Incydent w Zegrzu. Dostęp wymagał specjalistycznej wiedzy

W piątek 24 lipca w mediach pojawiły się doniesienia o zdarzeniu, do którego doszło w Centrum Szkolenia Łączności i Informatyki w Zegrzu. Jak informowaliśmy na naszych łamach, dane 392 żołnierzy miały zostać przeniesione na dostępny dla całej jednostki dysk OneDrive. Za incydent miał być odpowiedzialny żołnierz Wojsk Obrony Terytorialnej z Sekcji Ekonomicznej CSŁiI.

Pliki nie były dostępne z publicznej sieci

Skierowaliśmy pytania do jednostki w związku ze sprawą. Według odpowiedzi przekazanej redakcji CyberDefence24 przez oficera prasowego Centrum, zdarzenie dotyczyło niewłaściwej konfiguracji uprawnień dostępu do dokumentu zawierającego dane osobowe. Podkreślono przy tym, że brak jest obecnie potwierdzenia co do wyprowadzenia danych poza chronione środowisko sieciowe Ministerstwa Obrony Narodowej czy ich publikacji w internecie.

„Dostęp do udostępnionych plików nie był możliwy w sposób bezpośredni. Wymagało to skorzystania z wbudowanej wyszukiwarki, co w praktyce wiązało się z koniecznością posiadania specjalistycznej wiedzy technicznej” – wyjaśnił oficer prasowy CSŁiI.

Sam incydent miał zostać zidentyfikowany od razu po pojawieniu się informacji, że mogło dojść do nieprawidłowości. Oprócz ograniczenia dostępu do dokumentu, zabezpieczono także materiał dowodowy i rozpoczęto wyjaśnianie sprawy. O zdarzeniu zawiadomiono też Prezesa Urzędu Ochrony Danych Osobowych.

Czynności wyjaśniające trwają

Z otrzymanych przez nas informacji wynika, że był to pierwszy incydent tego rodzaju w jednostce, jednak nie zakłócił on funkcjonowania systemów oraz realizacji zadań Centrum. Nadal mają się toczyć wewnętrzne czynności wyjaśniające dotyczące odpowiedzialności poszczególnych osób.

„Do czasu ich zakończenia jednostka nie komentuje sytuacji personalnej ani ewentualnych postępowań dotyczących konkretnych osób” – dodał oficer prasowy w odpowiedzi dla redakcji CyberDefence24.

Przetwarzanie danych będzie mocniej monitorowane

Ciekawa jest natomiast kwestia działań zapobiegawczych i sformułowanych wniosków. W notatce z wnioskami jako ryzyka wskazano niską świadomość użytkowników w zakresie kategoryzacji danych oraz błędy w zarządzaniu linkami współdzielonymi. Odpowiedzią na nie ma być „kompleksowy program edukacyjny”, w którym znalazły się obowiązkowe szkolenia dla żołnierzy i pracowników, a także opracowanie „Karty dobrych praktyk OneDrive”.

Tytuł wspomnianej Karty zdaje się potwierdzać doniesienia Onetu, że sytuacja miała miejsce na dysku OneDrive. Jednakże przekazane naszej redakcji szczegóły wskazują, że jest on dedykowanym rozwiązaniem dla wojska, które w odróżnieniu od komercyjnej i publicznej wersji nie jest dostępne z poziomu otwartego internetu. Niemniej, jak zaznaczono w art. 4 ust. 12 rozporządzenia RODO, naruszenie ochrony danych osobowych jest działaniem, wskutek którego dochodzi do ujawnienia danych, bez względu na miejsce zdarzenia.

„Wprowadzono cykliczne kontrole techniczne i audyty uprawnień, w tym zasadę „czystego dysku sieciowego” oraz niezapowiedziane weryfikacje aktywnych linków udostępniania” – czytamy w odpowiedzi oficera prasowego Centrum Szkolenia Łączności i Informatyki. Kierownicy komórek otrzymali z kolei obowiązek rygorystycznego monitorowania procesów przetwarzania danych.