogramowanie typu ransomeware nie jest zwykle pierwszym, które hakerzy wgrywają do systemu organizacji – najpierw korzystają z programów szpiegujących, by sprawdzić, jakie dane wykraść i jak na nich zarobić. Pozostali paneliści skupili się zaś na kwestii definiowania samego pojęcia „incydentu”, jak i jego poszczególnych rodzajów.

Jak właściwie podzielić rolę w cyberbezpieczeństwie?

Moderatorem trzeciego panelu pt. Cyberodporność jako gra zespołowa – podział ról i procedury bezpieczeństwa był Artur Klepacki, Dyrektor Departamentu Informatyki i Cyberbezpieczeństwa UODO. W dyskusji udział wzięli: Grzegorz Nowak, Dyrektor Centrum Cyberbezpieczeństwa i Ochrony Danych we Władysławowie, Tomasz Turba, Konsultant ds. Cyberbezpieczeństwa w Sekurak.pl, Grzegorz Abgarowicz, Kierownik Zespołu Audytów i Wdrożeń NASK S.A., Dariusz Jędryczek, Dyrektor Departamentu Informatyzacji i Cyberbezpieczeństwa w Ministerstwie Aktywów Państwowych oraz Adam Tatarowski, Przewodniczący Sektorowej Rady ds. Kompetencji - Ochrona i Bezpieczeństwo Mienia i Osób i płk Dariusz Chmielewski z Ministerstwa Obrony Narodowej.

W panelu zwrócono uwagę przede wszystkim na to, że zbyt wiele organizacji ceduje zapewnienie cyberbezpieczeństwa tylko na działy IT. Tymczasem, aby było to skuteczne, należy zaangażować do tego zadania wszystkich członków organizacji, a w szczególności kierownictwo. Ważna jest zmiana języka, jakim mówimy o cyberbezpieczeństwie na język korzyści, tak, by decydenci zaczęli je traktować jako inwestycję, a nie wyłącznie koszt. Chodzi o to żeby inaczej mówić o cyberbezpieczeństwie, tj. podkreślać zalety zapewnienia bezpieczeństwa dla systemów informatycznych w kontekście bezpieczeństwa człowieka, a co za tym idzie budowania pozytywnego wizerunku organizacji, do której obywatele mają zaufanie, a więc chętnie korzystają z jej usług, a nie traktowanie potrzeby zapewnienia bezpieczeństwa jako konieczności wydania pieniędzy bez korzyści (a wręcz strat) finansowych dla organizacji.

Zwrócono też uwagę, że ludzie są zarówno najsłabszą, jak i najważniejszą częścią systemu cyberbezpieczeństwa. Dlatego warto inwestować w budowanie i szkolenie kadr posiadających odpowiednie kompetencje. Oprócz indywidualnej wiedzy pracowników, ważne są też czytelne i zrozumiałe procedury reagowania na cyberataki, a następnie egzekwowanie ich przestrzegania.

Pozycja IOD w systemie cyberbezpieczeństwa

Czwarty panel koncentrował się na roli Inspektorów Ochrony Danych w zarządzaniu zasobami organizacji oraz unikaniu konfliktu interesów. Moderatorem panelu był Krzysztof Król, Zastępca Dyrektora Departamentu Współpracy Międzynarodowej w UODO. Wśród prelegentów zaś znaleźli się dr Beata Konieczna-Drzewiecka, Inspektor Ochrony Danych, Ministerstwo Spraw Wewnętrznych i Administracji, r.pr. Monika Susałko, Wspólniczka Zarządzająca w Lubasz i Wspólnicy, Milena Rygiel-Soćko, Wiceprezeska Women Go Cyber, Mariola Więckowska ze Społecznego Zespołu Ekspertów przy Prezesie UODO, Mateusz Jakubik, Prezes SABI - Stowarzyszenia Inspektorów Ochrony Danych oraz Piotr Czubaty, Dyrektor Projektu, Członek Rady Programowej, ISSA Polska.

W czasie dyskusji zwrócono uwagę, że wraz z wchodzeniem w życie kolejnych regulacji w ramach tzw. pakietu cyfrowego, IOD stają przed coraz to nowymi wyzwaniami. Wymaga to rzecz jasna zwiększenia zasobów przeznaczonych dla inspektorów. Podkreślono też, że przepisy o Krajowym Systemie Cyberbezpieczeństwa wymagają podejścia interdyscyplinarnego, zespołu łączącego ekspertów o różnych specjalizacjach. Otwarte pozostaje pytanie, kto powinien koordynować prace takiego zespołu, podejmować decyzje i brać za nie odpowiedzialność. Według uczestników panelu IOD nie powinien brać na siebie tej roli, a ograniczać się jedynie do bycia ciałem doradczym.