On-line: Len nevyhnutné údaje

Predvianočné obdobie v čase pandémie a opatrenia vlády prajú predovšetkým nákupom cez internet. Výhody nakupovania v akomkoľvek čase a z akéhokoľvek miesta, bez osobného kontaktu, často utlmujú obozretnosť kupujúcich pri zdieľaní osobných údajov, ktoré odovzdávajú predávajúcim pri každej objednávke. Aj e-shopy však podliehajú zákonom o ochrane osobných údajov a musia pri vypracovaní objednávkových formulárov dodržiavať tzv. zásadu minimalizácie osobných údajov.

Pri vyplňovaní objednávacieho formulára v elektronickom obchode kupujúci zadáva viaceré osobné údaje, ktoré by mali byť nevyhnutné na realizáciu objednávky. „E-shopy musia dodržiavať zásadu minimalizácie osobných údajov, čo v praxi znamená, že majú vyžadovať len tie údaje, ktoré sú nevyhnutné pre uzavretie zmluvy a úspešné vybavenie objednávky. Nemecký dozorný orgán napríklad považoval v nedávnom rozhodnutí za neprimeranú dokonca aj požiadavku oslovenia pán alebo pani. Prevádzkovateľ sa nakoniec rozhodol pridať možnosť žiadne informácie“, vysvetľuje odborník na ochranu osobných údajov Jakub Berthoty. Prevádzkovatelia e-shopov by mali prehodnotiť, aké údaje naozaj potrebujú. Zásada minimalizácie údajov neznamená, že nemôžu o zákazníkoch zhromažďovať aj ďalšie osobné údaje. Takéto spracúvanie osobných údajov však už podlieha iným požiadavkám podľa GDPR, napr. je podmienené získaním súhlasu alebo preukázaním oprávneného záujmu. V opačnom prípade hrozia podľa Berthotyho prevádzkovateľom nielen vysoké pokuty, ale, v prípade preukázania nezákonného spracúvania osobných údajov, aj strata dôvery ich zákazníkov.

Sú však aj elektronické obchody, kde meno a adresa zákazníka nemusia na odoslanie objednávky vždy stačiť. Takýmto príkladom môžu byť elektronické lekárne, ktoré majú oprávnenie predávať lieky na predpis. V takom prípade môže byť pre odborné poradenstvo nevyhnutný aj vek zákazníka. Podobný prípad riešil minulý mesiac súd v Hannoveri, ktorý rozhodol, že ani zásielkové lekárne nemôžu požadovať dátumy narodenia pre všetky objednávky. „Elektronické lekárne mávajú v ponuke aj lieky a drogériové výrobky, ktoré si nevyžadujú vekovo špecifické rady. Pri predaji drogériových výrobkov a liekov bez lekárskeho predpisu nie je podľa súdu v Hannoveri potrebný dátum narodenia, keďže pri nich nie je potrebné odborné poradenstvo. Dátumy narodenia nie sú potrebné ani na overenie plnoletosti zákazníkov, stačí otázka, či je zákazník plnoletý", vysvetľuje J. Berthoty. Na Slovensku je elektronický predaj liekov na predpis zakázaný, a vek by preto elektronické lekárne od kupujúcich ani nemali vyžadovať. Na realizáciu transakcie stačí meno, adresa a fakturačné údaje. V prípade objednávky na osobný odber sa nevyžaduje ani adresa zákazníka, stačí meno a kontakty.

STK: Povinnosť pre bezpečnosť

Pandémia ochorenia COVID-19 negatívne ovplyvnila aj stanice technickej kontroly (STK) a s tým spojenú kontrolu technického stavu vozidiel, ktoré jazdia po slovenských cestách. V predcovidovom období bolo najviac technických kontrol vozidiel počas jari a jesene, v zime a lete bol dopyt podstate slabší. V súčasnej dobe sa však situácia riadi hlavne podľa lockdownov, v rámci ktorých chodí na kontroly na STK menej áut. Tie pritom majú z lockdownu výnimku.

