Orodja za preprečevanje cyber napadov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.02.2014 Številka: 0712-1/2013/3523 Kategorije:Moderne tehnologije --> Kategorije: Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je po elektronski pošti prejel vaš dopis, v katerem navajate, da ste slovenska podružnica tuje multinacionalke, ter da želite v bližnji prihodnosti uvesti tudi njihova orodja za preprečevanje internetnih napadov (angl. cyber attacks) na vaš informacijski sistem. Kot izhaja iz tehničnega dokumenta, ki ga prilagate dopisu, gre za orodje za preprečevanje uhajanja informacij (DLP), orodje za nadzor uporabe prenosnih medijev (USB ključkov in trdih diskov, CD-jev) ter orodje za zaznavo vdorov (IDS/IPDS). Zanima vas sledeče: 1. ali je potrebna kakršnakoli prijava, registracija oz. odobritev Informacijskega pooblaščenca za uporabo omenjenih varnostnih orodij? 2. ker nameravate uvesti tudi ustrezno preiskovalno proceduro in obveščanje zaposlenih delavcev, prosite za mnenje glede varstva osebnih podatkov v povezavi z uporabo omenjenih varnostnih orodij. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Za iznos osebnih podatkov v matično družbo (s sedežem v ZDA) ni potrebna posebna odločba Pooblaščenca, ker je matična družba v skladu z določbo 66. člena ZVOP-1 že uvrščena na seznam tistih družb, za katere je vnaprej ugotovljeno, da zagotavljajo ustrezno raven varstva osebnih podatkov (podpisniki ti. Safe Harbor sporazuma). Glede varstva osebnih podatkov v zvezi z opisanimi varnostnimi orodji Pooblaščenec meni, da mora zavezanec prvenstveno spoštovati določbe Zakona o delovnih razmerjih (ZDR-1) in ZVOP-1 ter torej zbiranje, iznos in obdelavo osebnih podatkov omejiti na primere, ko to določa zakon oz. je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec mora te primere ustrezno navesti in utemeljiti v internih aktih podjetja, delavce o njih obvestiti, obenem pa poskrbeti za ustrezne postopke za obdelavo teh podatkov v primerih varnostnih incidentov. Posebej mora spoštovati še komunikacijsko zasebnost zaposlenega (telefonske pogovore, e-pošto). Obrazložitev:Pooblaščenec uvodoma preveri vaše navedbe, ter nato poda mnenje na postavljeni vprašanji.Kot navajate, ste slovenska podružnica vodilnega svetovnega podjetja za razvoj in dobavo kmetijskih semen. Vaša matična družba posluje v več kot 70 državah po svetu, pri čemer naj bi se v vedno večji meri soočala s primeri organiziranih napadov na njene računalniške informacijske sisteme (angl. cyberwarfare), zlasti s ciljem industrijskega vohunjenja. Obenem matična družba glede tega zaznava, da naj bi vedno večji delež napadov prihajal s strani dobro motiviranih in financiranih nasprotnikov, ter da so napadi temu primerno tudi tehnično vedno bolj sofisticirani (predstavljajo t.i. advanced persistent threat ali APT). V odziv je matična družba že uvedla ustrezna orodja za hitro odkrivanje tovrstnih napadov in groženj, ki bi jih zdaj želeli uveljaviti tudi v vaši podružnici.V tehničnem dokumentu, ki ga prilagate dopisu, na kratko opisujeta navedena orodja. Navajate, da naj bi na splošno delovala na podoben način kot protivirusna programska oprema, se pravi, bi ves čas tekla v ozadju na računalnikih zaposlenih in »pazila« na določene aktivnosti (»varnostne dogodke«), kot spodaj. A s to pomembno razliko, da bi v primeru določenega varnostnega dogodka namesto prikaza opozorila uporabniku poslala anonimizirano sporočilo z opisom dogodka v centralni informacijski sistem matične družbe v ZDA (sistem SIEM, angl. security information event management). Glede navedka »anonimizirano« pojasnjujete, da poslanim podatkom ne bodo pridruženi tudi osebni podatki o konkretnem uporabniku sistema, čigar računalnik bo vir varnostnega dogodka.Tako zbrana obvestila bo potem z dodatnimi orodji pregledovala manjša, določena skupina oseb znotraj notranje varnostne organizacije vaše matične družbe (v ZDA). Skupina bo pri tem iskala vzorce morebitnih neprimernih vedenj, ki bi zahtevala formalno preiskavo. V kolikor se najdejo, bo moralo preiskavo odobriti še vodstvo matične družbe. Izvedla bi jo ločena, manjša skupina preiskovalcev, v skladu z zakonskimi, HR (human resources – človeški viri), varnostnimi in etičnimi pravili, kot so že določena v Pravilniku o dolžnostih in ravnanjih, s katerim naj bi bili seznanjeni vsi zaposleni.Konkretno bi na vse službene računalnike (Windows PC-
