Brandsit

Tag: Dane osobowe

  • Sekrety Twojej firmy leżą na widoku. 12,8 mln sekretów ujawnionych w GitHubie w 2023 roku

    Sekrety Twojej firmy leżą na widoku. 12,8 mln sekretów ujawnionych w GitHubie w 2023 roku

    Współczesny krajobraz technologiczny jest świadkiem zjawiska, które można określić mianem cyfrowej burzy doskonałej. Z jednej strony obserwujemy bezprecedensowy, 75% wzrost liczby włamań do chmury w ujęciu rocznym, jak donosi raport CrowdStrike 2024 Global Threat Report. Z drugiej, analiza Verizon 2024 Data Breach Investigations Report (DBIR) potwierdza, że użycie skradzionych poświadczeń pozostaje najczęstszą metodą inicjowania ataków, a czynnik ludzki odgrywa rolę w aż 68% wszystkich naruszeń bezpieczeństwa. Wreszcie, raport Tenable 2025 Cloud Security Risk Report rzuca światło na druzgocącą konsekwencję: 97% danych, które przypadkowo wyciekają z zasobów chmurowych, to najbardziej strzeżone tajemnice firm, sklasyfikowane jako poufne lub zastrzeżone.   

    Masowa migracja do chmury, napędzana obietnicą skalowalności i innowacji, w połączeniu z ogromną presją na szybkość wdrożeń w cyklach DevOps, doprowadziła do paradoksalnego kryzysu bezpieczeństwa. Jego źródłem nie jest wrodzona wada technologii chmurowej, która z natury oferuje zaawansowane mechanizmy ochronne. Problemem są fundamentalne, a zarazem możliwe do uniknięcia błędy w praktykach zarządzania tożsamością i jej cyfrowymi poświadczeniami, zwanymi „sekretami”. Te proste pomyłki tworzą idealne warunki dla atakujących, którzy coraz rzadziej muszą „włamywać się” do systemów. Zamiast tego, coraz częściej po prostu „logują się” do nich, używając kluczy, które organizacje same pozostawiły na widoku.

    Anatomia sekretu – Cyfrowe klucze do królestwa

    Aby w pełni zrozumieć powagę problemu, należy precyzyjnie zdefiniować, czym jest „sekret” w kontekście nowoczesnej informatyki. To pojęcie wykracza daleko poza tradycyjne hasło użytkownika. Jest to szeroka kategoria cyfrowych poświadczeń, które służą do uwierzytelniania tożsamości nie-ludzkich (non-human identities) – aplikacji, skryptów, kontenerów czy mikrousług. Stanowią one cyfrowy krwiobieg nowoczesnych, rozproszonych architektur.   

    Sekretem jest każda poufna informacja, do której dostęp chcemy ściśle kontrolować i ograniczać. Istotą sekretu jest potrzeba utrzymania nad nim ścisłej kontroli, co jest niezwykle trudne do osiągnięcia bez wdrożenia dedykowanych narzędzi i rygorystycznych procesów.   

    Sekrety stały się niezbędnym elementem umożliwiającym komunikację między poszczególnymi komponentami systemów. Umożliwiają one skryptom w potoku CI/CD dostęp do repozytoriów kodu, kontenerom pobieranie konfiguracji, a mikrousługom bezpieczne wywoływanie się nawzajem.   

    Jednak ta wszechobecność prowadzi do zjawiska znanego jako „secrets sprawl” – niekontrolowanej proliferacji i rozproszenia sekretów w całym środowisku IT. W dynamicznych, efemerycznych architekturach, gdzie tożsamości maszynowe są tworzone i niszczone w locie (np. w systemach serverless czy orkiestratorach kontenerów jak Kubernetes), liczba sekretów rośnie w postępie geometrycznym, a zarządzanie nimi staje się ogromnym wyzwaniem.   

    Kompromitacja sekretu jest fundamentalnie groźniejsza niż kradzież hasła należącego do ludzkiego użytkownika. Hasło pracownika jest zazwyczaj ograniczone zakresem jego uprawnień i często chronione przez dodatkowe warstwy zabezpieczeń, takie jak uwierzytelnianie wieloskładnikowe (MFA). Z kolei sekret, na przykład klucz API powiązany z kontem administracyjnym w chmurze, może posiadać uprawnienia pozwalające na tworzenie, modyfikowanie i usuwanie całej infrastruktury firmy. Co więcej, sekrety są z definicji używane przez maszyny, co oznacza, że ich wykorzystanie jest zautomatyzowane i może nastąpić na masową skalę w ciągu sekund od kompromitacji. Atakujący, który zdobędzie taki sekret, nie musi przełamywać żadnych zabezpieczeń – on staje się w pełni uprawnionym, zaufanym aktorem w systemie. To właśnie dlatego, jak wskazuje raport IBM, incydenty spowodowane przez atakujących korzystających z ważnych kont wiążą się z prawie o 200% bardziej złożonymi działaniami zaradczymi niż przeciętny incydent, ponieważ zespoły bezpieczeństwa muszą odróżnić legalną aktywność od złośliwej.

    Rachunek za niedbalstwo – Finansowy i operacyjny koszt wycieku

    Zaniedbania w zarządzaniu sekretami nie są jedynie teoretycznym ryzykiem technicznym. Przekładają się one na wymierne, często astronomiczne straty finansowe i operacyjne. Analiza wiodących raportów branżowych, w szczególności IBM Cost of a Data Breach Report 2024, pozwala precyzyjnie skwantyfikować ten koszt.

    Dane za rok 2024 są alarmujące. Średni globalny koszt pojedynczego naruszenia danych osiągnął rekordowy poziom 4,88 miliona USD, co stanowi 10% wzrost w stosunku do roku poprzedniego i jest największym skokiem od czasów pandemii. Wartość ta jest jeszcze bardziej dramatyczna w Stanach Zjednoczonych, gdzie średni koszt naruszenia wynosi aż 9,36 miliona USD. Ten wzrost napędzany jest głównie przez koszty związane z zakłóceniem działalności biznesowej oraz działania naprawcze po incydencie, które łącznie stanowią największą część całkowitych strat.

    Paradoksalnie, środowiska chmurowe, które oferują zaawansowane narzędzia bezpieczeństwa, stają się areną najdroższych incydentów. Naruszenia, w których dane przechowywane były w chmurze publicznej, generowały średni koszt na poziomie 5,17 miliona USD. Jeszcze gorzej sytuacja wygląda w przypadku tzw. „danych w cieniu” (shadow data) – informacji przechowywanych w niezarządzanych i często nieznanych działom IT systemach. Aż 35% naruszeń dotyczyło właśnie takich danych, a ich koszt był o 16% wyższy, sięgając 5,27 miliona USD. Co więcej, czas potrzebny na wykrycie i opanowanie takich incydentów był o niemal 25% dłuższy.   

    Analiza IBM jednoznacznie wskazuje, które błędy są najbardziej kosztowne. Ataki wykorzystujące skradzione lub skompromitowane poświadczenia – czyli rdzeń problemu zarządzania sekretami – kosztują średnio 4,81 miliona USD. Jeszcze droższe są ataki zainicjowane przez złośliwych insiderów (malicious insiders), których średni koszt sięga 4,99 miliona USD.

    Kluczowy jest również wymiar czasowy. Incydenty, których przyczyną była kradzież poświadczeń, charakteryzują się najdłuższym cyklem życia – od momentu naruszenia do jego pełnego opanowania mija średnio 11 miesięcy. To niemal rok, podczas którego organizacja ponosi straty i jest narażona na dalsze działania atakujących.   

    Skala naruszenia ma bezpośrednie przełożenie na jego koszt. Najczęściej kompromitowanym typem danych są dane osobowe (Personally Identifiable Information, PII). W 2024 roku średni koszt pojedynczego skompromitowanego rekordu PII wzrósł do 173 USD. Dla firm przetwarzających dane milionów klientów, potencjalne straty stają się egzystencjalnym zagrożeniem.   

    Inwestycja w proaktywne zarządzanie sekretami i konfiguracją chmury generuje jeden z najwyższych zwrotów z inwestycji (ROI) w całym obszarze cyberbezpieczeństwa. Raport IBM pokazuje, że organizacje, które szeroko stosują sztuczną inteligencję i automatyzację w procesach bezpieczeństwa – co jest kluczowe dla efektywnego zarządzania sekretami na dużą skalę – oszczędzają średnio 2,2 miliona USD na kosztach naruszenia w porównaniu do firm, które tego nie robią. Ponieważ najdroższe i najdłużej trwające wektory ataków są bezpośrednio powiązane z błędami w zarządzaniu tożsamością, każda złotówka wydana na narzędzia do skanowania sekretów, scentralizowane systemy zarządzania (tzw. vaulty) czy szkolenia deweloperów bezpośrednio redukuje ryzyko wystąpienia najbardziej katastrofalnych incydentów.   

    Siedem grzechów głównych zarządzania sekretami w chmurze

    Miliardowe straty opisane w poprzednim rozdziale rzadko są wynikiem wyrafinowanych, zero-day’owych ataków. Znacznie częściej ich źródłem jest seria podstawowych, lecz katastrofalnych w skutkach błędów, które można określić mianem „siedmiu grzechów głównych” zarządzania sekretami. Analiza tych błędów pokazuje, że problem leży nie w braku technologii, ale w zaniedbaniach procesowych i kulturowych.   

    Grzech #1: Hardkodowanie sekretów (The Cardinal Sin)

    Jest to grzech pierworodny i najczęstszy błąd deweloperów: umieszczanie wrażliwych danych, takich jak klucze API czy hasła do baz danych, bezpośrednio w kodzie źródłowym, plikach konfiguracyjnych, skryptach wdrażania (np. Ansible Playbooks) czy obrazach kontenerów. Taki kod, nawet jeśli trafia do prywatnego repozytorium, staje się tykającą bombą. Wystarczy jeden nieostrożny commit do publicznej gałęzi, błąd w uprawnieniach repozytorium lub dostęp byłego pracownika, aby sekret wyciekł. Rotacja tak zahardkodowanego sekretu jest koszmarem operacyjnym, gdyż wymaga zmiany w kodzie i pełnego cyklu wdrożenia aplikacji. Problem ten jest dodatkowo potęgowany przez generatywną AI, która, ucząc się na publicznie dostępnym kodzie, sama replikuje ten zły wzorzec, sugerując deweloperom gotowe fragmenty kodu z wbudowanymi, przykładowymi sekretami.   

    Grzech #2: Nadmierne uprawnienia (Over-Privileged Identities)

    Drugim powszechnym błędem jest ignorowanie zasady najmniejszych uprawnień (Principle of Least Privilege, PoLP). Tożsamościom maszynowym (aplikacjom, usługom) nagminnie przyznaje się uprawnienia „na zapas” – znacznie szersze niż te, które są absolutnie niezbędne do wykonania ich zadań. Kompromitacja sekretu powiązanego z taką „przeprzywilejowaną” tożsamością działa jak mnożnik siły ataku. Daje hakerowi szerokie pole do poruszania się po systemie (lateral movement), eskalacji uprawnień i ostatecznie przejęcia kontroli nad całym środowiskiem chmurowym.   

    Grzech #3: Statyczne, nieśmiertelne sekrety (Lack of Rotation)

    Wiele organizacji nie posiada formalnej polityki ani zautomatyzowanych procesów regularnej rotacji sekretów. Raz wygenerowany klucz API lub hasło pozostaje aktywne przez miesiące, a nawet lata. Im dłużej sekret jest ważny, tym większe jest prawdopodobieństwo jego kompromitacji i tym więcej czasu ma atakujący na jego wykorzystanie. Krytycznym błędem projektowym jest sytuacja, w której zmiana sekretu wymaga zatrzymania działania systemu, co zniechęca do regularnej rotacji z obawy przed przestojami.   

    Grzech #4: Przechowywanie w jawnych miejscach (Improper Storage)

    Zamiast korzystać z dedykowanych, szyfrowanych „sejfów” (vaults), zespoły często przechowują sekrety w wysoce ryzykownych lokalizacjach: plikach .env commitowanych do repozytorium, w bazie danych obok danych aplikacyjnych, w zmiennych środowiskowych serwera czy na współdzielonych dyskach sieciowych. Takie podejście tworzy tzw. pojedynczy punkt awarii (Single Point of Failure). Włamanie do bazy danych oznacza, że atakujący otrzymuje „w gratisie” klucze do wszystkich zintegrowanych z aplikacją systemów i usług zewnętrznych.   

    Grzech #5: Niezabezpieczona komunikacja (Insecure Transmission)

    Nawet najlepiej strzeżony sekret może zostać skompromitowany w momencie jego przekazywania. Powszechną, lecz niebezpieczną praktyką jest przesyłanie kluczy API czy haseł za pośrednictwem firmowych komunikatorów (Slack, Microsoft Teams), w wiadomościach e-mail, a nawet wklejanie ich podczas publicznej prezentacji ekranu. W ten sposób organizacja traci kontrolę nad tym, kto miał dostęp do sekretu i gdzie został on zapisany.   

    Grzech #6: Mieszanie środowisk (Environment Bleeding)

    Używanie tych samych sekretów, zwłaszcza kluczy do płatnych usług zewnętrznych, w środowiskach deweloperskich, testowych i produkcyjnych to proszenie się o kłopoty. Środowiska deweloperskie i testowe z natury mają niższy poziom zabezpieczeń. Ich kompromitacja może prowadzić do bezpośredniego zagrożenia dla systemów produkcyjnych. Może również skutkować przypadkowym wykonaniem kosztownych operacji na produkcji podczas testów, np. wysłaniem tysięcy maili do prawdziwych klientów.   

    Grzech #7: Ignorancja i brak audytu (Lack of Auditing & Education)

    Ostatni grzech ma charakter organizacyjny. Jest nim brak mechanizmów logowania i monitorowania dostępu do sekretów, co uniemożliwia odpowiedź na fundamentalne pytanie „kto, co i kiedy” w razie incydentu. W połączeniu z brakiem formalnych procedur na wypadek kompromitacji, prowadzi to do chaosu, opóźnionej reakcji i niemożności oszacowania skali szkód. U podstaw tego wszystkiego leży brak edukacji deweloperów w zakresie dobrych praktyk bezpieczeństwa.

    Podróż skompromitowanego klucza – Od publicznego repozytorium do okupu

    Aby zrozumieć, jak krytyczne są błędy opisane w poprzednim rozdziale, należy prześledzić typowy cykl życia skompromitowanego sekretu. Ta podróż, od momentu nieostrożnego upublicznienia do pełnego wykorzystania przez cyberprzestępców, jest często zautomatyzowana i niezwykle szybka.

    Faza 1: Zbiory 

    Współcześni atakujący nie muszą już ręcznie przeszukiwać internetu w poszukiwaniu luk. Głównym źródłem ujawnionych sekretów stały się publiczne repozytoria kodu, a w szczególności GitHub. Proces ich pozyskiwania jest w pełni zautomatyzowany. Zarówno atakujący, jak i badacze bezpieczeństwa, wykorzystują boty, które w czasie rzeczywistym monitorują publiczne commity (zmiany w kodzie) na platformach takich jak GitHub. Skanują one każdą nową linię kodu w poszukiwaniu wzorców (za pomocą wyrażeń regularnych i analizy entropii), które pasują do formatów znanych kluczy API, haseł czy tokenów.   

    Skala tego zjawiska jest porażająca. Według raportu GitGuardian, tylko w 2023 roku w publicznych repozytoriach na GitHubie ujawniono 12,8 miliona unikalnych sekretów, które znalazły się w ponad 3 milionach repozytoriów. To oznacza, że każdego dnia tysiące nowych, ważnych poświadczeń trafia do publicznej domeny.   

