Dlaczego przestarzałe oprogramowanie to furtka dla atakujących, której można uniknąć
01 Tło techniczne
Atakujący nie muszą szukać nowych luk. Wystarczy znać stare i trafić na system, w którym nie zostały jeszcze załatane. Dlatego przestarzałe oprogramowanie jest atrakcyjnym celem: luka jest publicznie znana, a odpowiednie narzędzie ogólnodostępne.
Dotyczy to niemal wszystkich rodzajów aplikacji dostępnych publicznie, m.in. serwerów WWW, systemów zarządzania treścią, sklepów internetowych, interfejsów API, frameworków czy zapór sieciowych.
O przestarzałym oprogramowaniu mówimy wtedy, gdy używane aplikacje lub komponenty nie odpowiadają już aktualnemu poziomowi bezpieczeństwa. Może to mieć przede wszystkim dwie przyczyny:
Niezainstalowane aktualizacje zabezpieczeń często wynikają z niewystarczającego zarządzania poprawkami (patch management). Dalsze korzystanie z oprogramowania po zakończeniu wsparcia wskazuje z kolei zwykle na braki w zarządzaniu zasobami i ich cyklem życia.
02 Ryzyka i konsekwencje
Znane luki bezpieczeństwa są publicznie udokumentowane. Dla wielu z nich istnieją gotowe narzędzia do ataku. Atakujący nie szukają przy tym konkretnych firm, lecz nieustannie skanują internet w poszukiwaniu podatnych systemów. W przypadku wielu usług już z zewnątrz widać, jakie oprogramowanie i w jakiej wersji jest używane – a ta informacja ułatwia atakującym wykorzystanie znanych luk.
Jeśli atak się powiedzie, przetwarzane w systemie dane mogą wyciec. W najgorszym razie atakujący przejmuje pełną kontrolę nad systemem.
Jeśli w takim systemie przetwarzane są dane osobowe, należy dodatkowo uwzględnić wymogi RODO. Art. 32 RODO zobowiązuje administratorów do wdrożenia – z uwzględnieniem stanu wiedzy technicznej – odpowiednich środków technicznych i organizacyjnych ograniczających ryzyko dla tych danych. Korzystanie z wersji oprogramowania ze znanymi lukami lub po zakończeniu wsparcia z reguły nie spełnia tych wymogów.
Jeśli wykorzystanie takiej luki prowadzi do nieuprawnionego ujawnienia, zmiany lub utraty danych osobowych, z reguły dochodzi do naruszenia ochrony danych osobowych (tzw. incydentu ochrony danych).
Podwyższone ryzyko niosą stare systemy, które merytorycznie zostały już zastąpione, ale technicznie nadal są dostępne publicznie. Wypadają z pola widzenia zarządzania poprawkami, ale wciąż są osiągalne, często nadal zawierają informacje wymagające ochrony, a w najgorszym razie dają nawet dostęp do sieci wewnętrznej.
03 Jak wykryć tę lukę
W praktyce minimalizacja danych często kojarzy się z procedurami usuwania danych lub okresami przechowywania. W rzeczywistości zaczyna się ona jednak już na etapie zbierania danych osobowych.
Wiele formularzy rozrastało się latami i zawiera pola obowiązkowe, których pierwotnego celu nikt już od dawna nie kwestionuje. Często pyta się o informacje, bo „od zawsze” były częścią formularza – a nie dlatego, że są niezbędne do danego przetwarzania. Dlatego właśnie formularzom na stronach internetowych warto przyjrzeć się dokładnie.
Które pola obowiązkowe firmy powinny zweryfikować?
Nie chodzi wyłącznie o zwrot grzecznościowy. Często spotyka się pola obowiązkowe takie jak:
W przypadku każdego z tych pól należy zadać sobie to samo pytanie:
Czy naprawdę potrzebujemy tej informacji do celów przetwarzania danych – czy proces ten byłby możliwy również bez tej informacji?
Jeśli nie da się na nie przekonująco odpowiedzieć, pole to nie powinno przynajmniej być obowiązkowe.