Pre stanice technickej kontroly bol z hľadiska ich činnosti najhorším rok 2020. Počas roku 2021 sa však počty vykonaných kontrol opäť vrátili na predpandemickú úroveň a dokonca ju prekonali. V období prvých jedenástich mesiacov posledného predpandemického roku 2019 vykonali všetky STK na Slovensku spolu 1.384.019 kontrol, po nástupe pandémie v rovnakom období roku 2020 ich bolo len 1.352.840. V priebehu tohto roku stihli stanice technickej kontroly realizovať už 1.409.179 kontrol, teda najviac za posledné tri roky. Celkové bilancovanie však ešte môže narušiť predvianočný lockdown. Hoci služby technickej a emisnej kontroly vozidiel patria podľa vyhlášky Úradu verejného zdravotníctva SR medzi tie prevádzky, ktoré nie je počas posledného lockdownu zakázané vykonávať, výkonnosť siete všetkých STK v Slovenskej republike klesla. 

Kým v 47. týždni (22.11.-28.11.2021) bolo vykonaných 29.355 technických kontrol, v nasledujúcom 48. týždni (29.11.-05.12.2021) to bolo len 25.877, čo je približne o 12 % menej. O týždeň neskôr (06.12.- 12.12.2021) sme v rámci SR zaznamenali len mierny nárast počtu kontrol na 27.016, úroveň výkonnosti pred lockdownom sa teda zatiaľ dosiahnuť nepodarilo. „Z dlhoročnej praxe vieme, že štandardne bývalo najviac technických kontrol vozidiel na Slovensku vždy na jar a na jeseň. Počas zimného obdobia a taktiež v lete počas prázdnin, býval dopyt po TK veľmi slabý. Ale po tieto pandemické roky sa to riadi skôr podľa lockdownov, na jar a jeseň už nie je taký nárast, v lete zase nie je pokles“, približuje Marián Rybianský. Je samozrejmé, že počas lockdownu je nižšia mobilita a áut na cestách je menej ako v bežnej situácii, no motoristi by mali dbať na technických stav svojho vozidla za každých okolností. „V prvom rade treba myslieť na to, že dôsledne a včas vykonaná technická kontrola je základným predpokladom pre to, aby autá jazdiace na slovenských cestách boli bezpečné a taktiež zbytočne neškodili životnému prostrediu. Preto by motoristi mali na to myslieť a technickú kontrolu svojich vozidiel zbytočne neodkladať. Samozrejme, pri dodržiavaní protipandemických a hygienických opatrení, na ktoré sú STK pripravené“, dodáva Marián Rybianský.

Ransomvér: Príbeh roka

Ransomvér tento rok vyradil z prevádzky napríklad plynovody či služby verejného zdravotníctva. Útočníci zdokonalili svoj arzenál, zúžili počet útokov a zamerali sa na veľké organizácie. Okolo týchto útokov vznikol celý ekosystém na podporu ransomvérových gangov.

Za prvých 11 mesiacov roku 2021 percento IR požiadaviek spracovaných tímom GERT spoločnosti Kaspersky týkajúcich sa ransomvéru predstavovalo 46,7 % – čo je skok oproti 37,9 % za celý rok 2020 a 34 % za rok 2019. Najčastejšími cieľmi boli organizácie vo vládnom a priemyselnom sektore; dokopy útoky proti týmto dvom sektorom predstavovali takmer 50 % všetkých IR požiadaviek súvisiacich s ransomvérom v roku 2021. Medzi ďalšie obľúbené ciele patrili IT a finančné inštitúcie. Keďže ransomvéroví útočníci začali požadovať vyššie výkupné, pričom cielili na väčšie organizácie, čelili aj oveľa väčšiemu tlaku zo strany politikov a orgánov činných v trestnom konaní. Z toho dôvodu bolo pre útočníkov kritické zvýšenie účinnosti útokov. Odborníci spoločnosti Kaspersky zaznamenali v tejto súvislosti dva dôležité trendy, ktoré očakávajú v roku 2022. Ransomvérové skupiny budú pravdepodobne častejšie vytvárať linuxové zostavy ransomvéru, aby maximalizovali útočný rozptyl (čo bolo už možné vidieť v prípade skupín ako RansomExx a DarkSide). Okrem toho sa začnú viac zameriavať na „finančné vydieranie“ – kedy hrozia únikom informácií o spoločnostiach, ktoré sa práve nachádzajú v kritickej finančnej situácii (napríklad uskutočňujú fúzie alebo akvizície, plánujú vstup na burzu a pod.), aby podhodnotili ceny ich akcií. Keď sú spoločnosti v takomto zraniteľnom finančnom stave, je pravdepodobnejšie, že výkupné zaplatia.

