Pomimo alarmu i ochrony skradziono pendrive'a z Ośrodka Pomocy Społecznej. Były tam dane osobowe

„W wyniku włamania do budynku i pomieszczeń Ośrodka Pomocy Społecznej, chronionych systemem alarmowym i przez agencję ochrony mienia, oraz przełamania zabezpieczeń szaf i szuflad skradziono elektroniczny nośnik pamięci – pendrive z danymi osób, którym wypłacano świadczenia” – czytamy w komunikacie Gminy Wolin z 27 października br.

W zawiadomieniu podkreślono, że ze względu na okoliczności zdarzenia istnieje prawdopodobieństwo, że osoba nieuprawniona nie zapoznała się z danymi osobowymi. Policjanci zatrzymali 33-latka podejrzewanego o włamanie – grozi mu do 10 lat więzienia. Funkcjonariusze odzyskali skradziony pendrive.

Według TVP3 Szczecin, incydent może dotyczyć około 300 interesantów pobierających świadczenia rodzinne lub z funduszu alimentacyjnego. Naruszenie ochrony dotyczy poniższych kategorii informacji:

• imię i nazwisko;
• adres zamieszkania (lub pobytu);
• numer rachunku bankowego.

Niezmiennie wszystkim czytelnikom rekomendujemy zastrzeżenie numeru PESEL – warto to zrobić nawet, gdy nie podejrzewamy incydentu.

Ochrona fizyczna i szyfrowanie

Zdarzenie jasno pokazuje, że podczas analizy ryzyka powinniśmy uwzględniać ewentualną kradzież bądź zgubienie nośników danych, szczególnie jeśli mowa o pendrive’ach oraz dyskach zewnętrznych. Jednocześnie OPS Wolin zapewnił, że pendrive nie był wcześniej wynoszony poza teren Ośrodka.

W komunikacie wskazano, że nośnik pamięci był skradziony wskutek „przełamania zabezpieczeń szaf i szuflad” – choć nie znamy szczegółów, fizyczne zabezpieczenie miejsc przechowywania danych osobowych jest bardzo ważne.

Doskonale pokazuje to przykład kradzieży dysku twardego z danymi osób niepełnosprawnych z siedziby Wojewódzkiego Zespołu do spraw Orzekania o Niepełnosprawności w Województwie Podkarpackim, co opisywaliśmy na naszych łamach w styczniu br.

Praktycznym elementem zabezpieczania informacji przed naruszeniem poufności jest szyfrowanie, wymienione w RODO jako przykład środka minimalizującego ryzyko naruszenia praw i wolności osób fizycznych (art. 32 ust. 1 lit. a). Warto podkreślić, że szyfrowany może być cały nośnik (nie tylko pojedyncze pliki) w ramach rozwiązania znanego jako FDE (ang. full disk encryption).

Nie powinniśmy zapominać również o odpowiednim przechowywaniu hasła do plików: jeśli będzie ono w tym samym fizycznym miejscu co nośnik, jego użyteczność jest bliska zeru.

Przekonała się o tym m.in. brytyjska ochrona zdrowia (NHS) prawie 18 lat temu, gdy jeden z pracowników zgubił zaszyfrowany pendrive z danymi medycznymi byłych oraz obecnych więźniów – kartka z hasłem była przyczepiona do nośnika danych.

Do podobnego zdarzenia doszło w 2022 roku w Nowej Zelandii.

OPS i PUP na celu

Przez ostatnie trzy lata byliśmy świadkami wielu incydentów (szczególnie cyberataków) w ośrodkach pomocy społecznej oraz powiatowych urzędach pracy. Na naszych łamach opisywaliśmy ataki m.in. na:

• MGOPS w Sędziszowie Małopolskim (ransomware, maj 2024);
• PUP w Policach (ransomware, sierpień 2024);
• PUP w Bartoszycach (ransomware, styczeń 2025);
• OPS w Pszowie (ransomware, luty 2025);
• PUP w Żorach (ransomware, marzec 2025);
• GOPS w Fredropolu (włamanie do skrzynki pocztowej, wrzesień 2025);
• PUP w Aleksandrowie (nieuprawniony dostęp do infrastruktury dostawcy poczty elektronicznej, styczeń 2026);
• Grodzki Urząd Pracy w Krakowie (możliwość nieuprawnionego dostępu do danych, maj 2026);
• GOPS w Kuźnicy (włamanie do skrzynki pocztowej, czerwiec 2026).

W 2018 roku Najwyższa Izba Kontroli wskazała niski poziom bezpieczeństwa informacji w obiektach publicznych (m.in. OPS) w województwie podlaskim. W 2024 roku NIK wykazał m.in. korzystanie z komercyjnych domen bez zawarcia umów powierzenia przez 10 OPS-ów.