Bezpieczne udostępnianie plików to bardzo ważny element cyberbezpieczeństwa w organizacji. Niezastosowanie się do pewnych zasad może skutkować naruszeniem ochrony danych osobowych. Dzięki szyfrowaniu, kontroli nośników, zarządzaniu kontami, anonimizacji czy minimalizacji danych możemy uniknąć takich incydentów lub znacznie ograniczyć ich skutki.
Bezpieczne udostępnianie plików przez wiadomości e-mail
Podczas wysyłania wiadomości e-mail powinniśmy upewnić się, że w polu adresata umieściliśmy odpowiedni adres. Pominięcie znaku specjalnego (np. kropki) lub zmiana jednej litery może skutkować udostępnieniem dokumentu osobie, która nie powinna go otrzymać.
W decyzjach Prezesa Urzędu Ochrony Danych Osobowych (UODO) wielokrotnie opisywano przypadki pomyłek w wysyłaniu wiadomości e-mail, które skutkowały przesłaniem dokumentów z danymi osobowymi do niewłaściwego adresata (DKN.5131.7.2020, DKN.5131.3.2021). Podczas wysyłania wiadomości e-mail powinniśmy upewnić się, że nie popełniliśmy błędu w adresie odbiorcy.
Czasami może dojść do sytuacji, gdzie jesteśmy zobligowani do wysłania dokumentu w wersji innej niż oryginalna – np. po anonimizacji. Podczas dołączania takiego załącznika powinniśmy upewnić się, że udostępniamy odpowiednią wersję pliku.
W Biuletynie UODO nr 3/05/2023 podkreślono, że podczas wysyłania wiadomości e-mail do wielu odbiorców powinniśmy zadbać o to, aby adresaci nie mogli zapoznać się z danymi kontaktowymi innych osób. W tym celu najlepiej wykorzystać pole „UDW” (Ukryte Do Wiadomości) zamiast pola „DO” – dzięki temu żaden z adresatów nie będzie mógł zobaczyć innych odbiorców danego e-maila. W dokumencie przywołano również upomnienie Prezesa UODO skierowane do jednego z administratorów danych w sektorze publicznym, który masowo wysyłał korespondencję do szerokiego grona odbiorców w sposób umożliwiający zidentyfikowanie jednej z osób fizycznych na podstawie adresu e-mail. W „Syntezie sprawozdania rocznego z działalności Prezesa UODO w 2023 roku” możemy przeczytać, że brak wykorzystywania pola „UDW” w masowej korespondencji był bardzo często zgłaszanym naruszeniem.
Rola szyfrowania a bezpieczne udostępnianie plików
W celu ochrony udostępnianych plików przed nieuprawnionym dostępem warto wykorzystać szyfrowanie załączników, szczególnie tych zawierających dane osobowe (art. 32 ust.1 lit. a unijnego Ogólnego Rozporządzenia o Ochronie Danych). Niezastosowanie takiego środka może prowadzić do naruszenia ochrony danych osobowych (DKN.5131.7.2020).
Podstawową zasadą podczas udostępniania zaszyfrowanych plików jest przesyłanie klucza deszyfrującego (hasła do pliku) za pomocą innego kanału komunikacji. Umieszczenie hasła do pliku w tej samej wiadomości e-mail nie zapewnia odpowiedniego poziomu bezpieczeństwa danych, ponieważ w przypadku m.in. pomyłki w adresie e-mail lub włamania na skrzynkę mailową możliwe jest zapoznanie się z treścią wiadomości przez osobę nieuprawnioną.
Przykład 1.
Urząd wysyła pismo z danymi osobowymi w zaszyfrowanym załączniku. Hasło powinno być przesłane za pomocą innego kanału komunikacji niż e-mail, np. SMS.
Przykład 2.
Firma wysyła dokumenty ważne z punktu widzenia funkcjonowania przedsiębiorstwa za pośrednictwem wiadomości e-mail do innej organizacji. Hasło zostało zawarte w jej treści. W przypadku włamania na skrzynkę nadawcy lub odbiorcy możliwe jest zapoznanie się z treścią dokumentów przez osobę nieuprawnioną.
Popularną praktyką jest ustawianie numeru PESEL jako hasła do pliku. Jest to zdecydowanie lepszy sposób wysyłania załączników niż w formie nieszyfrowanej, lecz nie zapewnia to należytego stopnia ochrony przed nieuprawnionym dostępem. W 2020 roku w artykule „Szyfrowanie dokumentów numerem PESEL nie chroni ich zawartości” Tomasza Zielińskiego udowodniono, że możliwe jest złamanie takiego hasła w 19 sekund na „domowym sprzęcie”. Wbrew pozorom liczba kombinacji nie jest duża, ponieważ PESEL to ciąg 11 cyfr. Należy przy tym dodać, że stopień skomplikowania łamania takiego hasła zależy przede wszystkim od wykorzystanego algorytmu.
W sierpniu 2024 roku Urząd Ochrony Danych Osobowych opublikował komunikat „Co ósma firma MŚP podaje hakerom dane pracowników na tacy”. Wskazano nim, że 23% przedsiębiorstw przekazuje wrażliwe dane swoich pracowników w sposób „zupełnie niezabezpieczony”.
