Medialne nagłówki i głośne incydenty (m.in. MyDr, Fakturownia, Felgdent czy Enel-Med) obaliły mit, że komunikat prasowy dostawcy rozwiązuje problem po stronie klienta. W realiach nadzoru Prezesa UODO każdy administrator danych osobowych musi:
- zweryfikować, które rekordy z jego bazy zostały objęte naruszeniem, nie opierając się wyłącznie na ogólnych informacjach dostawcy,
- samodzielnie ocenić ryzyko naruszenia praw i wolności osób, których dane dotyczą (art. 33-34 RODO),
- podjąć decyzję o zgłoszeniu naruszenia organowi nadzorczemu w terminie 72 godzin oraz o zawiadomieniu osób poszkodowanych.
Gdzie leży prawdziwy problem? Administrator nie jest w stanie zrobić tego rzetelnie bez szybkiego, ustrukturyzowanego i merytorycznego wsparcia podmiotu przetwarzającego (art. 28 ust. 3 lit. f RODO). Niejednokrotnie kluczowa dla prawidłowej oceny zdarzenia okazuje się również pomoc techniczna dostawcy.
Podczas szkolenia pokażemy, jak przejść z pozycji bezradnego petenta do roli świadomego właściciela danych i skutecznie nadzorować dostawców. Dowiesz się również, jak ograniczyć ryzyko zarzutu braku nadzoru nad łańcuchem dostaw oraz niewypełnienia obowiązków wynikających m.in. z art. 28 ust. 1 i art. 32 ust. 2 RODO.
Dlaczego warto?
Dzięki szkoleniu:
- rozpoznasz profil ryzyka dostawcy SaaS/ICT, którego kompromitacja może równocześnie dotknąć wielu administratorów,
- przeanalizujesz dwa aktualne, odmienne incydenty u dostawców ICT/SaaS — MyDr i Fakturowni — bez mieszania potwierdzonych faktów z niezweryfikowanymi ocenami,
- nauczysz się rozdzielać role administratora, procesora i podprocesora oraz ustalać obowiązki dla konkretnego zestawu danych i procesu przetwarzania,
- poznasz oczekiwany model współpracy z procesorem przy analizie incydentu, zgłoszeniu do UODO i komunikacji z osobami, których dane dotyczą,
- będziesz potrafić ocenić, jakich danych i dowodów potrzebuje administrator od dostawcy, aby rzetelnie wykonać obowiązki z art. 33–34 RODO,
- poznasz praktyczne kryteria wyboru, umownego uregulowania i bieżącego nadzoru nad usługą chmurową lub ICT, w tym dla dostawcy kluczowego,
- zobaczysz, jakie konsekwencje regulacyjne może przynieść brak UPO, brak weryfikacji gwarancji procesora, nieegzekwowanie audytu albo nieadekwatne środki organizacyjno-techniczne z art. 32 RODO,
- wypracujesz listę działań, które należy wdrożyć przed kolejnym incydentem, a nie dopiero po nim.
Webinar skierowany jest w szczególności do:
- inspektorów ochrony danych oraz ekspertów ds. ochrony danych osobowych — zyskasz precyzyjną metodologię oceny ryzyka z art. 33–34 RODO w oparciu o surowe fakty techniczne, a nie zapewnienia procesora,
- prawników wewnętrznych i specjalistów ds. compliance współpracujących z IOD lub zespołem privacy - nauczysz się konstruować twarde, egzekwowalne umowy powierzenia (UPO/DPA) odporne na spychologię odpowiedzialności,
- specjalistów IT, cyberbezpieczeństwa, bezpieczeństwa informacji, SOC/CSIRT i administratorów systemów, którzy wspierają ocenę i obsługę incydentu - zrozumiesz, jakich artefaktów i logów wymaga strona compliance, tworząc spójny front techniczno-prawny wobec incydentu u dostawcy,
- osób odpowiadających za relacje z dostawcami, audyty dostawców i zarządzanie łańcuchem dostaw - dowiesz się, jak prowadzić audyt kwalifikacyjny dostawców chmurowych pod kątem bezpieczeństwa i wymogów RODO/NIS2,
- kadry zarządzającej podejmującej decyzje w sytuacji incydentu i odpowiedzialnej za zapewnienie zasobów oraz odporności organizacji - poznasz mechanizmy mitygacji ryzyka kar finansowych, roszczeń odszkodowawczych (art. 82 RODO) oraz utraty reputacji.
