Izvedba varnostnega preverjanja - phishing testa za uporabnike informacijskega sistema - IPRS

Izvedba varnostnega preverjanja - phishing testa za uporabnike informacijskega sistema + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.12.2015 Številka: 0712-1/2015/3246 Kategorije:Delovna razmerja, Moderne tehnologije --> Kategorije: Delovna razmerja, Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem nas prosite za mnenje glede izvedbe varnostnega testa in sicer t.i. phishing testa za uporabnike informacijskega sistema. To pomeni, da se vsem zaposlenim hkrati odpošlje naključno e-poštno sporočilo, ki bi v realnem svetu vsebovalo viruse, v tem primeru pa gre zgolj za test. Preverja se, koliko uporabnikov takšno e-pošto in njegovo vsebino dejansko odpre oziroma klikne, koliko jih javi administratorju in koliko jih takšnega sporočila ne odpira oziroma ga izbriše. Končno poročilo bi navajalo rezultate v odstotkih in ne po uporabnikih, test pa bi trajal en teden. Vodstvo se z omenjenim varnostnim testom strinja, zanima pa vas mnenje IP, ali je takšen test kakorkoli sporen glede osebnih podatkov. V nadaljevanju ste nam posredovali tudi obrazložitev izvajalca, ki se je že ukvarjal s pravnimi vidiki izvedbe tovrstnega testa. Pojasnili ste še, da je z vidika varnosti sistema test zelo uporaben, saj bi s tem lahko uporabnike tudi opozorili, da morajo biti enako pozorni tudi doma, po drugi strani pa same ideje za izvedbo ne morete podkrepiti z dejanskim varnostnim incidentom na strežnikih, saj hujših do sedaj še ni bilo razen nespametnih klikov na nevarne povezave, ki povzročajo, da se ljudem na delovne postaje nalagajo razni virusi. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Informacijski pooblaščenec meni, da obstajajo občutna tveganja, da bi bila obdelava osebnih podatkov pri izvedbi varnostnega preverjanja odpornosti (vseh) zaposlenih na napade socialnega inženiringa (konkretno testiranje vseh na odpornost na t.i. phishing napade) lahko brez pravne podlage in da je manj tvegano in bolj sorazmerno sredstva in napore že vnaprej vložiti v ustrezno izobraževanje zaposlenih, ne glede na to, ali je raven odpornosti na takšne napade visoka ali nizka. Tudi če bi rezultat testa pokazal, da je tveganje majhno (t.j. da je le majhen delež zaposlenih dovzeten za tovrstne napade) se poraja vprašanje, ali ne bi bilo bolj smiselno sredstva že v začetku nameniti za zmanjšanje tega deleža namesto za ugotavljanje njegove velikosti ter se na ta način izogniti tveganjem za nezakonito obdelavo osebnih podatkov zaposlenih z izvedbo varnostnega preverjanja.IP se uvodoma sprašuje, kakšen je temeljni namen testa, s katerim bi se ugotovilo, v kakšni meri so uporabniki usposobljeni prepoznati lažna e-poštna sporočila in kako reagirati nanje. Gre za t.i. phishing napade, kjer poskuša napadalec prejemnika na takšen ali drugačen način prepričati h kliku na določeno povezavo oziroma k odpiranju priponke, nato pa s pomočjo lažnih spletnih strani od posameznika izvabiti njegove osebne podatke, kot so: številke kreditnih kartic, uporabniška imena in gesla, digitalna potrdila in ostale osebne podatke, oziroma pri tem na računalnik posameznika namestiti škodljivo programsko, kot so virusi in podobno. Pri tem napadalci uporabljajo različne tehnike, ki spadajo v domeno t.i. socialnega inženiringa. Pooblaščenec je na temo socialnega inženiringa izdal podrobne smernice, ki so na voljo na tej povezavi:https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/socialni-inzeniring-in-kako-se-pred-njim-ubraniti.pdfVarnostni test, ki ga nameravate izvesti, naj bi ponudil odgovor na vprašanje, kakšen delež (odstotek) uporabnikov je dovzeten za tovrstne napade. Informacijski pooblaščenec predvideva, da je v naslednji fazi predvidena izvedba določenega izobraževanja, če se izkaže, da je omenjeni delež relativno visok. Pooblaščenec meni, da je na podlagi številnih raziskav mogoče sklepati, da je ta delež v povprečju relativno visok in da