„V roku 2020 sme začali hovoriť o takzvanom ransomvéri 2.0, no čoho sme boli svedkami v roku 2021 je nástup tejto novej éry ransomvéru v plnej sile. Ransomvéroví útočníci nielenže šifrujú údaje, ale kradnú ich z kritických cieľov či veľkých organizácií a vyhrážajú sa zverejnením informácií, ak obete nezaplatia. Ransomvér 2.0 ani v nadchádzajúcom roku nikam neodíde. Zároveň teraz, keď sa ransomvér dostal na titulky novín, orgány činné v trestnom konaní tvrdo pracujú na tom, aby škodlivé skupiny zlikvidovali – čo sa tento rok stalo v prípade skupín DarkSide a REvil. Životný cyklus týchto gangov sa skracuje, a to znamená, že v roku 2022 budú musieť zdokonaliť svoje taktiky, aby boli ziskové, najmä ak niektoré vlády ustanovia platenie výkupného za nelegálne – o čom sa už vedú diskusie“, komentuje Miroslav Kořen.

Rady na ochranu firmy pred ransomvérom:

Nevystavujte služby vzdialenej pracovnej plochy (RDP) verejným sieťam, pokiaľ to nie je absolútne nevyhnutné, a vždy pre ne používajte silné heslá.

Čo najskôr inštalujte dostupné záplaty pre komerčné riešenia VPN, ktoré poskytujú vzdialený prístup zamestnancom a fungujú ako brány do vašej siete.

Vždy aktualizujte softvér na všetkých zariadeniach, ktoré používate, aby ste zabránili zneužitiu zraniteľností ransomvérom.

Zamerajte svoju obrannú stratégiu na odhaľovanie pohybu útočníkov v sieti ako aj odhaľovanie exfiltrácie údajov na internet. Venujte osobitnú pozornosť dátam odchádzajúcim zo siete, aby ste odhalili miesta pripojenia kyberzločincov. Pravidelne zálohujte dáta. Uistite sa, že k nim máte v prípade núdze rýchly prístup. Zabezpečte si prístup k najnovším informáciám o hrozbách ( Threat Intelligence ), aby ste mali prehľad o aktuálnych taktikách, technikách a postupoch využívaných útočníkmi.

Používajte riešenia, ktoré pomáhajú identifikovať a zastaviť útok v jeho počiatočnom štádiu, skôr ako útočníci dosiahnu svoje konečné ciele.

Na ochranu korporátneho prostredia vzdelávajte svojich zamestnancov. Pomôcť vám môžu špecializované školenia, bezplatná lekcia o tom, ako sa chrániť pred ransomvérovými útokmi, je k dispozícii na stránke ransomware.k-asap.com.

Používajte spoľahlivé riešenie zabezpečenia koncových bodov, napríklad vybavené prevenciou pred zneužitím exploitov, detekciou správania a mechanizmom nápravy, ktorý dokáže vrátiť škodlivé úkony späť a zabrániť jeho odstráneniu kyberzločincami.

EU: Akt o digitálnych trhoch

Európsky parlament schválil svoj postoj k regulácii veľkých on-line platforiem v Európskej únii. Rokovania poslancov s ministrami štátov EÚ o konečnom znení nových pravidiel sa tak môžu začať. Návrh aktu o digitálnych trhoch zakazuje niektoré praktiky veľkých platforiem, ktoré sú v pozícii akéhosi strážcu prístupu na trh (gatekeeper) a umožňuje Európskej komisii vykonávať prieskumy trhu a udeliť sankcie za konanie, ktoré je v rozpore s platnými pravidlami.

Text schváleného nariadenia prináša veľkým on-line platformám nové priamo uplatniteľné povinnosti a zákazy s cieľom zaistiť na digitálnom trhu spravodlivú a otvorenú hospodársku súťaž. Navrhované nariadenie sa bude vzťahovať na popredných poskytovateľov takzvaných základných služieb platforiem, pri ktorých je riziko nekalých obchodných praktík najvyššie. Patria sem napríklad on-line sprostredkovateľské služby, sociálne siete, vyhľadávače, operačné systémy, on-line reklamné služby, služby cloud computingu a služby zdieľania videí, ktoré spĺňajú relevantné kritériá vzťahujúce sa na strážcov prístupu (gatekeepers). Poslanci do pôsobnosti nariadenia zaradili aj internetové prehliadače, virtuálnych asistentov a hybridné televízne služby (connected TV). Ďalšie poslancami presadzované zmeny sa týkajú kritérií, na základe ktorých sú zadefinovaní strážcovia prístupu, ako aj zoznamu povinností a obmedzení platforiem. Súčasťou návrhu sú aj nové ustanovenia o cielenej reklame, interoperabilite služieb, obmedzení akvizícií zameraných na likvidáciu konkurencie (tzv. vražedných akvizícií), vymáhaní pravidiel EÚ, úlohe vnútroštátnych orgánov na ochranu hospodárskej súťaže a pokutách.

