Zgodność z RODO ma również wymiar techniczny — dotyczy sposobu przechowywania, zabezpieczania i usuwania danych osobowych w systemach IT firmy.

Na czym polega ta usługa

Usługa obejmuje przegląd infrastruktury IT pod kątem technicznej zgodności z wymaganiami RODO oraz wskazanie obszarów wymagających poprawy.

Dla kogo ma sens

Usługa jest przydatna dla firm chcących upewnić się, że ich infrastruktura IT spełnia techniczne wymagania związane z ochroną danych osobowych.

Ile to trwa

Przegląd zgodności mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Kluczowe filary techniczne RODO w środowisku komputerowym firmy

Ogólne rozporządzenie o ochronie danych osobowych nie narzuca sztywnych marek oprogramowania ani konkretnych modeli urządzeń, lecz wymaga zastosowania odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku. W praktyce oznacza to konieczność zabezpieczenia każdego elementu infrastruktury informatycznej, na którym przetwarzane są dane pracowników, kontrahentów czy klientów indywidualnych. Audyt techniczny weryfikuje odporność środowiska na nieuprawniony dostęp, wyciek informacji oraz przypadkową utratę danych.

Podstawowym elementem jest kontrola dostępu i zarządzanie tożsamością. Każdy pracownik powinien posiadać unikalne konto w systemie operacyjnym oraz w programach użytkowych. Wykorzystanie wspólnych kont użytkowników uniemożliwia ustalenie, kto i kiedy dokonał wglądu lub modyfikacji danych. W środowiskach opartych na systemach Microsoft Windows Server weryfikowana jest struktura kontrolera domeny Active Directory (usługa katalogowa zarządzająca uprawnieniami w sieci firmowej) oraz stosowanie zasady najmniejszych uprawnień (przyznawanie dostępu wyłącznie do zasobów niezbędnych na danym stanowisku pracy). Istotnym elementem jest także wdrożenie wieloskładnikowego uwierzytelniania (2FA – weryfikacja logowania kodem jednorazowym lub aplikacją) w usługach pocztowych Microsoft 365, Google Workspace oraz przy dostępie do sieci firmowej.

Kolejnym filarem jest szyfrowanie nośników danych oraz transmisji sieciowej. Laptopy firmowe, komputery stacjonarne oraz dyski przenośne powinny posiadać aktywne szyfrowanie pełnodyskowe, takie jak funkcja BitLocker w systemie Windows lub LUKS w środowiskach Linux. Zabezpiecza to zawartość nośnika w sytuacji kradzieży lub zgubienia sprzętu. Weryfikacji podlega również szyfrowanie transmisji danych wewnątrz sieci lokalnej oraz w łączności zdalnej za pomocą protokołów TLS (bezpieczny protokół kryptograficzny) i tuneli VPN (wirtualna sieć prywatna tworząca zaszyfrowane połączenie przez Internet).

Niezbędnym warunkiem zgodności z przepisami jest także odporność na awarie i zapewnienie ciągłości działania poprzez kopie zapasowe. System backupu musi działać w sposób zautomatyzowany, regularny oraz odizolowany od bieżącego środowiska produkcyjnego, co zabezpiecza zasoby przed atakami oprogramowania szyfrującego typu ransomware (szkodliwe programy blokujące dostęp do plików dla wymuszenia okupu). Przegląd obejmuje weryfikację harmonogramu tworzenia kopii baz danych Microsoft SQL Server, PostgreSQL oraz plików systemów ERP, takich jak Comarch ERP Optima, InsERT Subiekt GT i nexo, WAPRO ERP, Sage Symfonia czy Płatnik ZUS.

Warianty infrastruktury i specyfika wdrażania zabezpieczeń

Zakres działań technicznych różni się w zależności od wielkości przedsiębiorstwa, struktury sieci oraz stosowanego oprogramowania biznesowego. Można wyróżnić kilka głównych wariantów środowisk IT spotykanych w firmach:

Pierwszym wariantem jest małe biuro z siecią lokalną bez dedykowanego serwera. W takim układzie komputery stacjonarne i laptopy pracują w grupie roboczej, a wymiana plików odbywa się przez sieciowy dysk NAS (urządzenie pamięci masowej podłączone bezpośrednio do sieci lokalnej) lub foldery współdzielone. Przegląd techniczny w tym wariancie skupia się na zabezpieczeniu routera brzegowego, wyłączeniu zbędnych usług sieciowych, odseparowaniu sieci Wi-Fi dla gości od sieci firmowej, wdrożeniu szyfrowania dysków na stacjach roboczych oraz skonfigurowaniu automatycznych kopii zapasowych na zewnętrzny nośnik lub do bezpiecznej chmury.

Drugim wariantem jest środowisko serwerowe z domeną i centralną bazą danych. Występuje w przedsiębiorstwach korzystających z dedykowanych maszyn serwerowych z systemem Windows Server lub Linux, gdzie zainstalowane są bazy danych systemów handlowych i księgowych. Weryfikacja obejmuje konfigurację zasad grupy GPO (mechanizm centralnego zarządzania konfiguracją stacji roboczych), politykę wygaszania sesji i blokowania ekranów, segmentację sieci za pomocą wirtualnych sieci lokalnych VLAN (logiczny podział jednej fizycznej sieci na odrębne strefy) oraz audyt uprawnień do folderów sieciowych i baz SQL.

Trzecim wariantem jest model hybrydowy lub w pełni chmurowy, w którym pracownicy wykonują obowiązki zdalnie lub mobilnie. W tym modelu kluczowe jest zabezpieczenie stacji końcowych łączących się z zasobami firmowymi. Audyt weryfikuje stan oprogramowania antywirusowego z modułem EDR (system ciągłego monitorowania i reagowania na zagrożenia w punktach końcowych), obecność bezpiecznego tunelu VPN z szyfrowaniem danych oraz konfigurację zasad warunkowego dostępu w usługach chmurowych Microsoft Azure i Google Workspace.

Błędy techniczne i organizacyjne przy samodzielnych próbach zabezpieczania danych

Wielu przedsiębiorców podejmuje próby samodzielnego dostosowania sprzętu do wymogów prawnych, co często prowadzi do powstawania pozornych zabezpieczeń. Do najczęstszych nieprawidłowości należą:

Praca na kontach z uprawnieniami administratora lokalnego. Użytkownicy logują się na co dzień z najwyższymi uprawnieniami, co sprawia, że każde złośliwe oprogramowanie lub przypadkowo pobrany skrypt uzyskuje pełny dostęp do rejestru systemu, plików konfiguracyjnych i baz danych. Prawidłowa konfiguracja wymaga rozdzielenia konta codziennego użytkownika od konta administracyjnego wykorzystywanego wyłącznie do prac serwisowych.

Pozostawienie otwartych portów pulpitu zdalnego w sieci publicznej. Udostępnienie usługi RDP (Remote Desktop Protocol – protokół pozwalający na zdalną obsługę komputera) bezpośrednio na publicznym adresie IP bez tunelu VPN i bez ograniczenia adresacji źródłowej jest jedną z najczęstszych przyczyn włamań do systemów firmowych. Zautomatyzowane boty sieciowe prowadzą ciągłe ataki słownikowe (masowe próby zgadywania haseł), co w krótkim czasie prowadzi do przejęcia serwera i zaszyfrowania baz danych.

Przechowywanie kopii zapasowych na stale podłączonych dyskach zewnętrznych. Dysk USB podłączony na stałe do serwera lub stacji roboczej staje się bezpośrednim celem ataku w momencie zainfekowania systemu przez złośliwe oprogramowanie. Prawidłowy schemat wymaga stosowania zasady izolacji kopii oraz weryfikacji możliwości ich odtworzenia na czystym środowisku.

Utożsamianie dokumentacji papierowej z bezpieczeństwem informatycznym. Posiadanie opracowanych klauzul informacyjnych i rejestru czynności przetwarzania nie chroni przed technicznym wyciekiem danych, jeśli na stacjach roboczych nie ma aktualnych łatek bezpieczeństwa, zablokowanego portu USB dla niezautoryzowanych nośników czy wdrożonej polityki bezpiecznych haseł.

Niewłaściwa utylizacja i brak bezpiecznego usuwania danych ze starych nośników. Zwykłe skasowanie plików lub sformatowanie partycji w systemie Windows nie usuwa danych w sposób trwały. Zastosowanie prostych narzędzi odzyskiwania danych pozwala na odtworzenie baz klientów czy dokumentów kadrowych ze sformatowanego dysku. Wymagane jest programowe nadpisywanie wieloprzebiegowe lub fizyczne zniszczenie nośnika przed jego wycofaniem z eksploatacji.

Kiedy ryzyko wynika z technologii, a kiedy z błędów ludzkich

W analizie bezpieczeństwa istotne jest rozróżnienie pomiędzy podatnością technologiczną infrastruktury a incydentem wywołanym przez czynnik ludzki. Podatność technologiczna to wada w konfiguracji serwera, brak aktualizacji systemu operacyjnego, niezaszyfrowany dysk twardy lub błędnie skonfigurowana zapora sieciowa (firewall). Te elementy można całkowicie wyeliminować poprzez prawidłową konfigurację i wdrożenie odpowiednich narzędzi informatycznych.

