No jak to prawie wszyscy wiedzą, prezydent zdążył i podpisał. :)
No i jest dobrze...
... podpisy zachowują ważność do swego końca, a dopiero nowy podpis musi być kwalifikowany.
A co z certyfikatami, które są ważne, ale uległy zniszczeniu, kompromitacji?
http://nomadowyblog.blogspot.com/2008/06/certyfikat-z-zus-na-jak-dugo.html
Więc jeszcze 30 czerwca, rzecznik ZUS twierdził, że w takim wypadku wystawiony zostanie nowy, o okresie ważności starego certyfikatu. Natomiast pracownik infolinii twierdził, że będzie wystawiony nowy klucz o rocznym okresie ważności.
No innego widnieje jednak na stronach ZUS. Link
Po 20 lipca 2008 r. w dedykowanym centrum certyfikacji zostaną wyłączone usługi wystawiania nowych i odnawiania unieważnionych lub uszkodzonych certyfikatów. Po tym terminie Zakład Ubezpieczeń Społecznych nie będzie prowadził dystrybucji bezpłatnych certyfikatów niekwalifikowanych.
Kto powie na 100%, jak jest?
środa, 23 lipca 2008
Jak wytłumaczyć, po co są procedury :)
Dość często spotykam sięz pytaniami o zasadność procedur. U większości pracowników słowo procedra wywołuje odruch wymiotny lub gęsią skórkę. Przecież procedury ograniczają kreatywność pracowników i sprowadzają do roli maszynek.
A gdzie jest napisane, że każdy pracownik ma być kreatywny?
Czytałem ostatnio rozpiskę obowiązków pracowników.
W przypadku referenta, ma on obowiązek wykonywania poleceń przełożonych i wykonywać obowiązki według ustalonych zasad. Dopiero pracownik na stanowisku specjalisty ma obowiązek działać w sytuacjach niestandardowych - dlatego zarabia więcej :). To takie informacje z pamięci.
Co ciekawsze, te opisy wzięte są z firmy, w której prawie nie istnieją procedury, a informacje o sposobie pracy przekazywane są dla nowych pracowników, jak u Indian - z ust do ust :), jako przekazy pokoleniowe. Powoduje to, że czasem ktoś o czymś zapomni, coś źle przekaże, a czasem coś od siebie doda. :) Suma sumarum, każdy pracuje jak chce, a te same czynność w różnych oddziałach wykonywane są na różne sposoby. :)
Ha... więc jak przekonać kadrę pracującą do konieczności procedur. Po głowie kołacze mi się jeden bardzo dobry przykład i nie pamiętam skąd go znam (przecież sam nie wymyśliłem). :)
No dobra, przykład:
Wyobraź sobie, że jesteś szefem serwisu sprzątającego w eleganckim hotelu. Zarządzasz podległym personelem sprzątającym i właśnie zatrudniłeś dwie nowe pracownice.
Wiec, co? Wydajesz im polecenie: prosze posprzątać pokoje 201 i 502.
Wynik: otrzymujesz 2 posprzątane pokoje. Tylko, że każdy posprzątany jest w inny sposób. Jeden ma umyte okna i wymienioną pościel, a drugi pokój ma napełniony barek i umytą podłogę. I o co chodzi? Przecież oba pokoje są posprzątane, ale stali goście nie są zadowoleni, bo pokoje wyglądają zupełnie inaczej niż zawsze. Trzeba poprawić, przeprosić klienta... wzrastają koszty obsługi...
No właśnie - brak jest procedury.
A gdybyś każdej z nowozatrudnionej pracownicy wręczył na kartce dokładne wytyczne, w jaki sposób ma posprzątać pokój?
Łatwiej dla pracownicy, taniej dla pracodawcy, lepiej dla klienta. :)
----
Maluję własnie sypialnię... i troche się przeraziłem. Do malowania podszedłem jak do realizacji projektu. :)
Czy to normalne?
A gdzie jest napisane, że każdy pracownik ma być kreatywny?
Czytałem ostatnio rozpiskę obowiązków pracowników.
W przypadku referenta, ma on obowiązek wykonywania poleceń przełożonych i wykonywać obowiązki według ustalonych zasad. Dopiero pracownik na stanowisku specjalisty ma obowiązek działać w sytuacjach niestandardowych - dlatego zarabia więcej :). To takie informacje z pamięci.
Co ciekawsze, te opisy wzięte są z firmy, w której prawie nie istnieją procedury, a informacje o sposobie pracy przekazywane są dla nowych pracowników, jak u Indian - z ust do ust :), jako przekazy pokoleniowe. Powoduje to, że czasem ktoś o czymś zapomni, coś źle przekaże, a czasem coś od siebie doda. :) Suma sumarum, każdy pracuje jak chce, a te same czynność w różnych oddziałach wykonywane są na różne sposoby. :)
Ha... więc jak przekonać kadrę pracującą do konieczności procedur. Po głowie kołacze mi się jeden bardzo dobry przykład i nie pamiętam skąd go znam (przecież sam nie wymyśliłem). :)
No dobra, przykład:
Wyobraź sobie, że jesteś szefem serwisu sprzątającego w eleganckim hotelu. Zarządzasz podległym personelem sprzątającym i właśnie zatrudniłeś dwie nowe pracownice.
Wiec, co? Wydajesz im polecenie: prosze posprzątać pokoje 201 i 502.
Wynik: otrzymujesz 2 posprzątane pokoje. Tylko, że każdy posprzątany jest w inny sposób. Jeden ma umyte okna i wymienioną pościel, a drugi pokój ma napełniony barek i umytą podłogę. I o co chodzi? Przecież oba pokoje są posprzątane, ale stali goście nie są zadowoleni, bo pokoje wyglądają zupełnie inaczej niż zawsze. Trzeba poprawić, przeprosić klienta... wzrastają koszty obsługi...
No właśnie - brak jest procedury.
