Awaria IT czy incydent bezpieczeństwa? Jak odróżnić jedno od drugiego

To rozróżnienie, które w praktyce robi ogromną różnicę – zarówno operacyjnie, jak i prawnie. Nie każda awaria to incydent bezpieczeństwa – i odwrotnie, nie każdy incydent wygląda jak spektakularny atak.

Problem IT czy incydent bezpieczeństwa?

Prosta zasada brzmi: problem IT to sytuacja, gdy coś nie działa, ale nie ma to wpływu na bezpieczeństwo danych – klasyczny przykład to padnięcie drukarki albo awaria aplikacji do zamówień wewnętrznych. Natomiast incydent bezpieczeństwa to zdarzenie, które może mieć wpływ na poufność, integralność lub dostępność danych – albo wywołać skutki operacyjne czy prawne dla organizacji.

Oto najczęstsze przypadki, które trafiają na wokandę lub na biurko Inspektora Ochrony Danych:

Sześć najczęstszych przypadków incydentów

• Phishing i przejęcie konta – np. kliknięcie w link w e-mailu i przejęcie konta M365 lub VPN przez przestępcę. To już incydent, nawet jeśli nie wiadomo jeszcze, jakie dane zostały skompromitowane.

• Ransomware – szyfrowanie danych przez przestępców. Tu incydent jest oczywisty: naruszenie dostępności i niemal zawsze integralności.

• Wyciek danych – np. błędne udostępnienie pliku na SharePoint osobom spoza organizacji. Prawo nie wymaga, żeby ktoś faktycznie skorzystał z tych danych – sam fakt nieuprawnionego dostępu wystarczy.

• Malware na endpointach – złośliwe oprogramowanie na stacji roboczej pracownika. Nawet jeśli „nic się nie stało”, trzeba zakładać ryzyko wycieku.

• Nieautoryzowany dostęp – np. logowanie do systemu z kraju, z którym firma nie ma żadnych relacji biznesowych. To sygnał alarmowy, który powinien uruchomić procedury.

• Błędy konfiguracji – publiczny storage z danymi klientów, niechronione API. To kategoria incydentów, która w ostatnich latach dominuje w postępowaniach administracyjnych.

W orzecznictwie Prezesa UODO z lat 2024–2025 wykształciło się kilka kluczowych testów. Naruszenie nie musi wynikać z działania osoby trzeciej – wysłanie wiadomości e-mail z załącznikiem zawierającym dane osobowe do niewłaściwego adresata również stanowi incydent podlegający analizie. Wiele firm koncentruje się wyłącznie na zagrożeniach zewnętrznych, bagatelizując błędy wewnętrzne – a to właśnie one stanowią znaczącą część zgłoszeń trafiających do UODO.

Najczęściej zadawane pytania

Czy awaria drukarki albo wewnętrznej aplikacji to incydent bezpieczeństwa?

Nie – jeśli zdarzenie nie ma wpływu na poufność, integralność ani dostępność danych osobowych, to zwykły problem IT, a nie incydent w rozumieniu RODO.

Czy błędne udostępnienie pliku, np. na SharePoint, to już incydent, nawet jeśli nikt z niego nie skorzystał?

Tak. Prawo nie wymaga, żeby ktoś faktycznie skorzystał z danych – sam fakt nieuprawnionego dostępu wystarczy, by uznać zdarzenie za incydent.

Czy błąd pracownika, np. wysłanie maila do złego adresata, liczy się tak samo jak atak z zewnątrz?

Tak. Zgodnie z orzecznictwem Prezesa UODO z lat 2024–2025 naruszenie nie musi wynikać z działania osoby trzeciej – wysłanie danych do niewłaściwego adresata również podlega analizie jako incydent.

Jeśli mają Państwo wątpliwości, czy dane zdarzenie w Państwa organizacji należy zakwalifikować jako incydent bezpieczeństwa danych osobowych, zapraszamy do kontaktu z kancelarią.