Raport Specjalny Horyzonty Bankowości 2017: Unia zrywa zmowę milczenia

Joanna Patyńska

Kilka miesięcy po przyjęciu przez Brukselę GDPR (ang. The General Data Protection Regulation) na stronie internetowej „The Banker” pojawił się wielki nagłówek: „Is Your Bank Ready for the GDPR?”. Prestiżowe wydawnictwo uznało, że dwa lata na przygotowanie się do zaostrzonych wymogów, jakie zafundowała Komisja Europejska, to dla brytyjskich banków nie lada wyzwanie. Autor felietonu Simon Kouttis, Head of Cyber Security Stott and May, uznał za stosowne przypomnieć, czego należy się spodziewać.

„Każda osoba musi wydać wyraźną zgodę na gromadzenie i wykorzystywane swoich danych. Osoby te muszą zrozumieć, w jaki sposób informacje o nich będą używane. (…) Wszystkie dane osobowe muszą być wymazane po upływie określonego okresu czasu. W przypadku poważnego naruszenia bezpieczeństwa, przedsiębiorstwa w ciągu 72 godzin muszą poinformować wszystkie osoby dotknięte cyberatakiem oraz biuro Komisji Europejskiej. W przypadku gdy instytucja finansowa naruszy GDPR, może zostać ukarana grzywną sięgającą 20 mln euro lub utratą 4% rocznego obrotu (w zależności, która wartość będzie wyższa). To znaczące obciążenie dla każdej firmy, a mimo to z badań przeprowadzonych przez firmę Trend Micro wynika, że 20% brytyjskich szefów IT jest nieświadomych, jakie wymagania trzeba spełnić w związku z wejściem nowych przepisów. Ten brak wiedzy może stać się bardzo kosztowny dla tych banków, które będą czekać z przygotowaniem się do ostatniej minuty” – ostrzegł ekspert.

– Wprowadzenie prawodawstwa GDPR jest dla banków i ubezpieczycieli ogromną okazją do przekształcenia się w cyfrowe twierdze, za które wciąż uważają je konsumenci – uważa Zhiwei Jiang, Global Head of Financial Services, Insights and Data w Capgemini, ale jedocześnie ostrzega, że po wprowadzeniu obowiązku, by w ciągu 72 godzin podawać dane o naruszeniu systemów bezpieczeństwa, liczba informacji o incydentach w instytucjach finansowych może być szokiem dla klientów.

Simon Kouttis przypomniał przy tej okazji zgrabny bon mot, który jak mantrę powtarzają eksperci od cyberbezpieczeństwa: „już nie chodzi o to, czy twój bank będzie zaatakowany, tylko kiedy nastąpi atak”.

Twierdze na papierze

W 2015 r. ataki hakerskie dotknęły 19% polskich instytucji finansowych. W 2016 r. już 37% – wynika z danych EY i Konferencji Przedsiębiorstw Finansowych w Polsce. Łączne straty poniesione w ciągu ostatnich 12 miesięcy w przypadku 60% badanych wyniosły do 500 tys. zł. W ponad 31% przekroczyły 1 mln zł. Ile banków w tym czasie przyznało się publicznie, że padło ofiarą ataku? Żaden. Od czerwca 2018 r. wszystkie będą musiały natychmiast informować o tym klientó...