Nie chodzi tylko o strony internetowe
Zasada minimalizacji danych nie dotyczy wyłącznie formularzy kontaktowych. Firmy powinny sprawdzić również na przykład:
Zwłaszcza systemy rozwijane przez wiele lat często zawierają pola obowiązkowe, których konieczności nigdy nie zweryfikowano.
Co firmy powinny zrobić teraz
Wyrok TSUE to dobra okazja, by krytycznie przyjrzeć się dotychczasowym praktykom zbierania danych. Na podstawie naszej praktyki doradczej zalecamy:
Nie oznacza to jednak, że pytanie o zwrot grzecznościowy będzie odtąd co do zasady niedopuszczalne. Decydujące jest raczej to, czy dana informacja jest rzeczywiście potrzebna do konkretnego celu.
Podsumowanie
Wyrok TSUE dotyczy znacznie więcej niż kwestii właściwego zwrotu grzecznościowego. Przypomina firmom o jednej z podstawowych zasad RODO:
Dopuszczalne jest zbieranie wyłącznie tych danych osobowych, które są faktycznie niezbędne do realizacji danego celu.
Minimalizacja danych nie jest więc wyłącznie obowiązkiem prawnym, lecz ważnym elementem procesów zgodnych z przepisami o ochronie danych. Kto regularnie weryfikuje swoje formularze, systemy i pola obowiązkowe, nie tylko ogranicza ryzyko w obszarze ochrony danych, lecz często także zwiększa wygodę korzystania ze swoich aplikacji.
Nasze wsparcie
Strona internetowa, portal klienta czy procesy wewnętrzne – pomagamy Państwu krytycznie przyjrzeć się dotychczasowemu zbieraniu danych. Wspólnie sprawdzamy, które dane osobowe są rzeczywiście niezbędne, wskazujemy możliwości optymalizacji i pomagamy wdrożyć zasadę minimalizacji danych w sposób praktyczny i zgodny z prawem. Dzięki temu uproszczą Państwo procesy, wzmocnią zaufanie klientów i jednocześnie spełnią wymogi RODO.
FAQ
Co rozumie się przez przestarzałe oprogramowanie?
Z przestarzałym oprogramowaniem mamy do czynienia zwłaszcza wtedy, gdy dostępne aktualizacje zabezpieczeń nie zostały zainstalowane lub producent zakończył wsparcie dla używanej wersji.
Dlaczego przestarzałe oprogramowanie stanowi zagrożenie dla bezpieczeństwa?
Znane luki bezpieczeństwa są często publicznie udokumentowane, a część z nich można wykorzystać za pomocą ogólnodostępnych narzędzi do ataku. Atakujący mogą celowo wyszukiwać systemy z podatnymi wersjami oprogramowania. WS-001 Przestarzałe oprogramowanie
Jakie konsekwencje może mieć korzystanie z przestarzałego oprogramowania?
Możliwe skutki sięgają od wycieku przetwarzanych danych po całkowite przejęcie systemu przez atakujących.
Jakie znaczenie ma przestarzałe oprogramowanie w kontekście RODO?
Jeśli przetwarzane są dane osobowe, istotne są przede wszystkim wymogi art. 32 RODO. Zgodnie z nim należy wdrożyć odpowiednie środki techniczne i organizacyjne, uwzględniając stan wiedzy technicznej.
Jak rozpoznać przestarzałe oprogramowanie?
Podstawą jest pełna inwentaryzacja używanych systemów, aplikacji i usług. Następnie można sprawdzić, czy dane oprogramowanie jest nadal wspierane i czy dostępne są aktualne aktualizacje zabezpieczeń.
Jak usunąć problem przestarzałego oprogramowania?
Aktualizacje zabezpieczeń należy priorytetyzować według ryzyka i instalować bez zbędnej zwłoki. Oprogramowanie, które nie jest już wspierane, należy w miarę możliwości zastąpić; jeśli w krótkim terminie nie jest to możliwe, warto rozważyć dodatkowe środki ochrony, np. ograniczenie dostępności systemu.
