Ryzyko dotyczące ujawnienia danych osobowych i danych objętych tajemnicą ubezpieczeniową osobom nieuprawnionym.
W PZU i PZU Życie zostały wdrożone zasady identyfikacji klienta oraz udzielania informacji w zależności od wniosków klienta. Ponadto dostęp do danych osobowych oraz informacji objętych tajemnicą ubezpieczeniową nadawany jest tylko upoważnionym osobom za pośrednictwem Centralnego Systemu Zarządzania Bezpieczeństwem Informacji (CSZBI). Dodatkowo w PZU został wdrożony system monitorujący klasy DLP, w którym zaimplementowano odpowiednie reguły minimalizujące ryzyko ujawnienia informacji, w tym danych osobowych, osobom nieuprawnionym. Spółki cyklicznie wdrażają i aktualizują procedury oraz zabezpieczenia w elektronicznych kanałach komunikacji z klientem, minimalizujące ryzyko ujawnienia informacji prawnie chronionych.
Polityka bezpieczeństwa PZU SA i PZU Życie SA, Procedura bezpieczeństwa w obszarze bezpieczeństwa informacji w PZU SA i PZU Życie SA, Procedura bezpieczeństwa w obszarze ochrony danych osobowych w PZU SA i PZU Życie SA.
Polityka bezpieczeństwa
Procedura bezpieczeństwa
Działania zgodnie z Procedurą w obszarze bezpieczeństwa informacji mają na celu m.in. zapewnienie ochrony każdej informacji zgodnie z odpowiednim poziomem bezpieczeństwa, zapewnienie kontroli dostępu do informacji, integralności i dostępności informacji oraz przeciwdziałanie kradzieży i nieautoryzowanemu wypływowi informacji. Dokument określa zasady ochrony i udostępniania informacji prawnie chronionych oraz zarządzanie ryzykiem bezpieczeństwa.
Dobre praktyki PZU i PZU Życie
Cyberbezpieczeństwo
System zarządzania cyberbezpieczeństwem w PZU i PZU Życie jest zgodny z wymaganiami normy ISO 27001, uznawanym i rozpoznawalny na całym świecie najwyższym standardem Systemu Zarządzania Bezpieczeństwem Informacji. Bezpieczeństwo informatyczne stanowi jedno z ważniejszych wyzwań świata nowych technologii. Strategizacja priorytetów w tym zakresie w Grupie PZU stara się odpowiedzieć na nowe zagrożenia zarówno w zakresie organizacyjnym i technologicznym. We wszystkich spółkach Grupy funkcjonują odpowiednie polityki, procedury i szczegółowe wymagania mające na celu zapewnienie odpowiedniego poziomu ochrony informacji oraz danych klientów. W PZU i PZU Życie funkcjonuje i stale jest rozwijany kompleksowy i wielowarstwowy system ochrony przeciw zagrożeniom cyberbezpieczeństwa – pozyskiwane są nowe narzędzia i kompetencje.
Cyberbezpieczeństwo – nadzór zarządu
Członek Zarządu – Ernest Bejda odpowiada za komórkę nadzorująco bezpieczeństwo. Posiada wieloletnie doświadczenie w tym obszarze. Przed zatrudnieniem w Grupie PZU pracował w Generalnym Inspektoracie Celnym w Warszawie, a następnie prowadził własną praktykę adwokacką. Współtworzył Centralne Biuro Antykorupcyjne, w którym pełnił funkcję Zastępcy Szefa CBA (2006-2009), od grudnia 2015 roku p.o. Szefa CBA, a następnie funkcję szefa tej instytucji (2016-2020).
