Uczelnia przetwarza dane studentów i pracowników, prowadzi badania oraz udostępnia wiele usług użytkownikom o różnych uprawnieniach. Awaria lub przejęcie konta może utrudnić rekrutację, prowadzenie zajęć albo obsługę spraw studenckich. Priorytety ochrony trzeba ustalić na podstawie konkretnych danych, zależności i skutków przerwy w pracy.
Punktem wyjścia jest wiedza o tym, kto odpowiada za każdy system i jak uczelnia przywróci jego działanie. Zakup kolejnego narzędzia bezpieczeństwa nie zastępuje tych ustaleń.
Co trzeba chronić na uczelni
Różne zasoby wymagają różnego podejścia. Dane kontaktowe, dokumentacja toku studiów, informacje o zdrowiu, wyniki badań i dane finansowe mają odmienne zastosowania, podstawy przetwarzania oraz wymagania ochrony. Nie wszystkie dane osobowe należą do szczególnych kategorii w rozumieniu RODO.
Inwentaryzacja powinna objąć systemy centralne, narzędzia wydziałowe, usługi chmurowe, integracje i konta techniczne. Dla każdego zasobu warto wskazać właściciela, użytkowników, dostawców oraz konsekwencje utraty dostępności, poufności lub integralności.
Rozproszona architektura wymaga jasnej odpowiedzialności
Więcej niezależnie zarządzanych systemów może utrudniać aktualizacje, odbieranie uprawnień i odtworzenie przepływu danych. Sama liczba aplikacji nie opisuje jednak poziomu ryzyka. Ważne są ich konfiguracja, sposób integracji i jakość utrzymania.
Konsolidacja może uprościć administrację, ale także skoncentrować ryzyko awarii lub przejęcia konta. Przed połączeniem systemów trzeba ocenić zakres dostępu, zależności i możliwość odizolowania problemu. Integracje powinny otrzymywać tylko te uprawnienia, których potrzebują.
Jak ustalić priorytety zabezpieczeń
- Tożsamość i dostęp — uwierzytelnianie wieloskładnikowe, przeglądy uprawnień, oddzielne konta administracyjne i odbieranie dostępu po zmianie roli lub zakończeniu współpracy.
- Aktualizacje i konfiguracja — właściciel każdego systemu, proces obsługi podatności oraz kontrola usług dostępnych z internetu.
- Kopie zapasowe i odtwarzanie — zabezpieczone kopie, testy przywracania i uzgodnione cele dotyczące przerwy w pracy oraz dopuszczalnej utraty danych.
- Rejestrowanie zdarzeń — logi przydatne do wykrycia i wyjaśnienia incydentu, z kontrolą dostępu, ochroną integralności i uzasadnioną retencją.
- Segmentacja i integracje — ograniczenie zasięgu uprawnień oraz sprawdzenie, czy problem jednego systemu może przenieść się na pozostałe.
- Reagowanie na incydenty — kontakty, role decyzyjne, procedura zgłoszenia podejrzenia oraz ćwiczenia z udziałem IT i osób odpowiedzialnych za procesy.
Żaden z tych środków nie daje gwarancji odporności na atak. Ich dobór wynika z oceny ryzyka, a skuteczność wymaga regularnego sprawdzania. Podejście Zero Trust oznacza weryfikację dostępu i ograniczanie uprawnień, a nie pojedynczy produkt instalowany w sieci.
Lokalizacja danych to jeden z elementów oceny
Hosting w UE może ułatwiać realizację przyjętych wymagań, ale nie rozstrzyga sam o bezpieczeństwie ani zgodności z RODO. Trzeba ustalić również dostęp dostawców i podwykonawców, warunki umów oraz rzeczywiste transfery danych. RODO nie narzuca przetwarzania wyłącznie w UE; transfery poza EOG wymagają właściwej podstawy i oceny.
Bezpieczeństwo i zgodność wymagają wspólnej procedury
Incydent bezpieczeństwa nie zawsze jest naruszeniem ochrony danych osobowych. Samo wystąpienie naruszenia nie dowodzi też automatycznie naruszenia obowiązków wynikających z RODO. Znaczenie mają zastosowane środki, okoliczności i reakcja administratora.
Naruszenie ochrony danych osobowych należy ocenić pod kątem ryzyka dla osób. Zgłoszenie organowi nadzorczemu jest wymagane, chyba że jest mało prawdopodobne, by naruszenie powodowało ryzyko naruszenia praw lub wolności; gdy jest wymagane, obowiązuje termin bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia naruszenia. Zawiadomienie osób dotyczy co do zasady wysokiego ryzyka i podlega odrębnym warunkom. Ocenę i podjęte działania trzeba udokumentować.
Uczelnia powinna także sprawdzić inne mające do niej zastosowanie obowiązki sektorowe i krajowe. Więcej o danych i zastosowaniach AI opisujemy w tekście o RODO i AI Act na uczelni.
Bezpieczeństwo w projekcie oprogramowania
W ramach Q-Dev możemy zaprojektować oprogramowanie dla wybranych procesów uczelni, w tym obsługi spraw studenckich. Wymagania dotyczące dostępu, rejestrowania operacji, kopii zapasowych i miejsca przetwarzania danych ustalamy z uczelnią dla konkretnego zakresu. Zabezpieczenia wymagają weryfikacji i utrzymania przez cały okres działania systemu.
Opisz proces, dla którego potrzebujesz nowego oprogramowania, oraz wymagania swojego zespołu IT dotyczące bezpieczeństwa.
Najczęstsze pytania
Od czego zacząć ocenę cyberbezpieczeństwa uczelni? Od inwentaryzacji systemów, danych, kont i integracji oraz wskazania ich właścicieli. Następnie ustal skutki awarii lub wycieku i sprawdź podstawowe zabezpieczenia, w tym możliwość odtworzenia najważniejszych usług.
Czy połączenie systemów automatycznie poprawia bezpieczeństwo? Nie. Może uprościć zarządzanie, ale również skoncentrować ryzyko. Wymaga oceny dostępu, zależności, segmentacji oraz skutków awarii wspólnego elementu.
Czy przechowywanie danych w UE wystarcza do zgodności z RODO? Nie. Trzeba ocenić między innymi podstawy przetwarzania, uprawnienia, umowy, podwykonawców i transfery. RODO nie nakazuje przetwarzania wyłącznie w UE, a lokalizacja serwera nie zastępuje oceny bezpieczeństwa.
Czy każdy incydent trzeba zgłosić do UODO? Nie każdy incydent jest naruszeniem ochrony danych osobowych. Takie naruszenie wymaga oceny ryzyka; zgłoszenie organowi jest wymagane, chyba że jest mało prawdopodobne, by powodowało ryzyko naruszenia praw lub wolności osób. Zawiadomienie osób ma odrębne warunki. Ocenę należy udokumentować.