Wykrywanie danych osobowych (shadow data) - czyli jak znaleźć dane osobowe, o których firma nie wie
Shadow data to dane osobowe poza inwentaryzacją, retencją i zabezpieczeniami. Jak je wykrywać i dlaczego widoczność jest warunkiem zgodności z RODO.
Większość organizacji potrafi wskazać, gdzie znajdują się dane osobowe, które przetwarzają: w CRM, w systemie kadrowym, w ERP. Problem w tym, że rzeczywista lokalizacja danych często nie pokrywa się z ich opisem rejestrem czynności przetwarzania. Kopia raportu w skrzynce e-mail, eksport do arkusza „na szybko", załącznik na dysku współdzielonym, folder po pracowniku, który odszedł dwa lata temu - to wszystko są dane osobowe, których administrator formalnie nie widzi. To są shadow data: dane poza inwentaryzacją, poza retencją i poza jakimkolwiek zabezpieczeniem - bo nie da się chronić czegoś, o czego istnieniu się nie wie. Dla IOD, prawnika i kierownictwa ponoszącego dziś osobistą odpowiedzialność za bezpieczeństwo informacji nie jest to tylko problem porządkowy, lecz nieujawnione ryzyko, którego nikt nie ocenił i nie wpisał do rejestru ryzyka.
Skąd biorą się shadow data i dlaczego nie widać ich w RCP
Shadow data to dane osobowe, które powstają i przemieszczają się poza oficjalnymi, zarządzanymi systemami, bazami i repozytoriami. Podobnym zjawiskiem jest shadow AI, czyli użycie narzędzi AI przez pracowników poza oficjalnym nadzorem organizacji. W praktyce pracownicy korzystają z takiego nieautoryzowanego narzędzia AI w celach służbowych i często wprowadzają do takich narzędzi dane osobowe, co zwiększa ryzyko naruszenia ochrony danych osobowych. Dane nie trafiają tam w wyniku ataku ani celowego obejścia procedur - powstają jako naturalny produkt uboczny codziennej pracy. Kilka mechanizmów odpowiada za większość przypadków: Kopie robocze i eksporty - analityk pobiera zestawienie klientów do arkusza kalkulacyjnego, żeby przygotować raport. Kadry wysyłają listę płac mailem do księgowości. Handlowiec zapisuje bazę kontaktów lokalnie „na wszelki wypadek". Rekord w systemie produkcyjnym ma właściciela, cel i okres retencji - jego kopia w pliku nie ma żadnego z tych atrybutów. Poczta i repozytoria współdzielone - skrzynki e-mail oraz repozytoria typu SharePoint czy Google Drive, dyski sieciowe czy foldery w chmurze systematycznie akumulują załączniki z danymi osobowymi. Żaden mechanizm ich nie wygasza - plik przeżywa tam znacznie dłużej niż deklarowany okres retencji, często również po „skasowaniu" rekordu źródłowego w systemie produkcyjnym. Dane osierocone - pliki po pracownikach, którzy odeszli, katalogi zamkniętych projektów, archiwa aplikacji wycofanych z użycia. Nikt ich nie przegląda, bo nikt nie czuje się ich właścicielem. Wspólny mianownik jest taki, że rejestr czynności przetwarzania opisuje procesy i systemy, a shadow data żyją w plikach i między systemami. RCP może być prowadzony wzorowo i nadal nie obejmować ani jednego z tych zasobów, bo one z definicji powstają poza opisanym procesem. To dlatego jednym z najczęstszych ustaleń kontroli jest rozbieżność między tym, co organizacja deklaruje, a tym, co faktycznie przechowuje - a najczęstszym miejscem tej rozbieżności są właśnie dane nieustrukturyzowane. Konsekwencja praktyczna: zasad ograniczenia przechowywania, prawidłowości oraz minimalizacji danych (art. 5 ust. 1 lit. c, d oraz e RODO) nie da się stosować w warstwie, której się nie widzi. Deklaracja „przetwarzamy tylko dane niezbędne" jest prawdziwa wyłącznie dla systemów objętych inwentaryzacją. Wszystko poza nią to obszar, w którym zasady formalnie obowiązują, a faktycznie nie działają. Dlatego wykrycie shadow data nie jest zadaniem porządkowym IT - jest warunkiem wstępnym zgodności przetwarzania z RODO, w tym rozliczalności z art. 5 ust. 2 RODO.
