Z odcinka dowiesz się między innymi:
-> Co powinna uwzględniać analiza ryzyka?
-> Czy regularne testowanie stosowanych środków bezpieczeństwa jest ważne?
-> Jakie czynniki miały wpływ na wysokość kary pieniężnej?
Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył na spółkę medyczną karę 1,5 mln zł nie za to, że doszło do włamania, ale za to, że jako administrator danych nie podjęła wszystkich niezbędnych działań, by mu zapobiec. Po ataku ransomware wyciekło około 21 tysięcy rekordów danych pacjentów i pracowników. Głównymi zarzutami były nieprawidłowo przeprowadzona analiza ryzyka – niedoszacowanie zagrożeń informatycznych i oparcie oceny na niezweryfikowanych przesłankach – oraz brak procedury regularnego testowania, mierzenia i oceniania skuteczności stosowanych środków bezpieczeństwa. Na decyzję została wniesiona skarga, więc ostatnie słowo należy do sądu administracyjnego.
Najważniejsze wnioski
- Kara nie jest wymierzana za sam fakt naruszenia. Skuteczne włamanie może się zdarzyć – pytanie brzmi, czy administrator podjął wszystkie możliwe działania, żeby do niego nie doszło.
- Analiza ryzyka prowadzona na zbyt ogólnym poziomie może być dla UODO niewystarczająca. W tej sprawie zarzucono spółce m.in. nieuwzględnienie ryzyka ustawienia zbyt słabego hasła użytkownika.
- Analiza ryzyka musi być oparta na zweryfikowanych czynnikach. Spółka oceniła ryzyko bez uprzedniego sprawdzenia, czy aktualizacje zostały wykonane i czy serwery mają wsparcie techniczne producenta.
- Brak regularnego testowania zabezpieczeń był samodzielnym zarzutem, a jego niewdrożenie po kontroli oznaczało, że w momencie wydania decyzji naruszenie wciąż trwało.
- Nie istnieje zamknięta lista minimalnych środków bezpieczeństwa – i w tym zakresie spółka miała w pewnej mierze rację. Dostępne są jednak wytyczne, m.in. Europejskiej Rady Ochrony Danych (EROD).
- Historia podmiotu w UODO ma znaczenie. Wcześniejsze decyzje wobec tej samej spółki odczytano jako, cytując decyzję, lekceważący stosunek do danych osobowych.
Czego dotyczy decyzja i dlaczego warto ją znać?
Chodzi o decyzję Prezesa Urzędu Ochrony Danych Osobowych (UODO) nakładającą karę 1,5 mln zł na spółkę medyczną, o której media pisały w połowie sierpnia.
Dwie uwagi porządkowe na wstępie. Po pierwsze, nazwę spółki nietrudno znaleźć w internecie i nie jest to żadna tajemnica, ale w tym omówieniu posługuję się po prostu określeniem „spółka”. Po drugie, na decyzję została wniesiona skarga – zobaczymy więc, jak sprawa potoczy się dalej i jakiej oceny dokona sąd administracyjny.
Sprawa jest istotna dla wszystkich placówek medycznych korzystających z systemów informatycznych, czyli w obecnej sytuacji dla znaczącej większości z nich. Dokumentacja medyczna prowadzona w postaci elektronicznej ma już charakter obowiązkowy, a w wielu placówkach dane osobowe przetwarzane są w systemach informatycznych także poza obszarem danych medycznych.
Co się właściwie wydarzyło?
Grupa hakerska przeprowadziła na spółkę atak typu ransomware, w wyniku którego wyciekło około 21 tysięcy rekordów dotyczących pacjentów i pracowników. Dane wyciekły zarówno z dysków sieciowych, jak i ze stacji roboczych.
Zakres przejętych danych był bardzo szeroki. Obejmował dane zwykłe i dane medyczne, a także dane dostępowe użytkowników (loginy, hasła), numery rachunków bankowych oraz – co interesujące i rzadziej spotykane – dane dotyczące majątku i zarobków poszczególnych osób.