    Co kluczowe, wyciek jest natychmiastowy. W odpowiedzi na to zagrożenie, platformy takie jak GitHub wdrożyły własne mechanizmy skanujące. Gdy wykryją one potencjalny sekret, w ciągu zaledwie kilku sekund automatycznie powiadamiają odpowiedniego dostawcę usługi (np. AWS, Google, Slack). Rozpoczyna się wyścig z czasem – czy dostawca zdąży unieważnić klucz, zanim przechwyci go i wykorzysta bot należący do atakujących. Niestety, dane pokazują, że obrońcy często ten wyścig przegrywają: aż 91,6% ujawnionych sekretów pozostaje aktywnych i ważnych nawet po pięciu dniach od wycieku.   

    Faza 2: Dystrybucja i Sprzedaż 

    Po pozyskaniu, skradzione poświadczenia rozpoczynają swoje życie na czarnym rynku. Są one automatycznie sortowane, weryfikowane pod kątem ważności (czy klucz nadal działa) i pakowane w tzw. „combo lists” lub sprzedawane indywidualnie na specjalistycznych forach w dark webie (np. niegdyś Genesis Market) oraz na kanałach w komunikatorach takich jak Telegram.   

    W tym ekosystemie kluczową rolę odgrywają tzw. Initial Access Brokers (IABs) – wyspecjalizowane grupy przestępcze, które nie prowadzą ataków ransomware samodzielnie, ale skupiają się na sprzedaży zweryfikowanego, początkowego dostępu do sieci korporacyjnych. Ważny klucz API do środowiska chmurowego dużej firmy jest dla nich niezwykle cennym towarem.   

    Faza 3: Wykorzystanie (Exploitation) – Studia Przypadków

    Teoretyczne ryzyko materializuje się w postaci głośnych incydentów, które doskonale ilustrują mechanizmy ataku:

    Rabbit R1 (Czerwiec 2024): To klasyczny przykład skutków hardkodowania. W kodzie źródłowym urządzenia znaleziono klucze API do wielu krytycznych usług (ElevenLabs, Azure, Yelp, Google Maps). Umożliwiło to etycznym hakerom nie tylko odczytywanie historii zapytań użytkowników, ale także modyfikowanie odpowiedzi asystenta, a nawet zdalne „uceglenie” (trwałe uszkodzenie) urządzeń.   

    Dropbox (Kwiecień 2024): Atakujący uzyskali dostęp do środowiska produkcyjnego usługi Dropbox Sign poprzez skompromitowanie konta serwisowego o nadmiernych uprawnieniach. Doprowadziło to do wycieku kluczy API, tokenów OAuth oraz hashy haseł klientów, otwierając drogę do przejęcia ich kont.   

    Trello (Styczeń 2024): Ujawniony publicznie klucz API pozwolił na masowe pobieranie danych i powiązanie prywatnych adresów e-mail z publicznymi profilami 15 milionów użytkowników Trello, tworząc ogromną bazę danych do dalszych ataków phishingowych.   

    Mercedes-Benz (Marzec 2024): Wyciek pojedynczego tokena dostępowego do GitHuba umożliwił atakującemu dostęp do wewnętrznych repozytoriów GitHub Enterprise firmy, co skutkowało ujawnieniem kodu źródłowego, schematów, kluczy API i innych wrażliwych danych.

    Atak na sekrety to nie tyle „hacking” w tradycyjnym rozumieniu, co „arbitraż informacyjny”. Atakujący nie muszą przełamywać skomplikowanych zabezpieczeń kryptograficznych. Zamiast tego, wykorzystują asymetrię informacji – znajdują publicznie dostępne, lecz nieprawidłowo zabezpieczone klucze, zanim zrobią to obrońcy. Cały proces opiera się na publicznie dostępnych danych  i szybkości automatyzacji. To całkowicie zmienia paradygmat obrony: kluczowa staje się nie tyle ochrona perymetryczna, co doskonała „widoczność” własnych zasobów i błyskawiczna reakcja na własne błędy.

    Spojrzenie w przyszłość – Przygotowanie na zagrożenia jutra

    Krajobraz zagrożeń ewoluuje nieustannie. Aby skutecznie chronić sekrety, organizacje muszą nie tylko naprawiać błędy przeszłości, ale także przygotowywać się na wyzwania przyszłości. Trzy kluczowe trendy, które zdefiniują zarządzanie tożsamością w nadchodzących latach, to model Zero Trust, kryptografia postkwantowa oraz rosnące znaczenie kontekstu biznesowego.

    Zero Trust jako docelowa architektura

    Model Zero Trust stanowi filozoficzną i architektoniczną odpowiedź na zanik tradycyjnego, sieciowego perymetru. Jego fundamentalna zasada brzmi: „nigdy nie ufaj, zawsze weryfikuj” (never trust, always verify). W kontekście zarządzania sekretami, oznacza to ewolucję od statycznych, długożyjących poświadczeń do efemerycznych, krótkotrwałych poświadczeń dostarczanych w modelu Just-in-Time (JIT). Zamiast przyznawać aplikacji stały dostęp do bazy danych, system JIT generuje unikalne, tymczasowe hasło ważne tylko na czas trwania jednej sesji lub nawet pojedynczego zapytania. Po użyciu, poświadczenie jest natychmiast unieważniane.   

    Takie podejście drastycznie redukuje okno czasowe, w którym skompromitowany sekret może zostać wykorzystany. Jest to szczególnie istotne w nowoczesnych, dynamicznych środowiskach, takich jak architektury serverless czy kontenery, gdzie tożsamości maszynowe są z natury efemeryczne. Model ten znajduje również zastosowanie w kontekście Gig Economy, gdzie tymczasowi pracownicy i kontraktorzy potrzebują dostępu do zasobów firmy, ale tylko w ograniczonym zakresie i na ściśle określony czas.   

    Kryptografia Postkwantowa (PQC) i jej wpływ na sekrety

    Pojawienie się na horyzoncie potężnych komputerów kwantowych stanowi egzystencjalne zagrożenie dla większości obecnie używanej kryptografii asymetrycznej (np. RSA, ECC), która chroni komunikację w internecie i zabezpiecza przechowywane dane. Najbardziej palącym zagrożeniem jest atak typu    

    „Harvest Now, Decrypt Later” (Zbierz teraz, odszyfruj później). Atakujący już dziś mogą przechwytywać i magazynować zaszyfrowane dane – w tym całe vaulty z sekretami – z zamiarem ich odszyfrowania w przyszłości, gdy tylko uzyskają dostęp do komputera kwantowego.   

    Odpowiedzią na to zagrożenie jest kryptografia postkwantowa (PQC) – rozwój nowych algorytmów odpornych na ataki kwantowe. Jednak przejście na PQC to ogromne wyzwanie, wymagające od organizacji budowy tzw. krypto-zwinności (crypto-agility), czyli zdolności do płynnej wymiany algorytmów kryptograficznych bez zakłóceń w działaniu systemów. 

    Kontekst biznesowy: Ubezpieczenia i regulacje

    Zarządzanie sekretami przestało być wyłącznie domeną działów technicznych. Stało się kluczowym elementem zarządzania ryzykiem biznesowym, co znajduje odzwierciedlenie w rosnących wymaganiach ubezpieczycieli i regulatorów.

    Ubezpieczenia Cybernetyczne: Ubezpieczyciele, oceniając ryzyko przed wystawieniem polisy, zadają coraz bardziej szczegółowe pytania dotyczące praktyk bezpieczeństwa. Posiadanie dojrzałej, udokumentowanej polityki zarządzania sekretami – obejmującej ich definicję, zasady przechowywania, kontroli dostępu i rotacji – staje się warunkiem koniecznym do uzyskania ubezpieczenia i ma bezpośredni wpływ na wysokość składki. Kwestionariusze aplikacyjne wprost pytają o szyfrowanie danych, polityki haseł, kontrolę dostępu czy stosowanie firewalla.   

    Zgodność z przepisami (Compliance):

    GDPR (RODO): Wyciek klucza API, który daje dostęp do danych osobowych obywateli UE, jest traktowany jako poważne naruszenie danych. Skuteczne zarządzanie sekretami jest niezbędne do spełnienia wymogów „integralności i poufności danych” (Art. 5) oraz „bezpieczeństwa przetwarzania” (Art. 32).   

    PCI DSS: Standard bezpieczeństwa dla branży kart płatniczych zawiera rygorystyczne wymagania, które bezpośrednio odnoszą się do zarządzania sekretami. Należą do nich m.in. zakaz używania domyślnych haseł dostarczanych przez producentów (Wymóg 2), silne szyfrowanie przechowywanych danych posiadaczy kart (Wymóg 3) oraz ścisła kontrola dostępu oparta na zasadzie „need to know” i unikalnych identyfikatorach (Wymogi 7 i 8).   

    W świetle tych trendów, zarządzanie sekretami należy postrzegać jako strategiczną inwestycję w odporność biznesową. Liderzy techniczni muszą być w stanie przedstawić ten temat zarządom nie jako koszt IT, ale jako fundamentalny element zapewnienia ciągłości działania, zgodności z prawem i budowania długoterminowej przewagi konkurencyjnej w coraz bardziej niepewnym cyfrowym świecie.

  • Google odpuszcza twarde blokowanie ciasteczek. Co dalej z Privacy Sandbox?

    Google odpuszcza twarde blokowanie ciasteczek. Co dalej z Privacy Sandbox?

    Google ogłosiło, że nie będzie kontynuować planów automatycznego blokowania plików cookie stron trzecich w przeglądarce Chrome. Zamiast tego, użytkownicy nadal będą mogli samodzielnie decydować o ich włączeniu lub wyłączeniu w ustawieniach prywatności. Decyzja ta stanowi znaczące odejście od wcześniejszych założeń inicjatywy Privacy Sandbox, która miała na celu zastąpienie tradycyjnych metod śledzenia użytkowników bardziej prywatnymi rozwiązaniami.​

    Ewolucja podejścia do prywatności

    Od momentu zapowiedzi Privacy Sandbox w 2019 roku, Google dążyło do stworzenia alternatywnych technologii umożliwiających personalizację reklam bez konieczności korzystania z plików cookie stron trzecich. Jednakże, w obliczu rosnącej presji ze strony reklamodawców, deweloperów oraz organów regulacyjnych, firma zdecydowała się na bardziej ostrożne podejście, pozostawiając użytkownikom wybór w kwestii akceptacji tych plików cookie.​

    Nowe funkcje ochrony prywatności

    Mimo rezygnacji z planów eliminacji plików cookie stron trzecich, Google kontynuuje prace nad wzmocnieniem ochrony prywatności użytkowników. W trybie incognito Chrome domyślnie blokuje te pliki cookie, a dodatkowo firma planuje wprowadzenie funkcji ochrony adresu IP w trzecim kwartale 2025 roku. Celem jest utrudnienie śledzenia użytkowników na podstawie ich adresów IP, co stanowi kolejny krok w kierunku zwiększenia anonimowości przeglądania internetu.​

    Decyzja Google o utrzymaniu obecnego podejścia do plików cookie stron trzecich odzwierciedla złożoność równoważenia interesów użytkowników, reklamodawców i organów regulacyjnych. Z jednej strony, użytkownicy zyskują większą kontrolę nad swoją prywatnością, z drugiej zaś, brak jednoznacznych działań może budzić wątpliwości co do rzeczywistego zaangażowania firmy w ochronę danych osobowych.​

    Dla branży technologicznej i reklamowej oznacza to konieczność dalszego poszukiwania alternatywnych metod targetowania reklam, które będą zgodne z rosnącymi oczekiwaniami w zakresie prywatności. Wprowadzenie funkcji takich jak ochrona IP może stanowić krok w dobrym kierunku, jednak kluczowe będzie monitorowanie ich skuteczności oraz wpływu na doświadczenia użytkowników.​

    W kontekście globalnych zmian w przepisach dotyczących ochrony danych, decyzje takie jak ta podjęta przez Google będą miały istotny wpływ na kształtowanie przyszłości internetu i modelu biznesowego opartego na danych użytkowników.​

  • Rosja oskarża Google o ujawnienie danych żołnierzy

    Rosja oskarża Google o ujawnienie danych żołnierzy

    Moskiewski sąd uznał Alphabet, właściciela Google, za winnego ujawnienia danych osobowych rosyjskich żołnierzy poległych na Ukrainie — poinformowała agencja TASS, powołując się na dokumenty sądowe. Chodzi o materiały wideo opublikowane na YouTube, w których miały się znaleźć szczegóły strat armii rosyjskiej oraz dane osobowe poległych. W świetle rosyjskiego prawa to poważne naruszenie, szczególnie biorąc pod uwagę obowiązujące od 2022 roku przepisy ograniczające relacjonowanie działań wojennych.

    Sprawa ta jest częścią szerszej strategii Rosji wobec zachodnich platform technologicznych. Od lat tamtejsze władze żądają usuwania treści uznawanych za „fałszerstwa” wojenne, systematycznie nakładając grzywny za nieprzestrzeganie lokalnych regulacji. W wielu przypadkach, choć kary są symboliczne w skali przychodów globalnych gigantów, to ich ciągłość i presja administracyjna tworzą realne ryzyko operacyjne dla firm takich jak Google, Meta czy Apple.

    W tle konfliktu toczy się walka o kontrolę nad informacją. Rosyjski rząd od dawna zarzuca amerykańskim platformom wykorzystywanie swojej pozycji do realizacji celów politycznych Zachodu. W grudniu ubiegłego roku prezydent Władimir Putin oskarżył Google o bycie narzędziem administracji USA pod przewodnictwem Joe Bidena, wskazując wyraźnie na polityczny charakter sporów.

    W praktyce Alphabet, podobnie jak inne firmy technologiczne, znalazł się w kleszczach geopolitycznych napięć. Z jednej strony musi respektować lokalne prawo w krajach, w których działa, z drugiej — mierzy się z własnymi zasadami dotyczącymi wolności wypowiedzi i ochrony użytkowników. W Rosji sytuacja jest dodatkowo skomplikowana ze względu na rosnący nacisk na lokalizację danych, blokowanie niektórych usług oraz regulacje wymuszające sprzedaż aktywów lub wycofanie się z rynku.

    Na poziomie operacyjnym Alphabet coraz bardziej ogranicza swoją obecność w Rosji, głównie do podstawowych funkcji i minimalnych operacji. Jednak wyroki takie jak ten z Moskwy są ostrzeżeniem dla całego sektora technologicznego: rosnąca liczba państw będzie coraz śmielej wykorzystywać regulacje ochrony danych i bezpieczeństwa narodowego do politycznej kontroli nad przestrzenią informacyjną.

    W perspektywie długoterminowej podobne incydenty mogą skłonić globalne firmy technologiczne do bardziej agresywnego rozdzielania działalności — osobnych standardów operacyjnych dla demokratycznych i autokratycznych rynków. Coraz wyraźniejszy staje się też podział świata technologii na strefy wpływów, co w przyszłości może utrudniać utrzymanie jednolitego internetu i globalnej dostępności usług cyfrowych.

  • RODO a naruszenia danych: Nowy poradnik PUODO – kluczowe zmiany i interpretacje

    RODO a naruszenia danych: Nowy poradnik PUODO – kluczowe zmiany i interpretacje

    W dniu 20 lutego 2025 r. na stronie Prezesa Urzędu Ochrony Danych Osobowych („PUODO”) opublikowano zaktualizowany poradnik dotyczący naruszeń ochrony danych osobowych („Poradnik”). Ponieważ niektóre sformułowania poradnika wywołały duże kontrowersje, PUODO zorganizował również webinar w celu wyjaśnienia niejasności dot. RODO. Główne wątpliwości dotyczyły stanowiska PUODO na temat tego w jakich przypadkach należy zgłaszać naruszenia oraz roli inspektorów ochrony danych („IOD”) w procesie oceny naruszeń. 

    W dalszej części artykułu zostaną opisane wybrane kwestie dotyczące obsługi naruszeń poruszone w Poradniku i podczas webinaru.  

