Wielu przedsiębiorców wciąż żyje w przekonaniu, że za bezpieczeństwo cyfrowe firmy odpowiada wyłącznie informatyk, a ewentualny wyciek danych to problem, który można rozwiązać jedną fakturą za serwis IT. Rzeczywistość prawna i operacyjna jest jednak znacznie bardziej złożona – bezpieczeństwo to system naczyń połączonych, w którym odpowiedzialność rozkłada się na całą strukturę organizacji. Warto uświadomić sobie skalę wyzwania: aż 95% wszystkich naruszeń bezpieczeństwa zawiera element błędu ludzkiego, co oznacza, że najdroższe firewalle można sobie schować, jeśli zawiedzie świadomość choćby jednej osoby w zespole. Zrozumienie, że ochrona danych nie jest obowiązkiem pojedynczego działu, ale wspólną misją zarządu, specjalistów i każdego pracownika z osobna, to fundament budowania realnej odporności biznesu.
Odpowiedzialność? A co to jest w ogóle?
W polskim systemie prawnym odpowiedzialność za naruszenie ochrony danych ma wiele aspektów, które wzajemnie się przenikają. Na najwyższym poziomie znajduje się odpowiedzialność administracyjna i finansowa, którą ponosi podmiot jako administrator danych (ADO). To właśnie tutaj pojawiają się budzące postrach kary z tytułu RODO, które dla firm komercyjnych mogą sięgać nawet 4% rocznego światowego obrotu. Kara ta jest nakładana na administratora, ponieważ to on ma obowiązek wdrożyć skuteczne środki techniczne i organizacyjne oraz wykazać ich skuteczność.
Równolegle funkcjonuje odpowiedzialność pracownicza, regulowana przez Kodeks pracy, która dotyczy sumiennego i starannego wykonywania obowiązków oraz dbania o dobro zakładu pracy. Jeśli do wycieku doszło przez rażące niedbalstwo lub zignorowanie procedur, pracownik może zostać ukarany upomnieniem, naganą, a nawet karą pieniężną. W skrajnych przypadkach, gdy dochodzi do bezprawnego przetwarzania danych przez osobę nieuprawnioną, w grę wchodzi odpowiedzialność karna, grożąca każdemu, kto narusza przepisy ustawy. Nie można też zapominać o odpowiedzialności cywilnej, czyli roszczeniach odszkodowawczych osób, których prywatność została naruszona w wyniku incydentu.
Za co odpowiada zarząd?
Krótko mówiąc: za wszystko. Zgodnie z nowoczesnymi regulacjami, takimi jak dyrektywa NIS2 czy rozporządzenie DORA, pełna i ostateczna odpowiedzialność za nadzór nad cyberbezpieczeństwem spoczywa bezpośrednio na zarządzie firmy. Członkowie organów zarządzających nie mogą skutecznie scedować tych obowiązków na podwykonawców czy działy techniczne. To zarząd musi zatwierdzać ramy zarządzania ryzykiem ICT, określać strategię odporności cyfrowej oraz wyznaczać akceptowalny poziom tolerancji na ryzyko.
Kluczowym zadaniem kierownictwa jest również zapewnienie odpowiednich zasobów – zarówno finansowych (na nowoczesne technologie), jak i ludzkich (czyli zmontowanie zespołu o właściwych kompetencjach). Zarząd odpowiada za wybór bezpiecznych dostawców (zarządzanie ryzykiem stron trzecich) oraz za budowanie kultury bezpieczeństwa, w której świadomość zagrożeń jest promowana na każdym szczeblu hierarchii. Ignorowanie tych obowiązków nadzorczych jest obecnie traktowane jako rażące zaniedbanie, które może prowadzić do osobistej odpowiedzialności członków zarządu.
Za co odpowiada dział IT?
Rola działu IT oraz architektów bezpieczeństwa przesuwa się z obszaru czysto technicznego w stronę operacyjnego zarządzania ciągłością działania. Specjaliści ci odpowiadają za projektowanie i wdrażanie zaawansowanych zabezpieczeń, takich jak firewalle nowej generacji, systemy wykrywania włamań (IDS/IPS) oraz mechanizmy kontroli dostępu. Do ich codziennych obowiązków należy eliminowanie luk bezpieczeństwa poprzez regularne aktualizacje oprogramowania oraz monitorowanie infrastruktury w trybie 24/7, co pozwala na wykrycie anomalii zanim przerodzą się one w poważny kryzys.
Niezwykle ważnym elementem pracy IT jest zarządzanie kopiami zapasowymi. Stosowanie zasady 3-2-1 (trzy kopie na dwóch różnych nośnikach, jedna poza firmą) to absolutny standard, który chroni firmę przed bankructwem w przypadku ataku ransomware. W sytuacji wystąpienia incydentu, to zespoły techniczne (często w formie CSIRT) prowadzą działania zaradcze, izolują zainfekowane systemy i odpowiadają za odzyskiwanie danych, dążąc do jak najszybszego przywrócenia normalnego funkcjonowania przedsiębiorstwa.
Ale nadal to zarząd odpowiada za ostateczny efekt pracy informatyków.
Za co odpowiada pracownik?
Choć pracodawca jest administratorem danych, to pracownik jest najczęściej pierwszą linią obrony i jego codzienne nawyki decydują o szczelności systemu. W przypadku firm posiadających regulamin pracy, każdy zatrudniony ma ustawowy obowiązek stosowania się do nich, również w kontekście obsługi systemów informatycznych oraz ochrony haseł. Oznacza to m.in. zakaz używania tych samych haseł w wielu usługach, obowiązek blokowania ekranu przy odejściu od stanowiska oraz zakaz przesyłania firmowych dokumentów na prywatne skrzynki e-mail.
Pracownik musi wykazać się szczególną ostrożnością wobec socjotechniki – nie klikać w podejrzane linki, nie otwierać niezweryfikowanych załączników i zachować zdrowy sceptycyzm wobec pilnych próśb o przelewy czy dane logowania. Niezwykle istotnym obowiązkiem jest również natychmiastowe zgłaszanie wszelkich incydentów lub anomalii. Firma powinna promować kulturę „zero wstydu”, w której pracownik nie boi się przyznać do błędu, wiedząc, że szybka reakcja może uratować organizację przed milionowymi stratami i utratą reputacji.
I pamiętaj, że nadal za wszystko odpowiada zarząd.
Grafika: kues | Magnific