se običajni uporabniki informacijskega sistema pomanjkljivo zavedajo nevarnosti, ki jim pretijo zaradi nepoznavanja metod socialnega inženiringa, med katere uvrščamo tudi phishing napade (številni viri poročajo o tudi do 75-odstotni uspešnosti dobro zastavljenih napadov[1]). Glede na navedeno se postavlja vprašanje, kakšna bi bila dodana vrednost takšnega varnostnega preverjanja, zato pooblaščenec meni, da je bolj smiselno vlagati sredstva in napore v ustrezno izobraževanje zaposlenih, ne glede na to, kakšna je vrednost omenjenega deleža. Kot že sami ugotavljate, je izvedba takšnega varnostnega preverjanja, ki terja prikrito zbiranje podatkov zaposlenih, povezana z določnimi tveganji glede varstva osebnih podatkov, zato se postavlja vprašanje, ali rezultat odtehta tveganja, ki bi jih morali ustrezno obravnavati. Informacijski pooblaščenec meni, da je bolj smiselno in manj tvegano, da preskočite korak ugotavljanja dovzetnosti za napade in trud namenite zmanjševanju varnostnih tveganj z izvedbo ustreznih izobraževanj.Če bi kljub navedenemu vendarle ocenili, da je pridobitev deleža, ki kaže na dovzetnost uporabnikov za takšne napade, tako pomembna, potem bi morali z vidika varstva osebnih podatkov paziti na številne vidike. Prvo je vprašanje zakonitosti – v vsakem primeru bi morali za pridobitev takšnega podatka tako ali drugače obdelovati osebne podatke zaposlenih, kar pomeni, da za tovrstno početje potrebujete pravno podlago. Izrecne pravne podlage za izvedbo varnostnih preverjanj Informacijski pooblaščenec ne najde v obstoječi zakonodaji, po drugi strani pa bi vnaprejšnja privolitev, kot že ugotavljate, v veliki meri izničila točnost in uporabnost pridobljenih podatkov. Privolitev posameznikov bi eventuelno mogoče zagotovili tako, da bi posameznike natančno vnaprej obvestili o vseh okoliščinah testa, s tem da bi se test izvedel npr., enkrat v prihodnjega pol leta. Privolitev bi morala biti povsem prostovoljna in posamezniki, ki ne bi želeli podati privolitve, ne bi smeli biti izpostavljeni nikakršnim negativnim posledicam. Uporabniki bi morali biti natančno obveščeni o namenu izvedbe varnostnega testiranja, o obsegu pridobljenih podatkov in tudi o dejstvu, da vnaprej ne bodo obveščeni, kdaj bo dejansko poslano testno e-sporočilo. Alternativna možna podlaga bi lahko bil
7. odstavek
8. člena ZVOP-1 (pravna podlaga prevladujočih zakonskih interesov javnega sektorja), ki določa, da se ne glede na
9. odstavek
10. člena ZVOP-1 (obdelava na podlagi zakona) lahko v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Uporabo te pravne podlage je treba obrazložiti in utemeljiti s konkretnimi dejstvi in okoliščinami. Pri tem je zlasti treba:• izkazati legitimnost in nujnost izvedbe tovrstnega testiranja, • pošteno in popolno oceniti upravičen interes posameznika in posledice na pravice posameznika,• uporabiti dodatne varovalke, s katerimi se zmanjšajo negativni vplivi na pravice posameznika (npr. sprotna anonimizacija zajetih podatkov).Informacijski pooblaščenec ugotavlja, da legitimnosti izvedbe takšnega testiranja ni mogoče oporekati, saj so napori organizacije, da zagotovi varnost tako svojih uporabnikov kot svojega informacijskega sistema, povsem razumljivi in utemeljeni. Poraja pa se vprašanje o nujnosti izvedbe takšnega ukrepa – zlasti če upoštevamo, da gre le za vmesni korak, ki bo zelo verjetno pripeljal do tega, da je treba izvesti naslednje korake, t.j. izvedbo ustreznega izobraževanja med zaposlenimi. Tudi če bi bil rezultat testa takšnen, da je tveganje majhno (t.j. da je le majhen delež zaposlenih dovzeten za tovrstne napade) se poraja vprašanje, ali ne bi bilo bolj smiselno nameniti sredstva že v začetku za zmanjšanje tega deleža namesto za ugotavljanje njegove velikosti. Drugi vidik, ki ga je treba natančno in pošteno oceniti, so posledice za pravice ter interese posameznika. Izvedba prikritega testa kot takega predstavlja nepošteno obdelavo osebnih podatkov, kar je nasprotju z enim od temeljnih