Wyciek danych przez oprogramowanie dostawcy

Dlaczego do wycieku dochodzi

Wyciek przez oprogramowanie dostawcy rzadko zaczyna się od jednego błędu w dniu ataku. Zwykle schodzą się warunki, które firma akceptowała wcześniej, bo system działał i nikt nie pytał, jak długo dane w nim zostają.

Dane są przechowywane latami: w produkcji, w eksportach, w archiwach i w kopiach zapasowych. Im dłużej faktura, numer rachunku albo rekord pacjenta leży w systemie, tym dłużej jest dostępny dla kogoś, kto wejdzie w to środowisko.

Osobnym warunkiem jest podatność w komponencie, który przyjmuje pliki od użytkowników. Taki komponent stoi blisko danych, bo otwiera, zapisuje i przekazuje dokumenty. Jeżeli z tej warstwy da się sięgnąć do klucza, który podpisuje sesję, atakujący nie musi łamać hasła każdego użytkownika. Podpisana sesja otwiera mu kolejne konta w tym samym środowisku.

Gdy jedno środowisko obsługuje wielu klientów naraz, wejście nie kończy się na jednej firmie. Ta sama podatność i ten sam klucz obejmują dane sąsiadów, jeżeli dostawca nie oddzielił ich w sposób, który da się wykazać.

Ostatni warunek jest organizacyjny. W niedzielę, w święto albo w nocy nie ma osoby, która umie ustalić, czy doszło do naruszenia, i złożyć zawiadomienie. Termin nie czeka na poniedziałek. Firma, która nie wyznaczyła takiej osoby, dowiaduje się o wycieku później, niż pozwala na to jej własny obowiązek.

Co jest zagrożone

Dla zarządu liczy się nie abstrakcyjna baza, tylko to, co z niej da się wykorzystać. Faktury pokazują, komu firma płaci i za co. Numery rachunków pozwalają podmienić odbiorcę przelewu. Dane klientów i pacjentów pozwalają podszyć się pod obsługę, wyłudzić kolejną płatność albo ujawnić informację, której firma nie miała prawa oddać.

Zagrożona jest też ciągłość samej firmy. System, w którym leżą zamówienia, rejestracja albo rozliczenia, po incydencie bywa wyłączony albo nie do zaufania. Praca staje, choć serwer formalnie odpowiada. Dostawca nie przejmuje tej przerwy na siebie tylko dlatego, że oprogramowanie jest jego.

Terminy, które zaczynają biec

Jeżeli firma jest administratorem danych osobowych, art. 33 rozporządzenia (UE) 2016/679 daje jej 72 godziny od stwierdzenia naruszenia na zgłoszenie do organu nadzorczego, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób. Gdy informacji jeszcze brakuje, zgłoszenie można uzupełniać etapami, ale bieg zaczyna się od tego, co firma już wie.

Jeżeli dostawca przetwarza dane w imieniu firmy, art. 33 ust. 2 nakazuje mu zawiadomić administratora bez zbędnej zwłoki po stwierdzeniu naruszenia. To nie przenosi 72 godzin na dostawcę. Administrator nadal liczy swój termin od chwili, w której sam uzyskał świadomość naruszenia, i dlatego potrzebuje informacji wcześniej, niż sam musi zgłosić sprawę organowi.

Gdy naruszenie może powodować wysokie ryzyko dla osób, art. 34 wymaga zawiadomienia tych osób bez zbędnej zwłoki, prostym językiem: co się stało, co firma już zrobiła i co osoba może zrobić sama. Brak zgłoszenia do organu albo brak zawiadomienia osób trzeba umieć wykazać.

Kary, które zarząd powinien znać

Art. 83 RODO rozróżnia dwa progi i przy każdym każe wziąć kwotę wyższą. Za niespełnienie obowiązków, do których należą obowiązki administratora i podmiotu przetwarzającego z art. 33 i art. 34, próg z art. 83 ust. 4 wynosi do 10 mln euro albo do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Za naruszenie zasad podstawowych przetwarzania, praw osób, których dane dotyczą, albo zasad przekazywania danych do państwa trzeciego, próg z art. 83 ust. 5 wynosi do 20 mln euro albo do 4% tego obrotu. Organ stosuje próg właściwy dla naruszonego obowiązku, a w jego ramach kwotę wyższą.

To są pułapy rozporządzenia, nie cennik. Wysokość w sprawie zależy od charakteru, wagi i czasu trwania naruszenia oraz od tego, co firma zrobiła po stwierdzeniu wycieku.

Rozporządzenie (UE) 2024/2847 dotyczy produktu z elementami cyfrowymi. Jeżeli producent takiego produktu nie dopełni obowiązków wobec aktywnie wykorzystywanej podatności albo poważnego incydentu, w grę wchodzi art. 64. Rozporządzenie wyznacza próg administracyjny za niespełnienie zasadniczych wymagań oraz obowiązków z art. 13 i art. 14: do 15 mln euro albo, gdy sprawcą jest przedsiębiorstwo, do 2,5% całkowitego rocznego światowego obrotu za poprzedni rok obrotowy, w zależności od tego, która kwota jest wyższa. Faktyczną karę określa prawo krajowe.

Sama usługa dostępna wyłącznie w przeglądarce nie wchodzi automatycznie w zakres rozporządzenia (UE) 2024/2847. Aplikacja mobilna wraz ze zdalnym przetwarzaniem danych, które jest do niej potrzebne, może w ten zakres wchodzić. To nie jest rozstrzygnięcie wobec konkretnej firmy.

Ustawa o krajowym systemie cyberbezpieczeństwa, w brzmieniu obowiązującym od 3 kwietnia 2026 r., dotyczy podmiotu kluczowego albo ważnego, a nie każdej firmy, która kupiła oprogramowanie. Taki podmiot zgłasza poważny incydent: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca. Te terminy nie zastępują zgłoszenia do organu ochrony danych.

Co z tego wynika dla zarządu

Przed incydentem zarząd powinien wiedzieć, które systemy trzymają faktury, rachunki oraz dane klientów i pacjentów, jak długo te dane zostają, kto przyjmuje pliki i czy z tej warstwy da się sięgnąć do klucza sesji. Powinien też wiedzieć, kto w niedzielę składa zawiadomienie. Po incydencie liczy się godzina stwierdzenia, informacja od dostawcy bez zbędnej zwłoki i decyzja, czy ryzyko dla osób jest wysokie. Kara nie jest jedynym skutkiem. Drugim jest przerwa w pracy i utrata zaufania do numeru rachunku, który firma sama podała kontrahentom.