V schválenom texte nariadenia Európsky parlament:

· zvyšuje kvantitatívne prahové hodnoty, na základe ktorých sa na spoločnosť vzťahuje akt o digitálnych trhoch, na 8 miliárd eur ročného obratu v Európskom hospodárskom priestore (EHS) a na 80 miliárd eur trhovej kapitalizácie; stanovuje, že spoločnosti musia poskytovať základné platformové služby v aspoň troch členských krajinách EÚ a mať minimálne 45 miliónov koncových používateľov mesačne a viac než 10.000 komerčných používateľov, aby sa na nich vzťahovali nové pravidlá;

· uvádza dodatočné požiadavky týkajúce sa používania údajov na cielenú alebo mikrocielenú reklamu a interoperability služieb, ako sú interpersonálne komunikačné služby nezávislé od číslovania a služby sociálnych sietí;

· poskytuje koncovým užívateľom možnosť kedykoľvek si odinštalovať softvérové aplikácie predinštalované na základnej platformovej službe;

· stanovuje obmedzenia pre tzv. vražedné akvizície - v prípadoch systematického nedodržiavania povinností by Komisia mohla obmedziť strážcov prístupu v realizácii akvizícií v oblastiach, na ktoré sa vzťahuje akt o digitálnych službách, s cieľom napraviť škody na vnútornom trhu, resp. zamedziť ďalším prípadným škodám. Títo strážcovia prístupu by boli takisto povinní informovať Európsku komisiu o každej plánovanej koncentrácii;

· objasňuje úlohu vnútroštátnych orgánov na ochranu hospodárskej súťaže a zároveň ponecháva zodpovednosť za presadzovanie aktu o digitálnych trhoch na Európskej komisii;

· uvádza, že tento akt by mal umožňovať oznamovateľom upozorniť príslušné orgány na skutočné alebo potenciálne porušenie tohto nariadenia a chrániť ich pred odvetnými opatreniami;

· stanovuje, že ak strážca prístupu porušuje pravidlá, Európska komisia mu môže uložiť pokutu vo výške „minimálne 4% a maximálne 20% jeho celkového celosvetového obratu v predchádzajúcom finančnom roku.

e-Podpis: Rastúci záujem

Rok 2021 priniesol podľa spoločnosti Disig aj vďaka pretrvávajúcej pandémii väčšiu odvahu v zavádzaní riešení na elektronické podpisovanie. Týka sa to finančného sektora (banky a poisťovne), ale aj energetiky či stavebníctva. Celkovo tento počet vzrástol o stovky nových záujemcov oproti obdobiu pred pandémiou.

Firmy si uvedomujú, že manažované riadenie e-dokumentov môže byť riešením, s ktorým si ľahšie udržia kontakt so svojimi klientami aj obchodnými partnermi. Okrem toho dokážu znížiť svoje náklady na papier, tlač, poštu či kuriérov, ale najmä na spracovanie a digitalizáciu papierových dokumentov. Nezanedbateľné je aj zníženie počtu stratených papierových zmlúv. Narástol tiež záujem o nadstavbu nad tzv. klasickými „podpisovačmi“. V portálovom riešení pre elektronické podpisovanie dokumentov si dokážu riadia tok e-dokumentov a sledovať ich aktuálny stav. Medzi ďalšie často implementované riešenia patril aj archív na dlhodobú overiteľnosť elektronických podpisov a zachovanie integrity dokumentov.

Elektronické podpisovanie v mobilnej aplikácii sa na Slovensku zatiaľ len rozbieha. Do konca novembra 2021 bolo vydaných vyše 1.000 certifikátov na elektronický podpis do mobilných zariadení.