| Efektywność systemu zarządzania bezpieczeństwem w PZU i PZU Życie | 2021 | 2022 |
|---|---|---|
| Liczba zablokowanych potencjalnych infekcji | >14 tys. | >7,5 tys. |
| Liczba zablokowanych prób połączenia w celu wysłania złośliwych wiadomości e-mail | 132 mln | 210 mln |
| Liczba zablokowanych ataków wysokiego ryzyka | 200 tys. | 744 tys. |
| Liczba zablokowanych przekierowań do niebezpiecznych zasobów | >3 mln | >1 mln |
| Liczba zablokowanych złośliwych wiadomości e-mail | > 1,3 mln | 0,7 mln |
| System zarządzania bezpieczeństwem w PZU i PZU Życie – wybrane działania | 2021 | 2022 |
|---|---|---|
| Liczba analiz | 46 tys. | 70 tys. |
| Liczba zaopiniowanych inicjatyw | 1,3 tys. | 1,2 tys. |
| Liczba manualnych testów bezpieczeństwa | 173 | 148 |
| Liczba wykrytych podatności | 137 tys. | 129 tys. |
| – w tym krytycznych | 27,4 tys. | 27,0 tys. |
Testy bezpieczeństwa
Wdrażanie i sprzedaż produktów oraz dostosowywanie oferty do zmieniających się potrzeb klientów stanowi ogromne wyzwanie dla systemów informatycznych Grupy. Aby zmiany przebiegały płynnie i nie zakłócały obsługi klientów, w organizacji wypracowano powtarzalną procedurę informatyczną zakładającą szeroki wybór testów i sposobów weryfikacji. Procedura gwarantuje wczesne wykrywanie zagrożeń i ewentualnych problemów oraz odpowiednie zarządzanie nimi.
W Grupie przeprowadzane są testy oceny podatności systemów PZU. Wykrywanie podatności w infrastrukturze jest procesem ciągłym i zautomatyzowanym z wykorzystaniem dedykowanych rozwiązań Vulnerability Assessment. Przeprowadzane testy bezpieczeństwa są częścią procesów zarządzania zmianą, wydaniami i projektami.
Opiniowanie i koordynacja wdrażania rozwiązań opartych o chmurę obliczeniową
W dniu 23 stycznia 2020 r. Urząd Komisji Nadzoru Finansowego (UKNF) opublikował komunikat dotyczący przetwarzania przez podmioty nadzorowane informacji w chmurze obliczeniowej publicznej lub hybrydowej. Decyzją Zarządu z dnia 7 kwietnia 2020 roku Biuro Bezpieczeństwa zostało wskazane jako jednostka koordynująca i właściwa w zakresie akceptacji wdrażania rozwiązań opartych o chmurę obliczeniową.
Zgodnie z wytycznymi w/w komunikatu przyjęte zostały procedury standaryzujące proces klasyfikacji i oceny informacji oraz proces szacowania ryzyka tj.:
- procedura klasyfikacji i oceny informacji na cele ich przetwarzania w chmurze obliczeniowej w PZU i PZU Życie;
- procedura szacowania ryzyka przetwarzania informacji w chmurze obliczeniowej w PZU i PZU Życie.
Wyższa kadra kierownicza (WKK) PZU i PZU Życie została poinformowana o zakresie odpowiedzialności BBE oraz odpowiedzialności właścicieli biznesowych procesów realizowanych w oparciu o rozwiązania chmurowe. W ramach statusów dla WKK przekazywane są informacje o aktualnych wdrożeniach jak również inne istotne informacje związane z wdrażaniem rozwiązań chmurowych. Poza tym wprowadzono cykliczne raportowanie do Zarządu PZU i PZU Życie, w ramach informacji kwartalnej z obszaru bezpieczeństwa informacji, obejmujące wykaz zaopiniowanych tematów opartych o rozwiązania chmurowe.
Wdrożenie wyżej wymienionych działań przyczyniło się do ustandaryzowania procesu wdrażania rozwiązań chmurowych, a co za tym idzie do ograniczenia ryzyka niezgodności z wytycznymi UKNF oraz transparentnego informowania organizacji na temat podejmowanych działań.
