UODO: 23 proc. firm przekazuje wrażliwe dane pracowników w sposób niezabezpieczony

Połowa firm z sektora MŚP przekazuje dane osobowe swoich pracowników biurom księgowo-rachunkowym. 23 proc. tych przedsiębiorstw przyznaje, że przekazywane wrażliwe dane nie są zabezpieczone – poinformował Urząd Ochrony Danych Osobowych, publikując wyniki badania na ten temat.

Z badania przeprowadzonego na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów pod patronatem UODO wynika, że 95 proc. mikro, małych i średnich przedsiębiorców przetwarza dane osobowe pracowników, z czego 49 proc. przekazuje je do biur księgowo-rachunkowych.

„Przytłaczająca większość z tej grupy (88 proc.) uważa, że są one przez podwykonawców prawidłowo zabezpieczone przed dostępem niepowołanych osób. Z drugiej jednak strony aż 45 proc. respondentów boi się, że mogą one zostać skradzione” – poinformował Urząd Ochrony Danych Osobowych (UODO).

Aż 23% firm MŚP przyznaje, że przekazuje wrażliwe dane zatrudnionych osób w sposób zupełnie niezabezpieczony – wynika z badania serwisu https://t.co/gwHedKAvqA i KRD pod patronatem UODO.

👉https://t.co/jzcB0oJdf1

— Urząd Ochrony Danych Osobowych (@UODOgov_pl) August 23, 2024

Mikro, małe i średnie firmy najczęściej przetwarzają imię i nazwisko zatrudnianych pracowników (86 proc.), a także numer telefonu (80 proc.). Nieco rzadziej adres zamieszkania i numer PESEL (po 75 proc.). W dalszej kolejności adres e-mail (70 proc.), numer rachunku bankowego (68 proc.) i dowodu osobistego (62 proc.), oraz dane zdrowotne o absencjach czy przebytych chorobach (43 proc.).

„W rezultacie z powodu słabego poziomu zabezpieczeń w wielu MŚP, hakerzy w bardzo prosty sposób mogą wykraść komplet danych osobowych potrzebnych do popełnienia przestępstwa” – poinformowali autorzy raportu.

Jak podano, połowa firm z sektora MŚP przekazuje dane osobowe swoich pracowników współpracującym z nimi biurom księgowo-rachunkowym.

„I choć zdecydowana większość przedsiębiorców uważa, że są one przez zewnętrzne firmy prawidłowo chronione, to jednocześnie sama ułatwia pracę hakerom. Aż 23 proc. ankietowanych przedsiębiorstw z tej grupy przyznaje, że przekazuje wrażliwe dane zatrudnionych osób w sposób zupełnie niezabezpieczony” – podano w informacji.

Autorzy zwrócili uwagę, że chociaż papierowa dokumentacja przechodzi do lamusa, to w tej formie biurom rachunkowo-księgowym czy agencjom HR nadal dokumenty dostarcza 38 proc. ankietowanych. Znacznie częściej – jak podano – przedsiębiorstwa z sektora MŚP przekazują dane osobowe pracowników w formie elektronicznej.

„Niestety przez lekceważenie zasad cyberbezpieczeństwa ta wygodna forma komunikacji z zewnętrznymi kadrami naraża na niebezpieczeństwo część pracowników” – wskazali autorzy raportu.

Dodali oni, że zaledwie 31 proc. respondentów wysyła szyfrowane e-maile z załącznikiem chronionym hasłem dostępu do pliku. Najczęściej takie zabezpieczenie stosują średnie firmy (38 proc.), a rzadziej małe i mikro (po 31 proc.). Natomiast 22 proc. przedsiębiorców przesyła szyfrowane e-maile z załącznikiem, choć nie są one zabezpieczone hasłem, zaś 16 proc. przechowuje szyfrowane dokumenty w chmurze, które następnie udostępnia zewnętrznym partnerom.

Eksperci podkreślili, że szyfrowana komunikacja e-mailowa na nic się zda, jeżeli załączane do niej pliki z danymi osobowymi pracowników nie będą dodatkowo chronione hasłem. Wystarczy, że nadawca pomyli adres odbiorcy, by takie dane trafiły do niewłaściwej osoby i doszło do naruszenia ochrony danych.

Wśród firm z sektora MŚP zdarzają się również przedsiębiorstwa, które całkowicie nieodpowiedzialnie podchodzą do ochrony danych osobowych pracowników; 14 proc. respondentów wysyła podwykonawcom nieszyfrowane e-maile z załącznikiem bez wymaganego hasła dostępu do pliku – poinformowali autorzy raportu.

„To największa bolączka małych firm (23 proc.) z branży handlowej (25 proc.) i transportowej (21 proc.), które są obecne na rynku powyżej 10 lat (32 proc.). Zdecydowanie częściej funkcjonują w formie spółek (19 proc.) niż jednoosobowych działalności gospodarczych (5 proc.)” – wskazał ekspert serwisu ChronPESEL.pl, Bartłomiej Drozd.

Dodał on, że pomimo dużego biznesowego doświadczenia, bardzo lekceważąco podchodzą one do ochrony danych osobowych pracowników i klientów, które w efekcie są wyjątkowo łatwym celem dla hakerów.

Równie lekkomyślnie – jak przekazano – postępuje 9 proc. ankietowanych, którzy przechowują nieszyfrowane dokumenty w chmurze, a następnie udzielają do niej dostępu firmom zewnętrznym. Bartłomiej Drozd wskazał, że to z kolei domena średnich firm (19 proc.) z branży produkcyjnej (81 proc.) i budowlanej (22 proc.), które są obecne na rynku od 5 do 10 lat.

„To bardzo niepokojące, ponieważ te przedsiębiorstwa zatrudniają od 50 do 250 osób. Pomimo stosunkowo dużej skali działalności, a więc atrakcyjności dla cyberprzestępców, wyjątkowo lekceważą zagrożenie ze strony hakerów” – poinformował ekspert.

Jego zdaniem jedną z przyczyn może być błędne myślenie, że przekazanie danych pracowników zewnętrznemu biuru rachunkowo-księgowemu lub agencji HR zwalnia ich z odpowiedzialności w razie wycieku czy kradzieży dokonanej przez cyberprzestępców.

„Tak nie jest” – dodał Bartłomiej Drozd.

„To nie zamyka listy grzechów MŚP. 5 proc. z nich co prawda już nie wozi do biura rachunkowo-księgowego papierowych dokumentów pracowników, ale przekazuje je na pendrive lub zewnętrznym dysku. Jeśli ten zginie lub zostanie skradziony, dane pracowników stają się dostępne dla postronnych osób” – podano w raporcie.

Prezes UODO, Mirosław Wróblewski, uważa, że administratorzy danych, czyli pracodawcy, powinni przeprowadzić analizę ryzyka i zidentyfikować zagrożenia, jeżeli przekazują dane na nośnikach typu pendrive.

„Analiza powinna wykazać konieczność odpowiedniego zabezpieczenia takich urządzeń. Istnieją na rynku szyfrowane nośniki tego typu. Pliki można także zaszyfrować, co w przypadku zgubienia takiej przenośnej pamięci czy jej kradzieży uniemożliwi albo przynajmniej utrudni zapoznanie się z danymi bez znajomości hasła” – wskazał Mirosław Wróblewski, cytowany w komunikacie.

Badanie zostało przeprowadzone w maju br. techniką wywiadów internetowych (CAWI) na próbie 400 przedstawicieli firm MŚP spełniających kryterium decyzyjności oraz przetwarzających dane osobowe.

PAP