Gdy mówi się o wycieku danych, większość osób wyobraża sobie hakerów w kapturach. Statystyki incydentów pokazują coś mniej filmowego: bardzo wiele naruszeń zaczyna się od człowieka w firmie, czasem przez nieuwagę, czasem celowo. Pracownik wysyła plik na złą skrzynkę, kopiuje bazę klientów na prywatny dysk przed odejściem do konkurencji albo daje się nabrać na phishing. Dla przedsiębiorcy kluczowe jest to, jak szybko to zauważy i jak zareaguje, bo od tego zależą straty, odpowiedzialność i ewentualne kary. Skradzione dane bywają później narzędziem dalszego szantażu, co dobrze pokazuje artykuł o wymuszeniu wielokrotnym przy atakach ransomware.

Dwa różne scenariusze, dwa różne podejścia

Wyciek przypadkowy wynika z błędu: pomyłka w adresacie, zgubiony laptop, niezabezpieczony link do pliku. Wyciek celowy ma motyw, na przykład przejście do konkurencji, zemstę, korzyść finansową. Oba wymagają reakcji, ale w drugim dochodzą aspekty prawne, takie jak ochrona tajemnicy przedsiębiorstwa i odpowiedzialność karna. Dobra procedura rozróżnia te przypadki, zanim ktokolwiek zacznie oskarżać.

Sygnały, które warto zauważyć

Do typowych symptomów należą nietypowo duże pobrania danych lub eksporty z systemów, kopiowanie zasobów na nośniki zewnętrzne, przesyłanie plików na prywatną pocztę, logowania poza godzinami pracy lub z nietypowych lokalizacji, próby dostępu do zasobów, które nie są związane ze stanowiskiem, oraz gwałtowne wzmożenie aktywności tuż przed rozwiązaniem umowy. Pojedynczy sygnał rzadko coś dowodzi, ale zbiór często układa się w czytelny wzór.

Równie ważne są sygnały zachowania: nagła niechęć do zwykłych rozmów, zainteresowanie projektami spoza zakresu obowiązków, zmiany w nastawieniu po konflikcie z przełożonym. Nie należy ich traktować jako dowodu, a jedynie jako powód do uważniejszego przyjrzenia się logom.

Zacznij od zasad, które chronią firmę

Najlepszą reakcją jest prewencja. Zasada najmniejszych uprawnień oznacza, że pracownik ma dostęp wyłącznie do tego, czego potrzebuje. Rejestrowanie logów dostępu pozwala odtworzyć zdarzenia. Szyfrowanie urządzeń przenośnych ogranicza skutki zagubienia sprzętu. Procedura odejścia z pracy obejmuje odebranie dostępów w dniu zakończenia stosunku pracy. Umowy o zachowaniu poufności i klauzule dotyczące tajemnicy przedsiębiorstwa porządkują oczekiwania po obu stronach. Dobrą praktyką jest też rezygnacja z SMS-ów jako jedynego drugiego składnika logowania, bo przejęcie numeru pracownika metodą SIM swap pozwala ominąć takie zabezpieczenie.

Monitorowanie, jeśli je stosujesz, musi mieć podstawę w prawie, a granice między legalną kontrolą a inwigilacją opisuje artykuł o monitoringu pracowników a RODO.  Nielegalny monitoring nie tylko naraża firmę na kary, ale także może zdyskwalifikować zebrane dowody i zaszkodzić pozycji pracodawcy w sporze.

Co zrobić w pierwszych godzinach po wykryciu

Po pierwsze, ogranicz szkody: odetnij dostęp konta, którego dotyczy incydent, zmień hasła, zablokuj urządzenie, jeśli to potrzebne. Po drugie, zabezpiecz dowody: logi serwerów, zapisy poczty, informacje o urządzeniach. Zrób kopie i opisz, kto i kiedy je pobrał, aby zachować łańcuch dowodowy. Po trzecie, powołaj niewielki zespół odpowiedzialny za sprawę, w którym znajdą się osoba techniczna, prawna i decyzyjna, a poinformowanie szerszego grona ogranicz do niezbędnego minimum.

Nie konfrontuj podejrzanej osoby, zanim zabezpieczysz materiał. Pochopna rozmowa może skutkować usunięciem śladów lub dalszymi szkodami.

Obowiązki wynikające z RODO

Jeśli wyciek dotyczy danych osobowych i może powodować ryzyko naruszenia praw lub wolności osób, administrator ma obowiązek zgłosić naruszenie Prezesowi UODO bez zbędnej zwłoki, jeżeli to możliwe w ciągu 72 godzin od stwierdzenia. Gdy ryzyko jest wysokie, trzeba także zawiadomić osoby, których dane dotyczą. Każde naruszenie, nawet takie, którego nie zgłaszasz, należy udokumentować w wewnętrznym rejestrze. Zaniedbanie tych obowiązków bywa karane surowiej niż sam incydent.

Odpowiedzialność pracownika

Pracownik ma obowiązek dbać o dobro zakładu pracy i zachować w tajemnicy informacje, których ujawnienie mogłoby narazić pracodawcę na szkodę. Ujawnienie tajemnicy przedsiębiorstwa może stanowić czyn nieuczciwej konkurencji, a w poważniejszych przypadkach przestępstwo, na przykład z art. 266 Kodeksu karnego. Pracodawca może dochodzić odszkodowania, a w odpowiednich okolicznościach rozwiązać umowę bez wypowiedzenia. W razie nieuprawnionego dostępu do systemów zastosowanie może mieć także art. 267. Warto przed podjęciem kroków skonsultować się z radcą prawnym, aby nie popełnić błędów proceduralnych.

Wnioski po incydencie

Po zamknięciu sprawy przeprowadź analizę: co umożliwiło wyciek, jakie sygnały przeoczono, jak można skrócić czas reakcji. Zaktualizuj procedury, uprawnienia i szkolenia. Często okazuje się, że przyczyną nie była złośliwość, tylko brak jasnych zasad lub zbyt szerokie dostępy.

Czy potrzebujesz programu szpiegującego

Po incydencie wiele firm odruchowo szuka narzędzia, które „widzi wszystko”. Zanim zdecydujesz, sprawdź, co faktycznie oferują dostępne produkty, ile kosztują i czy w ogóle są dopuszczalne w środowisku pracy. W artykule porównującym oba programy zebrano funkcje, ceny i ograniczenia prawne, co pozwala szybko ocenić, że większość z nich została stworzona z myślą o rodzicach, a nie o procedurach firmowych.

Skuteczna ochrona przed wyciekiem to połączenie kultury organizacyjnej, jasnych reguł i rozsądnej technologii. Same narzędzia bez zaufania i szkoleń rzadko wystarczą.