Decyzja UODO dotycząca ukarania Moreli ogromną karą za naruszenie RODO – rozważania w kontekście technicznym / analizy ryzyka IT

Pełna treść decyzji dostępna jest tutaj. Całość to kopalnia interesujących informacji, skomentujemy kilka wątków. Bardzo istotnym elementem w kontekście nałożonej kary wydaje się ten fragment:

Jak wskazano w przyjętych podczas kontroli wyjaśnianiach, analiza ryzyka była robiona przez Spółę [UODO, poprawcie literówkę – przyp. sekurak] doraźnie dla poszczególnych procesów, w sposób niesformalizowany.

Analiza ryzyka IT to rzeczywiście potężne i przydatne narzędzie, co więcej na tym właśnie opiera się RODO/GDPR. Nie powinno być tak, że inwestujemy ile tylko się da środków i zabezpieczamy co tylko się da w drobiazgowy sposób. Nie tak działa biznes i nie jest to racjonalne (ilu z was widziało sytuację gdy po incydencje nagle wzrastają budżety na bezpieczeństwo, a później równie nagle są cięte? I tak w kółko).

Analiza ryzyka IT to w wielkim skrócie: identyfikacja zasobów, wskazanie zagrożeń (czyli potencjalnych problemów z bezpieczeństwem które mogą wystąpić) dla tych zasobów, wskazanie realnych zagrożeń (tj. podatności czy słabości), określenie prawdopodobieństwa wykorzystania podatności (to często nazywane jest „ryzykiem”) oraz związanej z tym straty.

Mam zasób z istotnymi danymi, zauważyłem sporo podatności, skutki potencjalnego incydentu są poważne – o, tutaj powinienem przeznaczyć sporo środków. Mam zasób istotny, ale z dostępem tylko dla dwóch osób, nie wykryłem podatności, system nie jest dostępny z Internetu – o, tutaj mogę przeznaczyć mniej. Mam system który nie przynosi mi zysku, zabezpieczenie jest drogie – rezygnuję z systemu (unikam ryzyka). To oczywiście tylko uproszczone przykłady.

W analizie ryzyka wyróżnia się tzw. ryzyko szczątkowe (tj. nigdy, nawet gigantycznymi środkami nie wyeliminujemy wszystkich możliwych problemów bezpieczeństwa. No dobra wyeliminujemy wyłączając wszystkie wtyczki do prądu ;-). Tu oczywiście mamy bardzo subtelne balansowanie – w branży lotniczej ryzyko katastrofy wszyscy chcą absolutnie zminimalizować, czasem jednak ten próg ryzyka się obniża…

No dobrze, wracajmy na ziemię. Kto z Was zna większą firmę, która posiada zrealizowaną formalną analizę ryzyka dla wszystkich swoich systemów, która jest przy okazji racjonalna i aktualizowana?My, mimo naprawdę sporego doświadczenia w bezpieczeństwie nie znamy takiego przypadku. Oczywiście nie oznacza to że analiza ryzyka jest nic nie warta. Możecie podrzucić w komentarzach dwa słowa jak ją można wykonać (szczególnie w małych i średnich firmach). Nasze zdanie odnośnie tego tematu – tutaj.

No więc Morele wskazuje, że tego typu analizę ryzyka prowadziło:

Spółka posiadała zabezpieczenia, techniczne oraz organizacyjne, adekwatne do zidentyfikowanych zagrożeń, z uwzględnieniem warunków określonych w art. 24 oraz w art. 32 rozporządzenia 2016/679.

Co więcej spółka poprosiła o możliwość możliwość przedstawienia opinii biegłego:

Ponadto (…) pełnomocnik Spółki zwrócił się do Prezesa Urzędu Ochrony Danych Osobowych o: dopuszczenie i przeprowadzenie dowodu z opinii biegłego w zakresie bezpieczeństwa systemów informatycznych w celu: a) ustalenia standardów technicznych i organizacyjnych środków bezpieczeństwa w działalności gospodarczej przedsiębiorców w obszarze e-commerce o skali i charakterze podobnym do skali i charakterze działalności Spółki w 2018 r.; b) oceny, czy środki techniczne i organizacyjne stosowane przez Spółkę odpowiadały standardom środków bezpieczeństwa w działalności gospodarczej przedsiębiorców w obszarze e-commerce o skali i charakterze podobnym do skali i charakterze działalności Spółki w 2018 r.; c) oceny, czy środki techniczne i organizacyjne stosowane przez Spółkę były odpowiednie uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia;

Prezes Urzędu Ochrony Danych Osobowych odmówił uwzględnienia wniosku Spółki o dopuszczenie i przeprowadzenie wniosku z opinii biegłego.

W naszej ocenie, działanie Moreli jest tutaj jak najbardziej racjonalnie – sprawdźmy w sposób niezależny czy zorganizowaliśmy wszystko sensownie (a nie zgodnie z zasadą inwestujmy w bezpieczeństwo ile się da, nie patrząc na koszty).

