Zagrożenia cyfrowe w pracy z organem
Oszuści wiedzą, że organ działa według terminów i że członkowie nie znają się na technice. Link, plik i prośba o listę kontaktów to ich ulubione narzędzia.
2.1Fałszywe zawiadomienie i „pilne materiały”
Oszust podszywa się pod przewodniczącego albo członka organu. Pisze: „Pilne, zmiana terminu posiedzenia. Materiały pod linkiem, hasło poniżej”. Chce, żebyś kliknął link, otworzył plik albo przesłał materiały na inny adres.
- 1Nieznany adres nadawcy.Nazwa wygląda dobrze, ale domena po znaku @ jest inna niż domena organu.
- 2Pośpiech.Termin „na dziś” ma wyłączyć ostrożność.
- 3Archiwum lub link z hasłem w tej samej wiadomości.Prawdziwe materiały nie przychodzą z hasłem pod spodem.
- 4Prośba o odpowiedź poza zwykłym kanałem.Na przykład na prywatny adres albo przez komunikator.
Jak to zrobić: zawiadomienie lub materiały, które budzą wątpliwość
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| 1. Nie klikasz linku i nie otwierasz załącznika. 2. Dzwonisz do przewodniczącego na numer, który masz w aktach, i pytasz, czy wysłał wiadomość. 3. Wiadomość zostawiasz w skrzynce i zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Nie odpisujesz. Odpowiedź potwierdza oszustowi, że adres działa. | |
| SMS lub komunikator | 1. Nie klikasz linku. 2. Wiadomość zostawiasz w telefonie. Na kartce zapisujesz numer nadawcy i godzinę. 3. Zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Nie dzwonisz pod numer z wiadomości. |
| Telefon | 1. Mówisz: „Oddzwonię na numer z listy organu”. 2. Kończysz rozmowę i dzwonisz sam na numer z akt. 3. Zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Numer na wyświetlaczu można podrobić. |
| Pismo lub portal | 1. Porównujesz pismo z aktami: nadawca, podpis, sposób doręczenia. 2. Zmianę terminu potwierdzasz telefonicznie u przewodniczącego. 3. Wątpliwość zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Logo i pieczątka nie dowodzą, że pismo jest prawdziwe. |
| Osoba trzecia | 1. Ktoś mówi: „Przewodniczący kazał przekazać nowy termin”. 2. Terminu nie zmieniasz na jego słowo. 3. Potwierdzasz u przewodniczącego jego numerem z akt. | Osoba trzecia może mówić w dobrej wierze i mylić się. |
Gotowe zdanie przez telefon: „Zmianę terminu potwierdzam tylko z przewodniczącym. Oddzwonię na numer z listy.”
Zmianę terminu, miejsca lub linku sprawdzasz drugim kanałem u przewodniczącego, zanim cokolwiek zrobisz. Dlaczego: oszust kontroluje wiadomość, ale nie kontroluje twojego telefonu do znanej osoby. Pilność nie jest argumentem.
2.2Link do posiedzenia zdalnego i obcy uczestnik
Posiedzenie zdalne odbywa się w narzędziu do spotkań, które wskazała jednostka. Link otwiera drzwi każdemu, kto go ma. Link wysłany w publicznym ogłoszeniu albo przekazany dalej przez członka trafia do obcych osób.
| Ryzyko | Jak wygląda | Co robisz |
|---|---|---|
| Obcy uczestnik | na liście jest nazwa, której nie znasz, na przykład „Gość 3” | Zatrzymujesz omawianie spraw z danymi i sprawdzasz, kto to. |
| Link przekazany dalej | ktoś spoza organu zna adres spotkania | Zmieniasz link przed następnym posiedzeniem i zgłaszasz sprawę. |
| Nagrywanie bez wiedzy | uczestnicy nie wiedzą, że rozmowa jest nagrywana | Przed włączeniem nagrywania informujesz wszystkich. |
| Ktoś słucha obok członka | członek siedzi w domu, a obok jest domownik | Prosisz, by przy sprawach z danymi członek był sam i miał słuchawki. |
Jak to zrobić: obcy uczestnik lub prośba o link do posiedzenia zdalnego
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Narzędzie do spotkań | 1. Zatrzymujesz omawianie spraw z danymi. 2. Prosisz przewodniczącego o krótką przerwę. 3. Nieznanego uczestnika przenosisz do poczekalni albo go usuwasz, jeśli masz takie uprawnienie. 4. Czytasz listę i porównujesz ją z listą zaproszonych. Na kartce zapisujesz nazwę uczestnika i godzinę. 5. Zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Nie wyłączasz spotkania bez słowa. Przewodniczący musi wiedzieć, co się dzieje. |
| Telefon | 1. Ktoś dzwoni: „Zapomniałem linku, podaj mi go”. 2. Mówisz, że link wysyłasz tylko członkom organu. 3. Oddzwaniasz na numer członka z akt i dopiero wtedy wysyłasz link na jego adres. | Wiedza o godzinie lub nazwie organu nie dowodzi, że rozmówca jest członkiem. |
| 1. Ktoś spoza listy prosi o link. 2. Linku nie wysyłasz. 3. Przekazujesz prośbę przewodniczącemu. | Odpowiedź z linkiem przekazuje dostęp każdemu, kto przejmie skrzynkę. | |
| Osoba trzecia | 1. Ktoś chce dołączyć „w imieniu członka”. 2. Nie wpuszczasz go bez decyzji przewodniczącego. 3. Pytasz członka jego numerem z akt. | Członek nie może sam wskazać zastępcy. |
Nieznanego uczestnika posiedzenia zdalnego nie ignorujesz: zatrzymujesz omawianie spraw z danymi i sprawdzasz, kto to. Dlaczego: obcy uczestnik słyszy dane ludzi i może je nagrać. Zdarzenia nie da się cofnąć, więc liczy się pierwsza minuta.
