Rząd zapowiada publiczne wskazywanie firm winnych wycieków danych

Po serii wycieków danych Polaków państwo zmienia podejście do firm, które zaniedbują cyberbezpieczeństwo. Dla zarządów i rad nadzorczych rośnie ryzyko prawne i wizerunkowe.

Zapowiedź padła na konferencji Cyber24 Days, która odbyła się 7 i 8 października na PGE Narodowym w Warszawie. Wicepremier i minister cyfryzacji Krzysztof Gawkowski ocenił, że dotychczasowa strategia oparta na dofinansowaniach się nie sprawdziła. „Zmieniamy doktrynę z proszenia na rozkazywanie, sprawdzanie i audytowanie” - mówił, cytowany przez Interię. Resort chce też informować opinię publiczną, które firmy są winne incydentów.

Tłem są wycieki z ostatnich tygodni. Największy dotyczył systemu MyDr dla placówek medycznych. Według CyberDefence24 objął dane nawet 18,8 mln osób z ponad 12 tys. placówek, w tym informacje o wizytach, receptach i stanie zdrowia. UODO (Urząd Ochrony Danych Osobowych) prowadzi kontrolę w spółce, a kara może sięgnąć 20 mln euro. 29 września doszło do włamania do wakacje.pl, skąd wyciekły m.in. adresy, daty urodzenia i dane paszportowe klientów. Spider's Web wymienia też ataki na Medyc i Legimi (183 autorów), a Interia - na Enel-Med, system FELG dla dentystów i Fakturownię.

Gawkowski podkreślił, że cyberbezpieczeństwo to „odpowiedzialność właścicieli, zarządów i rad nadzorczych”, a nie tylko działu IT. Od 3 kwietnia obowiązuje nowa ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażająca unijną dyrektywę NIS2. Termin na wpis do wykazu KSC minął 3 października. Za brak wpisu grozi kara od 15 tys. zł do 10 mln euro, a ustawa wprowadza też osobistą odpowiedzialność kierownika podmiotu.

Jakub Bojanowski, ekspert ds. cyberbezpieczeństwa i audytu IT, członek Stowarzyszenia Niezależnych Członków Rad Nadzorczych, zwraca uwagę na dostawców IT. W przypadku MyDr obowiązki wobec pacjentów spadły na przychodnie, bo to one są administratorami danych. Jak mówi cytowany przez „My Company Polska” ekspert, przetwarzanie danych można zlecić na zewnątrz, „ale nie można w ten sam sposób pozbyć się odpowiedzialności za nie”.

Bojanowski radzi, by rada nadzorcza pytała zarząd, ile firma wytrzyma bez systemu dostawcy, kiedy ostatnio ćwiczono reakcję na atak i jak prowadzić biznes w trakcie kryzysu. Dla firm przetwarzających dane klientów oznacza to sprawdzenie umów z dostawcami i realnej gotowości na incydent, a nie tylko dokumentacji.