    Czy wszystkie przypadki naruszeń RODO należy zgłaszać do UODO?

    Nie. UODO podkreślił, że poradnik nie miał na celu zmiany dotychczasowej praktyki, a jedynie przedstawienie stanowiska UODO prostszym językiem. W razie wątpliwości interpretacyjnych, należy odnosić się do tekstu RODO, jak i do wytycznych EROD (Europejskiej Rady Ochrony Danych). 

    Aby ocenić, czy naruszenie należy zgłosić do UODO należy zastanowić się nad tym, czy istnieje prawdopodobieństwo wystąpienia ryzyka dla praw i wolności osób dotkniętych naruszeniem. Nie trzeba zgłaszać tych przypadków naruszeń, w których zostanie ustalone, że ryzyko naruszenia praw lub wolności jest mało prawdopodobne. W Poradniku UODO określił te przypadki skrótowo jako: „brak ryzyka”, jednak podczas webinarium wskazano, że było to jedynie pewne uproszczenie (nie chodzi więc o całkowity brak ryzyka, a małe prawdopodobieństwo jego wystąpienia). 

    Na tym etapie nie bada się więc wagi ryzyka, a prawdopodobieństwo jego wystąpienia.  Możemy więc mieć do czynienia z przypadkami, w których zajdzie konieczność zgłoszenia naruszenia skutkującego małym (acz bardzo prawdopodobnym) ryzykiem naruszenia, jak i z przypadkami odwrotnymi – kiedy zgłoszenia nie trzeba będzie realizować mimo dużego ryzyka, jeśli prawdopodobieństwo wystąpienia ryzyka jest małe. Chodzi o ustalenie, czy są realne szanse, aby osoby, których dane dotyczą odczuły negatywne konsekwencje zdarzenia.  

    Jako przykłady sytuacji, w których prawdopodobieństwo wystąpienia ryzyka jest małe (brak ryzyka) wskazano w Poradniku następujące:

    • ujawnienie danych, które są już publicznie dostępne;
    • ujawnienie lub utracenie danych zaszyfrowanych w sposób zapewniający ich nieczytelność dla osób nieupoważnionych;
    • definitywne zaradzenie incydentowi przez administratora (np. mimo, że dokumenty zawierające dane osobowe wyrzucono na śmietnik administrator dysponuje dowodem, że nikt do nich nie zaglądał (nagrania z monitoringu), a administrator odzyskał dokumenty). \

    Powyższe przypadki stanowią jedynie przykłady sytuacji, które należy uznać za sytuacje uzasadniające brak zgłoszenia – nie jest to katalog zamknięty. 

    UODO podkreślał jednak wielokrotnie, że zasadą jest zgłaszanie naruszeń, a więc jeśli administrator decyduje się nie zgłaszać danego naruszenia, powinien umieć wykazać, że w danym przypadku ryzyko nie jest prawdopodobne. 

    Kiedy zgłaszać naruszenia?

    RODO wprowadza regułę, zgodnie z którą naruszenie powinno zostać zgłoszone w ciągu 72 godzin od momentu stwierdzenia naruszenia. Chodzi o zgłaszanie takich incydentów bezpieczeństwa, które dotyczą danych osobowych i mogą prowadzić do nieuprawnionego naruszenia poufności, integralności lub dostępności danych. Ustalenie dokładnej chwili, od której należy liczyć rozpoczęcie biegu terminu 72 godzin budzi jednak wątpliwości. 

    W opinii Urzędu o tym, kiedy zgłosić naruszenie decyduje dostateczna pewność administratora, że mamy do czynienia z naruszeniem. Czyli przykładowo sytuacja, w której administrator (i) wie, że ma do czynienia z incydentem bezpieczeństwa, (iii) incydent dotyczy danych osobowych, (iii) administrator nie jest na sto procent pewny, że skutek się wydarzył, ale zdaje sobie sprawę z tego, że mogło do niego dojść (jest na to duża szansa). W takiej sytuacji, mimo braku stuprocentowej pewności według UODO rozpoczyna się bieg terminu na zgłoszenie naruszenia – istnieje bowiem realna szansa, że doszło do naruszenia. 

    Podczas webinaru analizowano również przypadek ataku na infrastrukturę administratora pod kątem momentu, w którym rozpoczyna biec termin na zgłoszenie naruszenia. Pytanie dotyczyło tego, czy jeśli po ataku administrator zleci analizę powłamaniową, momentem rozpoczęcia biegu terminu na zgłoszenie naruszenia może być moment otrzymania informacji zwrotnej od zewnętrznej firmy informatycznej zaangażowanej do analizy zdarzenia. Przedstawiciel UODO nie wykluczył, że może to być ten moment, jednak zastrzegł, że będzie to zależeć od okoliczności danej sprawy, w szczególności od tego czy administrator działał z należytą starannością, odpowiednio wcześnie podejmując działania zmierzające do wyjaśnienia okoliczności zdarzenia. Istotne jest też, aby administrator miał wdrożone takie środki techniczne i administracyjne, aby jak najwcześniej mógł stwierdzić wystąpienie naruszenia.     

    Jaka jest rola inspektora ochrony danych w procesie oceny naruszenia?

    UODO podkreślił, że inspektor ochrony danych odgrywa istotną rolę w procesie oceny naruszeń, dlatego powinien być włączany w proces obsługi naruszenia na jak najwcześniejszym etapie. Rola IOD jest jednak rolą głównie doradczą. Nie powinno się więc delegować na IOD obowiązków nałożonych przez RODO bezpośrednio na administratorów. W szczególności IOD nie powinien zgłaszać naruszeń ochrony danych osobowych w imieniu administratora, wysyłać takich zgłoszeń, zawiadamiać w imieniu administratora podmiotów danych, dokumentować naruszeń za administratora (w szczególności, jeśli wiązałoby się to z określaniem działań zaradczych), podejmować zobowiązań dotyczących bezpieczeństwa przetwarzania danych, czy też działać na podstawie pełnomocnictwa w sprawach związanych z ochroną danych osobowych. 

    W ocenie UODO, podejmowanie powyższych działań może się wiązać z ryzykiem (i) konfliktu interesów (np. w sytuacji, gdy IOD najpierw byłby zobowiązany do przygotowania dokumentacji, a później jej monitorowania); (ii) naruszenia niezależności IOD (działanie na podstawie pełnomocnictwa wymaga ścisłego wykonywania poleceń).

    Podczas webinaru wyjaśniono jednak, że IOD pełni ważną rolę w procesie obsługi naruszenia i nie jest całkowicie pozbawiony możliwości dokumentowania naruszenia – wręcz przeciwnie, może prowadzić taką dokumentację, jednak nie powinien jej prowadzić w imieniu administratora. Administrator powinien konsultować z IOD sposób postępowania z naruszeniami, radzić się inspektora, w szczególności w przypadku trudniejszych, mniej oczywistych przypadków naruszeń. 

    W związku z nowymi wytycznymi PUODO warto dokonać przeglądu wewnętrznych polityk i procedur dotyczących procesu obsługi naruszeń pod kątem zgodności ze stanowiskiem wyrażonym w Poradniku. 

    Autorka: r.pr. Ewa Kuczyńska, Kancelaria GFP_Legal

  • Ukarano Pocztę Polską i Ministerstwo Cyfryzacji za wybory kopertowe. W ostatniej chwili

    Ukarano Pocztę Polską i Ministerstwo Cyfryzacji za wybory kopertowe. W ostatniej chwili

    Wiosną 2020 roku, w obliczu rozwijającej się pandemii COVID-19, polski rząd podjął decyzję o przeprowadzeniu wyborów prezydenckich w trybie korespondencyjnym, planowanych na 10 maja 2020 roku. Ówczesny premier, Mateusz Morawiecki, 16 kwietnia 2020 roku wydał decyzję nakładającą na Pocztę Polską obowiązek przygotowania i przeprowadzenia tych wyborów. Jednakże, ustawa umożliwiająca głosowanie korespondencyjne weszła w życie dopiero 9 maja 2020 roku, co oznaczało, że działania podjęte przed tą datą nie miały odpowiedniej podstawy prawnej. 

    W ramach przygotowań, Ministerstwo Cyfryzacji przekazało Poczcie Polskiej dane osobowe około 30 milionów obywateli z rejestru PESEL. Dane te obejmowały numery PESEL oraz adresy zamieszkania. Przekazanie tak obszernej bazy danych budziło kontrowersje, zwłaszcza że odbyło się bez jednoznacznej podstawy prawnej.  

    Ostatecznie wybory nie odbyły się w planowanym terminie 10 maja 2020 roku. Zostały przełożone i odbyły się 28 czerwca 2020 roku w tradycyjnej formie, z możliwością głosowania korespondencyjnego dla chętnych. W związku z tym, dane osobowe przekazane Poczcie Polskiej nie zostały wykorzystane zgodnie z pierwotnym zamierzeniem. 

    W wyniku tych wydarzeń, obywatele składali skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO) na bezprawne przetwarzanie ich danych osobowych. Początkowo UODO odmawiał wszczęcia postępowań, argumentując, że decyzja premiera stanowiła podstawę prawną dla działań Poczty Polskiej. Jednakże, w marcu 2024 roku Naczelny Sąd Administracyjny (NSA) orzekł, że decyzja premiera z 16 kwietnia 2020 roku nie miała mocy prawnej, co otworzyło drogę do ponownego rozpatrzenia skarg obywateli.  

    W konsekwencji, Prezes UODO, Mirosław Wróblewski, podjął decyzję o nałożeniu kar finansowych za naruszenie przepisów o ochronie danych osobowych. Poczta Polska została ukarana kwotą 27 milionów złotych za bezprawne przetwarzanie danych osobowych obywateli. Natomiast na Ministerstwo Cyfryzacji nałożono karę w wysokości 100 tysięcy złotych, co stanowi maksymalną możliwą karę dla organu administracji publicznej w świetle obowiązujących przepisów.

    Decyzja o ukaraniu Poczty Polskiej i Ministerstwa Cyfryzacji następuje niespełna 5 lat od tych wydarzeń, a zatem została wydana w ostatniej chwili, zanim sprawa się przedawni. Ustawa o Ochronie Danych Osobowych nie przewiduje terminów przedawnienia przestępstw popełnionych w związku z przetwarzaniem danych osobowych, dlatego zastosowanie mają tu przepisy KK (art. 101. § 1. pkt. 4 KK), zgodnie z którymi przedawnienie następuje po upłynięciu 5 lat od momentu popełnienia czynu. 

  • Avast znów obrywa za swoje skandaliczne praktyki. Tym razem w swojej ojczyźnie

    Avast znów obrywa za swoje skandaliczne praktyki. Tym razem w swojej ojczyźnie

    Czeska firma cyberbezpieczeństwa Avast, znana z dostarczania rozwiązań antywirusowych, została ukarana kolejną wysoką grzywną. Czeski Urząd Ochrony Danych (ÚOOÚ) nałożył na firmę karę w wysokości prawie 15 milionów dolarów za nieautoryzowane śledzenie działań użytkowników i naruszenie Ogólnych Przepisów o Ochronie Danych (RODO). Sprawa została ujawniona po dogłębnym zbadaniu praktyk Jumpshot, czeskiej spółki zależnej Avast, która analizowała dane przekazywane przez macierzystą firmę.

    Firma, która miała chronić prywatność swoich klientów, znalazła się w centrum skandalu związanego z nieautoryzowanym gromadzeniem i sprzedażą danych osobowych ponad 100 milionów użytkowników. Dane te były następnie wykorzystywane przez Jumpshot do analiz rynkowych, oferowanych stronom trzecim zainteresowanym zachowaniami konsumentów online.

    W świetle tych wydarzeń, Avast zdecydował się zamknąć Jumpshot w 2020 roku, deklarując jednocześnie zakończenie sprzedaży danych przeglądarki w celach reklamowych. Decyzja ta była prawdopodobnie podyktowana zarówno presją regulacyjną, jak i negatywnym wpływem na wizerunek firmy.

    Nałożone kary, w tym wcześniejsza ugoda z amerykańską Komisją Handlu na kwotę 16,5 miliona dolarów, są znaczącym obciążeniem finansowym. Jednak równie istotne jest uszczerbek na reputacji, który może wpłynąć na decyzje zakupowe obecnych i potencjalnych klientów, a także na długoterminową wartość firmy na rynku. Avast musi teraz wykazać, że jest w stanie efektywnie reformować swoje praktyki, aby odzyskać zaufanie użytkowników i inwestorów.

  • Międzynarodowy Dzień Ochrony Danych Osobowych – firm nie stać na wyzwania związane z ochroną danych

    Międzynarodowy Dzień Ochrony Danych Osobowych – firm nie stać na wyzwania związane z ochroną danych

    W obliczu Międzynarodowego Dnia Ochrony Danych Osobowych, obchodzonego 28 stycznia, nowe badania ISACA ujawniają znaczące wyzwania, z jakimi borykają się organizacje na całym świecie w kontekście ochrony danych osobowych. Z raportu „Prywatność w praktyce 2024” wynika, że tylko nieliczne firmy czują się w pełni przygotowane do ochrony danych w obliczu nowych regulacji i zagrożeń.

    Według badania, firmy w Europie borykają się z szeregiem problemów związanych ze skuteczną ochroną danych, do których należą:

    • Niedofinansowanie i braki kadrowe: W Europie aż 41% specjalistów ds. ochrony danych zgłasza niedofinansowanie swoich działów. Co więcej, 56% oczekuje dalszych cięć budżetowych. Ta sytuacja tworzy paradoks, gdzie pomimo rosnącej potrzeby ochrony danych, zasoby finansowe i ludzkie są redukowane.
    • Wyzwania rekrutacyjne: Dwie piąte firm boryka się z utrzymaniem wykwalifikowanych specjalistów. Brak personelu jest odczuwalny, a 53% organizacji przyznaje, że ich zespoły ds. ochrony danych technicznych są niedostatecznie obsadzone.
    • Widmo cyberzagrożeń: Redukcja budżetów i brak umiejętności w obliczu zaawansowanego krajobrazu cybernetycznego może mieć katastrofalne skutki. Warto zauważyć przy tym, że w erze cyfrowej ryzyko naruszeń wciąż rośnie, wraz z przyrostem danych oraz stopniem wykorzystania zaawansowanych technologii przez  hakerów.
    • Szkolenia i świadomość: Pomimo wyzwań, 68% specjalistów zgłasza, że ich firmy oferują coroczne szkolenia z zakresu prywatności. Taki wysiłek ma pozytywny wpływ na świadomość prywatności wśród pracowników, co jest kluczowe w budowaniu kultury bezpieczeństwa danych.
    • Luka kwalifikacyjna: Firmy wciąż zmagań się z luką kwalifikacyjną. Braki wiedzy dotyczą przede wszystkim technologii, wiedzy technicznej oraz operacyjnej IT. Ta sytuacja podkreśla potrzebę ciągłego rozwoju umiejętności i adaptacji do szybko zmieniających się technologii.
    • Działania naprawcze: Organizacje podejmują inicjatywy, aby zmniejszyć deficyt umiejętności, w tym szkolenia i korzystanie z usług zewnętrznych. Kluczowe jest zapewnienie odpowiednich zasobów i ustalanie priorytetów w celu skutecznej ochrony danych.

    Raport ISACA rzuca światło na rosnące wyzwania w zakresie ochrony danych, z jakimi mierzą się organizacje. W obliczu cięć budżetowych, braku personelu i rosnących zagrożeń cybernetycznych, firmy muszą znaleźć zrównoważone podejście do zarządzania prywatnością i ochrony danych. Szkolenia i rozwój umiejętności pozostają kluczowymi elementami w budowaniu silniejszych i bardziej odpornych systemów ochrony danych. Dla pełnego obrazu sytuacji, warto zapoznać się z raportem „Prywatność w praktyce 2024”

  • Czy w zarządzaniu opartym na danych w ogóle liczy się człowiek?