| Wdrożenie rozwiązań chmurowych w PZU i PZU Życie | 2021 | 2022 |
|---|---|---|
| Liczba zaopiniowanych rozwiązań opartych o chmurę obliczeniową w PZU/PZU Życie | 98 | 97 |
| Liczba procesów wymagających notyfikacji do UKNF | 0 | 1 |
- nowo zatrudnione osoby – biorą udział w szkoleniach wdrożeniowych, podczas których poznają zasady bezpieczeństwa, a następnie przechodzą obowiązkowe szkolenie e-learningowe z tego zakresu. Na bieżąco prowadzone są też szkolenia odświeżające oraz wewnętrzne kampanie informacyjne z bezpieczeństwa informacji, ochrony danych osobowych i cyberbezpieczeństwa. Najczęściej te zagadnienia są poruszane wspólnie, gdyż nawzajem się uzupełniają;
- szkolenie odświeżające – dla pracowników jednostek i agentów przeprowadzono dedykowane szkolenia odświeżające z tej tematyki, głównie w formie webinarów. Ich uczestnikami byli m.in. pracownicy oddziałów, jednostek obsługi szkód i świadczeń oraz agenci wyłączni (tj. w szczególności osoby zajmujące się przetwarzaniem danych osobowych klientów);
- materiały informacyjne – publikowane w intranecie PZU artykuły z tej tematyki;
- wewnętrzna kampania informacyjna – tematem przewodnim kampanii były cyberzagrożenia, związane z nimi ataki, w tym socjotechniczne, a także bezpieczeństwo informacji oraz dobre praktyki przeciwdziałania zagrożeniom takim jak m.in. phishing, socjotechnika, niebezpieczne linki i załączniki oraz dezinformacja;
- spotkanie on-line z ekspertami zewnętrznym – z przykładami zagrożeń i najczęstszych ataków oraz poradami, jak ich uniknąć;
- animacje edukacyjne (na wewnętrznej platformie e-learningowej) – na temat aktualnych cyberzagrożeń, bezpiecznej pracy zdalnej oraz jakości przetwarzanych informacji.
| Szkolenia E-learning w PZU i PZU Życie | Liczba uczestników | |
|---|---|---|
| 2021 | 2022 | |
| Bezpieczeństwo informacji, cyberbezpieczeństwo i przeciwdziałanie przestępczości dla nowo zatrudnionych | 877 | 1 468 |
| Szkolenia stacjonarne lub webinary z trenerem z tematyki bezpieczeństwo informacji / ochrona danych osobowych / cyberbezpieczeństwo PZU i PZU Życie | Liczba szkoleń | Liczba uczestników | ||
|---|---|---|---|---|
| 2021 | 2022 | 2021 | 2022 | |
| Szkolenia wdrożeniowe dla nowo zatrudnionych | 37 | 35 | 842 | 992 |
| Szkolenia odświeżające | 38 | 16 | 3 619 | 586 |
Komentarz do zmian 2021/2022 – duża liczba szkoleń odświeżających była związana z sytuacją pandemiczną i zwiększonym zapotrzebowaniem na webinaria, w których jednocześnie mogło uczestniczyć więcej pracowników niż w trybie stacjonarnym.
Dobre praktyki PZU i PZU Życie
Kampania szkoleniowa
W 2022 roku przeprowadzono jedną kampanię szkoleniową GoPhish. Polega ona na tym, że pracownikom, którzy nieopatrznie otworzyli link ze spreparowanych wiadomości, wyświetlał się film szkoleniowy Biura Bezpieczeństwa z informacją, jak unikać takich zagrożeń w przyszłości. Wyniki pokazują, że wciąż istnieje potrzeba prowadzenia kampanii antyphishingowych. Dodatkowo od 2020 roku funkcjonuje szkolenie e-learningowe Phishing quiz, dzięki któremu można poznać, jak odróżnić bezpieczne wiadomości od niebezpiecznych. Obowiązkowo szkolenie to muszą wykonać osoby, które kliknęły w linki z fałszywych e-maili.
Procedury bezpieczeństwa w spółkach zależnych
W spółkach PZU oraz we wszystkich spółkach zagranicznych wdrożono procedury zarządzania bezpieczeństwem procesów informatycznych:
W Grupie PZU Zdrowie w tym obszarze zaimplementowano pakiet regulacji dotyczący przetwarzania danych osobowych, w tym polityki bezpieczeństwa zawierające wymagania dla procesów IT.
W PTE PZU przyjęto do stosowania wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w powszechnych towarzystwach emerytalnych wydane przez KNF.
