Praca zdalna i laptopy służbowe a RODO

Dlaczego praca zdalna zmienia zasady gry dla ochrony danych

Dane osobowe przetwarzane w biurze pozostają w kontrolowanym środowisku — firmowa sieć, zabezpieczony sprzęt, ograniczony dostęp fizyczny. Praca zdalna wyprowadza te same dane poza tę kontrolę: laptop służbowy trafia do domowej sieci Wi-Fi o nieznanym poziomie zabezpieczeń, bywa używany w kawiarni czy pociągu, gdzie ekran widzą osoby postronne, a czasem dzieli przestrzeń z prywatnym sprzętem domowników. Żaden z tych scenariuszy nie jest z zasady zabroniony, ale każdy wymaga dodatkowych zabezpieczeń, których nie potrzeba przy pracy wyłącznie stacjonarnej.

Konfiguracja laptopa do pracy zdalnej pod kątem ochrony danych osobowych łączy kilka elementów działających razem: szyfrowanie dysku na wypadek zgubienia lub kradzieży, bezpieczne połączenie z zasobami firmowymi, automatyczną blokadę ekranu przy braku aktywności oraz jasne zasady dotyczące tego, gdzie i jak wolno pracować z danymi wymagającymi szczególnej ochrony.

Warianty ryzyka związanego z pracą zdalną

Niezabezpieczona sieć domowa lub publiczna

Domowy router z fabrycznym, nigdy niezmienionym hasłem albo połączenie z otwartą siecią Wi-Fi w kawiarni naraża ruch sieciowy na podsłuchanie — dane logowania i przesyłane informacje mogą zostać przechwycone przez osobę w tej samej sieci.

Sprzęt współdzielony z domownikami

Laptop służbowy używany „przy okazji" przez innych członków rodziny — do przeglądania internetu, gier, nauki dzieci — zwiększa ryzyko przypadkowego dostępu do danych firmowych albo instalacji niebezpiecznego oprogramowania spoza kontroli firmy.

Praca w miejscach publicznych

Ekran widoczny dla osób postronnych w pociągu czy kawiarni to ryzyko podglądania danych — mniej techniczne, ale równie realne jak zagrożenia sieciowe, zwłaszcza przy pracy z dokumentami zawierającymi dane osobowe klientów.

Brak rozróżnienia między sprzętem prywatnym a służbowym

Pracownik korzystający z prywatnego komputera do pracy zdalnej (bez firmowego laptopa) stawia firmę przed dodatkowym wyzwaniem — brak kontroli nad zabezpieczeniami sprzętu, na którym przetwarzane są dane firmowe.

Co robimy przy konfiguracji laptopów do pracy zdalnej

Konfiguracja obejmuje włączenie szyfrowania dysku (opisane szerzej w osobnym temacie), skonfigurowanie bezpiecznego połączenia z zasobami firmowymi poprzez VPN — wirtualną sieć prywatną tworzącą zaszyfrowany tunel między laptopem a siecią firmową, niezależnie od tego, z jakiej sieci lokalnej pracownik akurat korzysta — oraz ustawienie automatycznej blokady ekranu po krótkim czasie bezczynności, co ogranicza ryzyko podglądania czy przejęcia dostępu przy odejściu od komputera.

Dodatkowym elementem jest konfiguracja kont użytkowników na laptopie w sposób uniemożliwiający domownikom pracownika dostęp do profilu służbowego — osobne konto systemowe z ograniczonymi uprawnieniami dla ewentualnego użytku prywatnego, oddzielone od konta służbowego z dostępem do danych firmowych.

Błędy przy samodzielnej konfiguracji pracy zdalnej

• Brak VPN przy łączeniu się z zasobami firmowymi. Połączenie bez zaszyfrowanego tunelu naraża przesyłane dane na przechwycenie, zwłaszcza w publicznych sieciach Wi-Fi.
• Wyłączona blokada ekranu „dla wygody". Krótka nieobecność przy komputerze w miejscu publicznym, bez automatycznej blokady, daje osobie postronnej okazję do wglądu w otwarte dokumenty albo nawet przejęcia dostępu.
• Praca na prywatnym sprzęcie bez wiedzy działu IT. Pracownik korzystający z własnego, niezabezpieczonego komputera do połączenia z systemami firmowymi wprowadza niekontrolowane ryzyko, o którym firma może nawet nie wiedzieć.
• Zapisywanie danych firmowych lokalnie na prywatnym urządzeniu. Kopiowanie dokumentów z danymi osobowymi na prywatny dysk „dla wygody" pozostawia je poza kontrolą firmy nawet po zakończeniu danego zadania.

Dodatkowe pytania klientów

Czy VPN jest konieczny przy każdej pracy zdalnej?

Zdecydowanie zalecany przy każdym połączeniu z zasobami firmowymi zawierającymi dane osobowe — szczególnie istotny w sieciach publicznych, gdzie ryzyko przechwycenia danych jest największe.

Czy pracownik może pracować na prywatnym laptopie?

To rozwiązanie wymagające dodatkowej rozwagi — prywatny sprzęt powinien spełniać te same podstawowe wymogi (szyfrowanie, aktualne oprogramowanie, ochrona antywirusowa) co sprzęt służbowy, jeśli ma być używany do pracy z danymi firmowymi.

Jak długo powinna trwać bezczynność przed automatyczną blokadą ekranu?

