Wykorzystywanie prywatnych komputerów, smartfonów i tabletów do wykonywania obowiązków zawodowych, określane jako BYOD (ang. Bring Your Own Device), stało się jednym z praktycznych następstw upowszechnienia pracy na odległość. Model ten może ograniczać koszty wyposażenia stanowisk pracy i ułatwiać pracownikom wykonywanie zadań poza siedzibą pracodawcy, jednak rodzi kluczowe pytanie, jak chronić tajemnicę przedsiębiorstwa w pracy zdalnej na prywatnym sprzęcie. Problem nie sprowadza się przy tym wyłącznie do możliwości utraty urządzenia czy jego zainfekowania złośliwym oprogramowaniem. Istotne znaczenie mają również prywatne kopie dokumentów, synchronizacja danych z niekontrolowaną chmurą oraz brak procedur po zakończeniu współpracy. W poniższym artykule szczegółowo wyjaśniamy, jak chronić tajemnicę przedsiębiorstwa w pracy zdalnej i skutecznie ograniczyć ryzyko wycieku poufnych informacji..
Tajemnica przedsiębiorstwa a praca wykonywana na prywatnym urządzeniu
Podstawowym punktem odniesienia jest definicja tajemnicy przedsiębiorstwa zawarta w Ustawie z 16 kwietnia 1993 roku o zwalczaniu nieuczciwej konkurencji. Za tajemnicę przedsiębiorstwa może zostać uznana informacja posiadająca wartość gospodarczą, która jako całość lub w szczególnym zestawieniu i zbiorze elementów nie jest powszechnie znana osobom zwykle zajmującym się tym rodzajem informacji albo nie jest dla nich łatwo dostępna, o ile uprawniony do korzystania z informacji lub rozporządzania nią podjął, przy zachowaniu należytej staranności, działania w celu utrzymania jej w poufności.
Oznacza to, że sama kwalifikacja określonego dokumentu jako „poufnego” nie przesądza jeszcze o jego prawnym statusie. Konieczne jest spełnienie ustawowych przesłanek, w tym przede wszystkim rzeczywiste istnienie wartości gospodarczej informacji oraz podjęcie przez przedsiębiorcę odpowiednich działań służących zachowaniu jej poufności.
Właśnie ten ostatni element nabiera szczególnego znaczenia w środowisku BYOD. Jeżeli przedsiębiorca pozwala pracownikom przechowywać dane firmowe na prywatnych komputerach bez ustanowienia jakichkolwiek zasad bezpieczeństwa, może pojawić się pytanie, czy rzeczywiście podejmował działania odpowiadające wymaganej prawem należytej staranności.
Nie oznacza to jednak, że korzystanie z prywatnego sprzętu automatycznie pozbawia informacje charakteru tajemnicy przedsiębiorstwa. Ustawa nie wymaga bowiem zastosowania jednego konkretnego rozwiązania technicznego. Działania podejmowane przez przedsiębiorcę powinny być oceniane z uwzględnieniem rodzaju informacji, skali działalności, charakteru zagrożeń oraz możliwości organizacyjnych i technicznych przedsiębiorcy.
W praktyce szczególnie istotne jest zatem stworzenie spójnego systemu ochrony informacji. Może on obejmować regulamin BYOD, zasady pracy zdalnej, procedury bezpieczeństwa informacji, umowy i oświadczenia pracowników, rozwiązania techniczne ograniczające możliwość lokalnego zapisywania danych oraz procedury reagowania na utratę urządzenia lub incydent bezpieczeństwa.
Jak chronić tajemnicę przedsiębiorstwa w pracy zdalnej, gdy prywatny komputer nie jest wyłącznie prywatną przestrzenią pracownika
Jednym z podstawowych problemów BYOD jest zacieranie granicy pomiędzy sferą prywatną i zawodową. Pracodawca może mieć uzasadnioną potrzebę ochrony informacji znajdujących się na urządzeniu, ale jednocześnie komputer lub telefon należy do pracownika i służy także jego celom osobistym.
Powstaje wówczas konflikt interesów. Z jednej strony przedsiębiorca powinien mieć możliwość zabezpieczenia swoich danych. Z drugiej strony nie może przyjmować, że skoro pracownik korzysta z prywatnego urządzenia do pracy, to pracodawca uzyskuje pełną kontrolę nad tym urządzeniem.