Jak wykryć dane osobowe, które nie są zinwentaryzowane
Ręczny przegląd nie jest niestety opcją, ponieważ nie da się przejrzeć milionów plików na dyskach współdzielonych i w skrzynkach pocztowych oczami zespołu, a wykrywanie shadow data wymaga złożonej architektury narzędzi. Wykrywanie danych osobowych opiera się na systematycznym skanowaniu rozproszonych zasobów i klasyfikacji ich zawartości: dane osobowe rozpoznaje się na podstawie wzorców (wyrażenia regularne dla numerów PESEL, NIP czy rachunków bankowych w formacie IBAN), słowników oraz heurystyk, a analiza kontekstowa poprawia skuteczność ich wykrywania. Do analizy dokumentów wykorzystuje się technologię ML i NLP, także w scenariuszach związanych z wykorzystaniem danych oraz systemów AI, a wynik przypisuje dane do konkretnych lokalizacji, procesów i właścicieli. Skanowanie warto prowadzić w dwóch trybach. Jednorazowy audyt prewencyjny daje migawkę stanu faktycznego - punkt wyjścia do uporządkowania aktywów. Monitoring ciągły wychwytuje nowe wystąpienia i przyrosty danych, zanim urosną do skali trudnej do opanowania, bo shadow data nie są zjawiskiem jednorazowym: powstają codziennie, wraz z każdym eksportem i załącznikiem. Największymi obszarami ryzyka pozostają skrzynki pocztowe i urządzenia pracowników - traktowane jak prywatna przestrzeń robocza, rzadko objęte rutynowym audytem, a w praktyce pełne dokumentów z danymi klientów. Skany takich lokalizacji regularnie ujawniają setki, a nawet tysiące plików zawierających nazwiska i numery rachunków, o których istnieniu dział IT nie miał pojęcia. Analiza behawioralna pozwala też wykrywać nieautoryzowane transfery danych do aplikacji SaaS oraz innych narzędzi opartych na AI, w tym niezatwierdzone kanały do analizy dokumentów. Kluczowe jest, by wynik był działaniowy: nie „gdzieś są dane osobowe", lecz „te pliki, w tych lokalizacjach, zawierają te kategorie danych, a odpowiada za nie ta osoba". Bez takiej granularności i szczegółowości nie da się podjąć żadnej decyzji o postępowaniu z danymi.
Nadmiarowe przetwarzanie jako ryzyko - zwłaszcza przy incydencie
Z perspektywy systemu zarządzania bezpieczeństwem informacji i ochroną prywatności każdy zbiór danych osobowych przechowywany bez uzasadnionej potrzeby jest aktywem podlegającym ocenie ryzyka na tych samych zasadach co inne informacje. Nadmiarowość nie jest również neutralna biznesowo - to czysta strona kosztowa prowadzonej działalności: generuje ryzyko, nie dostarczając wartości. Ryzyko shadow data obejmuje jednak nie tylko dane osobowe, ale też naruszenie tajemnicy przedsiębiorstwa i ujawnienie tajemnic handlowych. A najbardziej widać to w scenariuszach incydentów cyberbezpieczeństwa i naruszeń ochrony danych osobowych. Zakres naruszenia określa zakres danych, który obejmuje. Przy udanym ataku ransomware lub eksfiltracji skala naruszenia równa się objętości i rodzajom danych osobowych, do których napastnik uzyskał dostęp - łącznie z tymi, o których organizacja nie wiedziała. Szczególnie niebezpieczne jest korzystanie z prywatnych kont zamiast kont służbowych, bo zwiększa to ryzyko wycieku danych. Przykładowo każdy zapomniany plik z danymi klientów powiększa skalę wagi naruszenia i potencjalne konsekwencje wynikające z art. 83 RODO, w tym wysokość kary finansowej, nie dając niczego w zamian. Shadow data utrudnia skuteczną reakcję na incydent. To jest najpoważniejsza konsekwencja, która bywa często