Pomoc lokalnego informatyka

Jeżeli mamy problem z komputerem, z którym nie potrafimy sobie poradzić we własnym zakresie najlepiej jest zwrócić się do firmowego informatyka. Powinien on, w ramach swoich codziennych obowiązków, pomóc nam uporać z naprawą urządzenia. W świetle przepisów Ustawy o Ochronie Danych Osobowych (UoODO) z 29 sierpnia 1997 r. warunkiem koniecznym do realizacji procesu naprawy sprzętu przez taką osobę, zatrudnioną na podstawie umowy o pracę lub umowy cywilno-prawnej, jest uprzednie nadanie jej upoważnienia do przetwarzania danych osobowych. Warto zadbać o to, aby w takiej umowie lub innych dokumentach określających rodzaj współpracy zawrzeć zapisy dotyczące zachowania przez nią poufności danych.

Firma bez specjalisty – co wtedy

Jeśli organizacja nie zatrudnia nikogo na stanowisku informatyka, a korzysta z usług IT zewnętrznej firmy, powinniśmy zgłosić się właśnie do jej przedstawiciela. Zgodnie z UoODO w takim przypadku przed jakimkolwiek udostępnieniem służbowego sprzętu powinniśmy zadbać o to, aby w umowie z podmiotem świadczącym tego rodzaju usługi zawrzeć stosowne zapisy dotyczące powierzenia przetwarzania danych osobowych. Możemy ten aspekt pominąć w sytuacji, gdy naprawa realizowana będzie pod nadzorem osoby upoważnionej.

Skomplikowane naprawy

Jeśli jednak komputera nie uda naprawić się na miejscu i koniecznym okaże się odesłanie go do serwisu, wówczas niezbędne będzie zawarcie odpowiedniej umowy lub całkowite pozbawienie urządzenia danych w sposób uniemożliwiający ich odzyskanie. Według opinii podmiotu o charakterze doradczym jakim jest Grupa Robocza art. 29 ds. Ochrony Danych proces bezpiecznego usuwania danych osobowych wymaga, aby nośniki urządzeń zostały zniszczone lub rozmagnetyzowane albo dane osobowe zostały skutecznie usunięte poprzez ich kilkukrotne nadpisanie (co najmniej 3-krotne). Oczywiście, jeżeli sytuacja na to pozwala, najwygodniejszym rozwiązaniem jest przesłanie urządzenia do podmiotu zewnętrznego, z którym nie posiadamy podpisanej umowy dotyczącej powierzenia przetwarzania danych bez przedmiotowego nośnika. Warto zaznaczyć, że z powyższych kroków można zrezygnować pod warunkiem, że dysk takiego urządzenia przed wysłaniem do serwisu zewnętrznego zostanie zaszyfrowany. Wówczas możemy mieć pewność, że żadna osoba nieupoważniona nie uzyska do niego dostępu.

Zanim wrócimy do pracy

Uruchomienie sprzętu po odbiorze z serwisu zewnętrznego powinno być poprzedzone podjęciem stosowanych środków minimalizujących ryzyko zainfekowania sieci organizacji oraz wycieku poufnych informacji. W tym celu po przeprowadzonej konserwacji lub naprawie przed ponownym uruchomieniem komputera w sieci produkcyjnej należy skontrolować urządzenie w celu weryfikacji, czy nie zostało ono zmanipulowane oraz nie realizuje żadnych szkodliwych funkcji. Warto na zagrożonym komputerze wykonać pełne skanowanie programem antywirusowym.

Autor:

Damian Gąska, specjalista ds. bezpieczeństwa informacji ODO 24.