Autor: Natalia Groszyk

Ostatnio na Rodoradarze pisaliśmy na temat audytu IT, który warto przeprowadzić po ponad dwóch latach od czasu obowiązywania RODO. W większości organizacji zakończono prace wdrożeniowe, a zatem audyt może służyć zweryfikowaniu poprawności i skuteczności wdrożonych rozwiązań.

W pierwszej części artykułu skoncentrowaliśmy się na prawidłowym określeniu zakresu audytu. Poniższa, druga część artykułu poświęcona jest ocenie bezpieczeństwa.

Inwentaryzacja komponentów techniczno-systemowych będzie zazwyczaj pierwszym krokiem w kierunku oceny bezpieczeństwa stosowanych zasobów. Pełny rejestr komponentów IT, tj. systemów, aplikacji, sieci oraz urządzeń, pozwoli przyjrzeć się ich aktualności oraz pokaże zakres obszaru do wprowadzenia ewentualnych zmian, co przydatne będzie w późniejszych etapach.
Na podstawie aktualnego rejestru przeprowadza się analizę ryzyka w tym zakresie, w jakim dotyczy ona komponentów IT, badając podatności dla zastosowanych rozwiązań. Przeprowadzając analizę ryzyka, należy odnieść się do znanych zagrożeń dla stosowanych aktywów: uwzględnić ich źródło, wersję, zastosowanie oraz incydenty, do których doszło z ich wykorzystaniem. Nie należy jednak pomijać zbadania potencjalnych ryzyk dla danych przetwarzanych z wykorzystaniem komponentów IT. Jak pokazują ostatnie przykłady, wykonanie analizy ryzyka ograniczonej jedynie do sprawdzenia aktualności stosowanych środków zabezpieczeń w obszarze IT, nie pozwala w pełni uchronić się przed wyciekiem danych osobowych, a przy tym także przed nałożeniem na administratora nawet kilkumilionowej sankcji finansowej.
Analizując ryzyko, proces ten należy przeprowadzić szerzej, uwzględniając nie tylko zagrożenia znane, ale też podatności potencjalne, które co prawda do tej pory nie przełożyły się na realną stratę, czy zakłócenie poprawności działania stosowanych zabezpieczeń, ale stanowią lukę w systemie ochrony danych, która w przyszłości może skutkować incydentem. Wykonywanie okresowej analizy ryzyka, uwzględniającej zmiany, które zostają na bieżąco wprowadzane do stosowanych narzędzi IT, pozwala systematycznie minimalizować wpływ słabych punktów środowiska IT, a finalnie pomaga eliminować możliwości wystąpienia sytuacji skutkującej naruszeniem praw i wolności podmiotów danych.
Wynikiem przeprowadzonej analizy ryzyka jest informacja o skali zagrożenia dla zidentyfikowanych aktywów. Dla wskazanych zagrożeń należy opracować plan postępowania z ryzykiem. Warto by plan ten zawierał zatwierdzoną propozycję zmian, których wdrożenie zminimalizuje lub wykluczy materializację wykrytego zagrożenia, termin wdrożenia oraz osoby odpowiedzialne w organizacji za realizację poszczególnych zadań. Plan postępowania z ryzykiem wymaga także bieżącego nadzorowania postępów w jego realizacji oraz przeglądów pod kątem priorytetów.

Organizacje wdrażające środki zabezpieczające powinny mieć świadomość, iż należy cyklicznie dokonywać weryfikacji wprowadzonych mechanizmów, oceniając poufność, integralność i dostępność danych w środowisku IT. W tym celu należy przeprowadzić analizę stosowanych metod uwierzytelniania i autoryzacji użytkowników w systemach IT. W ramach weryfikacji przegląda się stosowane metody zabezpieczania danych na poziomie warstw aplikacji. Stosowanie tzw. dynamicznego maskowania danych (ang. dynamic data masking) pozwala w wielu przypadkach uniknąć dostępu do danych osobom nieuprawnionym, a przez to minimalizuje ryzyko naruszenia praw podmiotów danych. Rozwiązanie to polega na zróżnicowaniu uprawnień w zakresie dostępu do danych widocznych z poziomu interfejsu systemu dla różnych kategorii użytkowników. Stosowanie tego rozwiązania wprowadza pewien stopień pseudonimizacji dla danych szczególnie istotnych, przez co wybrani użytkownicy widzą tylko fragment danych posiadanych o osobie fizycznej. Zróżnicowanie uprawnień poza zmniejszeniem ryzyka przypadkowego, lub też celowego ujawnienia danych, np. przez ich eksport, pozwala także zapewnić adekwatność przetwarzania, poprzez jawność na różnym etapie operacji przetwarzania tylko tego zakresu danych, który do przeprowadzenia konkretnej operacji jest niezbędny. W trakcie audytu dobrze zatem sprawdzić, czy stosowane techniki ograniczające dostęp do danych są wystarczająco dostosowane i celowe. Podobną weryfikację pod kątem adekwatności należy przeprowadzić w zakresie stosowania innych narzędzi, np. typu SIEM lub DLP. Zasadnym jest przeprowadzenie przeglądu polityk w zakresie bezpiecznej wymiany danych. Rozwiązania pozwalające wysyłać pocztę, nawet w sposób szyfrowany, obsługiwane są jednak przez użytkowników – a to zawsze generuje potencjalną możliwość pomyłki. Z dotychczasowych doświadczeń wynika, że jednym z najczęstszych powodów wystąpienia incydentów, jest pomyłka w adresie mailowym osoby, do której przesyłane są informacje zawierające dane osobowe. Warto w tym zakresie przejrzeć stosowane zabezpieczenia i zastanowić się nad zasadnością wprowadzenia dodatkowych mechanizmów typu IRM/ERM, na podstawie których można już na etapie tworzenia dokumentu, zapisać uprawnienia odczytu tylko do wybranych osób, przy czym nie trzeba się ograniczać do osób wewnątrz organizacji; te rozwiązania pozwalają także dodatkowo zabezpieczać pliki wysyłane mailowo na zewnątrz. W czasie audytu IT warto przyjrzeć się konieczności wprowadzenia takich rozwiązań oraz poprawności ich działania, jak też poprawności całej polityki bezpiecznej wymiany danych.