Próbka danych trafiła do darknetu. Hakerzy poinformowali spółkę, pokazując tę próbkę jako dowód, że dysponują pokaźną bazą, i zażądali okupu w wysokości 3 milionów dolarów za nieujawnienie reszty.
Spółka po stwierdzeniu naruszenia podjęła działania, które sama uznała za adekwatne: zawiadomiła UODO, powiadomiła osoby, których dane dotyczyły, uruchomiła m.in. infolinię umożliwiającą uzyskanie dodatkowych informacji. Co do zasady działania te zostały przez organ ocenione pozytywnie.
Co ustalił UODO w toku kontroli?
Urząd wszczął czynności wyjaśniające, a ponieważ uznał przekazane informacje za niewystarczające – przeprowadził kontrolę. W jej wyniku ustalono dwa główne wektory ataku (plus jeden potencjalny).
Pierwszy wektor: brak aktualizacji oprogramowania na urządzeniach brzegowych. Jak wynika z decyzji, był on skutkiem niedopatrzenia pracowników działu IT – pracownicy o braku aktualizacji wiedzieli, ale na skutek pewnych zdarzeń po prostu jej nie przeprowadzono.
Drugi wektor: złamanie zabezpieczeń platformy chmurowej. Okazało się, że spółka dysponowała trzema serwerami, które już na rok przed naruszeniem nie miały wsparcia technicznego producenta.
Trzeci, potencjalny wektor: atak phishingowy. Nie wykluczono go jednoznacznie – stwierdzono, że istnieje prawdopodobieństwo, iż hakerzy dostali się do systemu również tą drogą.
Dodatkowo urząd stwierdził nieprzestrzeganie przez spółkę jej własnej polityki ochrony danych. Polityka przewidywała, że w celu zachowania m.in. zasady minimalizacji danych wszelkie dane – przede wszystkim dane dotyczące zdrowia – przechowywane są w jednym konkretnym systemie. Tymczasem znajdowały się one również na dyskach sieciowych i stacjach roboczych, skąd zostały wykradzione.
Za co dokładnie ukarał UODO?
Podstawowym zarzutem było nieprawidłowe przeprowadzenie analizy ryzyka. Organ oparł się na fundamentalnej zasadzie podejścia opartego na ryzyku (risk-based approach): zdaniem urzędu spółka nie doszacowała określonych ryzyk w zakresie zagrożeń informatycznych, a w konsekwencji nie dobrała odpowiednich, adekwatnych środków bezpieczeństwa.
Drugim zarzutem był brak procedury testowania, mierzenia i oceniania skuteczności stosowanych środków bezpieczeństwa.
Pojęcie „odpowiednich, adekwatnych środków bezpieczeństwa” jest bardzo względne i podlega różnym interpretacjom – omawiałem je szerzej w odcinku 47, opierając się na wyroku Naczelnego Sądu Administracyjnego (NSA).
Czy istnieje lista minimalnych zabezpieczeń?
Nie – i w tym zakresie spółka miała rację. W toku wymiany pism spółka wskazywała, że w żadnym momencie nie otrzymała od organu nadzorczego listy minimalnych środków bezpieczeństwa, które powinny zostać spełnione, a taka lista co do zasady nie istnieje.
To prawda: nie ma określonego katalogu minimalnych zabezpieczeń, a ocena zastosowanych środków – i tym samym środków niwelujących określone ryzyka informatyczne – ma charakter ocenny. Nie da się stwierdzić, że te same środki są dobre w każdym przypadku; podlega to indywidualnej ocenie. Dostępne są natomiast pewne wytyczne, choćby Europejskiej Rady Ochrony Danych (EROD), z których naturalnie można korzystać.
UODO zwrócił na to uwagę w decyzji, wskazując jednocześnie, że bazą dla jakiegokolwiek zastanawiania się, jakie środki zastosować i czy są one adekwatne, jest sama analiza ryzyka – czyli oszacowanie konkretnych zagrożeń informatycznych.
Jak szczegółowa powinna być analiza ryzyka?
Wniosek z tej decyzji jest jeden: analiza ryzyka prowadzona na zbyt ogólnym i wysokim poziomie może być z punktu widzenia UODO niewystarczająca.
