Bezpieczeństwo systemów wodociągowych i zdalnego odczytu

W 2020 roku Urząd Ochrony Danych Osobowych skontrolował podmioty korzystające z tzw. inteligentnych liczników w celu sprawdzenia sposobu gromadzenia, przetwarzania i zabezpieczenia danych osobowych. Wdrażanie zdalnego odczytu budziło bowiem obawy, że na tej podstawie można będzie łatwo zdobyć informacje o obecności domowników, ich zwyczajach w zakresie użytkowania wody (np. godziny korzystania z kąpieli czy toalety), a pośrednio (na podstawie dobowego zużycia mediów) także o liczbie osób faktycznie zamieszkujących lokal. 

UODO sprawdzał, czy wdrożone zostały techniczne i organizacyjne środki zapewniające, że przetwarzanie danych osobowych odbywa się zgodnie z rozporządzeniem o ochronie danych (RODO), czy nie dochodzi np. do profilowania osób, czy przekazywane dane są bezpieczne, a pozyskujące je podmioty świadome wiążących się z nimi zagrożeń i ryzyk, czy wdrożyły odpowiednie zabezpieczenia i czy reagują na przypadki naruszenia bezpieczeństwa danych. 

Skontrolowano dwie spółdzielnie mieszkaniowe i jednego operatora. W wyniku kontroli wszczęto postępowania wobec dwóch administratorów, ale stwierdzone naruszenia zostały usunięte już w trakcie kontroli, co skutkowało umorzeniem postępowań. Nieprawidłowości dotyczyły ogólnego sformułowania zawartego w umowach powierzenia przetwarzania, a dotyczącego zakresu i rodzaju danych. Opis powierzenia nie zawierał w tych wypadkach postanowień pozwalających jednoznacznie interpretować jego zakres. 

Zobacz również: Poznaj szeroką ofertę zbiorników Pompeo dla każdej instalacji >> 

UODO w informacji pokontrolnej wskazał, że zakres przetwarzanych danych może się różnić w zależności od przyjętego sposobu odczytu. Zdalne zbieranie i przechowywanie danych pozyskanych w ten sposób może oznaczać, że mogą być one przetwarzane w szerszym zakresie, niż gdyby odczyty odbywały się w sposób tradycyjny, i posłużyć do tworzenia baz danych wykorzystywanych do profilowania użytkowników. Przetwarzanie danych osobowych w ramach zdalnego odczytu stanu wodomierzy przy wykorzystaniu rozwiązań z zakresu nowych technologii wymaga zatem od administratora podjęcia szeregu działań już na etapie planowania i wdrożenia takiego systemu. 

Przeprowadzone kontrole nie wykazały jednak, aby podczas przetwarzania danych opartych na zdalnym odczycie wodomierzy dochodziło do profilowania. Dane osobowe przetwarzane w ramach systemu zdalnego odczytu tych urządzeń były przekazywane podmiotom zewnętrznym dokonującym odczytu. W takich przypadkach administrator danych musi zadbać o bezpieczeństwo przekazywania danych, np. poprzez ich szyfrowanie podczas przesyłania i przekazywanie tylko informacji niezbędnych. Rozporządzenie 2016/679 (RODO) nie określa minimalnych wymagań w tym zakresie w odniesieniu do systemów zdalnego odczytu wodomierzy. 

UODO podkreśla, że na etapie projektowania systemu do zdalnego odczytu stanu wodomierzy należy zwrócić uwagę na właściwy dobór urządzeń służących do tego celu. Wskazane jest, by administratorzy danych osobowych regularnie testowali stosowane rozwiązania, z uwagi na nieustanny rozwój nowoczesnych technologii i związane z tym zagrożenia. Pełna inwentaryzacja posiadanych urządzeń i programów, a także ich konfiguracji umożliwia administratorowi danych osobowych dobór odpowiednich zabezpieczeń danych przetwarzanych w systemach teleinformatycznych. 

Liczne firmy wodociągowe wprowadziły w życie zasady umożliwiające zwiększenie bezpieczeństwa korzystania ze swoich danych i serwisów. Także administratorzy budynków dbają o bezpieczeństwo gromadzonych danych. Wiele z zaleceń i wdrożonych rozwiązań przypomina nawet te stosowane przez banki.

Od kontroli UODO minął ponad rok i przez ten czas wzrosło ryzyko złośliwych i przestępczych cyberataków na systemy danych oraz sterowania w przedsiębiorstwach usług komunalnych. Już w 2020 roku wskazywano, że na takie ataki narażone są szczególnie energetyka i wodociągi jako elementy infrastruktury krytycznej, a także służba zdrowia. Dokonano wówczas m.in. cyberataku na wodociągi oraz stacje uzdatniania wody i jej dystrybucji w Izraelu. Zniszczeniu uległy systemy sterowania oraz urządzenia – hakerzy zwiększyli ilość środków chemicznych używanych do uzdatnia wody do poziomów niebezpiecznych dla zdrowia ludzi. Tragedii udało się jednak zapobiec.

W sierpniu 2022 r. ofiarą ataków stały się angielskie przedsiębiorstwa wodno-kanalizacyjne. Jednym z nich było przedsiębiorstwo South Staffordshire Water dostarczające wodę dla 1,6 mln osób – cyberatak udało się jednak odeprzeć i bezpieczeństwo dostaw wody zostało zachowane dzięki wcześniejszemu wdrożeniu dodatkowych środków ostrożności. Także firmy niemieckie informowały w ostatnich miesiącach o rosnącym zagrożeniu cyberatakami wymierzonymi w infrastrukturę krytyczną. Mają one na celu nie tylko wyrządzenie szkód i osiągnięcie zamierzonego celu politycznego, są także próbą wyłudzenia okupu pod groźbą zniszczenia danych lub systemu zarządzania. Intensywnych ataków hakerskich doświadczają obecnie Łotwa i Ukraina. Działania takie mają spowodować zakłócenia w funkcjonowaniu infrastruktury krytycznej, tak aby wśród społeczeństwa powstało przekonanie o nieudolności rządu i samorządów. 

Wiele cyberataków udaje się na szczęście odeprzeć. Przedsiębiorstwa i firmy starają się nie upubliczniać informacji na ten temat m.in. po to, by nie zachęcać do eskalacji takich działań i podsycania atmosfery zagrożenia. Nieliczne komunikaty o zakłóceniach i stratach świadczą o dobrym przygotowaniu branży, ale nie powinny uśpić jej czujności i ostrożności.

Opr. red.

Chcesz być na bieżąco? Zapisz się do naszego newslettera!