Prywatność i Cyberodporność w Organizacji

1. Pracownik działu kadr wysłał arkusz z danymi wszystkich pracowników na zły adres e-mail. Co robisz?

Oceniam ryzyko dla osób, których dane dotyczą, dokumentuję zdarzenie i uruchamiam procedurę zgłoszenia naruszenia, jeśli jest wymagana. Proszę odbiorcę o usunięcie wiadomości i uznaję sprawę za zamkniętą. Uznaję, że to drobna pomyłka i nic nie trzeba robić.

2. Rano okazuje się, że systemy firmy są zaszyfrowane, a na ekranach pojawia się żądanie okupu. Jak działasz?

Izoluję zainfekowane systemy, uruchamiam plan reagowania na incydenty, informuję zarząd i sprawdzam kopie zapasowe. Dzwonię do informatyka i czekam na jego decyzję. Proponuję szybko zapłacić, żeby mieć spokój.

3. Dział marketingu chce wdrożyć narzędzie, które śledzi zachowanie klientów na stronie internetowej. Co robisz?

Sprawdzam, jakie dane będą zbierane, w jakim celu i na jakiej podstawie, i proponuję rozwiązania chroniące prywatność już na etapie projektu. Akceptuję, jeśli dostawca zapewnia, że wszystko jest zgodne z prawem. To sprawa marketingu, nie wtrącam się.

4. Czy interesuje Cię, jak firma utrzyma najważniejsze procesy, gdy przestanie działać serwerownia albo kluczowy dostawca?

Tak — chcę umieć planować ciągłość działania i szybkie odtwarzanie systemów po awarii. Trochę, ale to raczej temat dla informatyków. Nie, zakładam, że takie sytuacje się nie zdarzają.

5. Pracownicy regularnie klikają w podejrzane linki w wiadomościach e-mail. Jak to zmieniasz?

Organizuję krótkie, praktyczne szkolenia, kontrolowane testy phishingowe i prosty sposób zgłaszania podejrzanych wiadomości. Wysyłam do wszystkich e-mail z ostrzeżeniem. Uważam, że ludzi nie da się tego nauczyć.

6. Klient prosi o informację, jakie jego dane przetwarza firma, i o ich usunięcie. Co robisz?

Ustalam, gdzie są jego dane, sprawdzam, które firma musi zachować z mocy prawa, i odpowiadam w wymaganym terminie. Przekazuję prośbę dalej i nie śledzę, co się z nią dzieje. Odkładam takie prośby na później.

7. Zarząd pyta, czy firma jest dobrze przygotowana na cyberatak. Co odpowiadasz?

Że przygotuję ocenę ryzyka, przegląd zabezpieczeń i ćwiczenie scenariusza ataku, a wnioski przedstawię w zrozumiałej formie. Że mamy program antywirusowy, więc chyba tak. Że nie wiem i wolę się tym nie zajmować.

8. Firma podpisuje umowę z zewnętrznym dostawcą, który będzie przetwarzał dane klientów. Na co zwracasz uwagę?

Na zasady powierzenia danych, poziom zabezpieczeń dostawcy, miejsce przechowywania danych i sposób zgłaszania incydentów. Głównie na cenę i dostępność usługi. Na nic szczególnego — dostawca na pewno wie, co robi.

9. Jak się czujesz w roli osoby, która łączy prawo, technologię i rozmowy z pracownikami różnych działów?

Dobrze — lubię tłumaczyć zasady bezpieczeństwa tak, żeby były praktyczne i zrozumiałe dla innych. Mogę się w tym odnaleźć, ale wolę jeden obszar. Wolę unikać takich ról.

10. Co najbardziej motywuje Cię do podjęcia studiów podyplomowych „Prywatność i Cyberodporność w Organizacji”?

Chęć pracy jako inspektor ochrony danych lub specjalista ds. bezpieczeństwa informacji, który wzmacnia odporność firmy na zagrożenia. Potrzeba uporządkowania wiedzy o ochronie danych i cyberbezpieczeństwie w mojej organizacji. Nie jestem pewien/pewna, czy to dla mnie