A gdybyś każdej z nowozatrudnionej pracownicy wręczył na kartce dokładne wytyczne, w jaki sposób ma posprzątać pokój?
Łatwiej dla pracownicy, taniej dla pracodawcy, lepiej dla klienta. :)
----
Maluję własnie sypialnię... i troche się przeraziłem. Do malowania podszedłem jak do realizacji projektu. :)
Czy to normalne?
wtorek, 22 lipca 2008
Dane pracowników
Padło pytanie od znajomego: czy szef firmy ma prawo podać na stronie internetowej jest imię, nazwisko, służbowy adres mailowy, służbowy telefon i zdjęcie? Ostatnio firma, w której pracuje mój znajomy zmieniała swoja witrynę i fotograf porobił wszystkim portretówki :)
No i niestety, szef może.
Zgodnie z informacjami zawartymi w sprawozdaniu GIODO za rok 2003:
Znaczną grupę spraw stanowiły pytania o konieczność rejestracji zbiorów danych przetwarzanych w związku z zatrudnieniem, w tym m.in. zbiorów danych „ osób kontaktowych”. Zbiory dotyczące tzw. „osób kontaktowych” podlegają zwolnieniu z obowiązku rejestracji na postawie art. 43 ust. 1 pkt 11 ustawy o ochronie danych osobowych. Przesłanka ta ma zastosowanie wobec zbiorów danych „przetwarzanych w zakresie drobnych bieżących spraw życia codziennego”. Przetwarzanie danych w celu utrzymywania kontaktów z kontrahentami, partnerami przedsiębiorcy przez wyznaczonych do tego pracowników oraz w zakresie niezbędnym do realizacji tego celu służy usprawnieniu działalności administratora. Zbiór tego rodzaju danych ma charakter pomocniczy, a co za tym idzie dane w nim zawarte traktować należy jako przetwarzane w zakresie drobnych, bieżących spraw życia codziennego. Rozważać można również zwolnienie administratora z obowiązku zgłoszenia przedmiotowego zbioru do rejestracji na podstawie przesłanki wskazanej w art. 43 ust. 1 pkt 9, albowiem informacje o pracowniku reprezentującym pracodawcę (takie, jak: imię, nazwisko, służbowy numer telefonu, czy adres poczty elektronicznej) mogą być bez zgody pracownika ujawnione w publikacjach w internecie lub w ogłoszeniu prasowym i łatwość ich uzyskania z takich źródeł powoduje, iż mają charakter danych powszechnie dostępnych.
Jest to odpowiedź na pytanie z drugiej strony (kontekst zbierania a nie ujawniania danych), ale widać tu, że pracodawca m prawo na ujawniania takich danych.
Znalazłem też orzeczenie Sądu Najwyższego z dnia 19 listopada 2003 r. o sygn. I PK 590/02. W orzeczeniu tym sąd stwierdza, że pracodawca nie może być pozbawiony możliwości ujawniania nazwisk pracowników, zajmujących określone stanowiska w ramach instytucji. Przeciwne stanowisko prowadziłoby do sparaliżowania lub poważnego ograniczenia możliwości działania pracodawcy, bez żadnego rozsądnego uzasadnienia w ochronie interesów i praw pracownika.
Tak więc bezspornie widać, że pracodawca może. :)
No i niestety, szef może.
Zgodnie z informacjami zawartymi w sprawozdaniu GIODO za rok 2003:
Znaczną grupę spraw stanowiły pytania o konieczność rejestracji zbiorów danych przetwarzanych w związku z zatrudnieniem, w tym m.in. zbiorów danych „ osób kontaktowych”. Zbiory dotyczące tzw. „osób kontaktowych” podlegają zwolnieniu z obowiązku rejestracji na postawie art. 43 ust. 1 pkt 11 ustawy o ochronie danych osobowych. Przesłanka ta ma zastosowanie wobec zbiorów danych „przetwarzanych w zakresie drobnych bieżących spraw życia codziennego”. Przetwarzanie danych w celu utrzymywania kontaktów z kontrahentami, partnerami przedsiębiorcy przez wyznaczonych do tego pracowników oraz w zakresie niezbędnym do realizacji tego celu służy usprawnieniu działalności administratora. Zbiór tego rodzaju danych ma charakter pomocniczy, a co za tym idzie dane w nim zawarte traktować należy jako przetwarzane w zakresie drobnych, bieżących spraw życia codziennego. Rozważać można również zwolnienie administratora z obowiązku zgłoszenia przedmiotowego zbioru do rejestracji na podstawie przesłanki wskazanej w art. 43 ust. 1 pkt 9, albowiem informacje o pracowniku reprezentującym pracodawcę (takie, jak: imię, nazwisko, służbowy numer telefonu, czy adres poczty elektronicznej) mogą być bez zgody pracownika ujawnione w publikacjach w internecie lub w ogłoszeniu prasowym i łatwość ich uzyskania z takich źródeł powoduje, iż mają charakter danych powszechnie dostępnych.
Jest to odpowiedź na pytanie z drugiej strony (kontekst zbierania a nie ujawniania danych), ale widać tu, że pracodawca m prawo na ujawniania takich danych.
Znalazłem też orzeczenie Sądu Najwyższego z dnia 19 listopada 2003 r. o sygn. I PK 590/02. W orzeczeniu tym sąd stwierdza, że pracodawca nie może być pozbawiony możliwości ujawniania nazwisk pracowników, zajmujących określone stanowiska w ramach instytucji. Przeciwne stanowisko prowadziłoby do sparaliżowania lub poważnego ograniczenia możliwości działania pracodawcy, bez żadnego rozsądnego uzasadnienia w ochronie interesów i praw pracownika.
Tak więc bezspornie widać, że pracodawca może. :)
poniedziałek, 21 lipca 2008
Rzecznik Praw Obywatelskich a PEKAO S.A.
Sprawa wycieku danych zatacza coraz szersze kręgi. Problemem zainteresował się Rzecznik Praw Obywatelskich, p. Janusz Kochanowski.
Treść listu do GIODO została opublikowana na stronach http://www.giodo.pl/. Link
W dniu dzisiejszym p. Michał Serzycki odpisał. Link
Mam nadzieję, że to spowoduje większe zainteresownaie tematem.
Treść listu do GIODO została opublikowana na stronach http://www.giodo.pl/. Link
W dniu dzisiejszym p. Michał Serzycki odpisał. Link
Mam nadzieję, że to spowoduje większe zainteresownaie tematem.
niedziela, 20 lipca 2008
HotSpot a sprawa danych osobowych
Przykład tego, jak młodzi dziennkarze podchodzą do tematu:
W sumie p. Dzienis dłuższy czas pracuje w białostockej Wyborczej, ale chyba nie nauczyła się, że temat nie zawsze wygląda, tak jak wygląda (czyli prosto) :)
W skrócie:
Urząd Miasta zafundował darmowe hotspoty (czy hotspoty moga być płatne?). Jednak, żeby skorzystać z internetu, należy się zalogować, podając imię, nazwisko, adres mailowy i numer telefonu. Dane te nie są sprawdzane.
Oczywiście biedni internauci, którzy chcą za darmo skorzystać z internetu podnieśli larum i w ich obronie stanęłą dzielna p. Aneta Dzienis. :) Żeby dowieść o bezprawności pobierania danych przez UM, skontaktowała się z szefem informatyków w krakowskim Urzędzie Miejskim, który nie widzi potrzeby zbierania danych. Przecież w innych miastach podobne praktyki są niespotykane. Pytanie: czy p. Piotr Malcharek (dyrektor informatyki w UM w Krakowie) ma obowiązek znać ustawę o świadczeniu usług drogą elektroniczną i UODO? Może lepiej byłoby zapytać prawnika, który zajmuje się bezpieczeństwem danych osobowych?
No tak, ale czy takie praktyki są zabronione. Poczekamy na opinię GIODO, ale czy w tym wypadku nie należy powołać się na ustawę o świadczeniu usług drogą elektroniczną, a dokładniej art. 18?
Art. 18.
1. Usługodawca może przetwarzać następujące dane osobowe usługobiorcy niezbędne
do nawiązania, ukształtowania treści, zmiany lub rozwiązania stosunku prawnego między nimi:
1) nazwisko i imiona usługobiorcy,
2) numer ewidencyjny PESEL lub - gdy ten numer nie został nadany - numer
paszportu, dowodu osobistego lub innego dokumentu potwierdzającego tożsamość,
3) adres zameldowania na pobyt stały,
4) adres do korespondencji, jeżeli jest inny niż adres, o którym mowa w pkt 3,
5) dane służące do weryfikacji podpisu elektronicznego usługobiorcy,
6) adresy elektroniczne usługobiorcy.
2. W celu realizacji umów lub dokonania innej czynności prawnej z usługobiorcą, usługodawca może przetwarzać inne dane niezbędne ze względu na właściwość świadczonej usługi lub sposób jej rozliczenia.
3. Usługodawca wyróżnia i oznacza te spośród danych, o których mowa w ust. 2, jako dane, których podanie jest niezbędne do świadczenia usługi drogą elektroniczną zgodnie z art. 22 ust. 1.
4. Usługodawca może przetwarzać, za zgodą usługobiorcy i dla celów określonych w art. 19 ust. 2 pkt 2, inne dane dotyczące usługobiorcy, które nie są niezbędne do świadczenia usługi drogą elektroniczną.
5. Usługodawca może przetwarzać następujące dane charakteryzujące sposób korzystania
przez usługobiorcę z usługi świadczonej drogą elektroniczną (dane eksploatacyjne):
1) oznaczenia identyfikujące usługobiorcę nadawane na podstawie danych, o których mowa w ust. 1,
2) oznaczenia identyfikujące zakończenie sieci telekomunikacyjnej lub system teleinformatyczny, z którego korzystał usługobiorca,
3) informacje o rozpoczęciu, zakończeniu oraz zakresie każdorazowego korzystania z usługi świadczonej drogą elektroniczną,
4) informacje o skorzystaniu przez usługobiorcę z usług świadczonych drogą elektroniczną.
6. Usługodawca udziela informacji o danych, o których mowa w ust. 1-5, organom państwa na potrzeby prowadzonych przez nie postępowań.
1. Usługodawca może przetwarzać następujące dane osobowe usługobiorcy niezbędne
do nawiązania, ukształtowania treści, zmiany lub rozwiązania stosunku prawnego między nimi:
1) nazwisko i imiona usługobiorcy,
2) numer ewidencyjny PESEL lub - gdy ten numer nie został nadany - numer
paszportu, dowodu osobistego lub innego dokumentu potwierdzającego tożsamość,
3) adres zameldowania na pobyt stały,
4) adres do korespondencji, jeżeli jest inny niż adres, o którym mowa w pkt 3,
5) dane służące do weryfikacji podpisu elektronicznego usługobiorcy,
6) adresy elektroniczne usługobiorcy.
2. W celu realizacji umów lub dokonania innej czynności prawnej z usługobiorcą, usługodawca może przetwarzać inne dane niezbędne ze względu na właściwość świadczonej usługi lub sposób jej rozliczenia.
3. Usługodawca wyróżnia i oznacza te spośród danych, o których mowa w ust. 2, jako dane, których podanie jest niezbędne do świadczenia usługi drogą elektroniczną zgodnie z art. 22 ust. 1.
4. Usługodawca może przetwarzać, za zgodą usługobiorcy i dla celów określonych w art. 19 ust. 2 pkt 2, inne dane dotyczące usługobiorcy, które nie są niezbędne do świadczenia usługi drogą elektroniczną.
5. Usługodawca może przetwarzać następujące dane charakteryzujące sposób korzystania
przez usługobiorcę z usługi świadczonej drogą elektroniczną (dane eksploatacyjne):
1) oznaczenia identyfikujące usługobiorcę nadawane na podstawie danych, o których mowa w ust. 1,
2) oznaczenia identyfikujące zakończenie sieci telekomunikacyjnej lub system teleinformatyczny, z którego korzystał usługobiorca,
3) informacje o rozpoczęciu, zakończeniu oraz zakresie każdorazowego korzystania z usługi świadczonej drogą elektroniczną,
4) informacje o skorzystaniu przez usługobiorcę z usług świadczonych drogą elektroniczną.
6. Usługodawca udziela informacji o danych, o których mowa w ust. 1-5, organom państwa na potrzeby prowadzonych przez nie postępowań.
A co to jest ten stosunek prawny?
Dzieki Ani i jej odpowiedzi na GoldenLine i skierowaniu do źródła możemy dowiedzieć się, że stosunek prawny (link)to więź społeczna jaka powstaje między dwiemalub więcej osobami w następstwie stworzonej przez nie - lub innezdarzenia- sytuacji określonej w obowiązującej normie prawnej. Jestto stosunek powstający między podmiotami prawa gdy zaistnieje fakt zktórym norma prawna wiąże dla tych podmiotów określone konsekwencje.W każdym stosunku prawnym wyróżnić można cztery następujące elementy:- podmioty między którymi stosunek prawny zachodzi ( mogą być-nimi ludzie, pewne organy, instytucje lub osoby prawne)- przedmiot stosunku prawnego którym jest określone zachowanieuczestników tego stosunku- prawo (uprawnienie)- polegające na możliwości domagania sięprzez podmiot uprawniony określonego zachowania się do drugiej stronystosunku prawnego- obowiązek, będący odpowiednikiem (korelatem) tego prawa.Nie są stosunkami prawnymi takie stosunki społeczne, z którychistnieniem i ustaniem prawo nie łączy żadnych skutków prawnych (stosunki przygodnej znajomości, koleżeństwa itp.)Można rozróżnić; stosunek typu zobowiązaniowego (zachodzirównorzędność praw i racji obydwu podmiotów) oraz stosunekpodległości kompetencji ( podległość racji jednego z podmiotówdrugiemu).
Stosunek prawny, każdy stosunek społeczny, który podlega regulacji za pomocą norm prawnych, inaczej - stosunek społeczny, z którym hipotezy norm prawnych wiążą określone skutki prawne. Wyróżnia się następujące elementy stosunku prawnego: podmioty stosunku prawnego (co najmniej dwa), treść stosunku prawnego (uprawnienia i odpowiadające im obowiązki) oraz przedmiot stosunku prawnego (cel, dla którego podmioty stosunku prawnego wchodzą w stosunek prawny).
To przytoczę jeszcze źródło do wikipedia.pl. Link
Więc wobec podanych definicji, akceptacja regulaminu jest podstawą do zbierania danych osobowych. Co więcej, ustawa ta nakłada obowiązek współpracy z organami ścigania.
No dobrze, ale w wypowiedzi p. rzecznik GIODO Małgorzaty Kałużyńskiej-Jasak, pada stwierdzenie, że stosunek prawny można nawiązać w ramach umowy, a nie akceptacji regulaminu. Niestety (a może stety) - nigdzie nie znalazłem zapisu, że konieczne jest podpisanie umowy. Jak to często bywa, rzecznicy prasowi mówią dużo i nie zawsze z sensem (p. rzecznik PEKAO S.A.).
Pewną wątpliwość może budzić zapis z art. 22 ust. 1
Odmowa świadczenia usługi drogą elektroniczną z powodu nieudostępnienia przez usługobiorcę danych, o których mowa w art. 18 ust. 1 i 2, jest dopuszczalna tylko wtedy, gdy przetwarzanie tych danych jest niezbędne ze względu na sposób funkcjonowania systemu teleinformatycznego zapewniającego świadczenie usługi drogą elektroniczną lub właściwość usługi albo wynika z odrębnych ustaw.
Dane z art. 18 ust. 1 i 2 to imię, nazwisko i PESEL. Można oczywiście dyskutować, czy imię i nazwisko są niezbędne, ale przyjmując zasadę zachowania bezpieczeństwa myślę, że tak. Podanie danych troche pionizuje zachowanie się użytkownika, a podając fałszywe dane, należy liczyć się z kosekwencjami (blokada konta).
W tym wpadku bardzo mądrze zachował się rzecznik UM p. Tomasz Ćwikowski, podając przesłanki do logowania danych. No ale oczywiście jak zawsze trafi sie "cwany gościu", niejaki p. Wojtek, który szczyci się, że leci na lewych danych już od kilku miesięcy :)
No dobrze, czas na niedizelne sprawunki :)
Mam nadzieję, że UM nie zniechęci się i nie zaniecha projektu hotspotow w centrum.
sobota, 19 lipca 2008
Ustawa o ochronie baz danych
Z cyklu kolejny akt prawny, do zapoznania się przez ABIego:
ustawa o ochronie baz danych z dnia 27 lipca 2001r. (Dz. U. 2001 nr 128 poz. 1402). Link
Tekst jednolity: link
Swoja drogą bardzo się zadziwłem, że jest taka ustawa :)
Ustawa nie jest długa - jedynie 17 artykułów.
O co chodzi?
Otóż art. 2 ust. 1 definiuje nam bazę danych jako taką, czyli że jest to zbiór danych lub jakichkolwiek innych materiałów i elementów zgromadzonych według określonej systematyki lub metody, indywidualnie dostępnych w jakikolwiek sposób, w tym środkami elektronicznymi, wymagający istotnego, co do jakości lub ilości, nakładu inwestycyjnego w celu sporządzenia, weryfikacji lub prezentacji jego zawartości.
Jednocześnie art. 4 mówi, że ochrona przyznana bazom danych nie obejmuje programów komputerowych użytych do sporządzenia baz danych lub korzystania z nich.
Więc co tak na prawdę chroni ustawa?
Ustawa wzięła pod ochronę osoby, które zajmują się zbieraniem i przetwarzaniem danych, głównie pod postacią spisów, wykazów, analiz.
Artykuły z którymi (według mnie) dobrze jest się zapoznać:
http://www.serwisprawniczy.pl/index.php?option=com_content&task=view&id=461
http://www.uwm.edu.pl/unesco/ELEARNING/MATERIALY/fordonski/ochrona_bazdanych.doc
http://archiwum.gazeta-it.pl/2,10,706,index.html
Życzę miłego czytania :)
ustawa o ochronie baz danych z dnia 27 lipca 2001r. (Dz. U. 2001 nr 128 poz. 1402). Link
Tekst jednolity: link
Swoja drogą bardzo się zadziwłem, że jest taka ustawa :)
Ustawa nie jest długa - jedynie 17 artykułów.
O co chodzi?
Otóż art. 2 ust. 1 definiuje nam bazę danych jako taką, czyli że jest to zbiór danych lub jakichkolwiek innych materiałów i elementów zgromadzonych według określonej systematyki lub metody, indywidualnie dostępnych w jakikolwiek sposób, w tym środkami elektronicznymi, wymagający istotnego, co do jakości lub ilości, nakładu inwestycyjnego w celu sporządzenia, weryfikacji lub prezentacji jego zawartości.
Jednocześnie art. 4 mówi, że ochrona przyznana bazom danych nie obejmuje programów komputerowych użytych do sporządzenia baz danych lub korzystania z nich.
Więc co tak na prawdę chroni ustawa?
Ustawa wzięła pod ochronę osoby, które zajmują się zbieraniem i przetwarzaniem danych, głównie pod postacią spisów, wykazów, analiz.
Artykuły z którymi (według mnie) dobrze jest się zapoznać:
http://www.serwisprawniczy.pl/index.php?option=com_content&task=view&id=461
http://www.uwm.edu.pl/unesco/ELEARNING/MATERIALY/fordonski/ochrona_bazdanych.doc
http://archiwum.gazeta-it.pl/2,10,706,index.html
Życzę miłego czytania :)
piątek, 18 lipca 2008
Serwer GIODO nie odpowiada :)
No to mamy kolejny temat do pospekulowania.
Godzina 11.35 - serwer http://www.giodo.gov.pl/ nie odpowiada.
Czyżby jakiś hakier włamał się w odwecie za PEKAO S.A.? :)
Prób połączeń dokonywałem z łącza DSL (TP S.A.) i Orange.
czwartek, 17 lipca 2008
Kot, który mieszkał w karmniku
A to jest kolega psa Joszka.
Kot mieszka sobie w bloku, przy skwerku, na który to Joszko wychodzi na...
Jak widać kot lubi sobie pomieszkać w karmniku :)
środa, 16 lipca 2008
Zabierzcie temu panu mikrofon
Powiedziałem sobie, że do czasu ogłoszenia przez GIODO oficjalnego komunikatu dotyczącego kontroli w PEKAO S.A. i PC nie będę już zabierał głosu w tej sprawie, bo przypomina to już serial brazylijski. Ale nie wytrzymałem :)
Podczas porannego przegladania internetu przy kawie natrafiłem na artykuł, w którym zacytowane są wypowiedzi p. rzecznika Arkadiusza Mierzwy. Link
"Po ataku hakerskim okazało się, że zabezpieczenia nie były wystarczające. W tym przypadku błąd nie leżał po stronie człowieka" - powiedział we wtorek PAP rzecznik prasowy Pekao Arkadiusz Mierzwa. Zaznaczył, że nie może kontrolować systemów bezpieczeństwa zewnętrznej firmy, z którą współpracuje.
Panie kochany, pieprzysz Pan jak potłuczony (bo inaczej nie można nazwać takich wypowiedzi). Jest to błąd tylko i wyłącznie ludzki. Dlaczego?
1. Człowiek popełnik błąd podczas projektowania systemu stronki i zabezpieczenia. Na tym samym serwerze, dokumenty i samą stronkę, mogę umieścić ja lub ludzie robiący strony dla małych firm. W przypadku największego banku w Polsce, gdzie liczy się autorytet należy dmuchać na zimne. Serwer powinien stać na jednej maszynie, a wpływające dokumenty powinny lądować na innej - ruch tylko w jedna stronę - pracownik PC
2. Człowiek popełnił błąd i nie skontrolował założeń przed postawieniem strony - pracownik banku
3. Człowiek popełnił błąd niedokładnie zabezpieczając serwer - haker mógł się włamać. Nie można zabezpieczyć serwera przed każdym włamaniem, ale umówmy się, tego włamania nie dokonał czołowy hacker - pracownik PC
4. Człowiek popełnił błąd i nie mointorował serwera. Po włamaniu hacker pozostawił widoczny ślad. Było dużo czasu na reakcję. - pracownik banku i pracownik PC
5. Człowiek zawiódł podczas reakcji powłamaniowej. Przecież to człowiek powinien przewidzieć sytuację kryzysową i opracować procedury według których powinny przebiegać zdarzenia. Włamanie na serwer, jest podstawową sytuacją kryzysową w internecie. A jeżeli te procedury były, to człowiek ich nie wykonał. A przecież należało powiadomić GIODO o włamaniu i możliwości wycieku danych, należało zaczać wykonywać podstawowe czynnośc w celu usunięcia danych a googli (roboty), należało zabezpieczyć serwer do analiz, należało skonfigurować nowy (lub odtworzyć z kopii lub z virtualnego serwera - technik do wykonania przez człowieka była całą masa), należało powiadomić opinię publiczna i zachować sie jak poważny i wykształcony człowiek (tak panie rzeczniku - to do Pana). - pracownik banku.
6. Człowiek zawiódł, podejmując próbę zamiecenia wszystkiego pod dywan - pracownik banku.
7. Człowiek zawiódł...
Szanowny panie rzeczniku. UODO pozwala Panu lub pracownikom banku na kontrolę zabezpieczeń firmy zewnętrznej, której powierza Pan przetwarzanie danych. Jeżeli firma zewnętrzna nie zgadza się na taki audyt, to nie należy powierzać im tych danych. Nie musi Pan kontrolować wszystkich zabezpieczeń w tej firmie - wystarczyło tylko te, które związane są z konkretnym projektem.
P.S. - zdjęcia ukradłem z VaGla.pl. Mam nadzieję, że się nie obrazi.
Podczas porannego przegladania internetu przy kawie natrafiłem na artykuł, w którym zacytowane są wypowiedzi p. rzecznika Arkadiusza Mierzwy. Link
"Po ataku hakerskim okazało się, że zabezpieczenia nie były wystarczające. W tym przypadku błąd nie leżał po stronie człowieka" - powiedział we wtorek PAP rzecznik prasowy Pekao Arkadiusz Mierzwa. Zaznaczył, że nie może kontrolować systemów bezpieczeństwa zewnętrznej firmy, z którą współpracuje.
Panie kochany, pieprzysz Pan jak potłuczony (bo inaczej nie można nazwać takich wypowiedzi). Jest to błąd tylko i wyłącznie ludzki. Dlaczego?
1. Człowiek popełnik błąd podczas projektowania systemu stronki i zabezpieczenia. Na tym samym serwerze, dokumenty i samą stronkę, mogę umieścić ja lub ludzie robiący strony dla małych firm. W przypadku największego banku w Polsce, gdzie liczy się autorytet należy dmuchać na zimne. Serwer powinien stać na jednej maszynie, a wpływające dokumenty powinny lądować na innej - ruch tylko w jedna stronę - pracownik PC
2. Człowiek popełnił błąd i nie skontrolował założeń przed postawieniem strony - pracownik banku
3. Człowiek popełnił błąd niedokładnie zabezpieczając serwer - haker mógł się włamać. Nie można zabezpieczyć serwera przed każdym włamaniem, ale umówmy się, tego włamania nie dokonał czołowy hacker - pracownik PC
4. Człowiek popełnił błąd i nie mointorował serwera. Po włamaniu hacker pozostawił widoczny ślad. Było dużo czasu na reakcję. - pracownik banku i pracownik PC
5. Człowiek zawiódł podczas reakcji powłamaniowej. Przecież to człowiek powinien przewidzieć sytuację kryzysową i opracować procedury według których powinny przebiegać zdarzenia. Włamanie na serwer, jest podstawową sytuacją kryzysową w internecie. A jeżeli te procedury były, to człowiek ich nie wykonał. A przecież należało powiadomić GIODO o włamaniu i możliwości wycieku danych, należało zaczać wykonywać podstawowe czynnośc w celu usunięcia danych a googli (roboty), należało zabezpieczyć serwer do analiz, należało skonfigurować nowy (lub odtworzyć z kopii lub z virtualnego serwera - technik do wykonania przez człowieka była całą masa), należało powiadomić opinię publiczna i zachować sie jak poważny i wykształcony człowiek (tak panie rzeczniku - to do Pana). - pracownik banku.
6. Człowiek zawiódł, podejmując próbę zamiecenia wszystkiego pod dywan - pracownik banku.
7. Człowiek zawiódł...
Szanowny panie rzeczniku. UODO pozwala Panu lub pracownikom banku na kontrolę zabezpieczeń firmy zewnętrznej, której powierza Pan przetwarzanie danych. Jeżeli firma zewnętrzna nie zgadza się na taki audyt, to nie należy powierzać im tych danych. Nie musi Pan kontrolować wszystkich zabezpieczeń w tej firmie - wystarczyło tylko te, które związane są z konkretnym projektem.
Decydenci z PEKAO S.A. zabierzcie panu Mierzwie mikrofon.
Błaźni się i jednocześnie kompromituje Wasz bank.
Błaźni się i jednocześnie kompromituje Wasz bank.
P.S. - zdjęcia ukradłem z VaGla.pl. Mam nadzieję, że się nie obrazi.
wtorek, 15 lipca 2008
Show time
Główny Inspektor Ochrony Danych Osobowych zwrócił się z prośbą o do internautów.
A P E L
Generalnego Inspektora Ochrony Danych Osobowych
W związku z upublicznieniem, w sposób naruszający chronione przez Konstytucję RP jak i obowiązujące standardy prawa w zakresie ochrony danych osobowych, dane osób które złożyły do Banku Pekao S.A. dokumenty związane z ubieganiem się o pracę w tym Banku, zwracam się z apelem do wszystkich, którzy weszli w posiadanie danych o respektowanie praw tych osób.
Apeluję o niewykorzystywanie ich danych, o ich nie rozpowszechnianie, a także o ich usuwanie. Generalny Inspektor Ochrony Danych Osobowych podjął czynności prawne w celu zgodnego z prawem przetwarzania danych przez Pekao S.A. ale jednocześnie będąc rzecznikiem obywateli w zakresie ochrony ich danych osobowych zwraca się o poszanowanie godności ludzi jako naczelnej wartości państwa prawa, która jest podstawą ochrony danych osobowych.
Generalnego Inspektora Ochrony Danych Osobowych
W związku z upublicznieniem, w sposób naruszający chronione przez Konstytucję RP jak i obowiązujące standardy prawa w zakresie ochrony danych osobowych, dane osób które złożyły do Banku Pekao S.A. dokumenty związane z ubieganiem się o pracę w tym Banku, zwracam się z apelem do wszystkich, którzy weszli w posiadanie danych o respektowanie praw tych osób.
Apeluję o niewykorzystywanie ich danych, o ich nie rozpowszechnianie, a także o ich usuwanie. Generalny Inspektor Ochrony Danych Osobowych podjął czynności prawne w celu zgodnego z prawem przetwarzania danych przez Pekao S.A. ale jednocześnie będąc rzecznikiem obywateli w zakresie ochrony ich danych osobowych zwraca się o poszanowanie godności ludzi jako naczelnej wartości państwa prawa, która jest podstawą ochrony danych osobowych.
Jeżeli jesteśw posiadaniu danych - usuń je.
Na pewno nie są Ci do niczego potrzebne.
Na pewno nie są Ci do niczego potrzebne.
Apel nie jest pozbawiony sensu, w momencie, kiedy wp.pl opisuje, że życie osób, którchy dane zostały ujawnione zamieniło sięw koszmar. Link
Jak informuje GIODO na swojej stronie, w dniu 14 lipca w banku PEKAO S.A. i w firmie Possum Communication.
Jak głosi informacja na stronie GIODO, kontrola odbędzie się zarówno pod kątem odpowiedniego zabezpieczenia danych osobowych, jak również prawidłowości umowy powierzenia przetwarzania danych.
Bardzo dziwna, ale też konsekwentna wydaje się polityka banku, który ani słowem nie zająknął się na swoje stronie o tym wydażeniu.
Duża szkoda i w połączeniu z wypowiedziami p. rzecznika bardzo źle świadczy o postawie banku. Niestety, prócz ochrony danych osobowych, w banku PEKAO S.A. "leży" też zarządzanie kryzysowe.
Dobrze by było, żeby p. rzecznik poczytał o odpowiedzialności karnej, jaka grozi szefostwu banku, czyli według ustawy, Administratorowi Danych Osobowych:
Art. 51.
1. Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
2. Jeżeli sprawca działa nieumyślnie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
Art. 52.
Kto administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
Dopisek.
Według informacji przekazanych przez PAP (źródło webhosting.pl). LINK
Rzeczniczka GIODO powiedziała, że kontrola zostanie przeprowadzona „zarówno pod kątem zabezpieczenia danych, jak i prawidłowości umowy powierzenia przetwarzania danych osobowych”. Według GIODO umowa powinna być zawarta na piśmie i zawierać dokładne warunki powierzenia przetwarzania danych.
Kałużyńska-Jasak ostrzegła też bankierów, że jeśli kontrola wykaże nieodpowiednie zabezpieczenie bazy danych osobowych, a tym samym złamanie przepisów, GIODO może skorzystać z przysługującego prawa do zawiadomienia prokuratury o podejrzeniu popełnienia przestępstwa. Podkreśliła, że odpowiedzialność karna za nieodpowiednie zabaezpieczenie danych to kara grzywny, ograniczenia lub pozbawienia wolności do 2 lat.
O losach sprawy będziemy dalej informowali Czytelników. Kontrola potrwa na pewno kilka dni, zatem jej wyniki poznamy najwcześniej w przyszłym tygodniu.
poniedziałek, 14 lipca 2008
Analfabeci
Jakis czas temu zostały założone nam tzw. "euroskrzynki", czy jak je tam zwał.
Wszystko po to, żeby firmy inne niż Poczta Polska mogły dostarczać przesyłki. Ponieważ mam alergię na reklamy w skrzynce, nakleiłem nalepkę, która była na wyposażeniu skrzynki pocztowej: "zakaz wrzucania reklam".
Niestety, nie wszystkie firmy się do tego stosują. Po tym, jak znalazłem 2 reklamę, to postanowiłem, że będę tu sobie umieszczał nazwy firm, których przedstawiciele są analfabetami.
Na początek
Arkamed Spółka z ograniczoną odpowiedzialnością spółka komandytowa
Biuro obłsugi klienta: 43-190 Mikołów
ul. Rynek 7/5
tel. 0-32 738-02-60
sprzedają jakieś badziewie (wyroby zdrowotne) podczas spotkań, na któe zapraszają debilnymi ulotkami.
GE Money Bank
punkt sprzedaży
ul. św. Rocha 14 a lok 11
Białystok
tel./fax: 0-85 744-55-92
kom. 693 895 858
Reklama pożyczki
Wszystko po to, żeby firmy inne niż Poczta Polska mogły dostarczać przesyłki. Ponieważ mam alergię na reklamy w skrzynce, nakleiłem nalepkę, która była na wyposażeniu skrzynki pocztowej: "zakaz wrzucania reklam".
Niestety, nie wszystkie firmy się do tego stosują. Po tym, jak znalazłem 2 reklamę, to postanowiłem, że będę tu sobie umieszczał nazwy firm, których przedstawiciele są analfabetami.
Na początek
Arkamed Spółka z ograniczoną odpowiedzialnością spółka komandytowa
Biuro obłsugi klienta: 43-190 Mikołów
ul. Rynek 7/5
tel. 0-32 738-02-60
sprzedają jakieś badziewie (wyroby zdrowotne) podczas spotkań, na któe zapraszają debilnymi ulotkami.
GE Money Bank
punkt sprzedaży
ul. św. Rocha 14 a lok 11
Białystok
tel./fax: 0-85 744-55-92
kom. 693 895 858
Reklama pożyczki
Czemu należy analizować logi?
No właśnie, czemu?
A temu, że można dowiedzieć się wielu ciekawych rzeczy. :)
Dziś np. zobaczyłem, że jeden z gości próbował znaleźć następujący ciąg znaków na mojej stronie: eve online.
Ponieważ żona ma, ma na imię Ewa, poczułem się zagrożony :) i rozpocząłem poszukiwania. Dzięki google dowiedziałem się, że Eve Online jest grą typu MMOG wyprodukowaną przez firmę CCP. Link
Coż... Człowiek uczy się przez całe życie :)
A na poważnie. Żeby administratorzy serwerów zaglądali w logi, ich życie byłoby łatwiejsze. :)
Bo najsłabszy w systemie jest zawsze człowiek...
Znalazłem na securitystandard.pl bardzo fajny wywiad z Kevinem Mitnickiem - facetem, który włamywał się do systemów komputerowych, najczęściej wykorzystując najsłabsze ogniwo, jakim jest człowiek. Link
Ponieważ system informatyczny to według UODO zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych, a wszędzie swoje "łapy" wkłada czlowiek, to myślę, że zapoznanie się z zakresem działań p. Mitnicka powinno być obowiązkowa dla każdego ABI.