Nie wiesz, czy uczestnik jest zaproszony? Traktuj go jak obcego, dopóki przewodniczący tego nie potwierdzi. Zgłoś: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
2.3Materiały dla członków: prywatna poczta, komunikatory i dyski
Członkowie spoza jednostki często proszą: „Wyślij na mój prywatny adres”. Prywatna skrzynka i komunikator w telefonie nie są pod kontrolą jednostki. Materiał, który tam trafi, może zostać przekazany dalej albo przeczytany przez domownika.
| Kanał | Czy wolno | Dlaczego |
|---|---|---|
| Służbowa skrzynka członka lub konto w portalu organu | Tak | Jednostka może zabezpieczyć dostęp i sprawdzić, kto otworzył materiał. |
| Prywatna poczta członka | Tylko wtedy, gdy zasady jednostki to dopuszczają. Bez takich zasad pytasz inspektora: inspektor ochrony danych jednostki | Jednostka nie kontroluje prywatnej skrzynki. |
| Komunikator i grupa w telefonie | Nie | Treść zostaje w telefonach wszystkich uczestników. |
| Link do dysku, który otworzy każdy, kto go ma | Nie | Link można przekazać dalej bez wiedzy jednostki. |
| Papierowa teka z listą odbioru | Tak | Wiesz, kto ją odebrał i kiedy. |
Materiały dla członków wysyłasz kanałem wskazanym przez jednostkę i przypominasz, że nie wolno ich przekazywać dalej. Dlaczego: dane ludzi z materiałów trafiają do kolejnych osób, których nie znasz, a raz rozesłanych materiałów nie odzyskasz.
Członek nalega na komunikator lub prywatny adres? Nie ustępujesz i nie wysyłasz. Przekazujesz prośbę przewodniczącemu i inspektorowi ochrony danych: inspektor ochrony danych jednostki.
2.4Prośby o listę kontaktów członków
Lista członków z prywatnymi adresami i telefonami to cel dla oszustów i dla osób, które chcą wpływać na głosowanie. Proszą o nią członkowie, mieszkańcy, dziennikarze i „pracownik innego urzędu”.
| Kto prosi | Co robisz | Dlaczego |
|---|---|---|
| Członek organu o kontakt do pozostałych | Listy nie wydajesz. Przekazujesz prośbę pozostałym członkom albo pytasz każdego o zgodę. | Członek organu nie ma automatycznie prawa do prywatnych danych pozostałych. |
| Mieszkaniec | Nie podajesz prywatnych danych. Możesz podać skład organu i kontakt służbowy. | Skład organu bywa jawny, a prywatne telefony nie. |
| Dziennikarz | Nie podajesz prywatnych danych. Pytania prasowe kierujesz do: osoba prowadząca stronę i konta jednostki w mediach społecznościowych. | Za kontakt z mediami odpowiada wskazana osoba. |
| „Pracownik innego urzędu” przez telefon | Niczego nie podajesz. Prosisz o pismo i odpowiadasz na adres z oficjalnej listy. | Przez telefon nie sprawdzisz, kto dzwoni. |
Prywatnych danych kontaktowych członków nie wydajesz bez ich zgody i bez decyzji osoby odpowiedzialnej. Dlaczego: członek, który zgodził się zasiadać w organie, nie zgodził się na telefony od obcych ludzi.
2.5Czat AI do streszczeń i transkrypcji
Kusi, by wkleić protokół do publicznego czatu AI albo wgrać nagranie do darmowej aplikacji, która „spisze obrady”. Tekst i dźwięk trafiają wtedy do zewnętrznej firmy razem z nazwiskami i danymi osób, których dotyczą.
- Korzystasz z narzędzia do transkrypcji i streszczeń tylko wtedy, gdy wskazała je jednostka.
- Wątpliwość, czy narzędzie jest dozwolone, zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
- Nie wklejasz protokołu, wniosków ani listy członków do publicznego czatu AI.
- Nie wgrywasz nagrania do darmowej aplikacji do transkrypcji.
- Nie wysyłasz nagrania znajomemu, żeby je spisał.
2.6Obcy nośnik i żądanie okupu
Członek spoza jednostki przynosi prezentację na pendrive. Nośnik może zawierać program, który zaszyfruje pliki i zażąda okupu. Obcego nośnika nie wkładasz do komputera służbowego. Prosisz o przesłanie pliku kanałem wskazanym przez jednostkę.
Jeśli na ekranie pojawi się żądanie okupu, odłączasz komputer od sieci, nie wyłączasz go i zgłaszasz. Dokładny przebieg jest w temacie 5, sekcja 5.2.
Obcego nośnika nie wkładasz do komputera służbowego, nawet gdy ktoś mówi, że to tylko prezentacja. Dlaczego: nośnik może uruchomić złośliwy program bez żadnego kliknięcia, a wtedy zagrożona jest cała sieć jednostki.
- Którą sztuczkę mogę spotkać najczęściej?
- Komu powiem o zasadzie drugiego kanału?