- je)namestili programsko opremo za sprožanje alarmov (»agenta«), ki bi nadzoroval spodaj naštete dogodke, ter vse zapise o teh dogodkih v zakodirani obliki preko internega omrežja javljal v centralno konzolo na sedežu matične družbe v ZDA. Pri tem še enkrat poudarjate, da se v konzolo naj ne bi pošiljali nobeni osebni identifikacijski podatki (PII), niti ne vsebine, ki naj bi jih uporabniki imeli na računalnikih. Agent obenem omogoča oddaljeni dostop za potrebe izvedbe nadaljnje diagnoze.Dogodki, ki bi jih nadzorovali, so: • izmenjava podatkov med aplikacijami (npr. kopiranje celice iz Excela v Word); • kopiranje datotek na zunanje nosilce podatkov, npr. CD nosilec, USB ključek, idr; • standardne operacije za delo z datotekami (copy, move, delete, restore, download, idr.); • tiskanje; • pošiljanje pošte, če se pošilja tudi priponka; • prijavo in odjavo v sistem; • določene vzorce vedenja, značilne za napade od zunaj (npr. na požarni pregradi). Ad 1.Sprašujete, ali je za uporabo zgoraj navedenih orodij za preprečevanje kibernetskih napadov potrebna kakršnakoli prijava, registracija oz. odobritev Pooblaščenca.Primere, ko je za obdelavo osebnih podatkov potrebna odločba Pooblaščenca, določa Zakon o varstvu osebnih podatkov (ZVOP-1). ZVOP-1 takšno odločbo predvideva v primeru uporabe biometrije (3. odstavek 80. člena), oz. za iznos osebnih podatkov v tretje države (1. odstavek 63. člena). Za ostale oblike obdelave osebnih podatkov posebna odločba ni potrebna.Kot navajate, naj bi prednameščeni »agenti« na računalnikih vaših zaposlenih podatke o varnostnih dogodkih pošiljali v »centralno konzolo na sedežu matičnega podjetja v Združenih državah Amerike« (ZDA). Ker gre v tem primeru za obdelavo osebnih podatkov šele po posredovanju v tretjo državo po omenjenem 1. odstavku 63. člena, mora zavezanec spoštovati tudi pravila glede iznosa osebnih podatkov v tretje države.Iznos je v skladu omenjenim odstavkom ZVOP-1 dovoljen pod pogojem, da Pooblaščenec izda odločbo, da država, v katero se iznašajo, zagotavlja ustrezno raven varstva osebnih podatkov. Le tako je namreč mogoče zagotoviti, da bodo pravice oseb, na katere se posredovani osebni podatki nanašajo, spoštovane tudi tam, kjer se bodo podatki dejansko uporabljali oz. obdelovali - v tujini. Pri tem pa zakon določa tudi nekatere izjeme. Določbe o iznosu osebnih podatkov v tretje države se tako v skladu z 62. členom ZVOP-1 ne uporabljajo, kadar se posredujejo osebni podatki upravljavcu osebnih podatkov, pogodbenemu obdelovalcu ali uporabniku osebnih podatkov, ki je ustanovljen, ima sedež ali je registriran v državi članici Evropske unije ali Evropskega gospodarskega prostora ali zanj kako drugače velja njen pravni red. Obenem odločba ni potrebna še za države, ki so uvrščene na seznam tistih držav, za katere je vnaprej ugotovljeno, da v celoti oz. deloma zagotavljajo ustrezno raven varstva osebnih podatkov (66. člen ZVOP-1). Med države, pri katerih je ugotovljeno delno ustrezno varstvo osebnih podatkov, na podlagi odločbe Pooblaščenca sodijo tudi ZDA, vendar le za tiste organizacije, ki so se zavezale dogovoru Varni pristan (angl.»Safe Harbor«). Seznam organizacij, ki so se zavezale, da bodo osebne podatke obdelovale v skladu z načeli Varnega pristana, je objavljen na spletni strani Ministrstva za trgovino ZDA - glej http://www.export.gov/safeharbor/. Kot navajate, in kot tudi potrdi Pooblaščenec, je vaše matično podjetje že samocertificirano, ter tudi ponuja ustrezen dokument o obsegu varovanja osebnih podatkov za tuje subjekte (ti. Global Information Privacy Policy). Upoštevaje, da konkretna samocertifikacija poteče 1. marca letos in da bo po tem datumu tudi ustrezno obnovljena, Pooblaščenec meni, da za uporabo zgoraj opisanih varnostnih orodij ni potrebna predhodna odločba Pooblaščenca. Več informacij o sistemu Varnega pristana je na voljo v Smernicah Pooblaščenca glede varstva osebnih podatkov pri računalništvu v oblaku z dne 15.06.12, glej: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_rac_v_oblaku.pdf