W TUW PZUW wdrożono regulacje wewnętrzne mające na celu wsparcie organizacji w procesie zapewnienia poufności, integralności i dostępności informacji, a także realizacji obowiązków wymaganych przepisami prawa oraz wytycznych KNF. W ramach aktów wewnętrznych wdrożono polityki i procedury regulujące obszar bezpieczeństwa informacji oraz danych osobowych, z uwzględnieniem sposobów przetwarzania informacji, mechanizmów bezpieczeństwa, reagowania na potencjalne zdarzenia, analiz ryzyka, raportowania i edukacji pracowników. Ponadto TUW PZUW korzystając z rozwiązań wypracowanych przez Grupę PZU stosuje szereg zabezpieczeń technologicznych mających na celu ograniczenie ryzyk związanych z utratą poufności, integralności lub dostępności informacji. TUW PZUW realizuje szkolenia stale podnoszące wiedzę pracowników, w tym symulowane ataki phishingowe. W celu osiągniecia wysokiego poziomu bezpieczeństwa testy te wykorzystują różne techniki ataków. Za obszar bezpieczeństwa w TUW PZUW odpowiedzialny jest Dyrektor Biura Bezpieczeństwa. Ponadto w TUW PZUW powołano Inspektora Ochrony Danych (IOD). W ramach Biura Bezpieczeństwa realizowane są zadania związane z zapewnieniem bezpieczeństwa informacji oraz realizacją zadań administratora danych osobowych. Inspektor Ochrony Danych Osobowych został powołany w ramach struktur Biura Compliance i monitoruje zgodność organizacji z RODO.
Procedury bezpieczeństwa w spółkach zależnych - banki
W Banku Pekao w celu zagwarantowania kompleksowych działań w obszarze ochrony danych osobowych wdrożono szereg regulacji wewnętrznych odnoszących się do poszczególnych obszarów funkcjonowania banku są to m.in. „Polityka Bezpieczeństwa Informacji wraz z Dokumentami Polityki Bezpieczeństwa Informacji”, „Polityka bezpieczeństwa aplikacji w Banku Polska Kasa Opieki Spółka Akcyjna”, „Procedura rozpatrywania żądań osób, których dane dotyczą na gruncie RODO przez Bank Polska Kasa Opieki Spółka Akcyjna”, „Procedura zarządzania naruszeniami ochrony danych osobowych w Banku Pekao S.A.”, a także regulacja „Ochrona informacji elektronicznej w Banku Polska Kasa Opieki S.A.”
W całym Alior Banku obowiązują restrykcyjne i zgodne z wymaganiami prawnymi i regulacyjnymi procedury bezpieczeństwa zapewniające poufność, integralność oraz dostępność przetwarzanych informacji. Wdrożona Polityka Bezpieczeństwa, standardy oraz wszystkie procedury w tym obszarze są na bieżąco aktualizowane w odpowiedzi na zmieniające się uwarunkowania rynku w zakresie cyberbezpieczeństwa, a także nowe wymagania i wytyczne regulatorów, w tym wynikające z obowiązków Alior Bank jako operatora usługi kluczowej w myśl Ustawy o Krajowym Systemie Cyberbezpieczeństwa (implementującej wymagania europejskiej dyrektywy NIST). W 2022 roku kluczowe systemy informatyczne Alior Banku przetwarzające dane klientów oraz uczestniczące w procesach realizacji transakcji finansowych zostały poddane dogłębnym testom bezpieczeństwa.
Dobre praktyki spółek zależnych
W Alior Banku powstało centrum bezpieczeństwa chmurowego “Cloud Security Competency Center” mające na celu wsparcie biznesu w zakresie bezpiecznego wykorzystywania nowych rozwiązań opartych o technologie chmurowe.
Procedura bezpieczeństwa w obszarze ochrony danych osobowych
Głównym dokumentem regulującym kwestie ochrony danych osobowych w PZU i PZU Życie jest „Procedura bezpieczeństwa w obszarze ochrony danych osobowych”. Dokument określa w szczególności zasady przetwarzania danych osobowych, dostępu do danych, obsługi wniosków podmiotów danych, postępowania z incydentami bezpieczeństwa, oceny i notyfikacji naruszeń, wyboru i audytu procesora oraz rolę i zadania wykonywane przez Inspektora Ochrony Danych.