Czym zajmował się Mitnick? Swego czasu był najbardziej poszukiwanym w USA hackerem. A takiego statusu nie uzyskuje się w tak dużym kraju za robienie na drutach :)
Polecam wywiad i wszelkie pozycje związane z socjotechniką. :)
Czemu należy rejestrować ruch do sieci...
Na portalu rynekzdrowia.pl w dniu 6 czerwca pojawiła się informacja o wycieku danych osobowych i danych dot. zarobków prcowników. Link
Nastepnie w dniu 2 lipca pojawiła się kolejna informacja na ten temat - prokuratura umorzyła śledztwo. Link
Czyli cicho sza. Ktoś cos wypuścił, ale z braku laku, sprawa została umorzona. Co ciekawsze powszechne oburzenie wywołały zarobki niektórych osób, a nie fakt, że wyciekły dane.
W skrócie: ktoś wypuścił dane do internetu przy pomocy darmowego konta pocztowego, założonego na fałszywe dane. Prokuratura szczyciła się, że od właściciela serwera otrzymała dane, na jakie zostało założone konto ;)
Hmm... wynik? Prokuratura znalazła osobę, która kolportowała listę płac pracowników, ale nie robiła tego przy użyciu internetu, więc nie postawiono jej zarzutów. :)
Właściwego poszukiwanego nie znaleziono.
Cudownie.
A jak to wyglda od strony prawa?
Ustawa o ochronie danych osobowych:
Art. 1 ust. 1 mówi, że każdy ma prawo do ochrony dotyczących go danych.
Art. 36 ust. 1 mówi, że administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.
Art. 38 mówi, że administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.
Art. 49 mówi, że kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
Art. 51 ust. 1 mówi, że kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
Art. 51 ust. 2 mówi, że jeżeli sprawca działa nieumyślnie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
Art. 52 mówi, że kto administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
Więc, jak widać z powyższych i podstawowych przepisów, szef jednostki powinien być w pierwszym rzędzie pociągnięty do odpowiedzialności karnej. Zgodnie z ustawą, to on jako ADO odpowiada za bezpieczeństwo przetwarzania danych i to on doprowadził do udostępnienia danych. Poza tym, nie wydaje mi się, że w przypadku, gdyby wdrożona była polityka bezpieczeństwa, a także logowane były ruchy pracowników w systemie informatycznym, to w przypadku wystąpienia incydentu ujawnienia danych, nie byłoby większego problemu z ustaleniem winnnego (art. 36 i 38).
Nastepnie przyłapany pracownik, który udostępniał dane innym (ale nie wypuścił do internetu) powinien odpowiadać za udostepnienie danych osobowych i jeżeli nie był upoważniony do ich przetwarzania, za nieuprawnione przetwaranie danych osobowych.
A teraz rozporządzenie ministra spraw wewnętrznych i administracji, załącznik.
Ponieważ system przetwarzający dane osobowe był/jest połączony z siecią publiczną winny być zastosowane środki zabezpieczające na poziomie wysokim, a wiec, zgodnie z załącznikiem do rozporządzenia (rodział C):
XII
1. System informatyczny służący do przetwarzania danych osobowych chroni się przed zagrożeniami pochodzącymi z sieci publicznej poprzez wdrożenie fizycznych lub logicznych zabezpieczeń chroniących przed nieuprawnionym dostępem.
2. W przypadku zastosowania logicznych zabezpieczeń, o których mowa w ust. 1, obejmują one:
a) kontrolę przepływu informacji pomiędzy systemem informatycznym administratora danych
a siecia publiczną;
b) kontrolę działań inicjowanych z sieci publicznej i systemu informatycznego administratora danych.
2. W przypadku zastosowania logicznych zabezpieczeń, o których mowa w ust. 1, obejmują one:
a) kontrolę przepływu informacji pomiędzy systemem informatycznym administratora danych
a siecia publiczną;
b) kontrolę działań inicjowanych z sieci publicznej i systemu informatycznego administratora danych.
XIII
Administrator danych stosuje środki kryptograficznej ochrony wobec danych wykorzystywanych do uwierzytelnienia, które są przesyłane w sieci publicznej.
Więc, czyżby ktoś niedopełnił obowiązku nałożonego przez akty wykonawczy do ustawy? Jeżeli włączone zostałoby logowanie ruch na zewnątrz, myślę, że nie byłoby większego problemu z ustaleniem z jakiego komputera i o której godzinie wyszły te dane. A to chyba pomogłoby w ustaleniu konkretnej osoby.
W tym momencie śledztwo powinno przenieść się w obszar komunikacji w firmie i wypełniania obowiązków nałożonych przez ustawę: czy w firmie był ABI, czy ABI zgłaszał problemy i zapotrzebowanie na zmianę sprzętu/oprogramowania/procedur, czy administrator systemów informatycznych borze wykonywał swoje obowiązki, czy pracownicy zostali przeszkoleni/poinformowani w zakresie obowiązków ochrony danych... Pytań jest całą masa i tym powinna zająć się prokuratura i GIODO.
A tak? A tak to mamy bardzo ciekawe zjawisko - brak winnych, śledztwo umorzone... czyżby podobnie będzie z wyciekiem danych z PEKAO S.A? oj przepraszam, przecież dane nie wyciekły z banku, tylko z jakies obcej firmy... A umowa na powierzenie przetwarzania danych i audyt były? ;)
niedziela, 13 lipca 2008
Kiedy dane zniknął z sieci...?
Tak na koniec gorących wydażeń związanych z bankiem PEKAO S.A.
Okazało się, że mimo zapewnien przedstawicieli banku (rzecznik prasowy, który groził internautom, że będzie ich ścigał), ani bank, ani przedstawiciele firmy Possum Communication nie wykonali PODSTAWOWYCH działań, żeby usunąć dane z cache googli.
Tak trzymać chłopaki.
Subskrybuj:
Posty (Atom)