    Czy w zarządzaniu opartym na danych w ogóle liczy się człowiek?

    Cyfryzacja, dane, technologie, nowy wymiar zarządzania, automatyzacja… Firmy od lat zmieniają swój sposób funkcjonowania, coraz bardziej opierając go na innowacyjnych systemach. IT, IoT, IoB – choć brzmią tajemniczo, wspierają przedsiębiorstwa w optymalizacji procesów. Gdzie jednak jest w tym wszystkim człowiek? Czy firma opierająca się na danych, statystykach, liczbach jest w stanie zrozumieć i zadbać o potrzeby pracownika? Wbrew obawom niektórych – jak najbardziej!

    Zacznę od przywołania tragicznego wydarzenia z grudnia 2022 roku. Pracownik jednej z firm zatrzasnął się w chłodni i zamarzł. Prawdopodobnie nie zadziałały procedury BHP, a współpracownicy nie zauważyli przedłużającej się nieobecności kolegi. Nic dziwnego – zarządzanie rozproszonym zespołem, przemieszczającym się i wykonującym fizyczną pracę, jest utrudnione. Nie można każdego „mieć na oku” przez cały czas. Takie zadanie można jednak powierzyć technologiom, które będą w czasie rzeczywistym dostarczać dane o tym, co dzieje się w przedsiębiorstwie. Dostęp do bieżącej, automatycznej informacji o tym, co w danym momencie robią zatrudnieni i gdzie się znajdują (czyli np. do danych płynących z systemów IoT), jest w takim przypadku ogromnym wsparciem w pracy kierowników.

    Z drugiej strony – wdrożenie takiego rozwiązania często budzi skrajne emocje. Do dziś w firmach, w których wprowadzamy nasz system do zarządzania zespołami i procesami, na początku spotykamy się z oporem. Pracownicy zastanawiają się, po co pracodawcy dane o tym, ile czasu spędzają w konkretnym miejscu, czy się poruszają, czy nie. Boją się nadmiernej kontroli, inwigilacji. I to też mnie nie dziwi. Każda zmiana w jakiś sposób niepokoi.

    Mamy więc po dwóch stronach – nieufnych pracowników, którzy boją się być oceniani na podstawie bezdusznych danych, i pracodawców, którzy chcą tego, by ich przedsiębiorstwo pracowało lepiej. Lepiej, czyli wydajniej, oszczędniej, bezpieczniej, przyjaźniej. Pomiędzy tymi biegunami natomiast przepływają ogromne ilości danych, które pokazują, jak działa firma, jak funkcjonują zespoły. I które firmy mogą – i proszę mi wierzyć – naprawdę wykorzystują po to, by zbudować lepsze środowisko pracy.

    Od danych do zarządzania z ludzką twarzą

    Po latach pracy z systemami IoT wiem, czego boją się pracownicy. Tego, że staną się dla pracodawcy jakimś zbiorem danych, analizowanych na bieżąco przez niezrozumiały algorytm, który będzie wyciągał wnioski, nie biorąc pod uwagę zwykłych ludzkich uwarunkowań.

    To jednak tak nie działa. Dane to tylko informacja, która pozwala zarządzającym zrozumieć, co dzieje się w ich firmie. I która pomaga eliminować błędy, poprawiać jakość pracy. To tylko narzędzie dla ludzi, a nie machina, która bezrefleksyjnie zmienia porządki w przedsiębiorstwie. Ale narzędzie potężne, bo dobrze zastosowane, pozwala udoskonalić środowisko pracy.

    Co zatem dają systemy IoT?

    – Sprawiedliwe podejście do pracowników

    Dane może i są bezduszne, ale też bardzo obiektywne. Każdy pracownik jest więc oceniany na podstawie takich samych kryteriów. Ten sam system sprawdza te same parametry, mierzy te same wartości, czy to dotyczące czasu pracy i jego wykorzystania, czy przestrzegania przepisów i procedur BHP, czy realizacji harmonogramu i zaplanowanych zadań.

    Z drugiej jednak strony każdy pracownik ma możliwość zderzenia tych danych z kontekstem, w którym dana sytuacja się wydarzyła. Do wytłumaczenia czy skorygowania ewentualnych niedociągnięć. Dzięki temu dane stają się tylko bazą do zarządzania zespołem. Pokazują stan faktyczny, ale też pozostawiają miejsce na to, by rozmawiać z pracownikami i wprowadzać ułatwienia, które w przyszłości pozwolą unikać błędów.

    – Informacja zwrotna dla pracownika

    Często jest tak, że pracownik nie dostaje informacji o tym, czy dobrze pracuje. Nie ma szansy porozmawiać ze swoim przełożonym o swojej pracy. System IoT / IoB uzupełnia lukę po nieobecnym przełożonym, daje konkretną informację o jakości pracy, a jednocześnie tworzy sieć sprzężeń zwrotnych, pozwalając doskonalić się całej organizacji.

    – Bezpieczeństwo pracy

    Systemy IoT to potężne narzędzie w podnoszeniu bezpieczeństwa całych zespołów. Z jednej strony podpowiadają zarządzającym, gdzie w danych momencie znajdują się pracownicy, alarmują, gdy ci przestają się poruszać lub zbyt długo znajdują się w np. niebezpiecznej strefie. Z drugiej strony – za pośrednictwem np. karty identyfikacyjnej pracownika – przypominają mu o konieczności zastosowania środków ochrony osobistej. I w końcu wyposażone są w przycisk SOS, który pozwala w dowolnym momencie wezwać pomoc dla siebie lub innej osoby. Znacząco też wspiera proces ewakuacji i ewentualne akcje ratunkowe.

    – Dobór dobrych liderów

    Dane opisujące pracę zespołów można wykorzystać także do tego, by wyłonić jak najoptymalniejszą grupę liderów. Bo nawet najlepszy zespół może stracić motywację lub źle pracować, gdy będzie źle zarządzany. Informacje dostarczane przez systemy IoT pozwalają oceniać także kierowników i tym samym wpływać na to, by na czele zespołów stały odpowiednie osoby – potrafiące motywować, odpowiednio rozdzielać zadania, efektywnie organizować pracę, elastycznie reagować na nieprzewidziane sytuacje i doceniać zatrudnionych.

    – Lepsze warunki pracy

    To wszystko ostatecznie przekłada się na lepsze warunki pracy – w bardziej sprawiedliwym, przyjaznym i bezpiecznym środowisku. Biorącym pod uwagę różne uwarunkowania, eliminującym błędy na bieżąco. Przykład? W jednym z laboratoriów diagnostycznych korzystających z naszego systemu w pierwszych dniach po wdrożeniu TIMATE zarządzający zauważyli, że pracownicy bardzo dużo czasu spędzają w jednym z pomieszczeń, do którego z założenia powinni przychodzić tylko na kilka minut. Okazało się, że w tym pokoju stoi maszyna diagnostyczna, do której nieustająco tworzą się kolejki, wstrzymujące płynność pracy. Zarząd od razu podjął decyzję o zakupie dodatkowego urządzenia, dzięki któremu pracownicy nie muszą już tracić czasu na czekanie. Zyskali więc wszyscy – i pracownicy, którzy mogą bez przeszkód wykonywać swoje zadania, i firma, która może przeprowadzić więcej badań w tym samym czasie.

    Technologie pozwalają na humanocentryczne zarządzanie przedsiębiorstwem. Oczywiście to, w jaki sposób firma wykorzysta potencjał wdrażanego rozwiązania, zależy przede wszystkim od niej samej. Z mojego doświadczenia wynika jednak, że przedsiębiorcy nie sięgają po np. systemy IoT po to, by utrudnić życie pracowników, by ich zastąpić technologią, zgnębić i zwolnić, gdy nie spełniają wymagań. Przeciwnie – wybierają Internet Rzeczy, by lepiej zrozumieć, co dzieje się w firmie – także po to, by lepiej zrozumieć to, jak działają pracownicy – i na podstawie tej wiedzy wprowadzić zmiany, które sprawią, że wszystkim będzie się po prostu lepiej pracowało.

  • Jak zadbać o bezpieczeństwo druku w sprzedaży detalicznej?

    Jak zadbać o bezpieczeństwo druku w sprzedaży detalicznej?

    Ponad 70% detalistów uważa, że bezpieczeństwo urządzeń jest kluczowe z perspektywy zapewnienia odpowiedniego poziomu ochrony danych firmy i klientów. Przetwarzanie dużych ilości informacji, w tym danych wrażliwych, adresów czy szczegółów dotyczących płatności, wymaga wyjątkowej ostrożności. Zapewnienie im odpowiedniego poziomu bezpieczeństwa stanowi ogromne wyzwanie dla sprzedawców detalicznych w erze RODO. Pomimo ogólnej świadomości wielu cyber-zagrożeń, które czekają firmy, nieco ponad połowa przedsiębiorstw (51%) uważa, że w niewystarczającym stopniu inwestuje w bezpieczeństwo sprzętu drukującego.

    „Dane osobowe to jeden z najbardziej wartościowych i pożądanych zasobów naszych czasów, dlatego warto pamiętać, że mogą stać się celem cyberprzestępców. Po stronie przedsiębiorców leży zapewnienie ochrony gromadzonym i przetwarzanym informacjom o konsumentach. Warto pamiętać, że przy potencjalnym wycieku danych detaliści ryzykują utratą – zarówno klienta, jak i ogólnego zaufania. Dlatego każde nowe wdrożenie rozwiązań technologicznych musi być sprawdzone i zgodne z najnowszymi standardami bezpieczeństwa IT” – komentuje Katarzyna Idzkiewicz, ekspert Brother.

    Istnieją trzy główne założenia dotyczące zapewnienia bezpieczeństwa informacji, które pomagają zadbać o zabezpieczenie procesu druku w branży detalicznej. Obejmują one zarówno bezpieczeństwo samego urządzenia, jak i przetwarzanych zasobów:

    Poufność (ang. Confidentiality)

    Dotyczy danych, które dla właściwego funkcjonowania przedsiębiorstwa muszą zostać udostępnione innym jednostkom – wiąże się to z koniecznością odpowiedniej weryfikacji docelowego odbiorcy, tak aby przekazywane informacje nie dostały się w niepowołane ręce. W tym celu należy zachować szczególne środki ostrożności, stosując uwierzytelnianie i proces autoryzacji, który wymaga od użytkowników zweryfikowania ich tożsamości przed uzyskaniem dostępu do jakiegokolwiek dokumentu.

    Nienaruszalność (ang. Integrity)

    Zapewnia gwarancję, że oprogramowanie sprzętowe urządzenia jest odpowiednio zabezpieczone i odporne na włamania oraz inne potencjalne zagrożenia zewnętrzne.

    Dostępność (ang. Availability)

    Zarządzanie bezpieczeństwem infrastruktury IT jest sporym wyzwaniem w przedsiębiorstwach, szczególnie gdy urządzenia podłączone do sieci są rozproszone. Drukarki, skanery i kopiarki powinny być tak samo zabezpieczone, jak pozostały sprzęt IT. Jeśli urządzenia te zostaną pominięte, istnieje ryzyko, że hakerzy wykorzystają te luki do przejęcia poufnych danych przedsiębiorstwa. Dlatego szczególnie istotne jest zapewnienie odpowiedniego poziomu bezpieczeństwa wszystkim sprzętom w sieci, aby zminimalizować prawdopodobieństwo powstania słabych ogniw w łańcuchu zabezpieczeń.

    Warto zauważyć, że skuteczne wdrożenie najnowszych technologii wymaga nie tylko nakładów finansowych, ale również specjalistycznej wiedzy i doświadczenia pracowników. Z badania Brother wynika, że ponad połowa (57%) respondentów, jest zdania że w temacie bezpieczeństwa drukarek używa się zbyt skomplikowanego języka, który jest trudny do zrozumienia bez pomocy specjalisty. Wielu detalistów ze środowiska MŚP w codziennej pracy polega na urządzeniach i programach, które nie wymagają nadmiernego nakładu finansowego. Dlatego tak ważne jest, aby technologia wspierająca bezpieczeństwo przedsiębiorstw była łatwa w obsłudze dla użytkownika, co pomoże sprawnie zarządzać poziomem ochrony danych przetwarzanych przez firmę.

  • Bitdefender: 5 prognoz dotyczących cyberbezpieczeństwa na 2022 rok

    Bitdefender: 5 prognoz dotyczących cyberbezpieczeństwa na 2022 rok

    W ubiegłym roku działy IT musiały stawić czoła cyberprzestępcom, w tym wyjątkowo niebezpiecznym gangom ransomware. Nikt nie ma wątpliwości, że 2022 rok przyniesie ze sobą kolejne fale, groźnych cyberataków. Eksperci z firmy Bitdefender sporządzili listę największych zagrożeń, z którymi przyjdzie się zmierzyć konsumentom jak i przedsiębiorcom w najbliższych dwunastu miesiącach.

    Dalsza dominacja oprogramowania ransomware w krajobrazie cyberzagrożeń

    Niestety, prognoza Bitdefendera dotycząca zwiększonej aktywności gangów ransomware w 2021 roku się sprawdziła. SolarWinds, The Colonial Pipeline, Kaseya, Brenntag – to najbardziej głośne ataki ransomware z ubiegłego roku. Wiele przemawia za tym, że to złośliwe oprogramowanie pozostanie najbardziej dochodowym rodzajem cyberprzestępczości w 2022 roku.

    – Spodziewamy się jest wzrostu liczny ataków Ransomware-as-a-Service (RaaS), które będą koncentrować się na eksfiltracji danych. Podobnie jak każda dojrzała firma, oprogramowanie ransomware będzie musiało stale nadążać zarówno za konkurencją, jak i dostawcami systemów cyberbezpieczeństwa – mówi Dragos Gavrilut. dyrektor laboratorium Cyber ​​Thread Intelligence Lab w Bitdefender.

    Bitdefender przewiduje, że nastąpi wzrost liczby ataków ransomware dla środowisk Linux, które są ukierunkowane na pamięć masową lub szablony ESXi. Również luka Java Log4j ze względu na swoją wszechobecność i łatwość wykorzystania, otwiera furtki dla oprogramowania ransomware.

    Cyberataki sponsorowane przez państwa

    Napięcia polityczne nie pozostaną bez wpływu na świat cybernetyczny, ponieważ państwa będą walczyć o dominację w sferze cyfrowej. Jedną z najczęściej używanych broni będzie prawdopodobnie „killware”, ponieważ może być stosowany przy użyciu podobnej taktyki, jak klasyczne APT. Poza tym jest skuteczny w przypadku ataków ukierunkowanych przeciwko sieciom energetycznym, wodociągom i ściekom oraz transportowi publicznemu, wywierając natychmiastowy wpływ na społeczności. Bitdefender zapowiada również wzrost ataków DDoS i przejmowania protokołu Border Gateway (BGP). Będą one gwałtownie wzrastać, powodując masowe zakłócenia w gospodarce cyfrowej i telekomunikacji.

    Wzrost ataków na łańcuchy dostaw i wykorzystania luk typu „zero day”

    W ubiegłym roku szczególnie trudne do złagodzenia były ataki na łańcuchy dostaw wymierzone w dostawców usług zarządzanych (MSP). W przeciwieństwie do innych zagrożeń, są one wyjątkowo trudne do wykrycia, a tym samym zatrzymują i rozprzestrzeniają się w szybszym tempie. Profesjonalne grupy cyberprzestępcze skoncentrują się w tym roku na włamywaniu się do dostawców usług MSP, aby dystrybuować oprogramowania ransomware do większych grup potencjalnych ofiar.

    Oprócz ataków na łańcuchu dostaw Bitdefender spodziewa się również wzrostu wykorzystania exploitów zero-day w niektórych atakach ukierunkowanych. W 2021 r. Bitdefender odnotował wzrost luk zero-day we wszystkich głównych stosach technologicznych (Chrome, Exchange, Office, Windows 10, iOS).

