Zavedení GDPR zlepšilo informační zabezpečení firem, edukace zaměstnanců však pokulhává
Osobní údaje jsou v 21. století cennou komoditou, která je mezi útočníky žádaným zbožím. O to důležitější jsou mechanismy na jejich ochranu. Nařízení přeneslo ve velkém odpovědnost na firmy, aby ony, pakliže si jakýkoli osobní údaj vyžádají, zajistily jeho bezpečnost.
„Bohužel více než racionální argumenty zaznívaly hrozby vysokých pokut, což řadu firemních zákazníků vystrašilo. Na trhu se tak objevily drahé a zbytečné audity a produkty, kterým ale chyběl kontext ochrany firemních dat,“ popsal situaci, jež panovala před rokem, Miroslav Dvořák, technický ředitel české pobočky firmy ESET. „To vše navzdory tomu, že česká legislativa byla velmi striktní již před přijetím GDPR,“ dodal.
Impulz pro změny
Nařízení GDPR přesto mělo řadu pozitivních dopadů. Kromě jiného přimělo firmy provést vnitřní audity, které sledovaly, jak s citlivými daty zacházejí. Informační bezpečnosti, která často ve firmách nemívá investiční prioritu, byla věnována pozornost. Řada firem při té příležitosti značně zmodernizovala vlastní datovou infrastrukturu.
„Nařízení GDPR pomohlo modernizovat firemní sítě a posílit je o nové technologie, které nejsou nijak náročné, ale výrazně zvyšují bezpečnost dat. Příkladem může být šifrování nebo dvoufaktorová autentizace,“ vysvětlil Dvořák.
Často selhává ostražitost člověka
Sebelepší legislativa ale nevyřeší vzdělávání odpovědných zaměstnanců. Jedním z nejčastějších příčin úniku osobních dat je právě selhání člověka, který je spravuje. V tomto případě je podle Dvořáka nutné zaměstnance nejen poučit, jak data aktivně chránit, ale průběžně investovat čas a prostředky do jejich vzdělávání.
„Právě vzdělávání řadových zaměstnanců vnímám nyní jako největší slabinu. Nejen IT specialisté, ale zejména lidé působících na pozicí recepčních, účetních nebo personalisté musejí chápat, za jak cenné údaje jsou zodpovědní. Měli by vědět jak a proč je chránit. Navíc tyto skupiny patří mezi zaměstnance, kteří často přijímají e-maily od osob, které z logiky jejich funkce neznají a musí být co možná nejostražitější,“ poznamenal Dvořák.
Bezpečnostní incidenty přetrvávají
Úniky dat představují i nadále reálnou hrozbu. K nejčastějším pochybením patří (ne)zákonnost zpracování, splnění informační povinnosti a zabezpečení dat. Ke zvýšení bezpečnosti dat doporučují experti zavedení šifrování disků a dvoufázové autentizace.
„Tyto programy samy o sobě data neochrání, jde takzvaně o nepřímou ochranu. Šifrování zmiňuje i samo nařízení. Výhodou je, že v případě úniku nebo odcizení počítače, nejsou data čitelná pro útočníka a není tak možné je zneužít,“ uzavřel Dvořák.
