„Jesteśmy za mali, żeby ktoś nas atakował” – to jedno z najgroźniejszych przekonań w organizacjach pozarządowych. Większość ataków nie jest wymierzona w konkretną organizację. To automaty, które szukają słabych haseł, nieaktualnych stron i nieuważnych osób. A organizacje przechowują dane wrażliwe: o darczyńcach, wolontariuszach, a często o zdrowiu czy sytuacji rodzinnej podopiecznych.
Pięć rzeczy, które warto zrobić od razu
- Włącz logowanie dwuetapowe (2FA) na poczcie, w social mediach, w systemie do newslettera i w panelu strony. To najprostszy sposób, by skradzione hasło nie wystarczyło do włamania.
- Używaj menedżera haseł (np. Bitwarden, 1Password) – każde konto z innym, długim hasłem, a dostępy zespołowe udostępniane w bezpieczny sposób.
- Rób kopie zapasowe dokumentów, bazy kontaktów i strony – automatycznie, w więcej niż jednym miejscu, i sprawdzaj, czy da się je odtworzyć.
- Aktualizuj system, przeglądarkę, telefon i stronę internetową. Nieaktualny WordPress z wtyczkami sprzed lat to najczęstsza droga włamań na strony organizacji.
- Uporządkuj dostępy – kto ma dostęp do czego? Gdy ktoś odchodzi z organizacji, odbierz mu dostępy tego samego dnia.
Phishing: najczęstszy sposób ataku
Fałszywe wiadomości podszywające się pod bank, kuriera, serwis społecznościowy albo… prezesa organizacji, który „pilnie potrzebuje przelewu”. Zasady dla całego zespołu:
- nie klikaj w linki z nieoczekiwanych wiadomości – wejdź na stronę samodzielnie,
- sprawdzaj adres nadawcy i adres strony przed wpisaniem hasła,
- prośby o przelew lub zmianę numeru konta zawsze potwierdzaj telefonicznie,
- zgłaszaj podejrzane wiadomości – lepiej dmuchać na zimne.
Krótkie szkolenie raz w roku i wspólne omawianie podejrzanych maili robią ogromną różnicę.
Strona internetowa i konta w social mediach
- Aktualizacje i kopie zapasowe strony co najmniej raz w miesiącu – lub opieka techniczna, która robi to za Was.
- Certyfikat SSL (adres zaczynający się od https).
- Usuwaj nieużywane wtyczki i konta administratorów.
- Co najmniej dwie osoby z uprawnieniami administratora do profili w social mediach, ale nie więcej niż potrzeba.
- Domena zarejestrowana na organizację i dostęp do niej w rękach zarządu.
O tym, jak powinna być zbudowana i utrzymywana strona, piszemy w poradniku strona internetowa dla NGO.
RODO w organizacji: podstawy bez strachu
RODO dotyczy także małych organizacji, ale nie trzeba się go bać. Chodzi o rozsądne zasady:
- zbieraj tylko to, czego naprawdę potrzebujesz – do newslettera wystarczy adres e-mail,
- informuj, po co zbierasz dane – klauzula informacyjna przy formularzach i polityka prywatności na stronie,
- miej podstawę prawną – zgoda, umowa, obowiązek prawny lub prawnie uzasadniony interes,
- chroń dane – dostęp tylko dla osób, które go potrzebują, bezpieczne hasła, szyfrowane dyski w laptopach,
- nie trzymaj danych w nieskończoność – określ, kiedy je usuwasz,
- podpisuj umowy powierzenia z firmami, które przetwarzają dane za Was (np. system mailingowy, hosting, księgowość),
- prowadź rejestr czynności przetwarzania, jeśli jest wymagany, i miej procedurę na wypadek naruszenia – zgłoszenie do UODO w ciągu 72 godzin, jeśli naruszenie niesie ryzyko dla osób.
Szczególnie uważaj na dane o zdrowiu, niepełnosprawności czy sytuacji rodzinnej podopiecznych oraz na wizerunek dzieci – do publikacji zdjęć potrzebna jest zgoda opiekunów.
Gdy coś pójdzie nie tak
- Zmień hasła do zagrożonych kont i wyloguj wszystkie sesje.
- Sprawdź, jakie dane mogły wyciec.
- Poinformuj osoby w zespole i, jeśli trzeba, osoby, których dane dotyczą.
- Oceń, czy naruszenie trzeba zgłosić do UODO.
- Spisz, co się stało i co zmieniacie, żeby się nie powtórzyło.
Najczęstsze pytania
Czy mała organizacja potrzebuje inspektora ochrony danych?
Nie zawsze. Obowiązek zależy m.in. od skali i rodzaju przetwarzanych danych. Jeśli przetwarzacie na dużą skalę dane szczególnych kategorii, np. o zdrowiu, warto to przeanalizować z prawnikiem.
Czy możemy trzymać dane w arkuszu Google?
Tak, pod warunkiem rozsądnych zabezpieczeń: konto organizacji z logowaniem dwuetapowym, dostęp tylko dla osób, które go potrzebują, i brak publicznych linków do udostępniania.
Ile kosztuje bezpieczeństwo?
Większość opisanych kroków jest bezpłatna albo bardzo tania: 2FA, menedżer haseł, aktualizacje, kopie zapasowe w chmurze. Najdroższe jest zwykle sprzątanie po włamaniu.
Chcecie sprawdzić bezpieczeństwo strony i kont organizacji? Zgłoście organizację.
