Prezes UODO nałożył 11 594 zł kary na administratora prowadzącego kancelarię podatkową po incydencie związanym z przejęciem konta pocztowego jednego z pracowników. W skrzynce znajdowały się dane osobowe 111 osób – klientów, ich pracowników oraz dzieci zgłoszonych do ubezpieczenia zdrowotnego. Sprawa jest ważna nie tylko z punktu widzenia RODO. Pokazuje też, jak dużo informacji może znajdować się w jednej firmowej skrzynce i dlaczego przejęcie e-maila trzeba traktować jako incydent dotyczący danych, nawet gdy nie da się później wykazać, co dokładnie pobrał napastnik.

Co ustalił UODO po przejęciu skrzynki?

Jak wynika z informacji Urzędu Ochrony Danych Osobowych, nieuprawniona osoba uzyskała dostęp do konta e-mail pracownika i wysyłała z niego wiadomości. Dostawca hostingu zablokował skrzynkę po uruchomieniu mechanizmu ochrony przed wysyłką spamu.

Administrator nie był w stanie ustalić, kiedy dokładnie konto zostało przejęte, jak długo pozostawało pod kontrolą osoby nieuprawnionej ani czy dane zostały pobrane. Nie miał dostępu do logów, które pozwoliłyby odtworzyć przebieg zdarzenia. UODO wskazał, że brak dowodu na pobranie danych nie oznacza, że nie doszło do naruszenia ich bezpieczeństwa.

Dlaczego nałożono karę?

Problemem nie było wyłącznie samo włamanie do skrzynki. Przed incydentem administrator nie miał odrębnych regulacji dotyczących ochrony danych w tym obszarze, nie przeprowadzał analizy ryzyka dla systemów objętych zdarzeniem i nie testował regularnie skuteczności zabezpieczeń. Działania naprawcze – w tym analiza ryzyka, polityka bezpieczeństwa i audyt infrastruktury – zostały wdrożone dopiero po ujawnieniu naruszenia.

Co z tej sprawy wynika dla firmowej poczty?

Firma powinna wiedzieć nie tylko, jak zabezpieczyć logowanie, ale również jak wykryć przejęcie konta i jak później odtworzyć przebieg incydentu. W praktyce oznacza to m.in. rozsądne przechowywanie logów, wdrożenie MFA tam, gdzie jest dostępne, kontrolę nietypowych logowań i procedurę reagowania na przejęcie skrzynki.

Podstawowe zasady dla użytkownika znajdziesz też w poradniku jak bezpiecznie korzystać z poczty e-mail.

Źródło: UODO – Kara za niewdrożenie środków zapewniających bezpieczeństwo danych osobowych.