Problem ten jest szczególnie widoczny w przypadku rozwiązań typu MDM (ang. Mobile Device Management) lub innych systemów umożliwiających zarządzanie urządzeniami mobilnymi. Wdrożenie takiego rozwiązania może być uzasadnione potrzebą ochrony danych przedsiębiorstwa, jednak sposób jego konfiguracji powinien uwzględniać zakres ingerencji w prywatność pracownika.
Dlatego regulacja BYOD powinna jasno określać, jakie dane przedsiębiorstwa mogą znajdować się na prywatnym urządzeniu, w jaki sposób są zabezpieczane, jakie czynności administrator może wykonywać w razie incydentu oraz co dzieje się z firmowymi danymi po zakończeniu pracy lub współpracy.
Prywatna chmura jako szczególne zagrożenie
Często pomijanym problemem BYOD jest automatyczna synchronizacja danych. Pracownik może korzystać z prywatnego konta w usłudze chmurowej, która automatycznie kopiuje dokumenty znajdujące się na komputerze lub telefonie. W konsekwencji przedsiębiorca może utracić faktyczną kontrolę nad miejscem przechowywania informacji. Nawet jeśli pracownik nie zamierza nikomu ujawniać danych, informacje mogą zostać automatycznie przesłane na prywatny serwer, a następnie zsynchronizowane z innymi urządzeniami.
Jeszcze poważniejszy problem pojawia się po zakończeniu zatrudnienia. Przedsiębiorca może odebrać firmowy komputer i dezaktywować konto służbowe, ale niekoniecznie będzie wiedział, czy dokumenty nie pozostały na prywatnym dysku, prywatnej chmurze, kopii zapasowej lub innym urządzeniu.
Z punktu widzenia ochrony tajemnicy przedsiębiorstwa istotne jest więc nie tylko ograniczenie dostępu do danych, ale także kontrolowanie ich przepływu. Pracownik powinien wiedzieć, gdzie może zapisywać dokumenty, czy może korzystać z prywatnych nośników oraz jakie działania musi podjąć w przypadku utworzenia lokalnej kopii.
Przykład 1.
Pracownik działu sprzedaży wykonuje pracę zdalną na prywatnym laptopie i pobiera na niego arkusz zawierający ceny oferowane kluczowym kontrahentom. Laptop jest automatycznie synchronizowany z prywatną usługą chmurową, z której pracownik korzysta również do celów osobistych. Po zakończeniu zatrudnienia pracownik usuwa plik z laptopa, ale nie wie, że jego wcześniejsza kopia nadal znajduje się w chmurze oraz na innym prywatnym urządzeniu. Czy samo usunięcie dokumentu z komputera wystarcza do uznania, że informacja została zabezpieczona? Nie, ponieważ kopie plików znajdują się w prywatnej chmurze i na drugim urządzeniu, więc informacja pozostaje poza kontrolą przedsiębiorcy. Jeżeli firma nie uregulowała wcześniej zasad synchronizacji i korzystania z prywatnych zasobów, może mieć trudność z wykazaniem należytej staranności. Z drugiej strony, jeżeli była pracownik wykorzysta lub ujawni cennik u nowego pracodawcy, może to stanowić czyn nieuczciwej konkurencji.
Problem urządzeń współdzielonych z rodziną
Specyficzne ryzyko powstaje wtedy, gdy prywatny komputer jest wykorzystywany przez kilka osób. Pracownik może mieć na nim dostęp do dokumentów przedsiębiorstwa, podczas gdy z tego samego urządzenia korzysta małżonek, partner, dziecko albo inny domownik.
W takim przypadku przedsiębiorca traci możliwość zapewnienia, że do informacji służbowych dostęp ma wyłącznie osoba uprawniona. Nawet jeśli pozostali użytkownicy nie mają bezpośredniego zamiaru zapoznawania się z dokumentami, mogą uzyskać do nich dostęp przypadkowo.
Z tego względu polityka BYOD powinna określać, czy urządzenie wykorzystywane do przetwarzania informacji przedsiębiorstwa może być współdzielone. W przypadku informacji szczególnie wrażliwych rozsądnym rozwiązaniem może być wymaganie odrębnego konta użytkownika, szyfrowania oraz innych środków ograniczających możliwość dostępu osób trzecich.
