Nośniki danych w dobie transformacji

  W dobie transformacji cyfrowej dane stały się jednym z najcenniejszych zasobów organizacji. Firmy gromadzą je w coraz większych wolumenach, na różnorodnych nośnikach – od serwerów i macierzy dyskowych, przez kopie zapasowe na taśmach, po przenośne dyski i nośniki USB. Organizacje inwestują w cyberbezpieczeństwo, ale rosnąca liczba zagrożeń jak cyberataki, wycieki danych, awarie techniczne czy incydenty fizyczne (np. pożar) powoduje, że zapominają o tym, iż jednym z najsłabszych ogniw ochrony informacji są właśnie te fizyczne nośniki danych. Nośniki te przechowują często ogromne ilości informacji (np. dane osobowe), często bez odpowiednich zabezpieczeń, jak i same nośniki są przechowywane w niewłaściwy sposób. W tym kontekście bezpieczne przechowywanie nośników danych przestaje być wyłącznie zagadnieniem technicznym, a staje się krytycznym tematem biznesowymi regulacyjnym.

Dane jako aktywo biznesowe i źródło ryzyka

    Dane napędzają kluczowe procesy biznesowe – od obsługi klientów, przez podejmowanie decyzji zarządczych, po innowacje i rozwój nowych usług. Jednocześnie ich utrata, nieuprawniony dostęp lub zniszczenie mogą prowadzić do:

•  poważnych strat finansowych,
•   utraty reputacji i zaufania klientów,
•   przerw w ciągłości działania,
•   sankcji regulacyjnych i kar administracyjnych.

     Bezpieczne przechowywanie nośników danych obejmuje nie tylko ochronę logiczną (systemy IT, szyfrowanie), ale również ochronę fizyczną nośników, kontrolę dostępu, właściwe procedury archiwizacji oraz bezpieczne niszczenie danych po zakończeniu ich cyklu życia. Pendrive pozostawiony w szufladzie. Laptop wyniesiony poza firmę. Dyski oddane do serwisu lub magazynu. Archiwum dostępne „dla wszystkich”. Tak właśnie bardzo często dochodzi do wycieków danych.

Bezpieczeństwo nośników to element jakości i odporności organizacji

   W nowoczesnym zarządzaniu dane są traktowane jako zasób strategiczny. Ich: dostępność, integralność i poufność mają bezpośredni wpływ na jakość procesów, decyzji i ciągłość działania. Dlatego coraz częściej temat bezpiecznego przechowywania nośników pojawia się w kontekście:

• systemów zarządzania jakością (ISO 9001),
• bezpieczeństwa informacji (ISO/IEC 27001),
• odpowiedzialności i ESG,
• czy wymogów prawnych jak: DORA, RODO, KSC, NIS2.

      W świecie, w którym dane są walutą, zaniedbanie bezpieczeństwa nośników to jedno z największych i najbardziej kosztownych ryzyk, jakie może podjąć organizacja.

KSC – bezpieczeństwo informacji jako element bezpieczeństwa państwa

  Obowiązująca ustawa o krajowym systemie cyberbezpieczeństwa (KSC) nakłada na operatorów usług kluczowych oraz dostawców usług cyfrowych obowiązek zapewnienia odpowiedniego poziomu bezpieczeństwa systemów informacyjnych. Poziom bezpieczeństwa obejmuje również dane, które są przetwarzane poza systemami. Obowiązki te to m.in.:

•  zarządzanie ryzykiem związanym z bezpieczeństwem informacji,
•  stosowanie adekwatnych środków technicznych i organizacyjnych,
•  ochronę danych przetwarzanych w systemach, ale także na nośnikach wykorzystywanych do kopii zapasowych czy archiwizacji.

   Niewłaściwe przechowywanie nośników danych może zostać uznane za lukę w systemie bezpieczeństwa, prowadzącą do incydentu cyberbezpieczeństwa w rozumieniu KSC.

NIS2 – rozszerzona odpowiedzialność i większe wymagania

  Dyrektywa NIS2 znacząco rozszerza w stosunku do poprzedniej wersji NIS zakres podmiotów objętych regulacjami w obszarze cyberbezpieczeństwa oraz zaostrza wymagania dotyczące zarządzania ryzykiem. W praktyce oznacza to konieczność całościowego podejścia do ochrony informacji – obejmującego cały cykl życia danych. Bezpieczne przechowywanie nośników danych wpisuje się w wymagania NIS2 dotyczące:

•   bezpieczeństwa łańcucha dostaw,
•   ciągłości działania i planów odtwarzania po awarii,
•   zapobiegania incydentom oraz minimalizacji ich skutków.