Poza tym w PZU i PZU Życie obszar ten reguluje szereg procedur i zasad w szczególności:
- Procedura zarządzania ryzykiem bezpieczeństwa IT;
- Procedura oceny ryzyka i oceny skutków przetwarzania danych osobowych PZU SA i PZU Życie SA;
- Zarządzanie ochroną przed złośliwym oprogramowaniem;
- Zasady bezpiecznego przetwarzania danych osobowych;
- Zasady zarządzania podatnościami i testami bezpieczeństwa infrastruktury IT;
- Zasady bezpieczeństwa IT – System Zarządzania Bezpieczeństwem IT;
- Klasyfikacja informacji i poziomy zabezpieczeń PZU SA i PZU Życie SA.
RODO*
PZU i PZU Życie dokładają wszelkiej staranności w dbaniu o bezpieczeństwo informacji oraz ochronę danych osobowych zgodnie z RODO. W PZU i PZU Życie gromadzi się, przechowuje, przetwarza i przekazuje dane osobowe klientów w zgodny z prawem sposób. Udostępnianie danych objętych tajemnicą ubezpieczeniową odbywa się na podstawie art. 35 ustawy o działalności ubezpieczeniowej i reasekuracyjnej, który definiuje listę podmiotów i instytucji, którym dane mogą być udostępnione. Powierzenie przetwarzania danych osobowych podmiotom zewnętrznym następuje na podstawie umowy powierzenia przetwarzania danych osobowych. W przypadku przekazania podmiotom trzecim informacji chronionych standardem jest zawieranie umowy o zachowaniu poufności. Treść przedmiotowych umów obejmuje m.in. zobowiązanie do wdrożenia, co najmniej takich samych środków zapewniających ochronę informacji oraz gwarantuje możliwość przeprowadzenia audytu.
* z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO)
W trosce o zachowanie jak najwyższej prywatności klientów każda osoba, której dane są przetwarzane, ma prawo dostępu do danych oraz do usunięcia, sprostowania, uzupełnienia lub zmiany danych osobowych, a także ma możliwość zgłaszania pytań dotyczących prywatności. W tym celu wdrożono odpowiednie procesy zapewniające realizację praw osób, których dane dotyczą, określonych w art. 12-22 RODO.
W PZU i PZU Życie prowadzone są audyty kontrahentów, którym PZU powierzył przetwarzanie danych osobowych. Podczas audytu weryfikowana jest zgodność przetwarzania przez procesora powierzonych danych osobowych z przepisami RODO oraz umową powierzenia przetwarzania danych osobowych. W PZU i PZU Życie prowadzone są również audyty procesorów, u których doszło do incydentów bezpieczeństwa. Na podstawie przeprowadzonego audytu wydawane są rekomendacje do zmiany procesów lub zmiany systemów dla poszczególnych właścicieli biznesowych.
-
2-16
Inspektor ochrony danych osobowych
- Realizacja obowiązków administratora danych osobowych (ADO) i inspektora ochrony danych (IOD) wynikających z przepisów prawa, monitoring incydentów bezpieczeństwa informacji, w szczególności w obszarze danych osobowych oraz naruszeń zgłaszanych do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), cykliczne raportowanie danych do Zarządu PZU i PZU Życie.
- Cykliczne raportowanie do Zarządu – w remach realizacji procedur prowadzone jest cykliczne raportowanie do zarządów PZU i PZU Życie obejmujące dane na temat incydentów bezpieczeństwa informacji. Informacja zarządcza w obszarze bezpieczeństwa przetwarzanych danych w zakresie identyfikowanych ryzyk i zidentyfikowanych podatności obejmuje dane na temat incydentów bezpieczeństwa informacji, w szczególności w obszarze ochrony danych osobowych, w tym informacje o realizacji obowiązków wynikających z art. 33 (zgłaszanie naruszenia ochrony danych osobowych organowi nadzorczemu) i art. 34 (zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych) RODO. Prowadzony bieżący monitoring procesów przetwarzania danych oraz analiza i raportowanie danych gwarantują transparentność i rozliczalność. Dzięki wprowadzonym mechanizmom identyfikowane są obszary wymagające wdrożenia zmian oraz wydawane są rekomendacje dotyczące podniesienia bezpieczeństwa przetwarzania danych osobowych w tych obszarach.
