Będzie więcej ataków takich, jak na Sony

Michał Sztąberek, prawnik i audytor, partner zarządzający, iSecure

Tak naprawdę ciężko jest sprawdzić, czy z danej firmy wyciekły dane osobowe. Najczęściej informacje o wycieku ogłasza albo sama firma, albo dowiadujemy się o tym z mediów. Jeżeli firma przykłada wagę do kwestii związanych z prywatnością, to dobrą praktyką byłoby niewątpliwie poinformowanie osób, których dane wyciekły o takim fakcie, a także wskazaniu, co taka osoba powinna zrobić np. zmienić hasło dostępowe, zastrzec kartę kredytową etc.

W przypadku wycieku danych osobowych (ale też w ogóle w zakresie ochrony dotyczących nas danych osobowych) zawsze możemy skorzystać z praw wskazanych w art. 32 ust. 1 ustawy o ochronie danych osobowych, wśród których znajdują się m.in. takie uprawnienia jak: możliwość uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w zbiorze danych, możliwość żądania uzupełnienia, uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane. Zawsze też istnieje możliwość złożenia skargi do Generalnego Inspektora Ochrony Danych Osobowych (GIODO). Szczegóły w tym zakresie można znaleźć na stronie GIODO.
Ponadto, jeżeli będziemy w stanie wykazać, że wyciek danych przełożył się na naruszenie naszych dóbr osobistych, istnieje możliwość dochodzenia odszkodowania na drodze cywilnoprawnej.

Z punktu widzenia internauty ciężko obronić się przed wyciekiem danych osobowych. Kwestie związane z bezpieczeństwem danych to domena firmy, która te dane pozyskiwała (jest w stosunku do nich administratorem danych). Na pewno jednak można stosować się do jednej prostej zasady – stosować różne hasła do różnych serwisów www, gdzie tworzymy sobie profil lub zakładamy konto. Hasło takie nie powinno być łatwe do złamania, dobrze by było, żeby składało się ono z min. 8 znaków (kombinacja wielkich i małych liter, znaków specjalnych lub cyfr).

Sebastian Łuczak, właściciel, Łuczak PR

Wydaje się - i jest to bardzo zaskakujące - że Sony nie było dobrze przygotowane na tego typu ewentualność. A jest to przecież w sumie mało zaskakujące zdarzenie. W tym sensie, że należy do grupy kilku podstawowych potencjalnych kryzysów, które mogą dotknąć tego typu firmę.

Porządnie zarządzana organizacja powinna więc mieć na to przygotowaną procedurę - nie tylko schemat zachowania i reakcji, ale także komunikacji. A wydaje się (powtarzam, że wydaje, bo przecież nie wiemy na pewno), że Sony nie było komunikacyjnie przygotowane: za duże opóźnienia, wpadki typu tłumaczenie automatyczne - czyli na chybcika robione, a nie wcześniej przygotowane, bardzo mała interakcja z osobami dotkniętymi problemem lub zainteresowanymi głębiej tematem.

To są symptomy działania w panice i bez wcześniejszego przygotowania. To banalne dosyć stwierdzenie, ale naprawdę kluczową sprawą dla łagodnego przejścia kryzysu jest przygotowanie się do niego wcześniej, kiedy jest czas, można wszystko przemyśleć, dopieścić itd. I w razie czego "wyciągnąć z pudełka". Działanie na bieżąco, w nerwach, pod presją i przy dramatycznym braku czasu prawie nigdy nie jest wystarczająco skuteczne.

Jolanta Malak, Country Manager, Symantec Polska

Jak użytkownik może sprawdzić, czy wyciekły akurat jego dane?
Jeśli utrata informacji dotyczy danych finansowych (numery kart kredytowych, PINów do kart, numerów kont bankowych), istnieją dwa sygnały, na które trzeba być wyczulonym.

Pierwszy jest oczywiście związany z monitorowaniem sald na kontach internetowych. Im szybciej zauważymy nieprawidłowości dotyczące naszych pieniędzy, tym lepiej dla nas, ale także dla innych użytkowników, którzy przez wzajemne informowanie się o takich przypadkach mogą pomóc w szybkim zlokalizowaniu przecieku. Im sprawniej będziemy informować się o takich akcjach, tym trudniej będzie cyberprzestępcom korzystać z naszej własności.

Drugi sygnał związany jest z zabezpieczaniem naszych kont internetowych. Jeśli w krótkim przedziale czasowym jesteśmy zasypywani spamem i phishingiem, może się okazać, że dane nt. naszego konta e-mail zostały udostępnione przestępcom. Wówczas należy zwrócić uwagę na wiadomości od nieznanych adresatów i bardzo uważnie korzystać z podsyłanych adresów internetowych. Na pewno nie należy podawać na tego typu stronach naszych loginów i haseł. Niestety w większości przypadków nie zdajemy sobie sprawy z konsekwencji związanych z bagatelizowaniem podstawowych zasad bezpieczeństwa. A przecież dla cyberprzestępcy połączenie informacji dotyczących naszego adresu email oraz numeru konta jest już wystarczające do przekonywania nas o tym, iż kontaktuje się z nami dobrze znana i zaufana instytucja finansowa.

Co może zrobić, gdy jego dane wyciekły?
Jeśli wiemy, że nasze dane wyciekły, to tak jak w przypadku każdej innej kradzieży należy zmienić zamki – czyli hasła do kont bankowych, numery PIN, hasła do kont email. Nie należy zapominać o poinformowaniu odpowiednich instytucji w zależności od skali i złożoności przeprowadzonego na nas ataku. W przypadku akcji masowego wykradnięcia danych z firm, po otrzymaniu komunikatu, powinniśmy zastosować się do ich zaleceń, chociaż może się to wiązać z pewnymi kosztami po naszej stronie.

Jak może uchronić się przed taką sytuacją w przyszłości?
Wiele firm myśląc o zabezpieczaniu swoich danych i danych klientów stosuje różne mechanizmy zabezpieczające. Niestety większość z nich zabezpiecza dane przed wirusami lub znanymi metodami stosowanymi przez hakerów. Niestety bardzo rzadko nasze dane są chronione w nowoczesny sposób poprzez metody przeciwdziałające nieautoryzowanemu dostępowi do danych wrażliwych. Wynika to często z bardzo skomplikowanej infrastruktury i metod przechowywania danych w firmach.

Mimo rosnącej świadomości społeczności internetowej o istniejących zagrożeniach, wiele zagrożeń jest bagatelizowanych i w dużym stopniu użytkownicy uważają, że problem ich nie dotyczy.

A przecież zostawiamy nasze dane wszędzie: na stacji benzynowej, w sklepie z odzieżą, w salonie samochodowym, w aptece, w szkole, w urzędzie, w taksówce, w firmie ubezpieczeniowej, u kuriera, w sklepie spożywczym.  Jak wiec sami możemy nad tym zapanować? Musimy zacząć wymagać od naszych usługodawców większej troskliwości dotyczącej naszych prywatnych informacji.
Zajmując się sprawami codziennymi, nie jesteśmy w stanie przewidywać rozwoju cyberprzestępczości, ale możemy zabezpieczać nasze dane poprzez stosowanie oprogramowania, które ustrzeże nas przez atakami z internetu. Możemy wykonywać bezpieczne i szyfrowane kopie zapasowe wyciągów bankowych. Możemy tłumaczyć dzieciom w szkole nie jak wrzucić film na serwis społecznościowy – tego nauczą się od rówieśników – ale jak ważne jest zachowanie własnej tożsamości w sieci i z jakich zasad i metod bezpieczeństwa korzystać.