CyberSec Update #29: Regularne testowanie TOMs | KWKR
Ocena skuteczności TOMs musi być regularna i oparta na procedurze
W jednym ze swoich ostatnich wyroków z zakresu sprawy ochrony danych osobowych (wyrok z 7 maja 2026 r., sygn. III OSK 2694/23) Naczelny Sąd Administracyjny przyznał rację argumentom Prezesa UODO, który nałożył na przedsiębiorcę administracyjną karę pieniężną za brak wdrożenia odpowiednich środków ochrony danych osobowych.
Co powinna uwzględniać Twoja procedura?
W ocenie Prezesa UODO wśród środków, które wdrożył ukarany przez niego podmiot, zabrakło procedur dotyczących regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania i które byłyby przez ten podmiot przestrzegane. Środki techniczne i organizacyjne, czyli tzw. TOMs (od ang. Technical and Organizational Measures) wdrażane są przez organizację w celu ochrony danych i ograniczenia ryzyka, zgodnie z wymaganiami RODO.
Nie testujesz i nie mierzysz TOMs więc liczysz się z naruszeniem
Ukarany podmiot posiadał liczne procedury i polityki opisujące proces przetwarzania danych i zostały one przekazane organowi nadzoru w trakcie kontroli. To, czego jednak zabrakło zdaniem Prezesa UODO, to brak uregulowania w nich kwestii regularnego mierzenia i testowania wdrożonych środki bezpieczeństwa. Ta okoliczność przyczyniła się do wystąpienia naruszenia ochrony danych osobowych.
Testy w sytuacji zagrożenia to za mało
Przeprowadzanie testów w sytuacji pojawiającego się zagrożenia, bez wprowadzenia procedury, która ma określać harmonogram działań i ich regularność jest niewystarczająca. Pomimo wdrożenia różnych środków technicznych i organizacyjnych ukarany podmiot nie był w stanie wykryć podatności ze względu na brak regularnych testów wdrożonego systemu.
Ugruntowane orzecznictwo
Wyrok NSA w tej sprawnie nie jest przełomowy, gdyż orzecznictwo sądów administracyjnych mówi od dłuższego czasu jednym głosem w sprawie zasad przeprowadzania przez administratorów analizy prowadzonych procesów przetwarzania danych i dokonywania oceny ryzyka.
Prawodawca nie wskazuje administratorom listy konkretnych środków
Zaprowadzane środki i procedury mają być adekwatne do oszacowanego ryzyka, a konsekwencją tak przyjętej orientacji jest rezygnacja z listy wymagań, które narzuca prawodawca. To na administratorze ciąży obowiązek samodzielnego doboru zabezpieczeń w oparciu o dokonaną uprzednio analizę zagrożeń (ocenę ryzyka). Zwieńczeniem tego procesu powinno być zastosowanie środków i procedur, które będą adekwatne do oszacowanego ryzyka.
Jak wnioski UODO przełożyć na cyberbezpieczeństwo w SZBI?
Ochrona danych osobowych i cybezpieczeństwo to przenikające się dziedziny. Jedna bez drugiej praktycznie dzisiaj nie występuje. Jakie wnioski z oceny Prezesa UDODO mogą płynąć w kontekście środków technicznych i organizacyjnych wdrażanych w ramach SZBI?
Podmiot kluczowy lub ważny, który wdraża system zarządzania bezpieczeństwem informacji (SZBI), musi zadbać o to, aby uwzględniał on odpowiednie i proporcjonalne do oszacowanego ryzyka środki techniczne i organizacyjne. Stanowi o tym art. 8 ust. 1 ustawy o KSC. Testowanie systemu informacyjnego jest jednym z wymogów prawidłowej eksploatacji systemu informacyjnego.
Wnioski, które płynął z decyzji Prezesa UODO, warto przenieść również na grunt obszaru cyberbezpieczeństwa. Zatem testujmy i mierzmy środki ochrony na podstawie procedury, które będą przewidywały w tym zakresie spójność i regularność. Przeprowadzając testy wyłącznie w sytuacji zagrożenia, organizacja nie spełnia oczekiwań organów nadzorczych.