Utrata urządzenia i nieuprawniony dostęp
Kradzież lub zagubienie prywatnego laptopa czy telefonu może prowadzić do powstania kilku niezależnych problemów. Jeżeli urządzenie nie jest właściwie zabezpieczone, osoba, która wejdzie w jego posiadanie, może uzyskać dostęp do zapisanych dokumentów, wiadomości elektronicznych, aplikacji oraz aktywnych sesji.
Szczególnie niebezpieczne jest pozostawienie aktywnego dostępu do firmowych systemów bez dodatkowego mechanizmu uwierzytelniania. Samo hasło do systemu operacyjnego może nie być wystarczającym zabezpieczeniem.
Dlatego zasady BYOD powinny przewidywać możliwość szybkiego zablokowania dostępu po zgłoszeniu utraty urządzenia. Pracownik powinien również wiedzieć, że zgłoszenie incydentu jest obowiązkiem, a nie fakultatywnym działaniem.
Praca zdalna zwiększa znaczenie kontroli dostępu
W tradycyjnym środowisku biurowym przedsiębiorca może w większym stopniu kontrolować fizyczny dostęp do urządzeń i dokumentów. Praca zdalna powoduje rozproszenie środowiska informacyjnego.
Pracownik może wykonywać obowiązki z domu, kawiarni, hotelu, pociągu czy przestrzeni coworkingowej. Każde z tych miejsc wiąże się z innym poziomem ryzyka. Osoba postronna może zobaczyć ekran, usłyszeć rozmowę telefoniczną albo uzyskać dostęp do pozostawionego bez nadzoru urządzenia.
Ochrona tajemnicy przedsiębiorstwa powinna więc uwzględniać nie tylko cyberbezpieczeństwo, lecz także bezpieczeństwo fizyczne i organizacyjne. Nawet najbardziej zaawansowane szyfrowanie nie zapobiegnie sytuacji, w której pracownik pozostawi odblokowany laptop w miejscu dostępnym dla osób nieuprawnionych.
BYOD a korzystanie z poczty elektronicznej
Poczta elektroniczna jest jednym z podstawowych kanałów, przez które informacje przedsiębiorstwa trafiają na prywatne urządzenia. Sam dostęp do służbowej skrzynki na prywatnym telefonie nie musi być problemem, jeżeli system został właściwie skonfigurowany.
Ryzyko rośnie jednak, gdy pracownik przekazuje dokumenty z adresu służbowego na prywatny adres e-mail. Taka praktyka może prowadzić do utraty kontroli nad dalszym obiegiem dokumentu.
Regulamin BYOD powinien zatem jednoznacznie określać, czy dopuszczalne jest korzystanie z prywatnych skrzynek pocztowych w związku z wykonywaniem obowiązków zawodowych. Jeżeli przedsiębiorca tego zabrania, zakaz powinien być wsparty odpowiednią organizacją pracy oraz, w miarę możliwości, rozwiązaniami technicznymi ograniczającymi takie działania.
Co dzieje się z danymi po zakończeniu zatrudnienia?
Jednym z najtrudniejszych aspektów BYOD jest zakończenie współpracy. W przypadku sprzętu należącego do przedsiębiorcy rozwiązanie jest stosunkowo proste: urządzenie można odebrać i poddać odpowiedniej procedurze zabezpieczenia lub wymazania danych.
W przypadku prywatnego urządzenia sytuacja jest bardziej skomplikowana. Pracodawca nie może po prostu przejąć komputera pracownika i usunąć z niego wszystkich danych. Konieczne jest zastosowanie rozwiązania, które pozwoli usunąć informacje przedsiębiorstwa bez nieproporcjonalnej ingerencji w prywatną sferę użytkownika.
Dlatego zasady dotyczące usuwania danych powinny zostać ustalone jeszcze przed dopuszczeniem BYOD. Pracownik powinien wiedzieć, że firmowe dane nie mogą pozostać na urządzeniu po ustaniu uprawnienia do ich przetwarzania oraz w jaki sposób nastąpi ich usunięcie.