Ocena skutków przetwarzania dla ochrony danych (ang. Data Protection Impact Assessment, DPIA)
Zgodnie z realizacją obowiązków wynikających wprost z RODO, w PZU i PZU Życie wdrożono procesy gwarantujące udokumentowany proces związany z realizacją postanowień art. 35 (Ocena skutków dla ochrony danych) RODO zobowiązującego spółki do dokonania oceny skutków dla ochrony danych w celu oszacowania w szczególności źródła, charakteru, specyfiki i powagi tego ryzyka.
RODO – wdrożone procedury
Proces opiniowania spraw
Dokumenty wewnętrzne, umowy i procesy opiniowane są pod kątem zgodności z obowiązującymi przepisami z zakresu ochrony danych osobowych, orzecznictwem sądów, decyzjami organów, regulacjami przyjętymi w PZU i PZU Życie oraz dobrymi praktykami rynkowymi.
| Liczba przeanalizowanych procesów związanych z przetwarzaniem danych w PZU i PZU Życie | 2021 | 2022 |
|---|---|---|
| Inicjatywy | 823 | 674 |
| Podtematy | 1 235 | 935 |
| Proof of Concept | 8 | 8 |
| Analiza DPIA ang. Data Protection Impact Assessment – nowe procesy | 42 | 24 |
| Analiza DPIA ang. Data Protection Impact Assessment – istniejące procesy | 10 | 4 |
Wdrożenie w PZU i PZU Życie procesu opiniowania przyczyniło się do zapewnienia zgodności przetwarzania danych z przepisami prawa, zapewnia rozliczalności oraz wdrożenia zasady ochrony danych w fazie projektowania (ang. privacy by design). Pozwala na wczesnym etapie zidentyfikować nieprawidłowości i dostosować działania do obowiązujących norm.
Wprowadzony proces opiniowania obejmuje wdrożenie nowych lub zmiany w obecnie funkcjonujących systemach IT, dokumenty wewnętrzne, procesy, umowy, w których występuje lub może wystąpić element związany z tematyką danych osobowych. Aby jak najlepiej realizować ten proces powstała dedykowana skrzynka mailowa, na którą kierowane są zapytania z jednostek biznesowych. Sprawy rozdzielane są pomiędzy pracowników wyspecjalizowanych w różnych obszarach ochrony danych. Opiniowanie kończy się wydaniem rekomendacji uwzględniającej obowiązujące przepisy prawa z zakresu ochrony danych osobowych, orzecznictwo sądów, decyzje organów, regulacje wewnętrzne PZU i PZU Życie oraz dobre praktyki rynkowe. Wszystkie opiniowane sprawy odnotowywane są w rejestrze w celu zapewnienia rozliczalności.
-
418-1
| Przypadki naruszenia ochrony danych zgłoszone do PUODO przez podmioty Grupy PZU | 2021* | 2022 |
|---|---|---|
| Grupa PZU, w tym: | 1 211 | 1 053 |
| – PZU | 404 | 198 |
| – PZU Życie | 186 | 84 |
| Liczba skarg na działalność PZU złożonych przez podmioty zewnętrzne do PUODO | 2021 | 2022 |
|---|---|---|
| PZU | 7 | 13 |
| PZU Życie | 5 | 4 |
Komentarz: w 2022 roku liczba skarg na działalność PZU złożonych przez podmioty zewnętrzne do organu nadzoru wyniosła 13, natomiast na PZU Życie złożono 4 skargi.
W 2022 roku organ nadzoru wydał 16 decyzji w sprawach skarg złożonych przez podmioty zewnętrzne w roku 2022 oraz w latach poprzednich (14 decyzji w sprawach PZU i 2 decyzje w sprawach PZU Życie). Organ udzielił 7 upomnień za naruszenie art. 6 ust. 1 RODO (6 przypadków PZU oraz 1 przypadek PZU Życie). W pozostałych przypadkach skarg organ nadzoru odmówił uwzględnienia wniosku, umorzył postępowanie lub nie podjął jeszcze decyzji.