Instalowanie aktualizacji to jeden z podstawowych sposobów ochrony przed cyberatakami. Należy pamiętać, że utrata danych w wyniku braku aktualizacji oprogramowania może wiązać się z poważną odpowiedzialnością prawną pracodawcy. Codziennie wykrywane są nowe podatności, które łatane są zazwyczaj w nowszych wersjach programów, dlatego korzystanie z przestarzałych systemów operacyjnych czy aplikacji stanowi realne zagrożenie dla bezpieczeństwa przetwarzanych danych.
Czy utrata danych osobowych w wyniku braku aktualizacji oprogramowania to naruszenie RODO?
Naruszenie ochrony danych osobowych obejmuje nie tylko ujawnienie czy kradzież informacji. Zgodnie z art. 4 pkt 12 unijnego Ogólnego Rozporządzenia o Ochronie Danych (RODO) przypadkowe lub niezgodne z prawem utracenie danych również stanowi naruszenie. Artykuł 32 ust. 1 lit. b RODO zobowiązuje administratora (oraz ew. podmiot przetwarzający) do ciągłego zapewniania poufności, integralności, dostępności i odporności systemów.
Należy tutaj zaznaczyć, że sam fakt utraty danych stanowi naruszenie ochrony – nawet w sytuacji, w której nieuprawnione osoby nie mogą się z nimi zapoznać. Dobrym przykładem jest decyzja Urzędu Ochrony Danych Osobowych (UODO) z listopada 2023 roku (DKN.5131.13.2022) dotycząca zniszczenia serwerowni podczas pożaru, co skutkowało utratą danych ok. 14 tys. osób. Firma nie dysponowała kopiami zapasowymi, wobec czego bezpowrotnie utracono dane. Spółka otrzymała karę w wysokości 117,9 tys. zł z racji niewdrożenia odpowiednich środków organizacyjnych i technicznych m.in. w zakresie dostępności systemów.
Dlaczego rola aktualizowania oprogramowania jest kluczowa dla bezpieczeństwa firmy?
W artykule opisującym publikację sprawozdania Pełnomocnika rządu ds. cyberbezpieczeństwa za 2023 rok stwierdzono, że zaniedbanie aktualizacji oprogramowania może narazić użytkowników na ataki z uwagi na możliwość łatwego wykorzystania luk w zabezpieczeniach przez cyberprzestępców.
W rekomendacjach CERT Polska z lutego 2022 roku wskazano konieczność upewnienia się, że dokonywane są aktualizacje oprogramowania – szczególnie w przypadku urządzeń widocznych z poziomu Internetu.
Centrum e-Zdrowie podkreśla w jednym z artykułów, że aktualizowanie oprogramowania to jeden z najlepszych sposobów przeciwdziałania wybranym rodzajom zagrożeń w cyberprzestrzeni.
Ochrona danych a aktualizowanie oprogramowania
Artykuł 5 ust. 1 lit. f RODO zobowiązuje administratora do przetwarzania danych, co ma zapewnić ochronę przed przypadkową utratą, zniszczeniem lub uszkodzeniem. W tym celu konieczne jest wykorzystanie odpowiednich środków technicznych oraz organizacyjnych. Art. 24 ust. 1 precyzuje, że wspomniane środki są poddawane przeglądom i aktualizowane w razie takiej potrzeby.
W maju 2023 roku Prezes UODO wydał decyzję (DKN.5131.56.2022) związaną z atakiem ransomware na jeden z urzędów miasta, który skutkował m.in. utratą dostępu do baz danych. Doszło również do zaszyfrowania części kopii zapasowych, wobec czego przywrócenie całości infrastruktury trwało niecałe trzy miesiące. Cyberatak miał być możliwy do przeprowadzenia dzięki niezaktualizowanej bazie danych wirusów (oprogramowania antywirusowego, pot. antywirus).
Prezes UODO stwierdził, że brak aktualnej wersji oprogramowania antywirusowego oznaczał brak pełnej kontroli administratora nad bezpieczeństwem procesu przetwarzania danych. Widzimy tutaj jasne wskazanie, że w przypadku utraty danych osobowych w wyniku braku aktualizacji oprogramowania to pracodawca odpowiada za tego rodzaju naruszenie.
Podobne stanowisko przedstawiono w decyzji Prezesa UODO z maja 2024 roku (DKN.5112.35.2021) dotyczącej kary w wysokości 1,4 mln zł nałożonej na przedsiębiorstwo. Firma była ofiarą ataku ransomware skutkującego m.in. publikacją danych osobowych w tzw. darknecie (części Internetu dostępnej za pomocą specjalnej przeglądarki). Jako jeden z potencjalnych wektorów ataku wyróżniono brak aktualizacji oprogramowania urządzeń brzegowych. Zgodnie z poradnikiem NASK z programu „Firma Bezpieczna Cyfrowo” do urządzeń brzegowych zalicza się np. routery czy firewalle (zapory ogniowe).
W decyzji podkreślono, że w dniu ataku możliwe było wykorzystanie podatności w oprogramowaniu (użycie tzw. exploita). Prezes UODO zaznaczył, że konieczność wdrażania aktualizacji w takich urządzeniach należy do „sfery powszechnie znanej wiedzy w branży informatycznej”.