Urząd pokazał to w bardzo ciekawy sposób, wskazując elementy o różnym stopniu szczegółowości.
Elementy dosyć ogólne i dosyć oczywiste:
- ryzyko związane z brakiem wsparcia technicznego producenta – w tym przypadku niedoszacowane, choć przy sprzęcie takim jak serwery może mieć znaczenie kluczowe,
- brak uwzględnienia ryzyka związanego z nieprowadzeniem regularnego testowania, mierzenia i oceniania skuteczności stosowanych środków bezpieczeństwa.
Element bardzo szczegółowy: brak uwzględnienia ryzyka ustawienia zbyt słabego hasła dla użytkownika. Prezes UODO rozwija ten wątek w decyzji, wskazując, jak takie hasła powinny wyglądać i odwołując się m.in. do nieobowiązującego już rozporządzenia z 2004 r.
To nie powinno dziwić, jeżeli przypomnimy sobie znaną decyzję dotyczącą zagubionego pendrive’a, w której również pojawił się zarzut nieuwzględnienia ryzyka zagubienia takiego nośnika.
Pozostaje pytanie, gdzie leży granica – tak, żeby analiza ryzyka nie osiągnęła rozmiarów absurdalnych. Trzeba to oceniać indywidualnie, ale bardzo duże znaczenie ma to, jakie dane przetwarzamy. Jeżeli są to dane medyczne, pogłębiona analiza ryzyka na pewno ma duże znaczenie.
Otwarte pozostaje też pytanie, jak zachowałby się urząd wobec innego podmiotu: czy w decyzji albo choćby w wystąpieniach lub zaleceniach pokontrolnych wskazałby, jakie elementy powinny zostać w analizie ryzyka uzupełnione i uszczegółowione. Miałoby to bardzo duże znaczenie praktyczne.
Dlaczego testowanie zabezpieczeń jest tak ważne?
UODO, powołując się na przepisy RODO, podkreślił kluczowy charakter regularnego testowania dla właściwego oszacowania ryzyka poszczególnych procesów.
Teza organu jest taka: gdyby spółka regularnie testowała skuteczność zabezpieczeń, byłaby w stanie nie tylko prawidłowo oszacować ryzyko, ale też na bieżąco je aktualizować – zwiększając lub zmniejszając ryzyko wystąpienia określonych zdarzeń dla każdego procesu.
Tymczasem bez takiego mierzenia i testowania spółka – jak to określił urząd – dokonała oceny ryzyka na podstawie przesłanek niezweryfikowanych. Skoro nie było testów, nie było też wystarczających danych, a analiza oparta na niezweryfikowanych przesłankach nie miała odzwierciedlenia w rzeczywistości.
Na czym polegał zarzut nierzetelności analizy ryzyka?
Zarzut opierał się na dwóch elementach.
Po pierwsze, zdaniem urzędu spółka nie podjęła należytych czynności sprawdzających w zakresie samych systemów informatycznych, by zweryfikować, czy dokonywana analiza ryzyka jest właściwa. Opracowując analizę, pracownicy powinni byli sprawdzić choćby kwestię aktualizacji i wsparcia technicznego – te czynności sprawdzające należało podjąć przed dokonaniem oceny ryzyka, bo oszacowanie ryzyka winno następować na podstawie weryfikowalnych czynników.
Po drugie, spółka przygotowywała kilka analiz ryzyka i je aktualizowała. W interesującym nas okresie powstały dwie: przed naruszeniem i po naruszeniu. Urząd zarzucił, że analiza sporządzona po naruszeniu – mimo ustalenia określonych, choć niejednoznacznych, przyczyn zdarzenia – nie przełożyła się na podniesienie poziomu określonych ryzyk.
UODO podkreślił przy tym, że kluczowe jest ustalenie przyczyn naruszenia i przeniesienie ich na aktualizację analizy ryzyka, tak aby uniknąć podobnych przypadków w przyszłości.
I tu wracamy do zasady rozliczalności: to my jako administrator musimy udowodnić, że podjęliśmy wszelkie czynności, by analizę ryzyka wykonać rzetelnie i prawidłowo, oraz pokazać, na jakich czynnikach się przy tym opieraliśmy.
Jakie czynniki wpłynęły na wysokość kary?
Poniżej czynniki obciążające – te, które są szczególnie ważne dla placówek medycznych.
Waga naruszenia. Urząd mocno podkreślił, że doszło do naruszenia w zakresie danych wrażliwych – wyciekły dane medyczne. Mowa o około 21 tysiącach rekordów dotyczących pracowników spółki i pacjentów, z których część obejmowała dane medyczne.
Naruszenie nadal trwające w momencie wydania decyzji. Nie usunięto wszystkich uchybień stwierdzonych w toku kontroli – główny zarzut dotyczył niewdrożenia procedury testowania środków bezpieczeństwa. Dodatkowo nie dokonano należytej aktualizacji analizy ryzyka po zdarzeniu. Oba elementy urząd ocenił jako zaniedbanie.
Brak komunikacji między działem IT a zarządem. Zdaniem urzędu naruszenie niewątpliwie miało charakter nieumyślny, ale dział IT wiedział o problemach – takich jak brak aktualizacji czy brak procedury regularnego testowania – i nie przekazał tej wiedzy zarządowi, czyli administratorowi (zarząd reprezentuje administratora). Ten brak komunikacji był elementem obciążającym.
Wcześniejsze decyzje wobec tej samej spółki. To nie była pierwsza decyzja dotycząca stwierdzonych naruszeń zasad ochrony danych osobowych wobec tego podmiotu. W ocenie urzędu miało to kapitalne znaczenie, bo odzwierciedlało – cytując decyzję – lekceważący stosunek do danych osobowych.
Jakie wnioski płyną z decyzji dla placówek medycznych?
Kilka rzeczy warto zapamiętać niezależnie od wielkości placówki.
Współpraca z urzędem w toku czynności wyjaśniających i kontrolnych. To ma bardzo istotne znaczenie – sposób, w jaki współpracujemy i przekazujemy informacje, przekłada się na późniejszą ocenę naszej postawy w całym postępowaniu.
Stosowanie się do zaleceń pokontrolnych. W praktyce bywa to utrudnione, zwłaszcza gdy administrator się z określonymi zaleceniami po prostu nie zgadza – ale zastosowanie się do nich będzie miało znaczenie.
Przeszłość. Prawie każda placówka medyczna ma jakąś historię w UODO w związku ze zgłoszeniami naruszeń. Inaczej jednak oceniana jest sytuacja, w której placówka zgłasza naruszenie, podejmuje adekwatne środki, usprawnia swoje działanie i postępowanie zostaje zamknięte, a inaczej – gdy zapada decyzja administracyjna, w szczególności nakładająca karę pieniężną.
Rzetelność i szczegółowość analizy ryzyka. Analiza powinna być oparta na elementach rzetelnie sprawdzonych – różne czynniki wpływające na działanie systemów informatycznych trzeba zweryfikować przed dokonaniem analizy danego procesu. A im bardziej szczegółowa analiza, tym lepiej, choć dla niektórych administratorów może to być zaskoczenie.
Testowanie zabezpieczeń i zaangażowanie IT. Tu kluczowe jest włączenie działów IT i informatyków, w zależności od wielkości placówki. Czy potrzebna jest procedura na papierze? Na pewno może to ułatwić sprawę – choć przede wszystkim chodzi o praktykę. Nie oszukujmy się jednak: to, co jest napisane, łatwiej nam jako administratorom rozliczać z konkretnych działań, również w zakresie testowania.
Kluczowa puenta: za co jest ta kara?
Wymierzona kara to nie kara za to, że doszło do włamania. To nie kara za to, że hakerzy dostali się do systemu informatycznego podmiotu. To kara za to, że w ocenie Prezesa UODO administrator danych osobowych nie podjął wszystkich niezbędnych działań – nie zrobił wszystkiego, co mógł, żeby takiemu włamaniu zapobiec.