načel varstva osebnih podatkov, ki terja, zakonitost in poštenost obdelave, t.j. da so posamezniki transparentnost in vnaprej obveščeni o tem, kdo bo zbiral njihove osebne podatke in s kakšnimi nameni. Ob odsotnosti ustreznih varovalk je treba upoštevati, da lahko pride do dodatnih posledic, kot so neugodno počutje ali izpostavljenost zaposlenih, ki so »padli« na testu, kar lahko vodi v poslabšanje organizacijske klime, medsebojnih odnosov in ravni zaupanja, kljub temu, da to ni namen testa. Prikrito zbiranje podatkov o posameznikih mora biti kljub dobrim in legitimnim namenom vedno izvedeno brez podcenjevanja možnih negativnih vidikov. Tudi če je rezultat testiranja zgolj delež oseb, ki testa ni prestal, se lahko porodijo dvomi in vprašanja zaposlenih v to, kako so bili ti rezultati pridobljeni, potencialno tudi prijave Informacijskemu pooblaščencu zaradi netransparentne obdelave osebnih podatkov.Tretji pomemben element pri pravni podlagi prevladujočih legitimnih interesov so varovalke, s katerimi se lahko zmanjša poseg v pravice posameznika. Vaš zunanji izvajalec je na tem mestu že predvidel določene varovalke, ki so lahko učinkovite, kot npr.: samodejni izračun deležev in ostalih statistik brez človeških posegov, sprotno in trajno brisanje surovih podatkov o aktivnosti posameznega uporabnika (kdo in kdaj je kliknil na določeno povezavo, katere podatke je vnesel ipd.) in pripadajočih dnevniških zapisov, pogodbene zaveze v primeru izvedbe s strani zunanjega izvajalca itd. Za uporabo pravne podlage prevladujočih legitimnih interesov je nato treba vse tri ključne elemente (legitimnost interesov, vplive na posameznika in možne varovalke) pretehtati in priti do ocene, ali je izpolnjen pogoj, da je obdelava podatkov nujna za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja in če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Informacijski pooblaščenec meni, da obstajajo utemeljeni dvomi predvsem v nujnost izvedbe zadevnega varnostnega preverjanja in v uravnoteženost pozitivnih in negativnih vidikov zadevne obdelave osebnih podatkov, zato ocenjuje, da pravna podlaga prevladujočih zakonskih interesov javnega sektorja v tem primeru ne bi bila priporočljiva.Informacijski pooblaščenec zaključno ugotavlja, da obstajajo občutna tveganja, da bi bila obdelava osebnih podatkov pri izvedbi varnostnega preverjanja odpornosti zaposlenih na napade socialnega inženiringa (konkretno testiranje vseh na odpornost na t.i. phishing napade) lahko nezakonita, in da je manj tvegano in bolj sorazmerno sredstva in napore že vnaprej vložiti v ustrezno izobraževanje zaposlenih, ne glede na to, ali je raven odpornosti na takšne napade visoka ali nizka, ter se na ta način izogniti tveganjem za nezakonito obdelavo osebnih podatkov zaposlenih z izvedbo varnostnega preverjanja. Po izkušnjah iz prakse naj bi bilo zelo priporočljivo izobraževanja izvajati ob bok usposabljanjem za varnost pri delu (zaradi nižjih stroškov, obveznosti in redne periodike).Pri tem še opozarjamo, da ne želimo niti ni primerno vseh načinov varnostnega preverjanja enačiti – nekatera varnostna preverjanja odpornosti na socialni inženiring namreč ne terjajo nobene obdelave osebnih podatkov, kot je predvidena v zgoraj opisanem primeru (npr. preverjanje prepoznavanja pooblaščenih serviserjev v smislu nepooblaščenih dostopov ipd.).S prijaznimi pozdravi,Informacijski pooblaščenec:Mojca Prelesnik, univ.dipl.prav.,pooblaščenkaPripravil:- mag. Andrej Tomšič, namestnik informacijske pooblaščenke [1] Glej npr. http://www.csoonline.com/article/2876707/social-engineering/social-engineering-stories-from-the-front-lines.html ali https://books.google.si/books?id=dLRK_Ep_uc8C&pg=PA1766&lpg=PA1766&dq=social+engineering+success+rate&source=bl&ots=rUI7HcjBhF&sig=mGXNwc-oPQQbRH1UhqcQ-tJ1PvY&hl=en&sa=X&sqi=2&ved=0ahUKEwjI7qzk1uzJAhWMExoKHTG8CHkQ6AEIVzAK#v=onepage&q=social%20engineering%20success%20rate&f=false O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026