pomijana. Art. 33 RODO wymaga zgłoszenia naruszenia organowi nadzorczemu - gdy występuje ryzyko - w ciągu 72 godzin, a art. 34 - zawiadomienia osób, których dane dotyczą, gdy ryzyko dla ich praw i wolności jest wysokie. Oba obowiązki zakładają, że administrator potrafi określić zakres i ocenić skalę naruszenia: jakie kategorie danych, ilu osób, w jakich systemach. Nie da się tego zrobić dla danych, o których istnieniu się nie wie. Organizacja staje wtedy przed wyborem między dwoma złymi opcjami: zgłosić naruszenie w zaniżonym zakresie (ryzyko regulacyjne i utrata wiarygodności wobec UODO oraz klientów) albo przyznać, że nie jest w stanie ustalić, kto i w jakim stopniu ucierpiał (co samo w sobie jest ustaleniem obciążającym). Do tego dochodzą obowiązki raportowe wobec CSIRT wynikające z ustawy o KSC, a w sektorze finansowym - reżim zgłaszania incydentów ICT wynikający z rozporządzenia DORA. Wniosek dla kierownictwa organizacji jest niewygodny: nie można zabezpieczyć, zminimalizować ani terminowo usunąć danych, o których się nie wie. Widoczność jest warunkiem koniecznym każdego proporcjonalnego działania i dochowania należytej staranności działania.
Od wykrycia do minimalizacji - co zrobić z ustaleniami
Wykrycie jest konieczne, ale niewystarczające. Mapa nadmiarowych danych, po której nie następuje działanie, to wciąż ta sama powierzchnia ataku - tyle że udokumentowana. Każde ustalenie wymaga rozstrzygnięcia: usunąć plik, zanonimizować go, objąć polityką retencji z wymuszonym terminem automatycznego usunięcia, czy - jeśli dane są nadal niezbędne - zabezpieczyć dane i ograniczyć do nich dostęp zgodnie z zasadą wiedzy koniecznej. Klasyfikacja informacji powinna obejmować wszystkie dane, w tym osobowe oraz dane szczególnych kategorii. W terminologii ISO 27001 (SZBI) minimalizacja jest formą redukcji ryzyka przez usunięcie aktywa (w tym przypadku kluczowego, czyli informacji), a nie tylko dodanie zabezpieczenia - mniej danych oznacza mniejsze ryzyko do traktowania w ogóle. Uzupełniają ją konkretne zabezpieczenia z załącznika A do normy: usuwanie informacji, maskowanie danych oraz zapobieganie wyciekom danych. Organizacje powinny prowadzić ocenę ryzyka i oceniać ryzyko wdrożenia lub użycia systemów ICT w kontekście RODO oraz zgodności z przepisami. Sama deklaracja okresu przechowywania bez automatycznego mechanizmu wymuszającego usunięcie lub anonimizację danych po jego upływie jest w praktyce fikcją proceduralną potwierdzoną dokumentami normatywnymi - dane i tak zostają i są dalej przetwarzane, bo osoby, które mają przypisany obowiązek ich usuwania nie pamiętają o ich ręcznym usuwaniu. Shadow data jest jednym z niewielu obszarów, w których obowiązek prawny i ekonomia bezpieczeństwa wskazują dokładnie ten sam kierunek i instrukcje działania: mniej danych poza kontrolą to jednocześnie niższe ryzyko kary i mniejsza powierzchnia ataku. Wiele organizacji nadal ocenia się jako nieprzygotowane w tym zakresie, więc formalizacja zasad i systemowe działanie nie są tu przesadą, tylko racjonalnymyi uzasadnionymi elementami zwiększania cyberbezpieczeństwa informacji. Dla kierownictwa to argument, żeby traktować wykrywanie danych nieustrukturyzowanych nie jako projekt porządkowy, lecz jako pozycję w rejestrze ryzyka oraz działanie w planach postępowania z ryzykami- najlepiej zanim zmaterializują się one w najbardziej katastrofalnych scenariuszach incydentów i naruszeń.