Dla biur rachunkowych, które przetwarzają nie tylko liczby, ale również czułe informacje finansowe swoich klientów, zapewnienie bezpieczeństwa danych to priorytet. Samo naruszenie zasad RODO przez administratora może skutkować karą finansową do 20 000 000 EUR. Październik jest Europejskim Miesiącem Cyberbezpieczeństwa. To okres, w którym organizowane są różnego rodzaju kampanie, wydarzenia, szkolenia i inne działania edukacyjne mające na celu podniesienie poziomu wiedzy w zakresie cyberbezpieczeństwa wśród obywateli, przedsiębiorstw i instytucji. To zatem najlepszy czas na to, aby przypomnieć, na co szczególnie powinni uważać księgowi i właściciele biur rachunkowych.
- Dane w biurze rachunkowym. Jakie kary za naruszenie RODO?
- Czy biuro rachunkowe może być traktowane jako administrator danych?
- Czy chmura jest bezpieczna?
- Wyciek danych w biurze rachunkowym to straty dla obu stron
- Co można zrobić biuro rachunkowe, by przetwarzać bezpieczniej?
- Jak lepiej zabezpieczyć dane w biurze rachunkowym?
Dane w biurze rachunkowym. Jakie kary za naruszenie RODO?
Z uwagi na rosnącą liczbę cyberzagrożeń i coraz bardziej skomplikowane technologie biura rachunkowe, samodzielni księgowi i inne podmioty przetwarzające ważne informacje muszą zachować szczególną czujność. Zgodnie z art 107 ustawy o ochronie danych osobowych kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniony, naraża się na surowe konsekwencje prawne. Takie działania mogą skutkować nałożeniem grzywny, kary ograniczenia wolności, a nawet pozbawienia wolności na okres do dwóch lub nawet trzech lat.
Naruszenie przepisów RODO może wiązać się też z innymi surowymi konsekwencjami. Kary finansowe za niewłaściwe przetwarzanie danych osobowych mogą sięgać nawet 20 mln euro lub 4% rocznego obrotu firmy, w zależności od tego, która kwota jest wyższa. Dodatkowo biuro rachunkowe może ponieść straty wizerunkowe i utratę zaufania klientów, co może być dla niego równie dotkliwe.
Warto również pamiętać, że poza RODO istnieje wiele innych regulacji dotyczących ochrony danych w sektorze finansowym, takie jak PCI DSS (Payment Card Industry Data Security Standard), które dotyczy bezpieczeństwa kart płatniczych. Naruszenie każdej z nich niesie kolejne konsekwencje.
Czy biuro rachunkowe może być traktowane jako administrator danych?
W świetle prawa biuro rachunkowe, które przetwarza dane osobowe swoich klientów, jest uważane za tzw. podmiot przetwarzający czyli przetwarza dane w imieniu administratora. Ma zatem obowiązek przestrzegania przepisów dotyczących ochrony danych, w szczególności tych określonych w art. 28 Rozporządzenia Ogólnego o Ochronie Danych Osobowych, znanym jako RODO. To znaczy, że musi zawrzeć umowę z Administratorem określającą m.in. określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Ponadto jako administrator danych np. swoich pracowników ale także osób reprezentujących klienta powinien zapewnić, bezpieczeństwo danych, informować swoich klientów o celach przetwarzania ich informacji oraz respektować ich prawa w zakresie dostępu do swoich danych.
Czy chmura jest bezpieczna?
Wiele z nowoczesnych aplikacji księgowych działa w modelu SaaS (Software as a Service), więc przetwarza i gromadzi dane w chmurze. Rozwiązania tego typu stają się integralną częścią biznesu, nic więc dziwnego, że pojawiają się pytania dotyczące bezpieczeństwa chmury. Oczywiście, nikt w internecie nie jest całkowicie bezpieczny, ale to nie znaczy, że musimy rezygnować z wygody i efektywności, jakie oferuje nam model SaaS. Istnieje wiele środków ochrony danych, które pozwalają przedsiębiorcom korzystać z nowoczesnych aplikacji w sposób bezpieczny i zgodny z regulacjami prawa.
- Cloud computing, czyli korzystanie z usług opartych na zapisywaniu plików na serwerach dostawcy usługi, jest popularnym wyborem dla firm, które nie chcą inwestować we własne serwery. Jednak wybór dostawcy usługi chmurowej powinien być dokładnie przemyślany. Ważne jest, aby zdecydować się na partnera, który zapewni odpowiednie zabezpieczenia i spełni nasze oczekiwania – mówi Krzysztof Wojtas, prezes zarządu BrainSHARE IT, producenta programu SaldeoSMART.
Współczesne aplikacje SaaS oferują zaawansowane mechanizmy ochrony danych i całej infrastruktury IT, które przekładają się na wysoki poziom bezpieczeństwa. Firmy projektujące oprogramowanie w modelu SaaS inwestują znaczne środki w narzędzia ochrony, wdrażając m.in. szyfrowanie danych w transmisji i przechowywaniu, systemy wykrywania i reagowania na zagrożenia oraz audyty bezpieczeństwa. Dodatkowo, w przypadku oprogramowania SaaS, dostawcy są odpowiedzialni za aktualizacje i łatki bezpieczeństwa, co usuwa ten ciężar z ramion użytkowników.
