RODO a praca zdalna: 10 zasad bezpieczeństwa

Zgodnie z art. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nim sytuacji kryzysowych, pracodawca może polecić pracownikowi wykonywanie pracy zdalnej. Prezentujemy 10 krótkich zasad bezpieczeństwa.

1. Dla potrzeb realizacji pracy zdalnej nie powinniśmy rezygnować z ogólnych zasad bezpieczeństwa, o których mowa w naszych wewnętrznych procedurach i politykach. Chodzi tu przede wszystkim o zapisy zawarte w politykach bezpieczeństwa, instrukcjach zarządzania systemami, procedurach dotyczących czystego biurka i ekranu, procedurach zgłaszania incydentów itp. Obecna sytuacja powinna dać nam pogląd na to, jak skuteczne są nasze procedury i jak skuteczne były realizowane przez nas szkolenia.

2. Pracując zdalnie musimy pamiętać o sprawnej komunikacji pracownika ze wsparciem IT. Weźmy pod uwagę to, że pracownicy, realizując zadania z domu, mogą „rozciągać” regulaminowy czas pracy np. na godziny późnonocne. Zatem szczególnie w przypadku dużych podmiotów warto zapewnić dyżury IT w takich godzinach.

3. Powinniśmy zwracać szczególną uwagę na potrzebę zabezpieczenia danych przed wglądem osób trzecich oraz na potrzebę właściwej organizacji miejsca pracy. Dotyczy to przede wszystkim komputerów, które nie są wyposażone w folie prywatyzujące. Jeżeli pracownicy zgłaszają takie zapotrzebowanie, to warto doposażyć ich w te dodatkowe środki ochrony, które w późniejszym okresie będą użyteczne m.in. w trakcie podróży służbowych. Minimalna ochrona danych przed wglądem osób nieuprawnionych polega przede wszystkim na:

• wylogowaniu z konta użytkownika przy odejściu od komputera,
• niepozostawianiu dokumentów w miejscach dostępnych dla innych osób bez nadzoru.

4. Zabieranie dokumentów papierowych na czas pracy zdalnej powinno być zgłaszane bezpośredniemu przełożonemu, który prowadzi podstawową ewidencję wydawanych dokumentów. Działania polegające na wynoszeniu nośników poza podstawowy obszar przetwarzania należy ograniczać do niezbędnego minimum. Obecna sytuacja może spowodować, że w praktyce utracimy kontrolę nad dokumentami znajdującymi się poza siedzibą naszego przedsiębiorstwa.

5. Jakiekolwiek drukowanie dokumentów poza biurem, co do zasady, powinno być zabronione. Odstępstwa od tej zasady powinny być podyktowane tylko szczególnymi przypadkami i realizowane tylko po uprzednim poinformowaniu bezpośredniego przełożonego. W praktyce niewiele firm posiada sprawne mechanizmy monitoringu wydruku, jak i monitoringu aktywności pracowników, wiec być może obecne trudności w sprawowaniu nadzoru powinny być dla nas wskazówką do działań naprawczych realizowanych w przyszłości. Wydruki dokumentów generują także problem związany z ich niszczeniem. Obecna sytuacja może powodować ryzyka samodzielnego i nieskutecznego niszczenia dokumentów przez pracowników. Jeżeli dopuszczamy samodzielne drukowanie i przetwarzanie dokumentów papierowych w ramach home office, pouczmy naszych pracowników, że po zakończeniu okresu realizacji pracy zdalnej, dokumenty powinny być zwrócone do siedziby naszej firmy i profesjonalnie zniszczone, tj. za pomocą niszczarki mechanicznej lub zewnętrznego podwykonawcy.

6. Podstawową zasadą bezpieczeństwa jest także kontrola kopiowania i zapisywania plików na dyskach własnych stacji roboczych, na własnych dyskach przenośnych oraz używania darmowych platform chmurowych oraz prywatnych kont mailowych. Tego problemu często nie da się uniknąć, jeżeli nasze zasady pracy zdalnej zakładają użycie prywatnych komputerów pracowników bez tzw. pulpitu zdalnego. Ograniczajmy jednak ryzyka do niezbędnego minimum. Zapewnijmy pracownikom platformy do wymiany plików i zakażmy używania prywatnych kont pocztowych. Należy pamiętać, że nieautoryzowane i darmowe usługi chmurowe oznaczają dla nas w praktyce zaangażowanie kolejnego podmiotu przetwarzającego i podpisanie umowy, a niekiedy także podjęcie dodatkowych środków niezbędnych do zabezpieczenia transferu danych do tzw. krajów trzecich (poza Europejski Obszar Gospodarczy). Realizacja pracy zdalnej zwiększa potrzebę generowania korespondencji mailowej zawierającej istotne załączniki. Powinniśmy pamiętać o ich zabezpieczeniu na wypadek błędnego zaadresowania korespondencji.

7. Pamiętajmy, że w obecnej sytuacji czeka na nas jeszcze szereg innych niebezpieczeństw pojawiających się na styku sprzętu służbowego i sprzętu prywatnego pracownika. Bardzo pomocne mogą się okazać także inne proste rozwiązania, tj. użycie nakładek na wbudowane kamery laptopów, zabronienie ładowania prywatnych telefonów komórkowych poprzez ich podłączenie do komputerów służbowych, czy też całkowita blokada możliwości instalowania oprogramowania.

8. Dodatkowo pouczmy naszych pracowników, że w związku z obecną szczególną sytuacją nasila się zjawisko różnego rodzaju ataków, tj. np. phishingowych. Szczególną ostrożność powinno się zachowywać w stosunku do wszystkich maili zawierających załączniki w postaci faktur, maili z banków, czy też maili wymagających dalszego działania, tj. np. użycia linka umieszczonego w treści wiadomości.

9. Większa liczba służbowego sprzętu przenośnego, to także zwiększenie możliwości jego utraty. Zabezpieczenie sprzętu, to nie tylko hasło użytkownika. Niezbędnym minimum są mechanizmy szyfrujące, które często oferuje nam już dostawca systemu operacyjnego. W obecnej sytuacji niezwykle użyteczne i pomocne jest skorzystanie z oprogramowania MDM (Mobile Device Managment), które daje nam możliwość zdalnego zarządzania sprzętem, który powierzamy pracownikom, a w tym także jego zdalnej blokady i wyczyszczenia na wypadek kradzieży lub zgubienia.

10. Unikajmy sytuacji, w których pracownicy będą korzystali z sieci WiFi, która jest niezabezpieczona. Pamiętajmy o stosowaniu narzędzi VPN i innych podstawowych środków ochrony transmisji danych.

Jeżeli obecna sytuacja wymusza na nas zmiany w przetwarzaniu danych osobowych i posługiwaniu się sprzętem służbowym, to pamiętajmy o tym, że nie powinny być to zmiany czasowe. Rozwiązanie wypracowane obecnie powinny być w przyszłości podstawą bezpiecznej pracy zdalnej choćby w trakcie podróży służbowych, czy też realizacji zadań w siedzibach naszych klientów.

AUTOR: Kacper Rączkowiak