Wiele firm jest obecnie całkowicie zależnych od danych przechowywanych na serwerach sieciowych, komputerach stacjonarnych, laptopach, urządzeniach mobilnych i u dostawców usług w chmurze. Niektóre z tych danych mogą zawierać dane osobowe i/lub poufne informacje firmowe.
W tym artykule przyjrzymy się niektórym kwestiom, które należy wziąć pod uwagę, analizując bezpieczeństwo systemów komputerowych w kontekście kontroli dostępu. Ogólne Rozporządzenie o Ochronie Danych (RODO) określa zasadę bezpieczeństwa, która stanowi, że należy podjąć „odpowiednie środki techniczne i organizacyjne” podczas bezpiecznego przetwarzania danych osobowych. Zasada ta jest również powtórzona jako 6. Zasada Ustawy o Ochronie Danych Osobowych (DPA) z 2018 r., która rozszerza RODO i również stanowi „wymóg bezpiecznego przetwarzania danych osobowych”.
Z tego powodu zapobieganie nieautoryzowanemu lub przypadkowemu dostępowi do przetwarzanych przez Ciebie danych osobowych stanowi ważny krok w kierunku zapewnienia zgodności z przepisami.
Bezpieczeństwo dostępu
Dobra kontrola dostępu do komputerów i sieci minimalizuje ryzyko kradzieży danych lub ich niewłaściwego wykorzystania.
Kontrole dostępu można podzielić na dwa główne obszary:
- dostęp fizyczny – kontrola nad tym, kto może wejść na teren obiektu i kto może uzyskać dostęp do danych osobowych
- dostęp logiczny – mechanizmy kontroli zapewniające, że pracownicy mają dostęp wyłącznie do odpowiedniego oprogramowania, danych i urządzeń niezbędnych do wykonywania ich konkretnych obowiązków.
Dostęp fizyczny
Oprócz kontroli dostępu fizycznego, takiej jak zamki, alarmy, oświetlenie zabezpieczające i monitoring CCTV, należy wziąć pod uwagę również inne kwestie, na przykład sposób kontrolowania dostępu do obiektu.
Zwiedzającym nie wolno swobodnie się poruszać bez ścisłego nadzoru.
Upewnij się, że ekrany komputerów nie są widoczne z zewnątrz.
Stosuj zasady sieciowe, aby mieć pewność, że stacje robocze i/lub urządzenia mobilne zostaną zablokowane, gdy nie są używane lub pozostają bez nadzoru.
Upewnij się, że w przypadku zgubienia urządzenia mobilnego można je zdalnie unieruchomić.
Ze względu na niewielkie rozmiary urządzenia mobilne stanowią przedmiot wysokiego ryzyka, dlatego poufne dane powinny być zawsze szyfrowane, a dostęp do usługi powinien być kontrolowany za pomocą numeru PIN lub hasła.
Może zaistnieć konieczność wyłączenia lub ograniczenia dostępu do urządzeń USB oraz czytników i nagrywarek optycznych.
Może okazać się konieczne zablokowanie portów sieciowych za pomocą serwerów Radius lub innego sprzętu sieciowego, aby zapobiec podłączaniu nieautoryzowanego sprzętu do sieci za pomocą kabla.
Wreszcie, informacje w formie papierowej należy usuwać w sposób bezpieczny.
Dostęp logiczny
Należy stosować techniki dostępu logicznego, aby mieć pewność, że personel nie będzie miał większego dostępu, niż jest mu to potrzebne do wykonywania swoich obowiązków.
Dane wrażliwe powinny być szyfrowane, a dostęp do nich powinien być kontrolowany za pomocą zabezpieczeń sieciowych, list kontroli dostępu i profili użytkowników.
Dostęp do niektórych aplikacji i folderów może również wymagać indywidualnego ograniczenia dla poszczególnych użytkowników.
Na koniec może okazać się konieczne zablokowanie niektórych urządzeń na wybranych komputerach, albo za pośrednictwem zasad grupy w systemie Windows, albo za pomocą aplikacji zarządzającej innej firmy.
Hasła
Dobrą praktyką jest stosowanie polityki haseł składającej się z nazwy użytkownika i hasła.
Pomagają zidentyfikować użytkownika w sieci i umożliwiają przypisanie mu odpowiednich uprawnień.
Aby jednak hasła były skuteczne, powinny :
- być stosunkowo długi (tj. osiem znaków lub więcej)
- zawierają mieszankę znaków alfanumerycznych i znaków specjalnych (takich jak &^”)
- być regularnie zmieniane za pomocą opcji automatycznego odnawiania hasła
- zostać usunięte lub zmienione, gdy pracownik odchodzi
- być używany w pojedynczych plikach, takich jak arkusze kalkulacyjne lub dokumenty tekstowe zawierające dane osobowe
- być szyfrowane w Twoich systemach przy użyciu silnego algorytmu szyfrującego
i NIE POWINNO
- być hasłem zbiorczym (czyli takim samym dla wszystkich aplikacji lub dla wszystkich użytkowników)
- być napisane na karteczkach samoprzylepnych przyklejonych do klawiatury lub ekranu
- składają się z powszechnie używanych słów lub fraz albo nazwy firmy.
- zostać wysłane e-mailem, chyba że jest to tylko tymczasowe hasło (bez informacji pomocniczych, takich jak jego przeznaczenie i nazwa użytkownika)
- nie będą przechowywane jako zwykły tekst w Twoich systemach.
Kontrola dostępu
Chociaż nie jest to wymóg prawny RODO, rejestrowanie i monitorowanie danych (oraz wprowadzanych w nich zmian) w dużym stopniu przyczyni się do zgodności z artykułem 32 RODO.
Audyt przetwarzania danych umożliwi Ci przeglądanie, raportowanie i udowodnienie:
- kto miał dostęp do danych i kiedy
- jak często uzyskuje się dostęp do danych i czy taki zakres dostępu jest odpowiedni
- w razie przypadkowej utraty danych sprawdź, jakie zmiany zostały wprowadzone i kto je wprowadził.
Chociaż ani RODO, ani DPA 2018 nie określają konkretnych środków, jakie należy podjąć, należy rozważyć zastosowanie rozwiązania technicznego dostosowanego do Twoich potrzeb i potrzeb przetwarzanych danych.