Odpowiedzialność pracodawcy a podmiotów przetwarzających
Decyzje Prezesa UODO pokazują, że kluczową kwestią w poprawnej ochronie danych osobowych jest dostosowanie środków organizacyjnych i technicznych do określonego ryzyka. Niejednokrotnie administratorzy powierzają przetwarzanie danych innym podmiotom (np. podwykonawcom). W art. 28 ust. 1 RODO podkreślono, że administrator jest zobowiązany do wybrania podmiotów przetwarzających, które zapewniają „wystarczające gwarancje wdrożenia odpowiednich środków”.
Kluczowa pozostaje odpowiedzialność za utratę danych w wyniku braku aktualizacji w sytuacji, gdy incydent miał miejsce u podmiotu przetwarzającego. W tym przypadku kluczowy jest art. 82 ust. 2 RODO, który stanowi, że każdy administrator odpowiada za szkody spowodowane przetwarzaniem niezgodnym z unijnym rozporządzeniem. Podmiot przetwarzający odpowiada wyłącznie za szkody spowodowane niedopełnieniem obowiązków, które nakłada na nie bezpośrednio RODO oraz działanie wbrew lub poza instrukcjami administratora.
Zwolnienie administratora lub podmiotu przetwarzającego z odpowiedzialności możliwe jest w sytuacji, w której można udowodnić, że nie ponoszą winy za określone zdarzenie, co wskazano wprost w art. 82 ust. 3 RODO.
Przykład 1.
W firmie doszło do ataku ransomware, który spowodował naruszenie dostępu do danych. Cyberprzestępcy wykorzystali podatność w niezaktualizowanym oprogramowaniu serwera w infrastrukturze administratora. Podmiot przetwarzający wykonywał usługi z zakresu „pełnego wsparcia informatycznego”. Prezes UODO uznał (DKN.5131.1.2021), że w tym przypadku zapisy RODO zostały naruszone przez obie organizacje. W przypadku administratora stwierdzono m.in. brak możliwości wykazania stosowania odpowiednich środków technicznych i organizacyjnych oraz brak należytej weryfikacji podmiotu przetwarzającego pod kątem zapewnienia odpowiednich gwarancji bezpieczeństwa danych. Podmiot przetwarzający został ukarany za niepowiadomienie administratora o konieczności aktualizacji oprogramowania (w ramach pomocy administratorowi) – organ nadzorczy uznał to za „świadome i nacechowane niedbalstwem zaniechanie”.
Przykłady oprogramowania do aktualizacji
Aktualizację oprogramowania powinniśmy przeprowadzać wszędzie tam, gdzie to możliwe. W przypadku jednostek samorządu terytorialnego oraz sektora małych i średnich przedsiębiorstw mowa przede wszystkim o aktualizacjach sprzętów i programów, takich jak:
- przeglądarka internetowa;
- aplikacje (np. branżowe);
- oprogramowanie antywirusowe (tzw. antywirus);
- sprzętowe zapory ogniowe (tzw. firewalle);
- firmware routera.
Koniec wsparcia producenta
Podstawą otrzymywania kolejnych wersji oprogramowania jest wsparcie producenta. W takiej sytuacji zaleca się wymianę sprzętu, systemu lub programu na inny, który wciąż będzie otrzymywał aktualizacje.
Przykładem może być system Windows 10, który w październiku 2025 roku domyślnie przestał być wspierany przez Microsoft. Aby otrzymywać poprawki bezpieczeństwa, konieczne jest zarejestrowanie się do programu wsparcia trwającego do 13 października 2026 roku. Wszystkim osobom korzystającym z Windows 10 zaleca się przejście na nowszą wersję systemu lub jego zmianę, ponieważ za kilka miesięcy nie będą publikowane m.in. poprawki bezpieczeństwa. Warto przypomnieć, że atak ransomware „WannaCry” z 2017 roku dotknął w dużej mierze komputery z systemem Windows XP, który utracił wsparcie trzy lata wcześniej.
Przykład 2.
Przedsiębiorstwo kupiło i wdrożyło fizyczne zapory ogniowe (tzw. firewalle). Kiedy wsparcie techniczne producenta wygasa, konieczna jest niezwłoczna wymiana sprzętu, ponieważ z czasem może dojść do znalezienia nowych podatności, które nie zostaną załatane, co może skutkować udanym cyberatakiem.
Utrata danych w wyniku braku aktualizacji oprogramowania – podsumowanie
Za utratę danych wskutek braku aktualizacji oprogramowania zazwyczaj będzie odpowiadał pracodawca (administrator danych). Prezes UODO jasno podkreśla, że aktualizowanie oprogramowania to powszechnie znany obowiązek w branży informatycznej.
W przypadku incydentu w infrastrukturze podmiotu przetwarzającego wina może być współdzielona, lecz należy przy tym podkreślić, że administrator wciąż odpowiada za bezpieczeństwo procesu przetwarzania danych. Samo podpisanie umowy powierzenia przetwarzania danych nie zwalnia administratora z odpowiedzialności, o czym należy bezwzględnie pamiętać.
Praktyka pokazuje, że utrata danych wskutek braku aktualizacji oprogramowania zazwyczaj wiąże się z niewdrożeniem odpowiednich środków organizacyjnych i technicznych, co narusza art. 32 RODO. Oznacza to, że pracodawca jest odpowiedzialny za takie zdarzenie – nawet w przypadku korzystania z usług podmiotów przetwarzających, ponieważ to administrator odpowiada za wybór odpowiedniego procesora (art. 28 RODO).
Polecamy:
