Co obecnie stanowi największe wyzwanie, jeśli chodzi o zapewnienie bezpieczeństwa danych w podmiotach publicznych?

Wobec natężonej liczby cyberataków europejscy i polscy ustawodawcy intensyfikują te swoje działania, które wymuszają na publicznych i prywatnych podmiotach dbałość o ochronę informacji, w tym przetwarzanych danych osobowych. Oprócz wprowadzenia aktów prawnych, takich jak RODO, NIS 2, DORA czy ustawa o krajowym systemie cyberbezpieczeństwa, zainicjowanych zostało kilka programów, w tym kierowanych do samorządów i szkół. Oferują one wsparcie związane z zabezpieczaniem danych – wprowadzenie odpowiednich mechanizmów ochronnych oraz zakupy potrzebnych narzędzi. W tej dziedzinie w samorządach sytuacja wygląda coraz lepiej, ale zdecydowanie gorzej jest w podmiotach oświatowych. O ile na ich potrzeby zakupy realizują nadrzędne placówki samorządowe, to szkoły zazwyczaj nie mają funduszy, aby inwestować w specjalistów IT lub usługi firm zewnętrznych nadzorujących bezpieczeństwo IT. Znam przypadek szkoły podstawowej, w której uczy się około 450 dzieci, podczas gdy kadra jest 65-osobowa, a roczny budżet na obsługę IT wynosi… 2400 złotych. Czy za tę kwotę można zapewnić bezpieczeństwo IT czy tylko serwis sprzętu?

Jakie jest minimum wymogów prawnych, które takie placówki powinny spełniać?

RODO wymusiło ustanowienie inspektora ochrony danych we wszystkich podmiotach publicznych, bez względu na ich wielkość czy typ działalności, który musi stworzyć odpowiednie procedury spełniające minimalne standardy bezpieczeństwa. Funkcję tę może pełnić wykwalifikowany pracownik lub firma zewnętrzna. Dodatkowo, ustawa o krajowym systemie cyberbezpieczeństwa wymusza wyznaczenie w podmiotach publicznych osoby kontaktowej ds. cyberbezpieczeństwa, która także zobowiązana jest wdrażać procedury dotyczące tego obszaru, w tym przeciwdziałające naruszeniom. Oprócz tego należy pamiętać o rozporządzeniu o krajowych ramach interoperacyjności, które nakłada szereg obowiązków w obszarze IT na podmioty publiczne mające dostęp do rejestrów publicznych.

Jakie wsparcie zapewniacie swoim partnerom w kanale sprzedaży?

Deklarujemy pomoc każdemu z naszych partnerów, zarówno w zakresie wpisania naszych rozwiązań w kontekst polityki bezpieczeństwa klientów, jak też doboru odpowiednich produktów, spełniających wymogi obowiązujących standardów bezpieczeństwa. Aktywnie uczestniczymy w organizowanych przez partnerów konferencjach i indywidualnych spotkaniach z klientami, podczas których dzielimy się dobrymi praktykami zaobserwowanymi we współpracy z innymi firmami. Dbamy też o to, aby nasze produkty były od ręki dostępne w kanale dystrybucyjnym i zapewniamy urządzenia testowe.

Jakimi argumentami powinni posługiwać się partnerzy przedstawiając produkty firmy Kingston klientom?

Magicznym słowem jest tu „szyfrowanie”, a więc wymóg występujący obecnie w prawie każdym rodzaju ustawodawstwa, gdzie jest wskazywany jako podstawowa metoda wdrażana przez administratora danych – tak zwany „środek techniczny” – zapewniająca ochronę przed nieuprawnionym dostępem do informacji. Za niedostosowanie się do tych regulacji grozi odpowiedzialność finansowa i odszkodowawcza. Obecnie widzimy silną tendencję do nakładania kar właśnie za brak stosowania należytych środków technicznych, w tym szyfrowania danych.

O jakiej wysokości konsekwencjach finansowych mowa?

Kary wskazane w RODO czy NIS 2 są bardzo wysokie. W RODO mogą sięgać aż 20 mln euro lub do 4 procent całkowitego rocznego światowego obrotu podmiotu z poprzedniego roku obrotowego. W Polsce najwyższa kara wyniosła aż 27  milionów złotych i była konsekwencją znaczącego naruszenia ochrony danych osobowych. Jednak odpowiedzialności nie unikną także mniejsze firmy. Zgubienie zawierającego dane osobowe niezaszyfrowanego nośnika USB ujawniło przewinienia administratora jednego z polskich podmiotów gastronomicznych, które zostały wycenione przez organ nadzorczy na niecałe 240 tysięcy złotych. Podobna sytuacja dotyczyła Sądu Rejonowego w Zgierzu, gdzie organ nadzorczy nałożył karę 10 tysięcy złotych za brak odpowiednich zabezpieczeń, czyli szyfrowania.