Czy rząd będzie publicznie wskazywał firmy, które spowodowały wyciek danych?

Minister cyfryzacji Krzysztof Gawkowski zapowiedział, że państwo będzie przekazywać opinii publicznej informacje o tym, kto odpowiada za incydenty. Nowy kierunek ma dotyczyć firm, które nie przykładają wystarczającej wagi do cyberbezpieczeństwa.

Co zrobić, jeśli moje dane wyciekły z firmy lub placówki medycznej?

Sprawdź, jakie dane objęto incydentem, i śledź komunikaty firmy. Zmień hasła do powiązanych kont i uważaj na podejrzane wiadomości, zwłaszcza phishing podszywający się pod usługodawcę.

Czym jest zgłoszenie naruszenia do UODO?

UODO, czyli Urząd Ochrony Danych Osobowych, to polski organ nadzorczy w zakresie ochrony danych. Administrator danych zobowiązany jest do zgłoszenia naruszenia ochrony danych osobowych, a w niektórych przypadkach także do poinformowania osób, których dane dotyczą.

Czy dotacje dla firm z sektora cyberbezpieczeństwa rozwiązują problem wycieków?

Rząd uznał dotychczasowe dotacje i wsparcie dla sektora cyberbezpieczeństwa za nieskuteczne, dlatego szuka innych narzędzi nacisku. Wskazywanie winnych ma być jednym z nich.

Wycieki danych: rząd chce publicznie wskazywać winne firmy

Minister cyfryzacji zapowiada, że państwo będzie ujawniać firmy odpowiedzialne za incydenty. Sprawdź, co to oznacza dla Twoich danych i jak reagować po wycieku.

Rząd zapowiada publiczne wskazywanie firm, które odpowiadają za wycieki danych osobowych, a stanowisko to przedstawił minister cyfryzacji Krzysztof Gawkowski podczas VII edycji konferencji Cyber24 Days. Oznacza to odejście od dotychczasowego podejścia opartego na wsparciu finansowym na rzecz otwartego nazywania podmiotów, które zaniedbały bezpieczeństwo. Dla użytkowników usług cyfrowych i pacjentów to sygnał, że przejrzystość wobec wycieków może wzrosnąć.

Dlaczego państwo chce wskazywać winnych firm?

Minister Krzysztof Gawkowski uznał, że dotacje i wsparcie dla sektora cyberbezpieczeństwa nie przynoszą oczekiwanych efektów. Zamiast kolejnych programów pomocowych rząd chce wywierać presję reputacyjną: publicznie informować o podmiotach, które nie traktują ochrony danych wystarczająco poważnie. Jak pisze w swoim materiale Forsal.pl, minister zapowiedział: „Będziemy przekazywać informacje opinii publicznej, kto jest winien incydentów.”

Taka strategia opiera się na prostym mechanizmie. Firma, której nazwa pojawia się w komunikacie państwowym, traci zaufanie klientów, a to bywa dotkliwsze niż kara finansowa. Warto jednak pamiętać, że sama zapowiedź nie oznacza jeszcze konkretnych zasad ani procedur; na ich kształt trzeba będzie poczekać.

Jakie incydenty stały za tą decyzją?

Zapowiedź nie pojawiła się w próżni. Wskazano kilka głośnych przypadków, które pokazują, jak różne sektory są narażone na wycieki. Poniższa tabela zestawia je według rodzaju danych, których dotyczyły.

Podmiot / serwis	Rodzaj danych	Charakter incydentu
MyDr	Dane klientów	Atak na dane klientów
wakacje.pl	Dane paszportowe	Przechwycenie danych
Legimi	Dane autorów	Kradzież danych z bazy
IQ Dental	Dane pacjentów i dane o wizytach	Podejrzenie kradzieży danych

Najbardziej wrażliwe są dane medyczne i paszportowe. Dane pacjentów pozwalają na szantaż, a informacje o wizytach mogą posłużyć do wyłudzeń, np. przez fałszywe wiadomości podszywające się pod placówkę. Dane paszportowe z kolei ułatwiają podszywanie się pod daną osobę przy weryfikacji tożsamości.

Przykład IQ Dental: jak wyglądał przebieg zdarzenia?

W przypadku IQ Dental pojawiło się podejrzenie kradzieży danych pacjentów i danych o wizytach. Incydent miał miejsce 1 października, w godzinach 4:00–12:00, a informacja o nim została opublikowana 5 października. Sprawę nagłośnił serwis niebezpiecznik.pl. Ten przykład dobrze pokazuje, że od zdarzenia do komunikatu mogą upłynąć dni, a w tym czasie użytkownicy nie wiedzą, że ich dane są zagrożone.

Co zrobić po wycieku danych krok po kroku?

Jeśli dowiesz się, że Twoje dane mogły wyciec, nie czekaj na oficjalne wyjaśnienia. Możesz działać według prostego schematu:

Ustal, jakie dane objęto incydentem. Komunikat firmy powinien wskazać kategorie informacji. Od tego zależy poziom ryzyka.
Zmień hasła do kont powiązanych z firmą, zwłaszcza jeśli hasło było takie samo lub podobne w innych serwisach.
Włącz uwierzytelnianie dwuskładnikowe tam, gdzie jest dostępne.
Uważaj na phishing. Po wycieku przestępcy często wysyłają wiadomości podszywające się pod firmę, bank lub urząd.
Monitoruj konta i wyciągi. Szczególnie przy danych finansowych i identyfikacyjnych.

Jeśli wyciek dotyczy danych pacjentów lub innych danych wrażliwych, warto zwrócić się do placówki z pytaniem, czy zgłosiła incydent do UODO i czy została powiadomiona osoba, której dane dotyczą.

Jakie są obowiązki firm wobec UODO?

Zgodnie z RODO administrator danych, który stwierdzi naruszenie ochrony danych osobowych, ma obowiązek zgłosić je do UODO, co do zasady w ciągu 72 godzin od momentu ustalenia naruszenia. W przypadku IQ Dental wskazywano właśnie na konieczność takiego zgłoszenia. To ważne, bo zgłoszenie do urzędu jest pierwszym formalnym śladem, który pozwala ocenić skalę problemu.

Co to oznacza dla Ciebie?

Zapowiedź publicznego wskazywania firm zmienia układ sił między klientami a przedsiębiorcami. Jeśli państwo zacznie nazywać podmioty zaniedbujące bezpieczeństwo, presja na inwestycje w zabezpieczenia wzrośnie, a użytkownik zyska łatwiejszy dostęp do informacji o ryzyku. Nie zwalnia to jednak z własnej higieny cyfrowej: unikalne hasła, czujność wobec nieoczekiwanych wiadomości i świadome podawanie danych pozostają podstawą ochrony. Publiczne wskazanie winnego pomaga, ale najskuteczniej chroni to sytuacja, w której firma nie dopuści do wycieku w ogóle.