W ostatniej, trzeciej części artykułu omówimy audyt IT pod kątem procesów utrzymaniowych i eksploatacyjnych. Zapraszamy do systematycznego śledzenia publikacji na Rodoradar.pl.

Od rozpoczęcia obowiązywania RODO minęły już ponad dwa lata, zatem w większości organizacji zakończono prace wdrożeniowe i przyszedł czas, aby zweryfikować poprawność i skuteczność wdrożonych rozwiązań.

O ile wdrożenie wymogów formalno-prawnych zapewne udało się do tej pory przeprocesować, zwłaszcza w przedsiębiorstwach, które nie zostawiły tego tematu na ostatnią chwilę, o tyle w przypadku zmian w środowiskach IT, systemach i infrastrukturze służącej do przetwarzania danych osobowych, proces dostosowania może ciągle trwać. Przyczyną takiej sytuacji jest często złożoność i różnorodność dostępnych na rynku rozwiązań, jak też konieczność planowania wdrażania zmian w obszarze IT, w sposób który nie zakłóci działalności biznesowej organizacji. Nierzadko prace wdrożeniowe dotyczące zmian lub aktualizacji komponentów IT zostały, zwłaszcza w większych podmiotach, rozłożone w czasie i plany te obejmują nawet kilka lat. Doroczne audyty IT mogą zatem posłużyć do przejrzenia statusu zaplanowanych działań, a w ramach potrzeb, także ich aktualizacji lub korekty priorytetów. Rynek narzędzi IT jest mocno dynamiczny, a to powoduje że komponent, którego implementację zaplanowano rok, czy dwa lata temu, obecnie może być już uznawany jako przestarzały (ang. legacy). Może się zatem okazać nieadekwatny i w konsekwencji zapadnie decyzja o odstąpieniu od jego wdrażania, z uwagi na to, że istnieją rozwiązania które skuteczniej zrealizują konkretną potrzebę w obszarze funkcjonalności lub zabezpieczeń IT.

Przepis art. 32 RODO zobowiązuje administratorów danych, ale też podmioty przetwarzające do zapewnienia odpowiedniego poziomu bezpieczeństwa przetwarzanych danych osobowych.
W przepisie tym właśnie mowa o regularnym testowaniu i ocenianiu zastosowanych w celu ochrony danych środków technicznych i organizacyjnych. Regularne audyty IT, które stanowią obowiązek, warto jednak traktować przede wszystkim jako realną pomoc w dostosowaniu wykorzystywanych narzędzi pod kątem ich adekwatności, tzn. zastosowania rozwiązań, które skutecznie i wystarczająco będą chronić przetwarzane dane osobowe.

Jak zatem przeprowadzić okresowy przegląd obszaru IT pod kątem bezpieczeństwa przetwarzania danych?

Zdecyduj, co zbadać

Skoro obowiązek zapewnienia bezpieczeństwa dotyczy przetwarzania danych osobowych, to nie sposób nie rozpocząć audytu IT od weryfikacji rejestru czynności przetwarzania i rejestru kategorii czynności przetwarzania. Rejestr prowadzą podmioty zobowiązane do tego przepisami Rozporządzenia lub postanowieniami kontraktowymi, ale jest on także często prowadzony przez organizacje, które choć do jego prowadzenia nie są zobowiązane, mają świadomość jego przydatności. W samym rejestrze czynności przetwarzania często znajduje się wykaz systemów, aplikacji i innych miejsc służących do przetwarzania danych. Będzie on zatem punktem wyjścia, pomocnym do określenia które aplikacje należy zbadać pod kątem bezpieczeństwa, a jednocześnie pozwoli utrzymać aktualne informacje, spinające cały system ochrony danych osobowych w zakresie stosowanych aplikacji, narzędzi lub miejsc przechowywania danych. Ważne by przy weryfikacji rejestru czynności przetwarzania zwrócić uwagę na dane już nieaktualne – aplikacje, z których stosowania zrezygnowano, albo które zostały wyparte przez nowsze rozwiązania. Druga ważna do zbadania kwestia to sprawdzenie, czy w rejestrze znajdują się informacje kompletne, czyli czy wymieniono wszystkie komponenty służące do przetwarzania danych, oraz czy zaktualizowano rejestr pod kątem rozwiązań nowowprowadzonych lub stosowanych od niedawna.

