ICO upomina Metropolitan Police za nieautoryzowane udostępnianie danych w zewnętrznej platformie

securitybeztabu.pl 9 godzin temu

Wprowadzenie do problemu / definicja

Brytyjski organ nadzorczy ds. ochrony danych osobowych wydał upomnienie oraz nakaz działań naprawczych wobec Metropolitan Police Service po stwierdzeniu naruszeń związanych z wykorzystywaniem niezatwierdzonej platformy zewnętrznej do wymiany informacji o osobach podejrzewanych o kradzieże sklepowe. Sprawa pokazuje, iż incydent bezpieczeństwa nie musi oznaczać klasycznego włamania — równie poważnym problemem może być niekontrolowane przetwarzanie danych poza formalnie zatwierdzonym środowiskiem.

Z perspektywy cyberbezpieczeństwa i governance danych jest to przykład ryzyka wynikającego z użycia narzędzi spoza oficjalnego obiegu akceptacji, bez pełnej oceny zgodności, bezpieczeństwa i odpowiedzialności organizacyjnej.

W skrócie

Metropolitan Police korzystała z zewnętrznej platformy bez odpowiedniego zatwierdzenia organizacyjnego.
Utworzono około 500 kont, z czego 375 było aktywnie wykorzystywanych.
Od stycznia do września 2024 r. do systemu wprowadzono dane osobowe 179 osób, w tym trzech nieletnich.
Zakres danych obejmował m.in. imiona i nazwiska, daty urodzenia, a w części przypadków także adresy domowe.
Regulator wskazał uchybienia w obszarze nadzoru, zgodności i środków organizacyjnych.

Kontekst / historia

Incydent nie dotyczy tradycyjnego cyberataku, ale wielomiesięcznego używania rozwiązania dostarczanego przez podmiot trzeci w działaniach operacyjnych organu ścigania. Tego typu przypadki są szczególnie istotne, ponieważ pokazują, iż zagrożenia dla bezpieczeństwa informacji nie wynikają wyłącznie z malware, phishingu czy exploitów, ale także z tzw. shadow IT oraz nieformalnych wdrożeń omijających procedury.

Z dostępnych ustaleń wynika, iż funkcjonariusze i pracownicy korzystali z platformy od marca 2023 r. do września 2024 r., mimo iż rozwiązanie nie zostało formalnie dopuszczone do użycia. Oznacza to, iż dane były przez długi czas przetwarzane w środowisku, które nie przeszło pełnej walidacji pod kątem zgodności, retencji, kontroli dostępu, podstawy prawnej oraz nadzoru nad przepływem informacji.

W sektorze publicznym, a szczególnie w organach ścigania, taki model działania generuje podwyższone ryzyko dla prywatności osób, integralności procesów dochodzeniowych oraz odpowiedzialności regulacyjnej całej instytucji.

Analiza techniczna

Technicznie problem można zaklasyfikować jako połączenie nieautoryzowanego onboardingu usługi zewnętrznej, słabego zarządzania tożsamością oraz braku formalnych mechanizmów data governance. Sama skala wykorzystania platformy wskazuje, iż nie był to incydent jednostkowy, ale proces o charakterze systemowym.

Jeżeli w zewnętrznym środowisku powstaje kilkaset kont użytkowników powiązanych z jedną organizacją, oznacza to, iż proces wykrywania niezatwierdzonych aplikacji, przeglądu uprawnień i kontroli dostępu nie działał wystarczająco skutecznie. W praktyce takie przypadki często rozwijają się stopniowo: od pojedynczego konta i wygodnego obejścia procedur po równoległy obieg danych poza centralnym nadzorem bezpieczeństwa.

brak formalnej akceptacji narzędzia przed rozpoczęciem przetwarzania danych,
brak odpowiedniej oceny wpływu na ochronę danych i ryzyka operacyjnego,
niewystarczający nadzór nad zakresem danych wprowadzanych do platformy,
niejasny model odpowiedzialności za system, proces i zgodność,
potencjalnie niewystarczające ograniczenia dotyczące udostępniania danych podmiotowi trzeciemu.

Z perspektywy bezpieczeństwa najważniejsze są trzy warstwy ryzyka: bezpieczeństwo samej aplikacji i dostawcy, legalność oraz minimalizacja przetwarzania danych, a także zdolność organizacji do wykrywania użycia narzędzi spoza zatwierdzonego katalogu usług.

Konsekwencje / ryzyko

Najpoważniejsze skutki dotyczą poufności danych oraz zgodności prawnej. Udostępnianie danych osobowych osób podejrzewanych, w tym nieletnich, za pośrednictwem niezatwierdzonej platformy zwiększa ryzyko nieuprawnionego dostępu, nadmiernego przetwarzania, niewłaściwej retencji oraz utraty kontroli nad dalszym obiegiem informacji.

Nawet jeżeli nie doszło do potwierdzonego publicznie wycieku w rozumieniu exfiltracji przez atakującego, samo umieszczenie danych w nieautoryzowanym systemie stanowi istotne naruszenie zasad rozliczalności i bezpieczeństwa przetwarzania.

działania egzekucyjne regulatora,
konieczność wdrożenia środków naprawczych w określonych terminach,
koszty audytów, remediacji i przeglądu procesów,
ryzyko utraty zaufania publicznego,
presję na poprawę nadzoru nad dostawcami i usługami chmurowymi.

Dla osób, których dane dotyczą, zagrożenia obejmują możliwość nieuprawnionej identyfikacji, profilowania, błędnego przypisania podejrzeń, a także wtórnego wykorzystania danych poza pierwotnym celem operacyjnym. W środowisku policyjnym każdy błąd tego typu ma szczególnie wysoką wagę ze względu na charakter informacji i potencjalny wpływ na prawa obywateli.

Rekomendacje

Przypadek Metropolitan Police powinien być sygnałem ostrzegawczym zarówno dla organizacji publicznych, jak i prywatnych. Skuteczna odpowiedź wymaga połączenia kontroli technicznych, procesowych i szkoleniowych.

wdrożenie programu wykrywania shadow IT i nieautoryzowanych usług SaaS,
formalizacja procesu zatwierdzania dostawców oraz narzędzi przetwarzających dane osobowe,
wzmocnienie mechanizmów IAM, przeglądów dostępu i monitorowania provisioningu kont,
minimalizacja oraz klasyfikacja danych przekazywanych do narzędzi operacyjnych,
rozszerzenie logowania, monitoringu i ścieżek audytowych dla usług zewnętrznych,
prowadzenie szkoleń scenariuszowych dotyczących dozwolonych narzędzi i zasad eskalacji,
okresowe audyty procesów biznesowych pod kątem nieformalnych obejść procedur.

W praktyce oznacza to konieczność ścisłego powiązania zespołów security, privacy, compliance i operacji, tak aby żadne narzędzie przetwarzające dane wrażliwe kontekstowo nie trafiało do codziennego użycia bez formalnej oceny i nadzoru.

Podsumowanie

Sprawa Metropolitan Police pokazuje, iż naruszenia bezpieczeństwa danych nie zawsze wynikają z zaawansowanego ataku. Często źródłem problemu jest niezatwierdzone wdrożenie usługi strony trzeciej, brak kontroli nad obiegiem informacji i niewystarczające mechanizmy organizacyjne.

Z perspektywy cyberbezpieczeństwa to klasyczny przykład ryzyka na styku technologii, zgodności i działań operacyjnych. najważniejszy wniosek jest prosty: każda platforma przetwarzająca dane operacyjne musi zostać objęta formalnym nadzorem, zanim stanie się elementem codziennego workflow.