Krótki czas, wystarczający, żeby nie przeszkadzać w normalnej pracy, ale na tyle krótki, żeby ograniczyć ryzyko przy chwilowym odejściu od komputera — dokładny czas dobiera się indywidualnie do charakteru pracy.

Co zrobić, jeśli laptop służbowy zostanie zgubiony podczas pracy zdalnej?

Natychmiastowe zgłoszenie sytuacji, zmiana haseł do systemów, do których laptop miał dostęp, oraz sprawdzenie, czy dysk był zaszyfrowany — to kluczowa informacja decydująca o dalszej ocenie ryzyka dla danych, które mogły się na nim znajdować.

Kiedy to nie jest kwestia pracy zdalnej, tylko coś innego

Jeśli głównym tematem jest samo szyfrowanie dysku, niezależnie od tego, czy sprzęt jest używany zdalnie, czy stacjonarnie, właściwym punktem jest szyfrowanie dysków i nośników przenośnych. Jeśli chodzi o zabezpieczenie samej sieci firmowej, do której laptopy się łączą, tematem jest firewall i zabezpieczenie sieci firmowej.

Warunki współpracy

Konfigurację laptopów do bezpiecznej pracy zdalnej wycenia się indywidualnie, zależnie od liczby urządzeń i zakresu wdrożenia — cennika usług nie publikujemy. Dojazd do klienta na terenie Warszawy i okolicznych powiatów jest bezpłatny. Na wykonaną konfigurację obowiązuje gwarancja do 12 miesięcy. Firma nie jest płatnikiem VAT, więc wykonaną pracę dokumentuje fakturą bez VAT.

Przykład z praktyki

Typowe zgłoszenie: firma przechodzi na model pracy hybrydowej, a pracownicy zaczynają łączyć się z systemem CRM z domowych sieci Wi-Fi, część z nich z niezmienionym fabrycznym hasłem routera. Po wdrożeniu VPN, szyfrowania dysków na wszystkich laptopach służbowych oraz automatycznej blokady ekranu po krótkim czasie bezczynności, ryzyko związane z pracą poza biurem znacząco maleje — nawet jeśli konkretna domowa sieć pracownika pozostaje słabo zabezpieczona, sam ruch do systemów firmowych jest już chroniony niezależnie od tego.

Zasady korzystania z laptopa poza biurem

Poza samą konfiguracją techniczną warto ustalić proste, spisane zasady korzystania ze sprzętu służbowego poza biurem — nie zostawianie laptopa bez opieki w miejscach publicznych, unikanie pracy z danymi wrażliwymi w przestrzeniach, gdzie ekran jest widoczny dla wielu osób postronnych, oraz zgłaszanie każdego przypadku zgubienia lub podejrzenia nieautoryzowanego dostępu bez zwłoki. Same zabezpieczenia techniczne, choćby najlepiej skonfigurowane, nie zastąpią podstawowej ostrożności w codziennym korzystaniu ze sprzętu.

Aktualizacje na laptopach pracujących zdalnie

Komputer używany poza biurem, rzadziej podłączany do firmowej sieci, łatwo wypada z rutyny automatycznych aktualizacji, jeśli harmonogram zakłada instalację poprawek tylko w określonych porach w sieci firmowej. Rozwiązaniem jest skonfigurowanie aktualizacji tak, żeby uruchamiały się przy każdym połączeniu z internetem, niezależnie od lokalizacji — bez tego laptop pracujący głównie zdalnie może zalegać z poprawkami bezpieczeństwa dłużej niż sprzęt stacjonarny w biurze.

Rozmowa z zespołem jako element wdrożenia

Techniczna konfiguracja bez wyjaśnienia zespołowi, dlaczego poszczególne zabezpieczenia zostały wprowadzone, bywa odbierana jako uciążliwość — dodatkowe logowanie przez VPN, blokada ekranu po krótkiej chwili bezczynności, ograniczenia dotyczące pracy na prywatnym sprzęcie. Krótkie wyjaśnienie, że chodzi o ochronę danych klientów i samej firmy, a nie o utrudnianie pracy, zwykle decyduje o tym, czy nowe zasady zostaną przyjęte świadomie, czy będą traktowane jako przeszkoda do obejścia przy pierwszej okazji.

Praca zdalna z zagranicy

Pracownik łączący się z systemami firmowymi spoza Polski, na przykład podczas dłuższego wyjazdu, dodaje dodatkowy wymiar do tematu — poza standardowymi zabezpieczeniami technicznymi warto rozważyć, czy transfer danych osobowych poza obszar Europejskiego Obszaru Gospodarczego rodzi dodatkowe wymogi prawne. To pytanie wykracza poza samą konfigurację techniczną i najlepiej skonsultować je z prawnikiem, jeśli taka sytuacja w firmie faktycznie występuje regularnie.

W większości firm taka sytuacja zdarza się rzadko i nie wymaga osobnej procedury na stałe, ale warto mieć świadomość, że praca zdalna z zagranicy różni się prawnie od pracy zdalnej z domu w Polsce, nawet jeśli technicznie konfiguracja laptopa pozostaje identyczna.

Sam fakt zmiany lokalizacji pracy nie zmienia zasad technicznego zabezpieczenia sprzętu — te obowiązują identycznie, niezależnie od tego, skąd pracownik się łączy.