Program szkolenia
W trakcie szkolenia zostaną omówione następujące zagadnienia:
1: Anatomia ataku na łańcuch dostaw (Supply Chain Attack)
Dostawcy SaaS to dziś główny cel cyberataków. Przeanalizujemy ten wektor ataku w oparciu o głośne incydenty (MyDr, Fakturownia, Medyc/Cubisoft, Felgdent, incydenty eWUŚ). Zwrócimy uwagę na powiązania między wymogami RODO a dyrektywą NIS2/UKSC. Informacje w tym module pozwolą nam na dopasowanie do własnych dostawców wyłaniającego się profilu ryzyka. Kategoryzacja dostawców to pierwszy krok do ochrony własnej organizacji.
2: Case Study I – MyDr: dane medyczne, setki administratorów, jeden procesor
Przeanalizujemy krok po kroku incydent MyDr. Odpowiemy sobie na pytanie - jak egzekwować od procesora informacje i fakty bez przejmowania od niego decyzji o notyfikacji do organu oraz jak uniknąć krytycznych błędów przy ewentualnym raportowaniu wycieku.
3: Case Study II – Fakturownia: separacja ról, dane per konto i ryzyko wtórne
Przeanalizujemy krok po kroku incydent w Fakturowni i przyjęty przez nią sposób komunikacji. Jakie kategorie, okresy, osoby i rekordy objęło zdarzenie oraz jak połączenie danych fakturowych, płatniczych i kontaktowych może wpływać na ryzyko phishingu, podszycia się lub oszustwa płatniczego.
4: Pierwsze 72 godziny
Realizacja art. 33 ust. 2 oraz art. 28 ust. 3 lit. f RODO w praktyce. Jakie działania podjąć proaktywnie wobec dostawcy, który informuje zdawkowo lub wcale o incydencie bezpieczeństwa/naruszeniu. Czego oczekiwać od dostawcy i jak udokumentować podjęte działania? Jak przygotować zawiadomienie osób (art. 34 RODO), które jest transparentne dla odbiorców?
5: Prewencja i Security by Design w UPO: jak zabezpieczyć relacje z dostawcą zanim dojdzie do wycieku?
Test „wystarczających gwarancji” (art. 28 ust. 1 RODO): dlaczego deklaracja handlowa, certyfikat ISO czy audyt SOC2 to dopiero początek, a nie koniec weryfikacji. Checklista wymogów bezpieczeństwa (SLA).
6: Wokanda UODO i sądów: czego organy nie wybaczają administratorom?
Przeanalizujemy najnowsze kary finansowe nałożone na polskie podmioty. Pokażemy główne błędy ukaranych administratorów danych. Poszukamy mocnych argumentów dla kierownictwa na zmiany w sposobie zaangażowania w czasie działań poincydentowych oraz modyfikacji podejścia na etapie wyboru dostawców i weryfikacji bezpieczeństwa łańcucha dostaw usług.
7: Action Plan IOD na jutro
„Jest 2:00 w nocy. Dostawca właśnie przesłał mail z informują o incydencie bezpieczeństwa w jego infrastrukturze — kto odbierze zgłoszenie, kto uruchomi procedurę, jakie informacje niezbędne są do oceny czy mamy do czynienia z naruszeniem i jaka jest jego waga, kto podejmie dalsze decyzje przed upływem terminu z art. 33 RODO?”. W podsumowaniu opowiemy o "incydentowym pakiecie działań prewencyjnych i następczych" - który organizacja powinna aktywować już dziś, by umieć odpowiedzieć na pytania tu zadane.