Před rokem vstoupilo v Evropské unii v účinnost Obecné nařízení o ochraně osobních údajů, GDPR. Nařízení přineslo jednotný právní rámec, který nabídne všem občanům EU stejnou ochranu jejich osobních a citlivých údajů.
Firmy reagovaly a investovaly do zabezpečení a ochrany citlivých dat. Stranou ale zůstala edukace zaměstnanců, která je pro účinné zabezpečení IT infrastruktury rovněž nezbytná.
Nařízení přeneslo ve velkém odpovědnost na firmy, aby ony, pakliže si jakýkoli osobní údaj vyžádají, zajistily jeho bezpečnost.
„Bohužel víc než racionální argumenty zaznívaly hrozby vysokých pokut, což řadu firemních zákazníků vystrašilo. Na trhu se tak objevily drahé a zbytečné audity či produkty, kterým ale chyběl kontext ochrany firemních dat,“ popisuje Miroslav Dvořák, technický ředitel české pobočky Esetu, situaci před rokem. „To vše navzdory tomu, že česká legislativa byla velmi striktní již před přijetím GDPR.“
Impulz pro změny
Nařízení GDPR přesto mělo řadu pozitivních dopadů. Kromě jiného přimělo firmy provést vnitřní audity, které sledovaly, jak s citlivými daty zacházejí. Informační bezpečnosti, která často nemívá investiční prioritu v rámci firem, byla věnována pozornost. Řada firem při té příležitosti značně zmodernizovala vlastní datovou infrastrukturu.
„Nařízení GDPR pomohlo modernizovat firemní sítě a posílit je o nové technologie, které nejsou nijak náročné, ale výrazně zvyšují bezpečnost dat. Příkladem může být šifrování nebo dvoufaktorová autentizace,“ vysvětluje Dvořák.
Sebelepší legislativa ale nevyřeší vzdělávání odpovědných zaměstnanců. Jedním z nejčastějších příčin úniku osobních dat je právě selhání člověka, který je spravuje. V tomto případě je podle Dvořáka nutné zaměstnance nejen poučit, jak data aktivně chránit, ale průběžně investovat čas a prostředky do jejich vzdělávání.
„Právě vzdělávání řadových zaměstnanců vnímám nyní jako největší slabinu. Nejen IT specialisté, ale zejména lidé působících na pozici recepčních, účetních nebo personalisté musejí chápat, za jak cenné údaje jsou zodpovědní. Měli by vědět jak a proč je chránit. Navíc tyto skupiny patří mezi zaměstnance, kteří často přijímají e-maily od osob, které z logiky jejich funkce neznají a musí být co možná nejostražitější,“ říká Dvořák.
Bezpečnostní incidenty přetrvávají
Úniky dat představují i nadále reálnou hrozbu. Potvrzují to i statistiky Úřadu pro ochranu osobních údajů za rok 2018 zveřejněné ve výroční zprávě.
Za toto období přijal úřad přes 3 600 podnětů k prošetření a celkem úřad udělil pokuty ve výši 7 202 360 Kč. K nejčastějším pochybením patří zákonnost zpracování, splnění informační povinnosti a zabezpečení dat. K zvýšení bezpečnosti dat doporučují experti zavedení šifrování disků a dvoufázové autentizace.
„Tyto programy ale samy o sobě data neochrání, jde takzvaně o nepřímou ochranu. Šifrování zmiňuje i samo nařízení. Výhodou je, že v případě úniku nebo odcizení počítače, nejsou data čitelná pro útočníka a není tak možné je zneužít,“ uzavírá Dvořák.
PŘEDPLATNÉ
ČLÁNKY DO MAILU