Błąd ludzki dotyczy sytuacji, w której pracownik nieumyślnie otwiera podejrzany załącznik z poczty elektronicznej (atak typu phishing), przesyła plik z danymi osobowymi na błędny adres e-mail lub zapisuje hasła dostępowe na karteczkach. Choć procedury szkoleniowe podnoszą świadomość personelu, to techniczne zabezpieczenia infrastruktury IT stanowią ostateczną barierę ochronną. Prawidłowo skonfigurowane mechanizmy blokowania portów USB, filtry antyspamowe z analizą odnośników w czasie rzeczywistym oraz reguły DLP (systemy zapobiegania wyciekowi wrażliwych informacji) uniemożliwiają realizację wielu niebezpiecznych działań użytkownika, minimalizując ryzyko nałożenia kar finansowych za naruszenie ochrony danych.

Najczęstsze pytania dotyczące technicznych wymogów RODO w firmie

Czy RODO wymaga zakupu drogiego oprogramowania serwerowego?

Nie, przepisy nie wskazują konkretnych rozwiązań komercyjnych. Wiele kluczowych mechanizmów ochronnych jest wbudowanych w standardowe systemy operacyjne Windows 10, Windows 11 oraz dystrybucje serwerowe Linux. Odpowiednie skonfigurowanie bezpłatnych narzędzi szyfrujących, polityk haseł, zapory sieciowej i mechanizmów tworzenia kopii pozwala na spełnienie wymagań bez ponoszenia wysokich kosztów licencyjnych.

Jak zabezpieczyć bazy programów Symfonia, Comarch Optima lub Subiekt przed nieuprawnionym dostępem?

Bazy danych programów handlowo-księgowych opartych na silniku Microsoft SQL Server wymagają wdrożenia uwierzytelniania zintegrowanego z kontami domenowymi lub silnych, unikalnych haseł do kont bazodanowych. Należy wyłączyć domyślne konto administratora bazy (sa) lub nadać mu skomplikowane hasło, zablokować bezpośredni dostęp do portu SQL z sieci zewnętrznej oraz regularnie wykonywać zrzuty bazy do bezpiecznego, zaszyfrowanego repozytorium.

Czy przed przystąpieniem do przeglądu systemów można podpisać umowę o zachowaniu poufności?

Tak, na życzenie klienta bezpłatnie podpisywana jest umowa o zachowaniu poufności (NDA – umowa prawna gwarantująca nieujawnianie informacji technicznych i biznesowych). Gwarantuje to pełne bezpieczeństwo danych przetwarzanych w systemach firmy podczas przeprowadzania prac diagnostycznych i wdrożeniowych.

Czy po wyczyszczeniu komputera i reinstalacji systemu zgodność z RODO jest zachowana?

Samo przeinstalowanie systemu operacyjnego nie zapewnia zgodności. Konieczne jest ponowne skonfigurowanie kont użytkowników, włączenie szyfrowania nośnika, ustawienie reguł zapory ogniowej, instalacja bezpiecznego oprogramowania antywirusowego oraz odtworzenie bezpiecznych ścieżek dostępu do baz danych i udziałów sieciowych.

Jakie wymagania musi spełniać firmowa sieć bezprzewodowa Wi-Fi?

Sieć bezprzewodowa w firmie przetwarzającej dane osobowe musi korzystać z bezpiecznego protokołu szyfrowania (WPA2-Enterprise lub WPA3). Niedopuszczalne jest stosowanie przestarzałego protokołu WEP lub WPA bez zabezpieczeń. Sieć dla pracowników z dostępem do zasobów wewnętrznych powinna być całkowicie odizolowana od sieci przeznaczonej dla gości i klientów odwiedzających biuro.

Organizacja technicznego przeglądu infrastruktury IT

Wszystkie czynności diagnostyczne, audytowe oraz wdrożeniowe realizowane są bezpośrednio w siedzibie klienta. Dojazd serwisanta odbywa się na terenie całej Warszawy oraz okolicznych miejscowości w promieniu do 40 kilometrów, obejmując powiaty: pruszkowski, piaseczyński, warszawski zachodni, grodziski, legionowski, wołomiński i otwocki. Zgłoszenia przyjmowane są pod numerem telefonu 22 378 48 09 przez całą dobę, 7 dni w tygodniu.

Prace konfiguracyjne prowadzone są z zachowaniem ciągłości bieżącej pracy biura, a po zakończeniu przeglądu przekazywane są wytyczne techniczne oraz raport z wykonanych działań. Na wprowadzone konfiguracje i zabezpieczenia udzielana jest gwarancja do 12 miesięcy, a firma zapewnia dodatkowe wsparcie techniczne po naprawie do 30 dni. W przypadku konieczności wykonania prac na stacjach roboczych większość usterek i problemów konfiguracyjnych usuwana jest podczas pierwszej wizyty na miejscu.

22 378 48 09

Zarządzanie zgodnością z RODO w infrastrukturze IT firmy