Na tym polega cała rzecz: jako administratorzy musimy wykazać wobec urzędu, że podjęliśmy wszystkie niezbędne działania, by do naruszenia – a to nie musi być przecież tylko włamanie – nie doszło. Nie jesteśmy karani za sam fakt naruszenia. Skuteczne włamanie może się zdarzyć. Pytanie brzmi, czy podjęliśmy wszystkie możliwe działania i czy uczymy się na błędach, zabezpieczając systemy tak, żeby w tym konkretnym miejscu na przyszłość do podobnych zdarzeń już nie doszło.
Zdarzają się wypowiedzi sugerujące, że kary pieniężne są karami za sam fakt naruszenia. To w dużym stopniu wypacza samą ideę informowania urzędu o naruszeniach – i z tym przekonaniem staram się walczyć, także w podcaście.
FAQ
Za co UODO nałożył karę 1,5 mln zł na spółkę medyczną? Za nieprawidłowo przeprowadzoną analizę ryzyka – niedoszacowanie zagrożeń informatycznych i niedobranie adekwatnych środków bezpieczeństwa – oraz za brak procedury testowania, mierzenia i oceniania skuteczności stosowanych środków bezpieczeństwa. Nie za sam fakt włamania.
Czy istnieje lista minimalnych środków bezpieczeństwa, których wymaga UODO? Nie. Taka lista co do zasady nie istnieje, a ocena adekwatności środków ma charakter ocenny i indywidualny. Dostępne są natomiast wytyczne, m.in. Europejskiej Rady Ochrony Danych (EROD).
Jak szczegółowa powinna być analiza ryzyka? Analiza na zbyt ogólnym poziomie może zostać uznana za niewystarczającą – w tej sprawie zarzucono spółce nieuwzględnienie ryzyka ustawienia zbyt słabego hasła użytkownika. Stopień szczegółowości trzeba oceniać indywidualnie, a duże znaczenie ma to, jakie dane przetwarzamy.
Czy analizę ryzyka trzeba aktualizować po naruszeniu? Tak. UODO zarzucił spółce, że analiza sporządzona po naruszeniu nie przełożyła się na podniesienie poziomu ryzyk mimo ustalenia przyczyn zdarzenia – choć były one niejednoznaczne.
Czy zgłoszenie naruszenia do UODO zawsze kończy się karą? Nie. Inaczej oceniana jest sytuacja, w której placówka zgłasza naruszenie, wdraża adekwatne środki i postępowanie zostaje zamknięte, a inaczej – gdy zapada decyzja nakładająca karę pieniężną.
Czy zarząd odpowiada za zaniedbania działu IT? W tej sprawie brak przekazania przez dział IT wiedzy o problemach zarządowi – który reprezentuje administratora – został uznany za czynnik obciążający, mimo że samo naruszenie oceniono jako nieumyślne.
Czy decyzja jest prawomocna? Na decyzję została wniesiona skarga, więc jej ocena należy do sądu administracyjnego.
Podsumowanie
Ta decyzja jest o tyle cenna, że pokazuje, czego UODO realnie oczekuje od placówki medycznej korzystającej z systemów informatycznych. Analiza ryzyka przestaje być dokumentem „do szuflady” – staje się podstawowym dowodem w postępowaniu, a jej wartość zależy od tego, czy opiera się na zweryfikowanych, rzetelnie sprawdzonych czynnikach i czy jest połączona z regularnym mierzeniem i ocenianiem skuteczności zabezpieczeń.
I rzecz najważniejsza, o której warto pamiętać: kary nie wymierza się za to, że hakerzy się włamali, tylko za to, że nie zrobiliśmy wszystkiego, co mogliśmy, żeby im to utrudnić.
Całości – wraz z omówieniem poszczególnych zarzutów – warto posłuchać w 65. odcinku podcastu „Recepta na przepis”. Polecam też odcinek 47, w którym pojęcie adekwatnych środków bezpieczeństwa omawiam na tle wyroku Naczelnego Sądu Administracyjnego.
Materiał ma charakter informacyjny i nie stanowi porady prawnej.