    Jednak istnieje więcej luk w zabezpieczeniach niż zero-day, które pozwolą cyberprzestępcom wyrządzić poważne szkody firmom. Narzędzia takie jak CobaltStrike będą coraz częściej przyjmowane przez operatorów szkodliwego oprogramowania.

    – Cyberprzestępcy znajdują inspirację w społeczności – jeśli jedna grupa zyskuje sławę dzięki wykorzystaniu istniejących narzędzi, reszta społeczności pójdzie w jej ślady. Emotet jest doskonałym przykładem takiego zachowania, ponieważ ponownie rośnie i z powodzeniem wykorzystuje sygnały nawigacyjne CobaltStrike do przyspieszenia instalacji oprogramowania ransomware w sieciach korporacyjnych – mówi Radu Portase, główny kierownik techniczny w Bitdefender.

    Naruszanie danych – bardziej inteligentny phishing

    W miarę jak dane osobowe skradzione w wyniku naruszeń danych stają się coraz szerzej dostępne dla cyberprzestępców, kampanie spamowe będą bardziej przemyślane i ukierunkowane. Nazwiska i numery telefonów, a także inne ujawnione informacje takie jak hasła, adresy zamieszkania, zestawienia będą wykorzystywane do lepiej dostosowanych i bardziej przekonujących kampanii phishingowych lub wymuszeń.

    –      W najbliższym czasie spear phishing, whaling, czyli ataki na osoby decyzyjne, BEC (Business Email Compromise) oraz EAC (Email Account Compromise) staną się jeszcze bardziej wyrafinowane. Nadal pozostaną wektorem ataków na firmy oraz zdalnych pracowników – przewiduje Adrian Miron, kierownik Laboratorium Filtrowania Treści w Bitdefender.

    Oszustwa z 2022 r. prawdopodobnie wykorzystają internetowe procesy rekrutacyjne narzucone przez pandemię koronawirusa. Cyberprzestępcy zaczną też podszywać się pod firmy, aby nakłonić potencjalnych kandydatów do infekowania ich urządzeń za pomocą popularnych załączników do dokumentów.

    IoT, infrastruktura sieciowa i czarny rynek w sieci.

    2022 prawdopodobnie przyniesie znaczny wzrost ataków na infrastruktury chmurowe, w tym również te obsługiwane przez najważniejszych graczy.

    – Błędy w konfiguracji i brak wykwalifikowanych pracowników ds. bezpieczeństwa cybernetycznego odegrają znaczącą rolę w naruszeniach danych oraz infrastruktury– zauważa Catalin Cosoi, główny strateg ds. bezpieczeństwa w Bitdefender.

    W związku z tym, że organizacje przygotowują się do tego, aby praca zdalna stała się zjawiskiem powszechnym, wiele starszych usług musi być przenoszonych do chmury. To z kolei otwiera przestrzeń do ataków dla cyberprzestępców. Wraz z rozwojem ekosystemu kryptowalut, nastąpi wzrost zainteresowania cyberprzestępców atakami na usługi wymiany walut, a także oszustw związanych z cyfrowymi walutami.

    Inny powodem do niepokoju jest telematyka pojazdów. Producenci aut próbują tworzyć usługi lub zarabiać na informacjach wysyłanych przez pojazdy na drogach. Jednak kradzież danych to tylko część powodów do niepokoju, ponieważ cyberprzestępcy mogą wykorzystać pojazdy połączone z Internetem, aby ułatwić kradzież, uzyskać nieautoryzowany dostęp, a nawet przejąć zdalną kontrolę nad samochodem.

    Na osobną uwagę zasługuje, to co dzieje się na czarnych rynkach w sieci. W latach 2020-2021 działały one chaotycznie, do czego przyczyniły się skoordynowane działania organów ścigania. W 2022 roku do nieczystej gry włączą się nowi pretendenci, którzy mogą przejąć nawet 50 procent nielegalnych transakcji odbywających się w sieci.

  • Dlaczego najpierw obwiniamy ofiary cyberataków, a nie ich sprawców?

    Dlaczego najpierw obwiniamy ofiary cyberataków, a nie ich sprawców?

    Od kilku lat społeczna świadomość zagrożeń cybernetycznych rośnie. Wciąż jednak można usłyszeć, oczywiście poza branżą informatyczną, że cyberataki to po prostu „coś, co zdarza się w Internecie”. Nie każdy potrafi określić i porównać skutki ataków cybernetycznych. Jest to trudne zarówno w odniesieniu do osób, które padły ofiarą oszustw internetowych, jak i przedsiębiorstw zmuszonych do zapłacenia okupu w celu odzyskania dostępu do swoich systemów. Dlatego można odnieść wrażenie, że cyberprzestępczość nie zawsze jest postrzegana i traktowana jako „prawdziwa” przestępczość.

    Choć wiemy, że cyberprzestępstwo jest przestępstwem jak każde inne, niektórzy sobie tego nie uświadamiają. Trudno oczekiwać, aby ktoś poczuł się wstrząśnięty tym, iż jakiś haker przejął system międzynarodowej korporacji. Wynika to prawdopodobnie ze stereotypów, przedstawiających cyberprzestępców jako młodych, zbuntowanych geniuszy informatyki, którzy „walczą z systemem”, bo nie mają nic lepszego do roboty. Tymczasem za większością cyberataków stoją wielkie, zorganizowane i bogate organizacje przestępcze. Stosują one zaawansowane metody w celu okradania firm i instytucji publicznych, a to przecież okradane firmy i instytucje płacą nam wynagrodzenia czy świadczą nam codzienne, niezbędne usługi. Czy ktoś ma wątpliwości, że jest to przestępstwo?

    Dlaczego obwiniane są ofiary?

    Cyberprzestępstwo jest prawdziwym przestępstwem, a zaatakowane przez cyberprzestępców firmy są ofiarami. Ofiarami, które ponoszą straty na skutek popełnianych przeciwko nim czynów. Mimo to nasze współczucie wobec przedsiębiorstwa, które padło ofiarą ataku, jest nieporównanie mniejsze od tego, jakim gotowi jesteśmy obdarzyć pojedynczą, konkretną osobę. Gdy ktoś nam mówi, że hakerzy włamali mu się do systemu, przejęli dane osobowe i ukradli pieniądze, nigdy nie przyszłoby nam do głowy, aby go o to obwiniać. Jeśli jednak chodzi o firmy, to w następstwie cyberataków ponoszą one długotrwałe szkody na reputacji. W przypadku firm często zakładamy, że atak był spowodowany błędem lub brakiem ostrożności ofiary. Jako człowiek, który ma za sobą ponad 32 lata pracy w branży ochrony danych, nie mogę temu zaprzeczyć. Zdecydowanej większości incydentów cybernetycznych da się uniknąć. Mają one miejsce dlatego, że firmy nie przestrzegają sprawdzonych procedur, nie dbają o higienę cyfrową, używają przestarzałego oprogramowania lub nie instalują poprawek zabezpieczających.

    Nie ma chyba jednak drugiego takiego typu przestępczości, w przypadku którego wszyscy skupiają się niemal wyłącznie na obwinianiu ofiar zamiast na ściganiu sprawców. Zaatakowane firmy traktowane są raczej jak winowajcy, natomiast akceptuje się fakt, że przestępcy unikają kary na skutek braku globalnie uzgodnionych ram prawnych i odpowiedniego systemu sprawiedliwości. Przykładowo, jeśli przestępca z innego kraju przebywający w Stanach Zjednoczonych popełni przestępstwo przeciwko firmie mającej siedzibę w tym kraju, to istnieją procedury dyplomatyczne, które umożliwiają postawienie tego przestępcy przed sądem i zapewnienie ofierze odszkodowania. W przypadku ataku ransomware nie ma takich możliwości.

    Jak stworzyć środowisko, w którym ryzyko dla cyberprzestępców jest większe niż zysk? Niezbędna jest w tym celu współpraca międzynarodowa i międzykontynentalna. Podczas pandemii plaga ataków ransomware nasiliła się, co zachęciło liderów sektora publicznego i biznesu do podjęcia działań w celu przełamania geopolitycznego impasu, który zapewniał cyberprzestępcom bezkarność. Nie będzie to jednak łatwe, a stworzenie całościowego, sprawnie działającego rozwiązania wymaga lat.

    Nauczmy bronić się sami

    Podczas gdy prawo nie zapewnia nam pełnej ochrony przed cyberprzestępczością, pierwotny ludzki instynkt przetrwania podpowiada, że powinniśmy bronić się sami. Wymaga to podjęcia kilku podstawowych kroków. Po pierwsze, każde przedsiębiorstwo powinno zatrudniać dedykowanego menedżera ds. bezpieczeństwa informatycznego, pracującego na miejscu, mającego zarówno stały kontakt z kierownictwem firmy, jak i uprawnienia do podejmowania inicjatyw w zakresie bezpieczeństwa. Również w mniejszych firmach niezbędna jest osoba odpowiedzialna za cyberbezpieczeństwo i wyspecjalizowana w ochronie danych. Po drugie, przedsiębiorstwa muszą bezwzględnie przestrzegać higieny cyfrowej. Dotyczy to w szczególności obowiązkowego szkolenia wszystkich pracowników w taki sposób, aby potrafili wykrywać potencjalne ataki, wiedzieli, komu je zgłaszać i rozumieli, dlaczego jest to tak ważne. Im bardziej pracownicy będą się angażować we wdrażanie zasad higieny cyfrowej, tym większą będą mieć świadomość zagrożeń i skuteczniej im zapobiegać.

    Na zakończenie jeszcze jedna rada: nigdy nie należy płacić okupu. Firmy, które płacą, dają cyberprzestępcom sygnał, że ataki ransomware to sposób na łatwe pieniądze, i zachęcają ich do kolejnych przestępczych działań. Gdy ofiary przestaną płacić, ataki ransomware staną się rzadsze, ponieważ stracą swoją skuteczność. Niezależnie od tego, że przedsiębiorstwa dotknięte cyberprzestępczością są ofiarami, mają one obowiązek ochrony wszelkich danych przez siebie używanych, przetwarzanych i przechowywanych. Płacenie cyberprzestępcom za przywrócenie dostępu do systemów nie może być traktowane jako strategia obrony, bo na dłuższą metę ona nie działa. Organy i instytucje rządowe podejmują coraz więcej działań, aby zapobiegać rozprzestrzenianiu się ataków ransomware. Firmy, które płacą okupy, mogą być ścigane i upominane przez niezależnych regulatorów.

    Trzeba pamiętać, że mamy do czynienia z bezlitosnymi cyberprzestępcami, którzy działają na masową skalę, uderzając zarówno w firmy, jak i osoby prywatne. Walka z nimi wymaga podjęcia działań o zasięgu międzynarodowym, obejmujących sektor publiczny i prywatny. Nie ulega wątpliwości, że cyberprzestępczość powinna być traktowana jak każdy inny rodzaj przestępczości, a sprawcy ataków ― ścigani i karani. Firmy muszą jednak pamiętać, że to one ponoszą odpowiedzialność wobec swoich klientów i pracowników za ochronę ich danych. Wszystkie te cele można osiągnąć tylko w jeden sposób ― poprzez wdrożenie strategii nowoczesnej ochrony danych, która łączy efektywne zabezpieczenia cybernetyczne w obszarze interakcji z klientami z całościowym podejściem do tworzenia kopii zapasowych danych i przywracania systemu po awarii.

    Autor: Dave Russell, wiceprezes ds. strategii korporacyjnej w firmie Veeam

  • Cisco: Potrzeby użytkowników względem ochrony ich danych kluczem do uzyskania ich zaufania

    Cisco: Potrzeby użytkowników względem ochrony ich danych kluczem do uzyskania ich zaufania

    Cisco prezentuje raport z globalnego badania „2021 Consumer Privacy Survey”, w którym zwraca uwagę na potrzebę ochrony danych użytkowników. Eksperci firmy podkreślają, że jest to pierwsze ogniwo łańcucha bezpieczeństwa w cyberprzestrzeni.

    Ochrona prywatności ma kluczowe znaczenie dla osób prywatnych, organizacji i rządów na całym świecie. Osiemnaście miesięcy po wybuchu pandemii COVID-19 informacje dotyczące stanu zdrowia i statusu szczepień mieszkańców poszczególnych krajów są potrzebne bardziej niż kiedykolwiek wcześniej, aby zrozumieć wirusa, kontrolować jego rozprzestrzenianie, a także stworzyć bezpieczniejsze środowisko pracy, nauki czy rekreacji. Jednocześnie ludzie chcą chronić swoją prywatność. Oczekują od organizacji oraz rządów, że ich dane będą bezpieczne i wykorzystywane tylko do walki z pandemią.

    Nowe badanie Cisco 2021 Consumer Privacy Survey analizuje działania podejmowane przez użytkowników w celu ochrony swojej prywatności, wpływ przepisów dotyczących prywatności oraz nastawienie ludzi do wykorzystywania danych osobowych (również w kontekście walki z pandemią) w procesach podejmowania decyzji przez mechanizmy sztucznej inteligencji (AI).

    Najważniejsze wnioski z badania:

    ·       Użytkownicy indywidualni oczekują przejrzystości i kontroli: Prawie połowa (46%) respondentów badania uważa, że nie jest w stanie chronić swoich danych osobowych w dzisiejszych czasach, ponieważ firmy nie komunikują w jasny sposób tego jak wykorzystują te dane. Nic więc dziwnego, że prawie jedna trzecia respondentów przyjęła postawę proaktywną w kwestii prywatności i bezpieczeństwa, zmieniając firmy lub dostawców usług z powodu ich praktyk związanych z danymi. Ponadto, 25% zapytało organizacje o swoje dane, a 17% zażądało ich zmiany lub usunięcia.

    ·       Przepisy dotyczące prywatności są bardzo pozytywnie postrzegane na całym świecie, ale świadomość ich istnienia pozostaje na stosunkowo niskim poziomie: 60% respondentów uznało, że przepisy dotyczące prywatności w ich kraju mają pozytywny wpływ na kwestie bezpieczeństwa, a jedynie 4% stwierdziło, że mają one wpływ negatywny. Jednak tylko 43% respondentów zna te przepisy.

    ·       Pomimo trwającej pandemii, większość osób zgadza się na zmniejszenie ochrony prywatności jedynie w niewielkim stopniu – 62% odpowiedzi. Jednocześnie wysiłki pracodawców na rzecz zapewnienia bezpieczeństwa w miejscu pracy spotykają się z aprobatą. 60% respondentów zgadza się na to, aby pracownicy przed wejściem do pracy podawali informacje o statusie szczepień.

    ·       Większość ankietowanych uważa, że organizacje mają obowiązek korzystania z AI wyłącznie w sposób etyczny: Aż 56% respondentów jest bardzo zaniepokojonych obecnym wykorzystaniem sztucznej inteligencji. W badaniu Cisco zapytano również o kilka przypadków zastosowania AI np. w marketingu, do określania zdolności kredytowej etc. Wielu konsumentów (od 37% do 55% dla różnych przypadków zastosowania) mniej ufałoby organizacjom, które to robią.

    Wyniki badania Cisco jasno pokazują, że prywatność nadal ma wysoki priorytet także dla użytkowników indywidualnych, a organizacje muszą dołożyć wszelkich starań, aby chronić dane osobowe i budować zaufanie konsumentów.