Mapa przepływów danych jest rozwiązaniem często stosowanym w przypadku rozbudowanej
i skomplikowanej architektury systemów IT. Mapa stanowi znaczne ułatwienie w zarządzaniu stosowanymi systemami IT, wskazuje na zależności między aplikacjami, pomaga także zebrać wszystkie miejsca, w których przetwarzane są dane osobowe. Oczywiście pod warunkiem, że jest aktualna. Warto zadbać o bieżące aktualizowanie mapy przepływów danych, a przy audycie IT zbadać jej kompletność i aktualność. W krytycznych sytuacjach dobrze opracowana i aktualna mapa może znacznie ułatwić skuteczne wykonanie praw podmiotów danych, a także skrócić czas wykrycia i trwania incydentu naruszenia ochrony danych osobowych. Żądania osób fizycznych, w tym np. żądanie usunięcia danych, dla którego wykonania administrator nie widzi przeszkód, łatwiej będzie skutecznie zrealizować w oparciu o aktualną mapę przepływów, za pomocą której odnaleźć można wszystkie aplikacje i komponenty środowiska IT, które są wykorzystywane do przetwarzania informacji o osobie zgłaszającej żądanie. Wykonanie praw w oparciu o mapę, pomoże zatem uniknąć sytuacji, kiedy dane osobowe zgodnie z żądaniem zostały usunięte z systemu, ale po jakimś czasie okazuje się, że jednak nadal są przetwarzane z poziomu komponentu IT, wspierającego główny system dedykowany przetwarzaniu danych. Oczywista jest także przydatność mapy przepływów danych w sytuacji wykrycia incydentu ochrony danych, kiedy czas jest niezwykle cenny – a kompletna mapa pozwoli zaoszczędzić sporo czasu. Tym samym możliwe będzie zatrzymanie lub ograniczenie negatywnych skutków wystąpienia incydentu tak dla administratora danych, jak i dla samych podmiotów danych.

Zmiany w architekturze IT zdarzają się dosyć często i stanowią odzwierciedlenie potrzeb organizacji. Jeśli jednak zmiany te nie są w żaden sposób odnotowywane, to zwłaszcza w rozrastającym się środowisku IT, trudniej sprawować nad nim kontrolę i skutecznie nim zarządzać. Odzwierciedlająca stan faktyczny mapa pomoże także uniknąć sytuacji utraty danych osobowych, np. w przypadku usunięcia aplikacji służącej do ich przetwarzania. Ułatwi ona ponadto proces nadzorowania danych, jeśli zawierać będzie informacje o zastosowanych narzędziach centralizacji danych.  Przy takim podejściu jedno miejsce przetwarzania na wzór „hurtowni danych”, zasila inne aplikacje w dane i stanowi ich jedyne źródło, przez co aktualizacja danych w jednym systemie, czy ich usunięcie, zapewnia aktualność w całym obszarze IT.

Niezwykle istotnym elementem podczas audytu IT okazuje się weryfikacja retencji danych w systemach informatycznych. Każdy podmiot, który przetwarza dane osobowe, powinien wdrożyć w swojej organizacji zasady ich retencji. Audyt jest dobrą okazją do sprawdzenia faktycznej realizacji tych zasad (w szczególności terminów przechowywania danych w systemach IT), zwłaszcza jeśli ich wykonanie odbywa się w sposób manualny, a nie zautomatyzowany. Warto zwrócić uwagę na to, czy też same zasady nie wymagają aktualizacji ze względu na działania wymuszone na organizacji np. zmieniającymi się przepisami prawa. Istotne będzie dodatkowo zbadanie, czy od ostatniego przeglądu nie pojawiły się na rynku mechanizmy automatyzujące wykonywanie zasad retencji danych w organizacji, które można zaimplementować, a przez to usprawnić procesy retencji danych w obszarze IT.

Nie należy przy okazji audytu IT pomijać rejestru incydentów. Choć badanie przyczyn wystąpienia incydentu oraz działania mające wykluczyć wystąpienie podobnego incydentu w przyszłości, powinno odbywać się na bieżąco, to w związku z rocznym przeglądem warto spojrzeć na zastosowane lub zaplanowane mechanizmy pod kątem ich aktualności i adekwatności w kontekście zmian w całym środowisku IT.

Temat audytu IT z pewnością będzie jeszcze będzie przez nas kontynuowany. W kolejnych częściach poświęconych temu zagadnieniu zajmiemy się problematyką oceny bezpieczeństwa oraz procesów utrzymaniowych i eksploatacyjnych. Zapraszamy do lektury kolejnych części tego artykułu.