Wyciek danych w biurze rachunkowym to straty dla obu stron
Potencjalni atakujący stosują różne metody, aby uzyskać dostęp do poufnych danych firm i osób prywatnych. Jednym z najczęstszych sposobów cyberataku jest phishing, który polega na podszywaniu się pod wiarygodne źródła w celu wyłudzenia informacji, takich jak np. dane logowania. Przesłanie fałszywego e-maila z prośbą o aktualizację programu może prowadzić do wycieku informacji, w tym danych wrażliwych.
Atakujący mogą również wysyłać zainfekowane załączniki w e-mailach, które po otwarciu instalują na urządzeniu oprogramowanie szpiegujące. To daje im dostęp do niemal wszystkich informacji, w tym haseł i danych logowania do systemów. Szkodliwe oprogramowanie może działać w ukryciu, co sprawia, że jest trudne do zauważenia.
Innym scenariuszem jest atak na osoby korzystające z publicznych sieci Wi-Fi, takich jak te dostępne w kawiarniach czy hotelach. W słabo zabezpieczonych sieciach cyberprzestępcy mogą łatwo przechwycić transmisję danych i uzyskać dostęp do poufnych informacji. Dlatego tak ważne jest, aby zawsze korzystać z bezpiecznych i zaszyfrowanych sieci oraz unikać przesyłania ważnych informacji przez publiczne, niezabezpieczone połączenia – chyba że te informacje są zaszyfrowane lub wykorzystywany jest szyfrowany kanał komunikacji.
Warto zaznaczyć, że w przypadku naruszenia danych osobowych zarówno biuro rachunkowe, jak i jego klient ponoszą wspólne konsekwencje powstałej szkody, w tym obowiązki związane z np. zgłoszeniem do Urzędu Ochrony Danych Osobowych oraz poinformowania osób których dane dotyczą o naruszeniu. Biuro jest narażone na problemy natury prawnej i finansowej, a jego klient może ponieść np. straty biznesowe, związane z wyciekiem tajnych danych. To właśnie dlatego oferowanie nowoczesnych i bezpiecznych aplikacji przez biura księgowe jest fundamentem budowania zaufania między biurem rachunkowym a jego klientami.
Co można zrobić biuro rachunkowe, by przetwarzać bezpieczniej?
W jaki sposób biura rachunkowe muszą działać, aby spełnić stawiane przed nimi wyzwania i oczekiwania? Po pierwsze, muszą posiadać jasne polityki ochrony danych osobowych i informować swoich klientów o celach i zakresie przetwarzania ich danych. Każdy klient ma prawo dostępu do swoich danych, a księgowość powinna umożliwić realizację tego prawa. Muszą też zadbać o nowoczesne, bezpieczne oprogramowanie.
- Według przepisów prawa dane osobowe klientów mają być przechowywane w sposób zabezpieczony, a dostęp do nich powinien być ograniczony do osób, które go potrzebują. W przypadku wycieku danych biura rachunkowe mają obowiązek powiadomić klientów oraz organy nadzoru – dodaje Krzysztof Wojtas.
Jak lepiej zabezpieczyć dane w biurze rachunkowym?
Ochrona danych w biurze rachunkowym to proces wieloetapowy. Przede wszystkim warto zainwestować w odpowiednią infrastrukturę IT, która zapewni bezpieczeństwo przechowywanych informacji. To obejmuje zarówno zabezpieczenia fizyczne, takie jak karty dostępu i monitoring, oraz środki techniczne, takie jak antywirusy, zapory sieciowe i systemy szyfrowania.
Niezwykle istotnym dziś elementem bezpieczeństwa jest uwierzytelnianie wieloskładnikowe (MFA). To technika zabezpieczenia dostępu do systemów informatycznych, w tym oprogramowania typu Software as a Service (SaaS). Ma na celu zwiększenie poziomu bezpieczeństwa, wymagając od użytkowników oprócz tradycyjnego loginu i hasła dostarczenia dodatkowych informacji potwierdzających ich tożsamość. MFA wielokrotnie zmniejsza możliwość nieautoryzowanego dostępu do wrażliwych danych i aplikacji przechowywanych w chmurze. Bardzo ważnym aspektem bezpieczeństwa jest również zarządzanie uprawnieniami, w tym nadawanie i odbieranie uprawnień np. osobom, które zakończyły pracę.
- Ważnym elementem jest również świadomość pracowników, którą kształtuje się przez działania edukacyjne. Każdy członek zespołu biura rachunkowego powinien być świadomy ryzyka związanego z cyberzagrożeniami i znać podstawowe zasady bezpieczeństwa. Regularne szkolenia w tym zakresie mogą znacząco zmniejszyć problem incydentów związanych z wyciekiem danych – tłumaczy Krzysztof Wojtas.
Bezpieczeństwo danych w biurze rachunkowym trzeba traktować priorytetowo. Przestrzeganie przepisów RODO i innych regulacji, inwestycje w odpowiednią infrastrukturę IT oraz edukacja pracowników to kroki, które pomogą zabezpieczyć cenne informacje finansowe klientów. Europejski Miesiąc Cyberbezpieczeństwa to dobry moment, by przyjrzeć się swoim praktykom i zadbać o jeszcze wyższy poziom ochrony danych.