    Na podstawie wniosków z badania eksperci Cisco przygotowali zalecenia dla firm, które sprawią, że zdobędą one zaufanie klientów co do sposobu, w jaki ich dane osobiste są wykorzystywane i chronione:

    • Jasno komunikuj w jaki sposób wykorzystujesz dane klientów. Najczęstszym problemem, który wskazują użytkownicy sieci jest brak wiedzy o tym, w jaki sposób wykorzystywane są ich dane. Organizacje powinny przedstawiać zrozumiałe wyjaśnienia dotyczące sposobu wykorzystania danych w swoich produktach i usługach.
    • Buduj świadomość na temat ochrony prywatności i przepisów obowiązujących w danym kraju. Klienci, którzy je znają, rozumieją, że istnieją ograniczenia co do sposobu wykorzystania ich danych. Mają również większą pewność, że informacje, które ich dotyczą są bezpieczne.
    • Stwórz politykę powrotu do biur, która zapewni bezpieczne środowisko pracy, jednocześnie chroniąc i respektując indywidualne prawa i prywatność.
    • Tworząc rozwiązania wykorzystujące sztuczną inteligencję bierz pod uwagę prywatność użytkowników. Jej ochrona powinna zostać uwzględniona już na etapie projektowania, zgodnie z polityką „privacy by design”. Należy nadzorować AI, aby zapewnić jej etyczne działanie, a także przejrzystość w zakresie tego, kiedy i w jaki sposób firma korzysta ze zautomatyzowanego podejmowania decyzji.

    Równolegle z badaniem „Cisco 2021 Consumer Privacy Survey” firma publikuje również New Trust Standard – zestawienie najważniejszych informacji dotyczących prywatności użytkowników, które jest efektem rozmów i wieloletniej współpracy z klientami, partnerami, organami regulacyjnymi i środowiskiem akademickim. Nowy „standard zaufania” stanowi branżowy punkt odniesienia dla przedsiębiorstw. Umożliwia im zbudowanie zaufania i poprawę relacji z klientami w cyfrowym świecie.

  • Temat roku w cyberbezpieczeństwie: praca zdalna

    Temat roku w cyberbezpieczeństwie: praca zdalna

    W 2020 roku roku okoliczności zmusiły nas, byśmy w większym stopniu wykorzystywali platformy oraz narzędzia cyfrowe — zarówno w pracy, jak i innych aspektach naszego życia. Zasada: „Zostań w domu, bądź bezpieczny” spowodowała, że organizacje dostosowały swoje sieci korporacyjne do nowej sytuacji, a z drugiej strony pojawiły się nowe zagrożenia lub wzmocnieniu uległy te wcześniejsze. Nie oznacza to wzrostu łącznej liczby ataków zidentyfikowanych w 2020 r. – wyraźnie zmienił się jednak rozkład ich poszczególnych rodzajów. Badacze z firmy Kaspersky odnotowali 242% wzrost ataków siłowych na protokoły RDP (związane ze zdalnym dostępem do urządzeń) w porównaniu z poprzednim rokiem, a do tego pojawiło się 1,7 miliona unikatowych szkodliwych plików podszywających się pod aplikacje służące do komunikacji korporacyjnej. Dane te pokazują, że atakujący biorą na celownik użytkowników, którzy pracują zdalnie.

    Konieczność przeniesienia w krótkim czasie pracowników w tryb pracy zdalnej ujawniła nowe luki w systemach bezpieczeństwa, które cyberprzestępcy zaczęli skwapliwie wykorzystywać. Zwiększył się ruch danych korporacyjnych, podczas gdy użytkownicy w pośpiechu przestawiali się na korzystanie z usług osób trzecich w celu wymiany danych oraz pracę za pośrednictwem potencjalnie niezabezpieczonych sieci Wi-Fi.

    Inny problem, z jakim mieli do czynienia zespoły ds. bezpieczeństwa informacji, stanowił, i nadal stanowi, wzrost liczby osób korzystających z narzędzi zdalnego dostępu. Jednym z najpopularniejszych protokołów dostępu do stacji roboczych serwerów Windows na poziomie aplikacji jest protokół własnościowy firmy Microsoft — RDP. W pierwszej fali lockdownów wprowadzanych na całym świecie wzrosła liczba niepoprawnie skonfigurowanych komputerów udostępnionych zdalnym pracownikom, podobnie jak liczba przeprowadzanych na nie cyberataków. Ataki te stanowiły zwykle próbę złamania (poprzez systematyczne próbowanie znalezienia właściwej opcji) nazwy użytkownika oraz hasła zdalnego dostępu. Udany atak oznaczał uzyskanie przez cyberprzestępców zdalnego dostępu do atakowanego komputera w sieci.

    Od początku marca błyskawicznie wzrosła liczba wykrytych ataków określanych przez badaczy z firmy Kaspersky jako Bruteforce.Generic.RDP. W efekcie łączna liczba tego rodzaju ataków wykrytych w ciągu pierwszych jedenastu miesięcy 2020 r. zwiększyła się 3,4-krotnie w stosunku do 2019 r. Ogólnie, w okresie od stycznia do listopada 2020 r. wykryto 3,3 miliarda ataków na protokoły RDP. W analogicznym 11-miesięcznym okresie 2019 r. firma Kaspersky wykryła 969 milionów takich ataków na całym świecie.
    Oprócz ataków na protokoły RDP cyberprzestępcy szybko zorientowali się, że wielu pracowników zaczęło stosować do komunikacji narzędzia online, i naturalnie postanowili to wykorzystać. Firma Kaspersky wykryła 1,66 miliona unikatowych szkodliwych plików rozprzestrzenianych pod przykrywką popularnych komunikatorów i aplikacji umożliwiających przeprowadzanie konferencji online, wykorzystywanych głównie w pracy. Po zainstalowaniu pliki te ładowały głównie programy adware, zalewając urządzenia ofiar niechcianymi reklamami i gromadząc ich dane osobowe do wykorzystania przez osoby trzecie. Inną grupę plików podszywających się pod aplikacje korporacyjne stanowiły tzw. downloadery, czyli aplikacje, które same w sobie nie są szkodliwe, ale mogą pobierać inne oprogramowanie, od trojanów po narzędzia zdalnego dostępu.

    Ten rok wiele nas nauczył. Przechodzenie w tryb online nie odbywało się tak płynnie, jak to sobie wyobrażaliśmy, szczególnie biorąc pod uwagę fakt, że już wcześniej żyliśmy w wydawałoby się mocno cyfrowym świecie. Skupiliśmy się na pracy zdalnej, co próbowali wykorzystywać cyberprzestępcy. Z zadowoleniem mogę stwierdzić, że proces adaptacji odbywał się szybko i dzięki temu świat nie stanął w miejscu. Gospodarki nie zostały zamrożone i dlatego nadal możemy napić się kawy, aczkolwiek na wynos. Jednocześnie dowiedzieliśmy się, że musimy się jeszcze wiele nauczyć na temat odpowiedzialnego korzystania z technologii, u podstaw którego leży wymiana danych – powiedział Dmitrij Gałow, badacz ds. cyberbezpieczeństwa z firmy Kaspersky.

    Jedno z największych wyzwań 2020 r. dotyczyło świadomości potencjalnych zagrożeń online. Nie chodzi tu o nagły wzrost zapotrzebowania na usługi online – związane z pracą czy dostawą jedzenia. Wielu nowych użytkowników stanowiły osoby, które z zasady unikały świata cyfrowego. Nie znaczy to, że tacy ludzie lekceważyli potrzebę cyberbezpieczeństwa – po prostu wcześniej nie korzystali z usług cyfrowych i nie mieli pojęcia, co się może zdarzyć. Ta grupa osób okazała się być jedną z najbardziej narażonych na zagrożenia podczas pandemii – jej poziom świadomości zagrożeń online był bardzo niski. Wygląda na to, że cały świat stanął przed ogromnym wyzwaniem, i mam nadzieję, że pomogło to zwiększyć poziom świadomości cyberbezpieczeństwa wśród zwykłych użytkowników — dodał ekspert.

  • Wyczekiwana gra Cyberpunk 2077 przyciąga uwagę cyberprzestępców

    Wyczekiwana gra Cyberpunk 2077 przyciąga uwagę cyberprzestępców

    Po ośmiu latach czekania i licznych przesunięciach terminu premiery w najbliższy czwartek, 10 grudnia, pojawi się Cyberpunk 2077 – jedna z najbardziej oczekiwanych gier ostatnich lat. Podczas gdy gracze szykują się na maraton, oszuści już teraz czerpią korzyści z ich niecierpliwości.

    Na przestrzeni pierwszych 10 miesięcy 2020 r. firma Kaspersky zaobserwowała, że oszuści wykazują stałe zainteresowanie graczami, którzy czekają na produkcję Cyberpunk 2077. W okresie od stycznia do listopada 2020 r. badacze wykryli ponad 3 300 prób zainfekowania użytkowników z całego świata poprzez różne zagrożenia podszywające się pod grę, która nie została jeszcze opublikowana. Co więcej, oszuści stosowali coraz bardziej zaawansowane i wyrafinowane metody.

    Analizując wykryte zagrożenia, eksperci z firmy Kaspersky zidentyfikowali kilka stron internetowych oferujących graczom możliwość pobrania gry Cyberpunk 2077 przed jej oficjalną premierą. Instalatory z takich stron wyglądają jak prawdziwe, jednak w rzeczywistości nie pobierają żadnych plików gier: czekają chwilę, a następnie proszą użytkownika o podanie klucza licencyjnego. Klucz można zdobyć, wypełniając ankietę oszusta, a następnie podając dane osobowe, takie jak adres e-mail oraz numer telefonu. Po przekazaniu takich informacji użytkownik otrzymuje długo oczekiwany klucz, który nie ma żadnej wartości. Zamiast tego ofierze wyświetla się ekran powitalny, a gdy zostaje uruchomiona aplikacja, użytkownik zostaje poinformowany, że brakuje w niej DLL – pliku kodu, który zawiera funkcje niezbędne do uruchomienia gry funkcje. Aby uzyskać plik DLL, użytkownik musi ponownie wypełnić ankietę, jednak tym razem nie ma żadnych dalszych działań.

    Zwiększone zainteresowanie cyberprzestępców grą Cyberpunk 2077 jest zrozumiałe. Gracze czekali na nią wiele lat, dlatego teraz, tuż przed jej premierą, oszuści mają nadzieję, że uda im się wydobyć cenne informacje od tych najbardziej niecierpliwych. Wszystkim tym, którzy – jak wielu z nas – nie mogą się doczekać tej gry, radzimy dotrwać do jej oficjalnej premiery, aby móc pobrać ją z oficjalnych źródeł – powiedział Anton Iwanow, ekspert ds. cyberbezpieczeństwa z firmy Kaspersky.

  • Koronawirus przyczynił się do wzrostu nadużyć w obszarze świadczeń dla bezrobotnych

    Potrzeba szybkiego zapewnienia wsparcia osobom, które straciły pracę lub nie są w stanie kontynuować prowadzenia działalności gospodarczej, sprawiła, że wiele instytucji uprościło procedury pozyskiwania pomocy finansowej. Jednocześnie braki kadrowe sprawiają, że trudniej jest starannie weryfikować wszystkie zgłoszenia. A cyberprzestępcy nie próżnują. Świadczą o tym chociażby dane ze Stanów Zjednoczonych, z których wynika, że liczba nadużyć, wskutek których pobierane są nienależne świadczenia dla bezrobotnych, wzrosła 28-krotnie w bieżącym roku w porównaniu do roku 2019, powodując straty Departamentu Pracy USA w wysokości 6 miliardów dolarów.

    Cyberprzestępcy wykorzystując ukradzione dane osobowe, składają fałszywe wnioski i proszą o przekazanie środków na założone przez nich konta. Walka z tym procederem wymaga wsparcia technologii, w tym systemów analitycznych, które przetwarzając miliony danych, z jednej strony pomagają szybciej zakwalifikować prawidłowe zgłoszenia, a z drugiej zlokalizować te wymagające dodatkowej weryfikacji.

    Nadużycie w 4 krokach

    Nadużycia podobnie jak inne formy przestępstw finansowych, wskutek których przestępca uzyskuje świadczenie dla bezrobotnych, to pewien proces, który zaczyna się dużo wcześniej, niż dojdzie do samego złożenia wniosku w odpowiedniej instytucji. SAS prezentuje schemat, według którego najczęściej przebiegają nadużycia:

    Krok 1 – kradzież danych

    Według firmy RiskIQ specjalizującej się w tematyce cyberbezpieczeństwa, w ciągu jednej minuty w 2020 roku cyberprzestępcy uzyskują dostęp do ponad 16 000 danych. Wycieku informacji w obecnym roku doświadczyły takie firmy jak Twitter, Marriott czy Zoom.

    Krok 2 – zakup danych na dark web

    Skradzione dane są następnie sprzedawane w ukrytych zasobach Internetu, w tzw. dark webie, co ciekawe, w relatywnie niskich cenach. Przykładowo numer ubezpieczenia społecznego obowiązujący w Stanach Zjednoczonych można kupić już za 1 dolara, a numer karty kredytowej lub debetowej za 5 dolarów. Zestaw informacji o danej osobie to koszt ok. 8 dolarów.

    Krok 3 – kradzież tożsamości

    Do kradzieży tożsamości dochodzi dopiero wtedy, gdy przestępcy wykorzystają skradzione dane osobowe, a nie w momencie ich pozyskania. Szacuje się, że 1 na 4 osoby, której dane znalazły się puli objętej wyciekiem z większej bazy, pada ofiarą kradzieży tożsamości.

    Krok 4 – przestępstwo finansowe

    Nadużycia są tak samo dużym problemem w administracji publicznej, jak i w biznesie. Jak wynika z danych FTC (ang. Federal Trade Commission – agencji rządowej Stanów Zjednoczonych), chroniącej prawa konsumentów, 22 proc. przypadków kradzieży tożsamości ma związek z nadużyciami względem instytucji rządowych. Wyższy odsetek występuje tylko w sektorze bankowym. Dane te pochodzą sprzed pandemii COVID-19. Zdaniem ekspertów SAS obecnie skala nadużyć w administracji publicznej może być znacznie wyższa.

    Przygotowania do nadużyć z wykorzystaniem skradzionych danych osobowych mogły trwać tygodniami, miesiącami, a nawet latami. Cyberprzestępcy czekali na dogodną okazję, aby wykorzystać pozyskane nielegalnie informacje, a pandemia COVID-19 stworzyła idealne warunki, aby dokonać przestępstw, co do których jest szansa, że pozostaną niewykryte.

  • Dowód osobisty – 2 zł, karta kredytowa – 22 zł: ile kosztują dane osobowe online?

    Dowód osobisty – 2 zł, karta kredytowa – 22 zł: ile kosztują dane osobowe online?

    Obserwowane obecnie wzajemne przenikanie się życia cyfrowego z tym, które prowadzimy offline, sprawia, że nasze działania online mają bezpośredni wpływ na to, co dzieje się w „realu”. Dotyczy to szczególnie komunikacji i udostępniania informacji osobowych, ponieważ wszelkie dane użytkowników mogą zostać użyte przeciwko nim. Badacze z firmy Kaspersky wzięli pod lupę dwie główne konsekwencje intencjonalnego i nieintencjonalnego udostępniania publicznie danych osobowych: doxing, który oznacza publiczną dezanonimizację osoby online, oraz sprzedaż danych osobowych w tzw. dark webie. Okazuje się, że uzyskanie dostępu do wrażliwych danych, takich jak dokumentacja medyczna czy informacje identyfikacyjne, może kosztować mniej niż filiżanka kawy.

    Mimo wzrostu świadomości w kwestii prywatności większość z nas wciąż nie do końca rozumie, dlaczego ma ona tak istotne znaczenie: 37% milenialsów uważa się za zbyt nudnych, aby paść ofiarą cyberprzestępczości. Nic bardziej mylnego. Doxing, który stanowi swego rodzaju metodę cybernękania, może spotkać każdego użytkownika, który wypowiada się online lub nie spełnia subiektywnych standardów innych użytkowników.
    Doxing ma miejsce wtedy, gdy ktoś udostępnia prywatne informacje innej osoby bez jej zgody, po to by postawić taką osobę w kłopotliwej sytuacji, zaszkodzić jej lub w inny sposób narazić na ryzyko. Użytkownicy zwykle nie spodziewają się, że ich prywatne informacje staną się publicznie dostępne, a nawet jeśli tak się stanie, nie zdają sobie sprawy, jaką krzywdę może im to wyrządzić. Jednak doświadczenie pokazuje, że w przypadku szczególnie zdeterminowanych sprawców lub szkodliwych użytkowników doxing może potencjalnie oznaczać włamanie się do kont osób, które są jego celem – usługa ta jest oferowana obecnie na czarnym rynku.