Ad 2.Sprašujete glede mnenja okoli varstva osebnih podatkov v zvezi z uporabo opisanih varnostnih orodij.Iz gornjega opisa - zlasti seznama varnostnih dogodkov, ki bi jih opazovali agenti na računalnikih zaposlenih - izhaja, da je opisani sistem prvenstveno namenjen preprečevanju notranjih, ne zunanjih groženj (torej groženj s strani zaposlenih). Preverja se namreč predvsem aktivnosti zaposlenih, posebej v zvezi z potencialnim odtekanjem informacij (DLP – data leakage prevention), ne toliko aktivnosti, ki prihajajo od zunaj in na katere tipično pazijo sorodne rešitve tipa požarni zidovi oz. orodja za prepoznavo in preprečevanje vdorov (IDS-ji, honeypoti, idr.). S tega stališča opisani sistem DLP odpira ustrezna vprašanja zahtevnosti na delovnem mestu oz. tehtanja med pravicami delodajalca in zaposlenih.Informacijski Pooblaščenec je v zvezi s sistemi DLP že izdal mnenje št. 0712-96/2011 z dne 10.5.2011 (glej http://bit.ly/In5fkb), kjer poudarjamo, da mora biti tovrstna obdelava osebnih podatkov o zaposlenih v prvi vrsti temeljiti na določbah veljavnega Zakona o delovnih razmerjih (ZDR-1). ZDR-1 v 1. odstavku 48. člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem (ZDR-1) ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. S tem v zvezi menimo, da mora delodajalec pred začetkom tovrstne obdelave podatkov:• zagotoviti transparentnost obdelave osebnih podatkov z vnaprejšnjim obveščanjem zaposlenih (natančni in jasni interni akti, izjave o seznanjenosti), npr. v že omenjenem internem Pravilniku o dolžnostih in ravnanjih; • ustrezno urediti dostopne pravice uporabnikov DLP rešitev na minimalni obseg oz. zaupanja vredne osebe; kot že navedeno, bo za to poskrbela matična družba; • zagotoviti anonimizacijo ali minimizacijo osebnih podatkov v opozorilih (kot že navajate), • funkcionalnosti DLP rešitev, ki ustvarjajo zbirke osebnih podatkov s pregledi po uporabnikih, uporabljati le na podlagi pravne podlage (že omenjeni 48. člen ZDR, oz. glede vdorov od zunaj izjemoma tudi 3. odstavek 10. člena ZVOP-1); • upoštevati stroge ustavne in zakonske pogoje za dostop do same vsebine komunikacije (vsebine e-poštnih sporočil, nabiralnikov). Posredovanje podatkov o rabi službenih računalnikov, kot zgoraj, po mnenju Pooblaščenca vsekakor predstavlja obdelavo osebnih podatkov. Zakon o varstvu osebnih podatkov (ZVOP-1) namreč v 1. točki 6. člena določa, da je osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, pri čemer je posameznik v skladu z 2. točko istega člena določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Argumentacija, da se ob posredovanju podatkov o varnostnih dogodkih v centralno konzolo matične družbe ne bodo posredovali osebni oz. »osebni identifikacijski podatki« (PII – personally identifiable information), po mnenju Pooblaščenca torej ne pride v poštev. Že sama vsebina posredovanih podatkov (npr. pri nadzoru priponk v izhodni e-pošti) lahko hitro vsebuje identifikacijo zaposlenega. Obenem pa bo mogoče povezavo na konkretnega zaposlenega izvesti v primeru preiskave, pri čemer bosta, kot izhaja iz vašega tehničnega dokumenta, aktivna tako tuja preiskovalna ekipa kot ustrezno domače osebje. V tej luči bodo tujemu osebju vsekakor lahko dosegljivi osebni podatki v smislu podatkov o določenem zaposlenem z imenom ali priimkom. Vnaprejšnje omejevanje količine posredovanih podatkov ter strogo ločevanje vlog deležnikov, ki bodo dejansko obdelovali posredovane podatke (v smislu 2. in 3. točke obveznosti pri uporabi sistemov DLP), vendar kot tako še samo po sebi ne more pomeniti, da pri tem ne gre za obdelavo osebnih podatkov. Posledično mora delodajalec oz. njegova matična družba v prvi vrsti dobro razmisliti o tveganjih, zoper katere se varuje, ter minimalnemu obsegu in rokih zbiranja osebnih podatkov v zvezi s temi tveganji. Vse našteto mora tudi ustrezno argumentirati, ter potem ustrezno opredeliti v internih aktih podjetja. Kot navajate, je za to (delno) že poskrbljeno.Upoštevaje v omenjenem mnenju št. 0712-96/2011 navedene omejitve Pooblaščenec posledično meni, da je uporaba opisanih varnostnih orodij v vašem podjetju lahko skladna z določbami ZVOP-1.S pozdravi,Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026