Ktoś fizycznie włamał się do archiwum dokumentów na Śląsku

„(…) 19 marca 2026 r. ujawniliśmy włamanie do jednego z pomieszczeń archiwalnych Urzędu Miasta, zlokalizowanego poza naszą główną siedzibą. Nieznany sprawca przełamał zabezpieczenia fizyczne (wyłamanie drzwi) i uzyskał dostęp do wnętrza” – czytamy w komunikacie Urzędu Miasta Chorzów z 26 marca br.

Wstępne ustalenia urzędu nie wykazały braków. Jednocześnie UM w Chorzowie nie wyklucza, że nieuprawniona osoba mogła „zapoznać się z treścią niektórych dokumentów”.

Zakres naruszenia i działania naprawcze

W komunikacie wyróżniono rodzaje danych, które bezpieczeństwo mogło ulec naruszeniu. Mowa o:

• imię i nazwisko;
• adres zamieszkania;
• numer PESEL.

Chorzowski urząd poinformował o zdarzeniu Policję oraz Prezesa Urzędu Ochrony Danych Osobowych. „Podjęliśmy działania w celu dodatkowego wzmocnienia zabezpieczeń fizycznych i technicznych obiektu” – kwituje UM.

Głos eksperta

Myśląc o bezpieczeństwie infrastruktury – również informatycznej - nie możemy pomijać aspektu fizycznej ochrony. O komentarz w tej sprawie poprosiliśmy Krzysztofa Smagę (CyberDuckSecurity).

Oskar Klimczuk, CyberDefence24: Dlaczego bezpieczeństwo fizyczne jest ważne dla ochrony systemów informatycznych?

Krzysztof Smaga, CyberDuckSecurity: Bezpieczeństwo fizyczne często jest pomijane w kontekście ochrony informacji. Wielu specjalistów w różnych przedsiębiorstwach i instytucjach państwowych skupia się na warstwie cyfrowej ochrony dostępu do informacji, bagatelizując lub nie będąc świadomymi zagrożeń fizycznych.

Dziś musimy skupić się na obu aspektach ochrony dostępu do informacji. Fizyczny dostęp powinien być możliwy po spełnieniu warunków kontrolnych, najlepiej zgodnie z metodyką Zero Trust – weryfikacji, czy dany podmiot jest tym, za kogo się podaje oraz czy faktycznie ma uprawnienia do danego dostępu.

Ochrona obiektów winna składać się z kilku warstw. Niczym w znanej animacji, powinna być zatem jak cebula:

1. Strefa zewnętrzna: monitoring, ogrodzenie, kontrola dostępu do budynku (np. karty zbliżeniowe);
2. Strefa składowania: magazyny z ograniczonym dostępem (tylko dla upoważnionych pracowników), czujniki dymu i zalania;
3. Strefa bezpośrednia: specjalistyczne regały, gdzie każdy regał (np. typu compact) może zostać otwarty przez uprawnioną osobę (weryfikacja np. poprzez czytniki linii papilarnych).

Należy zawsze pamiętać, że archiwa to analogowe odpowiedniki baz danych. Są zatem one źródłem cennych – dla przestępców – informacji. Chronimy nasze bazy danych, zatem chrońmy także archiwa.

Realne incydenty

W styczniu br. informowaliśmy o kradzieży dysku twardego z Wojewódzkiego Zespołu do spraw Orzekania o Niepełnosprawności w Województwie Podkarpackim. Na nośniku danych znajdowały się informacje dotyczące m.in. stanu zdrowia.

W 2013 roku policjanci z Komendy Stołecznej Policji zatrzymali dwie osoby podejrzane o kradzież laptopa z hotelowej serwerowni.

„Dwóch mężczyzn, wykorzystując nieuwagę pracowników ochrony, drzwiami od zaplecza dostało się do pomieszczenia serwerowni” – stwierdzono w komunikacie KSP, co pokazuje konieczność wdrażania m.in. kontroli wejścia i wyjścia do takich pomieszczeń. Sprawcom zdarzenia groziło do 5 lat więzienia.

Rok później Komenda Miejska Policji w Katowicach informowała o zatrzymaniu trzech osób w związku z włamaniem do budynku serwerowni, który w 2012 roku został „przejęty i wyremontowany przez firmę telekomunikacyjną”.

Bardzo ważne stwierdzenie znalazło się w raporcie amerykańskiego Departamentu Zdrowia i Opieki Społecznej (HHS), poświęconym naruszeniom bezpieczeństwa danych dot. zdrowia w latach 2013-2014:

Największe naruszenie bezpieczeństwa (ang. breach – przyp. red.) w 2013 roku było skutkiem włamania do siedziby podmiotu objętego przepisami (prawa ochrony danych medycznych, HIPAA – przyp. red.) i dotknęło około 4 milionów osób. Skradziono cztery niezaszyfrowane komputery zawierające chronione informacje zdrowotne pacjentów.
Annual Report to Congress on Breaches of Unsecured Protected Health Information For Calendar Years 2013 and 2014, HHS (USA)

Co to oznacza?

Bezpieczeństwo informacji musi uwzględniać aspekt bezpieczeństwa fizycznego – zarówno w przypadku papierowych dokumentów oraz systemów informatycznych. Każdy nośnik danych może zostać skradziony lub zniszczony.

Fizyczny dostęp powinien być możliwy po spełnieniu warunków kontrolnych, najlepiej zgodnie z metodyką Zero Trust.
Krzysztof Smaga (CyberDuckSecurity) dla CyberDefence24

Znanym przykładem nadmiernego zaufania do nieznanych osób jest słynny film „Czy możesz wejść wszędzie z drabiną?” autorstwa Troy’a Kinne’a, gdzie – dosłownie – wchodzi wszędzie z drabiną, bez posiadania odpowiednich uprawnień. Mowa tutaj o m.in. pięciogwiazdkowym hotelu, luksusowej restauracji czy placu budowy.

Pamiętajmy o tym, że niezależnie od tego, czy nasze dane uległy naruszeniu ochrony, warto zastrzec swój numer PESEL. Należy również zachować ostrożność wobec kontaktu z osobami, które próbują nakłonić nas do podjęcia określonych przez nich działań (np. inwestycji, przekazania pieniędzy lub podania danych osobowych) – bardzo często będą to próby oszustwa.