Z innych ciekawostek jest wskazywana również kwestia peaku w ruchu sieciowym podczas wykradania bazy:

W ocenie Prezesa Urzędu Ochrony Danych mimo zastosowania takiego rozwiązania Spółka nie była w stanie zareagować na nietypowe zdarzenie w systemie monitorującym polegającym zwiększonym przesyle danych.

Tutaj też można trochę się zastanowić. No dobrze mam wykryty, peak ruchu z mojej infrastruktury. Baza danych ma rozmiar paru GB, mam szybkie łącza, zanim zareaguję na takie zdarzenie to baza już została wykradziona. Za późno. Można bardziej aktywnie monitorować potencjalne incydenty (czyli nie tylko peaki w ruchu sieciowym ale wszelakie próby ataków i to na całą infrastrukturę). Tutaj wchodzimy w tematykę SOC-ów (spory koszt przy działaniu 24/7 i analizie zarówno anomalii jak i innych potencjalnych naruszeń). Tutaj chciałbym zobaczyć w akcji reakcję wielu SoCów, które blokują w czasie rzeczywistym peak ruchu z jednego z systemów (dajmy na to jest to standardowy ruch HTTPS). W tym kontekście warto również zauważyć, że brak monitorowania ruchu sieciowego na gateway (czy dokładniej brak reakcji na stosowną anomalię i to w czasie rzeczywistym) zostało uznane za „rażące zaniedbanie”:

na szczególnie naganną ocenę zasługuje przy tym okoliczność, iż Spółka, pomimo deklaracji monitorowania systemu sieciowego i reagowania w systemie 24/7 (dwadzieścia cztery godziny, siedem dni w tygodniu), nie stwierdziła w czasie rzeczywistym, tj. w dniach 07.10.2018 – 14.10.2018 r., zwiększonego ruchu na bramie sieciowej serwera i nie podjęła w tym czasie żadnych działań zaradczych, celem uniemożliwienia dostępu do danych około 2.200.000 (ok. dwóch milinów dwustu tysięcy) osób fizycznych, będących klientami Spółki. W tym stanie rzeczy, zaniedbanie Spółki należy uznać za rażące;

Wracając do Uzasadnienia, ciekawym wątkiem jest również ten fragment:

W stanie faktycznym przedmiotowej sprawy Spółka wywiązywała się z tego obowiązku częściowo weryfikując wyłącznie poziom skuteczności wdrożonych zabezpieczeń pod kątem znanych podatności we wdrożonym oprogramowaniu – na co wskazują audyty bezpieczeństwa funkcjonujących już systemów informatycznych służących do przetwarzania danych klientów Spółki […] . W ocenie Prezesa Urzędu Ochrony Danych Osobowych Spółka tym samym nie podejmowała działań mających na celu ocenę doboru środków technicznych i organizacyjnych przez pryzmat adekwatności do ryzyk.

Ten wątek można traktować różnie, np.: 1) Sprawdziliście systemy pod kątem znanych podatności ale zagrożeniem mogą być przecież te nieznane (np. 0-days). 2) może niekoniecznie dobrze został dobrany zakres zabezpieczeń vs. stan rzeczywisty (np. mamy super zabezpieczenia proceduralne, ale brak technicznych; albo przetestowaliśmy wszystkie nasze aplikacje, ale nie przetestowaliśmy sieci). Wybrzmiewa tutaj też wspominany wcześniej wątek ryzyka szczątkowego („Spółka wywiązywała się z tego obowiązku częściowo weryfikując wyłącznie poziom skuteczności wdrożonych zabezpieczeń pod kątem znanych podatności we wdrożonym oprogramowaniu”). Ten ostatni aspekt być może widoczny jest tutaj:

Spółka nie dopełniła obowiązku zastosowania odpowiednich środków technicznych i organizacyjnych, by zapewnić stopień bezpieczeństwa odpowiadający ryzyku nieuprawnionego dostępu do danych osobowych jej klientów, (…) tym samym, poprzedzające wystąpienie naruszenia działania Spółki zmierzające do zapewnienia bezpieczeństwa przetwarzania danych należy uznać za nieskuteczne, albowiem nie przyczyniły się one do wyeliminowania ryzyka zaistnienia szkód;

Tutaj jeszcze raz warto przypomnieć raczej o dążeniu do minimalizacji ryzyka a nie jego całkowitym wyeliminowaniu.

Podsumowując: masa danych wyciekła z Moreli – absolutnie jest to niedobre. Dajcie nam większy system – w 99.99% z nich znajdziemy w nim podatności. Dajcie system DLP, pokażemy tonę obejść. Powiecie – potrzeba złotego środka. My go zwiemy analizą ryzyka IT, co jest gatunkiem rzadkim, niemal na granicy wyginięcia.

–ms