  Utrata fizycznego nośnika z danymi może być traktowana jako poważny incydent, podlegający obowiązkowi zgłoszenia.

DORA – odporność operacyjna sektora finansowego

  Rozporządzenie DORA koncentruje się na odporności operacyjnej instytucji finansowych. Jednym z jego kluczowych celów jest zapewnienie, że organizacje są w stanie chronić dane oraz szybko odzyskać zdolność operacyjną po zakłóceniach. W tym kontekście bezpieczne przechowywanie nośników danych ma kluczowe znaczenie dla:

•  ochrony kopii zapasowych i danych krytycznych,
• testowania planów ciągłości działania,
• minimalizowania ryzyka utraty danych wskutek awarii lub incydentów fizycznych.

     Nieodpowiednie zabezpieczenie nośników może bezpośrednio podważyć odporność operacyjną, której wymaga DORA.

RODO – ochrona danych osobowych w praktyce

  RODO jasno wskazuje, że administrator danych ma obowiązek stosować odpowiednie środki techniczne
i organizacyjne w celu zapewnienia bezpieczeństwa danych osobowych. Dotyczy to zarówno danych przetwarzanych „na żywo” w systemach IT, jak i tych zapisanych na nośnikach. Bezpieczne przechowywanie nośników danych jest przykładowo kluczowe dla realizacji zasad:

•  poufności i integralności danych,
•  minimalizacji ryzyka naruszenia ochrony danych osobowych,
•  rozliczalności administratora.

  Zgubiony lub skradziony nośnik zawierający dane osobowe może prowadzić do naruszenia ochrony danych, obowiązku zgłoszenia incydentu do organu nadzorczego oraz wysokich kar finansowych.

Bezpieczne przechowywanie nośników jako element strategii biznesowej

  W świetle wymienionych wyżej przykładowych uregulowań prawnych (KSC, NIS2, DORA i RODO) można powiedzieć, że bezpieczne przechowywanie nośników danych nie jest już tylko kwestią „dobrych praktyk IT”. To element strategii zarządzania ryzykiem, ciągłością działania i zgodnością regulacyjną.

  Z perspektywy strategicznej właściwe przechowywanie nośników jest formą zarządzania ryzykiem. Organizacje muszą brać pod uwagę nie tylko zagrożenia cyfrowe, ale również ryzyka fizyczne, takie jak nieautoryzowany dostęp, błędy ludzkie, awarie infrastruktury czy zdarzenia losowe. Odpowiednio zaprojektowany system przechowywania i ochrony nośników wspiera realizację planów ciągłości działania oraz umożliwia szybkie odtworzenie danych w sytuacjach kryzysowych, minimalizując przestoje operacyjne.

 Bezpieczne przechowywanie nośników danych stało się dziś krytycznym tematem biznesowym, ponieważ łączy w sobie kwestie technologiczne, regulacyjne i strategiczne. Wymagania prawne jednoznacznie pokazują, że ochrona danych musi być kompleksowa – obejmować zarówno systemy informatyczne, jak i fizyczne nośniki informacji. Organizacje, które zlekceważą ten obszar, narażają się nie tylko na incydenty bezpieczeństwa, ale również na poważne konsekwencje prawne i biznesowe. Włączenie zasad bezpiecznego przechowywania nośników do strategii biznesowej ułatwia spełnienie wymagań, usprawnia procesy audytowe oraz wzmacnia odpowiedzialność organizacji za powierzone jej dane. Bezpieczne przechowywanie nośników ma także wymiar ekonomiczny i wizerunkowy. Koszty związane z incydentami bezpieczeństwa, karami administracyjnymi czy utratą reputacji często znacząco przewyższają nakłady poniesione na prewencję.

 Chcą bezpiecznie przechowywać zewnętrzne nośniki danych warto zapoznać się z usługą świadczoną przez NG Solutions, polegającą na bezpiecznym przechowywaniu nośników danych w swoich sejfach, gwarantując jednocześnie prosty dostęp do nich w przypadku wystąpienia awarii, cyberataku czy innych zdarzeń losowych, czego oczywiście nikomu nie życzę.

Autor: Przemysław Chąciak, Pełnomocnika Bezpieczeństwa Informacji