    Aby lepiej zrozumieć, jak mogą zostać wykorzystane dane osobowe użytkowników, które wpadły w niepowołane ręce, badacze z firmy Kaspersky przeanalizowali aktywne oferty na 10 międzynarodowych forach i rynkach darknetu. Badanie ujawniło, że cena dostępu do danych osobowych zaczyna się już od około 2 zł za dokument tożsamości, w zależności od zakresu oferowanych danych. Na niektóre informacje osobowe istnieje tak samo duży popyt jak niemal dziesięć lat temu – są to głównie dane dot. kart kredytowych, dane dostępu do serwisów bankowych oraz płatności elektronicznych, których ceny nie zmieniły się w ostatnich latach. Oto kilka przykładowych zakresów cenowych:
    ·       szczegóły związane z kartą kredytową: 22 – 75 zł,
    ·       skan prawa jazdy: 19 – 95 zł,
    ·       skan paszportu: 22 – 55 zł,
    ·       dane dostępowe do usług subskrypcyjnych: 2 – 30 zł,
    ·       tożsamość (imię i nazwisko, adres e-mail, numer telefonu, data urodzenia itd.): 2 – 40 zł,
    ·       zdjęcie osoby trzymającej własny dokument (paszport, prawo jazdy itp.): 150 – 225 zł,
    ·       dane medyczne: 4 – 110 zł,
    ·       dane konta bankowości online: 1 – 10% środków zgromadzonych na koncie,
    ·       dane konta PayPal: 190 – 1 900 zł.

    Jednocześnie w sprzedaży pojawiły się nowe rodzaje danych. Przykładem może być dokumentacja medyczna oraz zdjęcie, na którym widać twarz właściciela danego dokumentu wraz z tym dokumentem (często wykorzystywane jako potwierdzenie tożsamości w różnych usługach online), które kosztują do 110 zł. Wykorzystanie takich danych może prowadzić do poważnych konsekwencji.

    Równie poważne mogą być skutki wykorzystania innych rodzajów danych osobowych. Informacje sprzedawane na czarnym rynku mogą być wykorzystywane do wyłudzeń, przeprowadzania oszustw i ataków phishingowych, jak również bezpośredniej kradzieży pieniędzy. Niektóre rodzaje danych, takie jak te umożliwiające dostęp do prywatnych kont czy bazy haseł, mogą być wykorzystane nie tylko w celu osiągnięcia korzyści finansowych, ale również wyrządzenia krzywd wizerunkowych lub innych rodzajów szkód o charakterze społecznym.

    W ostatnich latach cyfryzacji uległo wiele obszarów naszego życia, łącznie z tymi, które mają szczególnie prywatny charakter, np. nasze zdrowie. To prowadzi do wzrostu zagrożeń dla użytkowników, o czym świadczy rosnąca liczba wycieków informacji. Widzimy jednak również zmiany na plus – wiele organizacji podejmuje dodatkowe działania w celu zabezpieczenia danych swoich klientów. Szczególnie duży postęp poczyniły w tym zakresie platformy mediów społecznościowych – obecnie kradzież konta określonego użytkownika jest znacznie trudniejsza niż dawniej. Ważne jest to, byśmy mieli świadomość, że istnieje popyt na nasze dane i że mogą one zostać wykorzystane do szkodliwych celów, nawet jeśli nie posiadamy wielkiego majątku, nie wyrażamy kontrowersyjnych opinii i ogólnie nie jesteśmy zbyt aktywni online – powiedział Dmitrij Gałow, badacz ds. cyberbezpieczeństwa z zespołu GReAT firmy Kaspersky.

    Internet pozwala nam wyrażać naszą indywidualność oraz opowiadać naszą osobistą historię i to jest fantastyczne. Powinniśmy jednak zdawać sobie sprawę, że bycie i wyrażanie siebie online nie jest do końca prywatną sprawą. Przypomina bardziej krzyczenie na zatłoczonej ulicy – nigdy nie wiadomo, kto pojawi się na naszej drodze, nie zgodzi się z nami i jak zareaguje. To rodzi zagrożenia – dodaje Władysław Tuszkanow, ekspert ds. prywatności w firmie Kaspersky. Naturalnie nie oznacza to, że wszyscy powinniśmy skasować nasze konta na portalach społecznościowych. Trzeba jednak zdawać sobie sprawę z potencjalnych konsekwencji oraz zagrożeń i być na nie przygotowanym. Najlepszy sposób postępowania, jeśli chodzi o własne dane, jest następujący: zorientuj się, co inni wiedzą, usuń to, co możesz, oraz przejmij kontrolę nad tym, jakie informacje o Tobie krążą w sieci. To proste, jednak wymaga pewnego wysiłku.

  • Od klienta do marki – 3 rady, jak powinien wyglądać idealny transfer prywatnych danych

    Od klienta do marki – 3 rady, jak powinien wyglądać idealny transfer prywatnych danych

    Budować zaufanie, pozyskiwać tylko niezbędne dane, zapewniać przejrzystość – oto recepta na idealny przepływ danych osobowych między użytkownikami internetu a firmami. Opracowali ją naukowcy i praktycy z Katedry Marketingu Akademii Leona Koźmińskiego – prof. Grzegorz Mazurek i dr Karolina Małagocka. Wystarczy zachowanie zasady 3T – Trust, Transparency, Type of Data.

    ZAUFANIE [Trust]

    Jedną z największych obaw klientów jest przekonanie o tym, że ich dane zostaną wykorzystane w nieodpowiedni sposób. To zagrożenie może być szansą. Przekonanie klienta, że jego dane są bezpiecznie przechowywane i wykorzystywane tylko tak, jak wyraźnie to zaznaczymy, zapewnia wzrost zaufania klienta do marki i powoduje, że chętniej wybierze naszą firmę. Jednym ze sposobów na przekonanie klienta do wejścia w relację z firmą są benefity. Klient podaje swoje dane, ale zyskuje w zamian bonusy lub promocje.

    Przykład komunikatu
    Zależy nam, abyś czuł się komfortowo, przekazując nam swoje dane niezbędne do realizacji usług. Powiedz nam, jak możemy usprawnić naszą politykę prywatności!”

     

    PRZEJRZYSTOŚĆ [Transparency]

    To, co da się powiedzieć, da się powiedzieć prosto. Dlaczego więc bombardować klienta specjalistycznymi terminami czy naukową nowomową? Przyjazny język skomplikowanych czynności prawnych w dziedzinie danych osobowych to zmora każdego użytkownika. Ani nie przeczytamy do końca, ani nie zrozumiemy. Jasny i przejrzysty komunikat to szansa, by klient nie tylko zrozumiał jakie są jego prawa, ale także miał możliwość zapamiętania marki i kojarzenia jej z tym, że od progu darzy go szacunkiem i jest łatwo dostępna.

    Przykład komunikatu
    Potrzebujemy Twoich danych do celów X i Y. Masz jednak prawo do tego, aby swoje dane zachować do siebie. Jeśli ta zdecydujesz, to rozumiemy i nie obrażamy się. Jesteśmy tu dla Ciebie.

     

    RODZAJ DANYCH [Type of data]

    Klienci w wielu przypadkach chętnie podają numery telefonów czy adresy e-mail. Ale gdy w kolejnym oknie mają podzielić się z nieznaną marką swoim adresem czy upodobaniami, niemal każdemu zaświeci się czerwona lampka ostrzegawcza. Wówczas to już krok od rezygnacji z usług danej firmy. Każdą prośbę o konkretne dane należy wytłumaczyć. To zapewni, że klient nie będzie obawiał się o to, jak zostaną wykorzystane informacje na jego temat. Warto zadbać i dokładnie wskazywać do czego służą dane, które klient udostępnia.

    Przykład komunikatu
    Żeby doręczyć paczkę, potrzebujemy tylko Twojego adresu domowego i telefonu, aby kurier mógł się z Tobą skontaktować.

     

    Autorski model T-Form został stworzony przez prof. Grzegorza Mazurka i dr Karolinę Małagocką z Katedry Marketingu Akademii Leona Koźmińskiego na podstawie analizy kilkudziesięciu studiów przypadku i dostępnych wyników prac naukowych. Jego założenia zostały opisane na łamach czasopisma „Business Horizons” wydawanego przez Kelley School of Business Uniwersytetu Indiany.

    T-Form

  • Europejska chmura Scaleway startuje ze specjalną edycją programu dla startupów

    Europejska chmura Scaleway startuje ze specjalną edycją programu dla startupów

    Scaleway otwiera swój program partnerski na startupy z krajów CEE – w tym Polski, ogłaszając jego specjalną edycję. Firma umożliwia młodym przedsiębiorstwom zdobycie doświadczenia biznesowego i europejskich kontaktów, oferując wsparcie technologiczne, w tym darmowy dostęp do rozwiązań chmurowych.

    Scaleway to europejski dostawca usług w chmurze, należący do grupy Iliad, który oferuje szereg pionierskich rozwiązań w obszarze infrastruktury chmurowej dla profesjonalistów.Rozwija działalność na całym świecie. Obecnie obsługuje klientów w ponad 160 krajach. Posiada centra danych zlokalizowane we Francji, w Holandii, a od września tego roku również w Polsce.

    Scaleway uruchomił swój program dla startupów w czerwcu 2020 r. Co miesiąc rozpoczyna współpracę z 5 nowymi firmami. W ramach trwającego rok programu, wybrane firmy otrzymują dostęp do narzędzi chmurowych firmy wartych 3000 EUR miesięcznie, szkoleń z mentorami z dziedziny IT, rozwoju produktu, marketingu, oraz możliwość nawiązywania kontaktów i współpracy w ramach międzynarodowej społeczności startupowej. Scaleway chce przede wszystkim pomagać startupom z krajów Europy Centralnej i Wschodniej w wypłynięciu na szerokie, europejskie wody. Coraz więcej startupów zwraca uwagę na to, w jakim kraju są przechowywane dane osobowe ich klientów – co wymusza RODO. Dzięki temu, że Scaleway jest firmą europejską- mogą mieć pewność, że spełnia ona najwyższe standardy ochrony.

    W najbliższej edycji, do której zapisy rozpoczynają się już 15 października, firma koncentruje się na Europie Środkowej i Wschodniej –  aplikować mogą tylko startupy pochodzące z Polski, Albanii, Białorusi, Bośni i Hercegowiny, Bułgarii, Chorwacji, Czarnogóry, Czech, Estonii, Kosowa, Litwy, Łotwy, Macedonii Północnej, Mołdawii, Rumunii, Serbii, Słowacji, Słowenii, Ukrainy i Węgier.

    – Sami zaczynaliśmy jako mała firma. Teraz pomagamy najlepszym startupom szybciej się rozwijać, zapewniając im potrzebne do tego zasoby – mówi Yann Lechelle, CEO Scaleway. Dodaje, że nowe firmy potrzebują prawdziwych partnerów, a nie zwykłych dostawców usług.- Wierzymy, że jako dostawca infrastruktury chmurowej w modelu infrastructure-as-a-service autentycznie możemy pomóc startupom rozwijać ich usługi. Nasze europejskie korzenie i wartości oraz biznesowe DNA, w połączeniu z naszą skalą i zwinnością sprawiają, że możemy im wiele zaoferować – dodaje. Jak wyjaśnia, wszystkie firmy miewają problemy z wchodzeniem na nowe rynki – choćby przez nieznajomość biznesowej rzeczywistości poza ich krajami. Scaleway i szereg jego mentorów pozwolą zrozumieć sposoby działania na różnorodnych rynkach,  nawiązać nowe kontakty, jednocześnie dając silne wsparcie technologiczne i usługi warte łącznie kilkadziesiąt tysięcy euro.

    – Startupy ze środkowej i wschodniej europy niosą ze sobą energię swoich nowych, świeżych ekosystemów. Wybór jako partnera europejskiej i wciąż świeżej chmury ma dla nich dużo sensu – a my możemy zapewnić im wyjątkowe wsparcie – mówi Pascal Condamine, Head of Startup Program Scaleway. Jak dodaje, ta specjalna edycja programu pozwoli firmom z regionu na łatwiejsze przystąpienie do niego, jako że będą rywalizować z mniejszą liczbą konkurentów niż zazwyczaj.

    W programie Scaleway bierze już udział jeden polski startup – wrocławski Viralstat, dostarczający narzędzia analizujące dane z mediów społecznościowych.

    Rekrutacja do kolejnej edycji programu trwa od 15 października do 15 listopada.

  • Deloitte: Ochrona danych klientów instytucji finansowych musi nadążać za rozwojem technologii

    Deloitte: Ochrona danych klientów instytucji finansowych musi nadążać za rozwojem technologii

    Rozwój technologiczny pociąga za sobą coraz większe zainteresowanie zagadnieniami związanymi z ochroną prywatności. Na kwestie dotyczące pozyskiwania i wykorzystywania danych zwracają uwagę nie tylko konsumenci, ale także instytucje finansowe, w tym banki i ubezpieczyciele. Autorzy raportu firmy doradczej Deloitte „Reimagining customer privacy for the digital age. Going beyond compliance in financial services” wskazują, że by wyjść naprzeciw przyszłym zagrożeniom sektor finansowy już teraz powinien na nowo przemyśleć swoje podejście do prywatności, przyjmując bardziej proaktywną postawę i skupiając się na strategii.

    W świetle postępu technologicznego, zmian regulacyjnych, takich jak choćby wprowadzenie ogólnego rozporządzenia o ochronie danych (RODO), ale także pandemii, która sprawiła, że wzrosła nasza aktywność w Internecie, kwestia prywatności staje się coraz bardziej złożonym i ważnym zagadnieniem. Problem ten dotyczy między innymi instytucji finansowych, dla których dane klientów są kluczowym zasobem. Celem raportu Deloitte jest wskazanie instytucjom finansowym, w jaki sposób mogą przygotować się na nadchodzące zmiany, zachowując zgodność z istniejącymi regulacjami, a także jak wykorzystywać nowe źródła danych oraz różne innowacje z korzyścią zarówno dla klientów, jak i dla samych instytucji.

    Jak zauważają eksperci Deloitte, dobrym przykładem obrazującym jak technologia wpływa na utratę kontroli nad danymi są media społecznościowe. Ponad 90 proc. użytkowników uważa, że technologie odebrały im kontrolę nad tym, kto i w jaki sposób przetwarza informacje na ich temat. Wcześniejsze badanie Deloitte pokazało, że jedynie 15 proc. ankietowanych wyraziło chęć podzielenia się z dostawcami usług swoją aktywnością w zakresie przeglądania stron internetowych i tylko 12 proc. – informacjami, jakie publikują w social mediach.

    – Oprócz istniejącego od dawna obowiązku instytucji finansowych do zachowania danych klientów w tajemnicy, wprowadzenie regulacji dotyczących ochrony danych osobowych, czyli RODO jeszcze zaostrzyło tę dyskusję. Jeśli jednak instytucje finansowe w pełni ujawnią źródło danych i powód ich gromadzenia, być może uda się zmniejszyć obawy, a także ograniczyć zakres przekazywanych danych tylko do tych, które są niezbędne do realizacji konkretnej usługi. Na popularności zyskują także koncepcje self-soverign identity, które zakładają, że zakres ujawnianych przez użytkownika danych, np. do dokonania transakcji finansowe,j nie zawsze musi być tak obszerny jak wymaga się obecnie – mówi Mateusz Ordyk, Radca prawny, Partner w Deloitte Legal.