Poprawne wykorzystanie nośników
Udostępnianie dokumentów nie powinno opierać się o wykorzystanie prywatnych nośników danych (np. pendrive’ów). Nie powinniśmy również przekazywać takich danych osobom, które nie są do tego uprawnione.
W maju 2023 roku w decyzji Prezesa UODO (DKN.5131.44.2022) opisano przekazanie pendrive’a do urzędu miasta przez osobę trzecią, niebędącą pracownikiem urzędu oraz bez wymaganego upoważnienia. Nośnik zawierał dokumenty służbowe z danymi osobowymi, które najprawdopodobniej były zgrane przez pracownika przebywającego na zwolnieniu lekarskim. Możliwość dostępu do danych na pendrive przez osobę nieuprawnioną stanowi naruszenie ochrony danych osobowych.
W przypadku pamięci przenośnych warto zadbać o pełne szyfrowanie dysku (ang. full disk encryption), dzięki czemu wszystkie dane na określonym wolumenie będą chronione przed nieuprawnionym dostępem w przypadku zgubienia lub kradzieży dysku. W tym celu można wykorzystać m.in. Bitlockera (rozwiązanie wbudowane w wiele wersji systemu Windows) czy VeraCrypt.
Określenie grupy docelowej a bezpieczne udostępnianie plików w chmurze
W przypadku udostępniania plików innym osobom, szczególnie w przypadku braku przetwarzania danych osobowych, powinniśmy jasno określić grupę docelową. Nie zaleca się tworzenia linków pozwalających uzyskać dostęp do zasobów dla wszystkich użytkowników sieci.
Popularne rozwiązania chmurowe dla jednostek samorządu terytorialnego oraz sektora małych i średnich przedsiębiorstw, takie jak m.in. Google Drive czy Microsoft OneDrive, umożliwiają nadawanie dostępu do zasobów określonym użytkownikom lub grupom. Przykładem może być udostępnianie danego zasobu wyłącznie w ramach naszej organizacji. Niezmiennie aktualna pozostaje zasada przyznawania najmniejszych wymaganych uprawnień.
W przypadku przydzielania dostępu do określonego zasobu chmurowego (np. folderu) należy cyklicznie sprawdzać uprawnienia, aby uniknąć sytuacji, gdy ktoś niepowołany uzyskuje wgląd do plików wskutek przejęcia dostępu do konta, które od dawna pozostaje nieużywane.
Traffic Light Protocol jako dodatkowe wsparcie przy bezpiecznym udostępnianiu plików
W niektórych sytuacjach może okazać się konieczne jasne określenie sposobu ewentualnego udostępniania plików, m.in. kiedy dotyczą informacji wrażliwych dla przedsiębiorstwa wymienianych w ramach korespondencji z zewnętrznymi podmiotami. W tym celu warto użyć Traffic Light Protocol (TLP). W ramach standardu opisanego m.in. przez CERT Polska wyróżnia się cztery oznaczenia (kolory):
czerwony (TLP:RED) – informacja może być przetwarzana wyłącznie przez odbiorców wiadomości;
bursztynowy (TLP:AMBER) – informacja może być przetwarzana wyłącznie w obrębie organizacji oraz osób, które muszą ją poznać w zakresie koniecznym do podjęcia określonych działań. Oznaczenie TLP:AMBER+STRICT wskazuje na możliwość udostępniania informacji wyłącznie w obrębie organizacji;
zielony (TLP:GREEN) – informacja może być współdzielona ze współpracownikami czy w ramach środowiska (np. zaprzyjaźnionych organizacji), lecz nie może zostać swobodnie upubliczniona;
biały/szary (TLP:CLEAR) – informacja może być rozpowszechniana bez ograniczeń (z poszanowaniem praw autorskich).
Należy podkreślić, że TLP pełni funkcję dodatkowego środka – oznaczenie nie zapewnia tego, że osoba nieuprawniona nie zapozna się z wiadomością.
Podsumowanie
Bezpieczne udostępnianie plików polega przede wszystkim na jasnym określeniu odbiorcy danej wiadomości oraz zastosowaniu odpowiednich środków technicznych w celu ochrony plików przed nieuprawnionym dostępem.
W praktyce bardzo ważne pozostaje szyfrowanie plików – z zastrzeżeniem, że hasło do poznania zawartości pliku jest przekazywane innym kanałem komunikacji (np. SMS-em w przypadku e-maili). Z praktycznego punktu widzenia zawsze warto dokładnie sprawdzać adres e-mail odbiorcy wiadomości, ponieważ literówka (omyłkowy błąd w zapisie) może spowodować naruszenie ochrony danych osobowych.
Administratorzy środowisk chmurowych w organizacjach, m.in. od Google’a czy Microsoftu, powinni zadbać o domyślne ustawienia publikowania plików, aby dostosować je do zasad panujących w danej firmie czy podmiocie publicznym.
Praktyka pokazuje, że stosowanie numeru PESEL jako hasła do archiwów czy plików (m.in. PDF) często nie zapewnia realnej ochrony przed nieuprawnionym dostępem, ponieważ jest możliwe do złamania (odgadnięcia) w dość krótkim czasie.
Zaczynając od fundamentów, powinniśmy zwrócić uwagę na to, że istnieje duża różnica między polami „DO” oraz „UDW” podczas wysyłania wiadomości e-mail.
