Ta decyzja Prezesa UODO pokazuje jak istotne jest skuteczne zarządzanie możliwymi podatnościami oraz bieżące analizowanie i wykrywanie słaby punktów w infrastrukturze telekomunikacyjnego administratora danych. Organ nadzorczy otrzymał zgłoszenie od Prezydenta Miasta O. naruszenia ochrony danych: pracowników, użytkowników, klientów obecnych i potencjalnych oraz klientów podmiotów publicznych Urzędu Miasta O., do którego doszło najprawdopodobniej w dniu […] października 2021 r. naruszenie ochrony danych osobowych polegało na przełamaniu zabezpieczeń systemu informatycznego i zaszyfrowaniu, za pomocą oprogramowania ransomware […], trzech serwerów Urzędu Miasta O., wykorzystywanych do przetwarzania danych osobowych W konsekwencji Administrator został pozbawiony dostępu do ww. systemu oraz znajdujących się w nim danych osobowych. Administrator określił skalę powstałego naruszenia, która wykazała, że zaszyfrowane bazy danych obejmowały około 50 000 rekordów danych osobowych w zakresie obejmującym imię i nazwisko, imiona rodziców, data urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, numer ewidencyjny PESEL, adres e-mail, dane dotyczące zarobków lub/i posiadanego majątku, seria i numer dowodu osobistego, numer telefonu oraz nazwisko rodowe matki. W trakcie wyjaśniania przedmiotowego naruszenia – Prezydent Miasta O. przedstawił, organowi nadzorczemu, procedurę dokonywania kopii zapasowych: kopie zapasowe serwera (z zawartością plików i baz danych) tworzone są w sposób zautomatyzowany w oparciu o wykorzystanie programowej funkcji serwera, kopie bezpieczeństwa sporządzane są także dla dokumentacji gromadzonej na dyskach stacji roboczych użytkowników w wybranym katalogu (np. w katalogu C:/Dokumenty), kopie przyrostowe tworzy się codziennie o g. 18.00, a kopie całościowe sporządzane są raz w miesiącu. przechowywanych jest 12 kopii miesięcznych przez okres roku (najstarsze kopie są nadpisywane w cyklu rotacyjnym). kopie sporządzane są na wydzielonym serwerze NAS. Co miesiąc sporządzana jest kopia serwera NAS na dysk przenośny, który przechowywany jest w sejfie w pomieszczeniu szefa działu informatyki. Informatyk sprawuje nadzór nad poprawnością wykonania kopii zapasowych NAS oraz na dysku przenośnym. Niszczenie dysków z kopiami odbywa się komisyjnie, a nośniki niszczone są przez fizyczne zniszczenie, pocięcie po wymontowaniu z obudowy. Jak widać – tak szczegółowa procedura […]