    Różne wymiary prywatności

    Eksperci Deloitte zidentyfikowali 8 typów informacji, które o swoich klientach gromadzą instytucje finansowe. Klasyfikacja ta pokazuje, jak wiele wymiarów ma w dzisiejszych czasach prywatność. Zwraca też uwagę na to, jak ważne jest, aby liderzy instytucji myśleli szerzej o gromadzeniu, przechowywaniu, przetwarzaniu oraz ochronie posiadanych przez nich danych. Do najważniejszych rodzajów prywatności w branży usług finansowych eksperci Deloitte zaliczyli: tradycyjne identyfikatory (wszelkie standardowe dane osobowe, takie jak imię i nazwisko, adres, data urodzenia itp.), zachowania i działania (np. zakupy, transakcje finansowe, zwyczaje związane z przeglądaniem stron internetowych oraz inne), myśli i odczucia (opinie klientów na różne tematy, w tym te dotyczące firm czy marek), obrazy (zdjęcia zrobione przez osoby fizyczne, samoloty, drony itd.), dane biometryczne (np. rysy twarzy), komunikację (porozumiewanie się między klientem a instytucją finansową za pośrednictwem poczty e-mail, mediów społecznościowych czy też telefonu), dane lokalizacyjne (informacje o geolokalizacji danej osoby lub rzeczy) oraz przynależność do grup społecznych (społeczności, do których należy osoba fizyczna, wskazujące na poglądy polityczne, hobby czy poglądy religijne).

    – W wielu przypadkach klienci mają świadomość, że ich dane osobowe są gromadzone. Jest tak na przykład w sytuacji, gdy właściciel pojazdu zgadza się na monitorowanie jego jazdy w zamian za obniżenie składki na ubezpieczenie samochodu. Natomiast niektóre rodzaje bezpośredniego zbierania danych oraz sposób ich wykorzystywania mogą już nie być dla nich tak oczywiste. Dzieje się tak po części dlatego, że standardowe polityki prywatności są dość długie, często posługują się trudnym do zrozumienia językiem, bądź po prostu nie opisują dokładnie do czego dane są używane – mówi Ewelina Witek, adwokat, CIPP/E, CIPM, Senior Managing Associate w Deloitte Legal.

    Koszt rozwoju technologicznego

    Autorzy raportu przewidują, że w ciągu najbliższych kilku lat instytucje finansowe będą w coraz większym stopniu wykorzystywać nowe technologie do obsługi konsumenckiej. Wirtualni asystenci, drony czy też czujniki przekazujące informacje o klientach (np. urządzenia wearables) to tylko niektóre z nich. Sposób oddziaływania wykorzystywanych rozwiązań na prywatność różnił się będzie w zależności od zastosowanych rozwiązań. Głównym wyzwaniem sektora finansowego jest natomiast optymalizacja wykorzystania danych przy jednoczesnym zapewnieniu zgodności z obowiązującymi przepisami.

    – Instytucje finansowe zdają sobie doskonale sprawę, że dane, które posiadają są jednym z największych kapitałów. Ich połączenie z informacjami z mediów społecznościowych, geolokalizacji czy zachowań zakupowych pozwala na lepsze profilowanie klienta pod kątem jego potrzeb, preferencji czy wiarygodności kredytowej. Można znacznie poprawić sposób wykorzystanie tych informacji przez banki, ale jednym z największych wyzwań pozostaje wciąż ochrona prywatności i danych – mówi Przemysław Szczygielski, Partner, Lider zarządzania ryzykiem oraz doradztwa regulacyjnego dla sektora finansowego Deloitte w Polsce.

    Niektóre technologie stanowią większe zagrożenie dla prywatności niż inne. Aby określić prawdopodobieństwo naruszenia ochrony danych eksperci Deloitte przeanalizowali osiem obszarów, w których występują największe zagrożenia. Ich poziom różni się w zależności od rodzaju zastosowanego narzędzia. Badania pokazują, że najwięcej zastrzeżeń budzą technologie służące do monitorowania aktywności użytkowników w Internecie (przeglądanie stron internetowych, wiadomości e-mail, komunikatorów internetowych) oraz w mediach społecznościowych. Narzędzia te mają największy potencjał do ingerencji w prywatność użytkowników. W sferę prywatną jednostki w znaczącym stopniu wkraczają także wearables (ubrania i akcesoria elektroniczne lub zaawansowane technologie elektroniczne), drony i wirtualni asystenci.

    Co ciekawe, wyniki analiz wskazują, że narzędziami o najmniejszym potencjale naruszenia prywatności są technologie biometryczne.

    – Koszt ponoszą nie tylko konsumenci, ale również instytucje finansowe. Te z nich, które nie posiadają odpowiedniej strategii, polityk oraz narzędzi pozwalających na zarządzanie danymi oraz ocenę zagrożeń dla prywatności, mogą stanowić spory problem dla samych siebie. Potencjalną pułapką może być na przykład podejmowanie przez nie decyzji dotyczących klientów na podstawie danych uzyskanych od stron trzecich, np. brokerów danych – mówi Ewelina Witek.

    Prywatność z innej perspektywy

    Czy istniejące polityki ochrony danych są wystarczające dla zapewnienia prywatności w dobie szybko rozwijających się technologii? Podczas analizy losowo wybranych 12 z największych podmiotów w sektorze usług finansowych okazało się, że ich polityki są skonstruowane tak, aby jedynie dopełnić obowiązujących wymogów prawnych. Zdaniem ekspertów Deloitte, aby poprawić poziom zaufania konsumentów, instytucje finansowe powinny na nowo przemyśleć swoje podejście do prywatności, przyjmując bardziej proaktywną i strategiczną perspektywę. Konieczne jest spojrzenie na prywatność z szerszej perspektywy, uwzględniając różne jej formy, stosowane technologie oraz dokonując przeglądu istniejących polityk. Należałoby ponadto chronić dane konsumentów, stosując najnowocześniejsze rozwiązania cyfrowe, jednocześnie poszukując rozwiązań korzystnych zarówno dla instytucji finansowych, jak i dla klientów. Na koniec osoby odpowiedzialne za ochronę danych w instytucjach finansowych muszą otrzymać uprawnienia do tworzenia nowych strategii zarządzania danymi.

    – Przemyślana strategia pozwoli instytucjom finansowym nie tylko przygotować się na zachodzące zmiany w zgodzie z istniejącymi regulacjami, ale też zbudować zaufanie wśród klientów. Miejsce szablonowych przekazów powinna zająć jasna komunikacja na temat tego, jak podmioty świadczące usługi finansowe chronią dane swoich klientów – mówi Agata Jankowska-Galińska, Radca prawny, Senior Managing Associate w Deloitte Legal.

  • Oszustwo na Coca Colę

    Oszustwo na Coca Colę

    W ciągu ostatnich dwóch tygodni systemy telemetryczne Bitdefendera odnotowały znaczny wzrost kampanii spamowych wykorzystujących markę Coca Coli.

    Internauci coraz częściej otrzymują e-maile informujące o wygranej pieniężnej w konkursie rzekomo organizowanym przez Coca Colę. Informacje najczęściej zawierają tytuły „COCA-COLA LOTTERY ORGANIZATION”, „Coca Cola Email Draw UK 2020”, „Coca Cola Lucky Winner 2020” oraz inne. Jednak, żeby otrzymać nagrodę użytkownicy muszą odpowiedzieć na wiadomość i podać dane osobowe, takie jak imię, nazwisko, wiek, adres zamieszkania, e-mail, numer telefonu, zawód i narodowość.

    –        To jest powiadomienie o wygranej w loterii promocyjnej Coca Cola 2020. Właśnie wygrałeś milion funtów brytyjskich (1 000 000,00 £). Proszę potwierdź swoje dane, abyśmy mogli podać szczegóły dotyczące wygranej oraz sposobu jej odbioru” – czytamy w jednej z fałszywych informacji.

    Ale pojawiają się też wiadomości bardziej obszerne, gdzie oszuści szczegółowo informują o zasadach loterii, a nawet podają wygrane numery.

    „Czy jesteś właścicielem tego adresu e-mail? Jeśli tak, możesz się cieszyć z wygranej w loterii Coca Cola, która miała miejsce w styczniu 2020 roku w Stanach Zjednoczonych. Z przyjemnością informujemy, że Twój adres e-mail wygrał i masz prawo podjąć kwotę miliona dwustu pięćdziesięciu tysięcy dolarów amerykańskich (1 250 000,00 USD). Twój adres e-mail został wprowadzony do losowania online z kuponem o numerze: 546-373-66773. Szczęśliwe numery to: (14) – (8) – (5) – (19) – (28) – (12) – (30) ” –  brzmi komunikat.

    Niektóre wersje oszustwa wskazują na współpracę rzekomych organizatorów konkursu z rządem.

    –        „Powinieneś szybko skontaktować się z nami, podając wszystkie swoje dane kontaktowe dotyczące karty bankomatowej banku, ponieważ otrzymaliśmy instrukcje od rządu w Twoim imieniu ” – informują oszuści.

    Choć tego typu ataki wydają się być bardzo naiwne, to jednak przestępcy czasami osiągają swój cel i udaje im się wyciągnąć dane od adresatów. To rodzi poważne konsekwencje, bowiem oszuści mogą zainicjować kolejne ataki typu spearphishing (zainfekowane e-maile nie trafiają do milionów przypadkowych użytkowników, lecz wyselekcjonowanych ofiar) i kampanie spamowe. Ponadto użytkownicy mogą paść ofiarą przestępstw związanych z kradzieżą tożsamości, których odkrycie może zająć miesiące, a nawet lata.

    –        Bez względu na to, jak kusząca może być wiadomość, odbiorcy muszą ją zignorować i usunąć. Należy sprawdzać autentyczność tego typu komunikatów na oficjalnych stronach internetowych, gdzie firmy reklamują swoje akcje promocyjne. Poza tym nie można udostępniać swoich danych osobowych i finansowych nieznajomym, którzy kontaktują się za pośrednictwem poczty e-mail lub mediów społecznościowych – doradza Mariusz Politowicz z firmy Marken, dystrybutora rozwiązań Bitdefender w Polsce.

  • Nowe obowiązki dla użytkowników dronów. Powstanie spis urządzeń i ich właścicieli

    Nowe obowiązki dla użytkowników dronów. Powstanie spis urządzeń i ich właścicieli

    Obecnie nad polskim niebem może latać nawet 250 tys. dronów. Wraz z popularyzacją tego typu urządzeń, które w zdecydowanej większości wyposażone są w kamery do rejestrowania obrazu, coraz poważniejsza staje się kwestia ochrony danych osobowych i prywatności. Od 31 grudnia tego roku mają w Polsce wejść w życie przepisy unijne, które znacząco wpłyną na sposób korzystania z dronów. Zostanie utworzony m.in. spis osób i instytucji posiadających drony wyposażone w urządzenia do rejestracji danych.

    Drony zwykle wyposażone są w kamerę, co pozwala za ich pomocą rejestrować obraz. Ich właściciele mogą więc nie tylko podziwiać piękne widoki, lecz też zaglądać na prywatne posesje, podglądać prywatne osoby czy nawet wnętrza mieszkań. Nowe przepisy unijne, które pierwotnie miały wejść w życie w lipcu br., a ostatecznie zaczną obowiązywać od 31 grudnia 2020 roku, wprowadzą znaczące ograniczenia w swobodzie użytkowania dronów zarówno przez instytucje, jak i osoby prywatne.

    – Każdy zainteresowany kupnem drona w obecnej rzeczywistości prawnej i planujący dokonać takiego zakupu musi się liczyć z tym, że od 31 grudnia wejdą w życie nowe przepisy, które będą regulować kwestię ich użytkowania zarówno w przestrzeni publicznej, jak i w przestrzeni użytkowanej przez osoby prywatne – mówi dr Dariusz Wasiak, wykładowca w Wyższej Szkole Bankowej we Wrocławiu.

    Nowe regulacje zakładają utworzenie spisu osób i instytucji posiadających drony, które wyposażone są m.in. w urządzenia do rejestracji danych (czyli kamery). Taki spis (rejestr) będzie zawierał dane identyfikujące zarówno drona, jak i jego operatora. Dane te będą przechowywane przez co najmniej trzy lata, najprawdopodobniej przez Polską Agencję Żeglugi Powietrznej, która już obecnie prowadzi taki rejestr na kanwie tzw. ustawy covidowej. Prowadzenie spisu ma na celu możliwość identyfikacji użytkowników przestrzeni powietrznej i zapewnienie bezpieczeństwa oraz nadzoru nad nią. Podobny rejestr funkcjonuje już m.in. w USA.

    – Jedynym wyłączeniem z rejestracji jest dron zakwalifikowany jako zabawka, który waży nie więcej niż 250 g, nie ma rejestratorów danych oraz będzie wykonywał operacje w zasięgu wzroku operatora na terenie prywatnym czy też otwartym, gdzie nie ma zbiegowisk ludzi, a jego prędkość nie będzie większa niż 19 m/s, a także nie będzie latał wyżej niż 120 metrów nad poziomem ziemi – tłumaczy dr Dariusz Wasiak.

    Jedną z największych zmian w nowych przepisach będzie brak podziału na loty o charakterze sportowym lub rekreacyjnym oraz na loty pozostałe. Dotychczasowe komercyjne wykorzystanie dronów, możliwe jedynie dla posiadaczy świadectwa kwalifikacji operatora bezzałogowego statku powietrznego UAVO, w większości przypadków stanie się ogólnodostępne.

    Ustawodawca unijny dokonał za to podziału wykonywanych lotów na trzy kategorie: otwarte, szczególne i certyfikowane. Klasyfikacja będzie zależeć od ciężaru dronów, wieku ich użytkowników i ich kwalifikacji w zakresie sterowania nimi, a także rozpiętości wirników dronów i rodzaju operacji, które mogą być realizowane z ich wykorzystaniem.

    – Kategoria certyfikowana obejmuje najcięższe, najtrudniejsze i najbardziej ryzykowne operacje, np. związane z transportowaniem osób, zwierząt lub materiałów niebezpiecznych. W kategorii otwartej umieszczono osoby prywatne, które mogą wykorzystywać drony do celów prywatnych – zarówno rekreacyjnych, jak i sportowych. Z kolei kategoria szczególna łączy wszystko to, co nie jest zawarte w pozostałych kategoriach – tłumaczy wykładowca wrocławskiej WSB.

    W kategorii otwartej każdy posiadacz drona o wadze ponad 250 gramów będzie musiał przejść szkolenie online oraz zaliczyć test online. Urząd Lotnictwa Cywilnego chce udostępnić takie szkolenia na swojej stronie internetowej. Dla wszystkich użytkowników dronów cięższych niż 250 gramów stworzony zostanie również internetowy system obowiązkowej rejestracji. Wewnątrz kategorii otwartej zostanie dokonany dodatkowy podział na podkategorie i klasy.

    – Jedynym dronem, którego posiadanie i wykorzystywanie nie będzie wymuszać przeprowadzenia szkoleń ani zgłaszania do właściwego organu, jest dron zaliczony do klasy C0, czyli tzw. zabawka, która ma ciężar nieprzekraczający 250 gramów i nie może być wyposażona w żadne urządzenia rejestrujące – wskazuje dr Dariusz Wasiak.

    Także na Straż Miejską oraz inne podmioty i instytucje korzystające z dronów zostaną nałożone nowe obowiązki. Wynika to z faktu, że każdy posiadacz drona (nawet zabawki, ale wyposażonej w urządzenia rejestrujące dane) może zostać uznany za administratora danych osobowych w rozumieniu RODO.

    – Dane osobowe to są wszelkie informacje, na podstawie których identyfikujemy lub możemy zidentyfikować konkretną osobę fizyczną. Nasz wizerunek jest też daną osobową. Trzeba o tym pamiętać przy wykorzystywaniu drona – podkreśla ekspert.