-
G1-6
Dla PZU bezpieczeństwo to istotny element funkcjonowania nowoczesnej instytucji ubezpieczeniowej, wpływający na reputację Spółki, podnoszący jej wiarygodność oraz budujący zaufanie klientów. Dlatego PZU przykłada dużą wagę do działalności zgodnie z przepisami prawa oraz wyznaczonymi standardami, gwarantując wysoki poziom bezpieczeństwa operacyjnego.
W PZU i PZU Życie funkcjonuje „Polityka bezpieczeństwa PZU SA i PZU Życie SA”.
Dokument wraz z aktami wewnętrznymi i decyzjami wydanymi w celu realizacji polityki jest kompleksową i zupełną regulacją obejmującą obszary:
- bezpieczeństwa informacji;
- przeciwdziałania przestępczości;
- przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu;
- ciągłości działania;
- bezpieczeństwa systemów IT;
- bezpieczeństwa fizycznego oraz bezpieczeństwa i higieny pracy.
Dyrektor Biura Bezpieczeństwa przedkłada Zarządowi corocznie, w drugim kwartale, raport z oceny poziomu zagrożeń bezpieczeństwa za poprzedni rok kalendarzowy. Zarząd na podstawie tego raportu może zobowiązać właściwe jednostki organizacyjne do podjęcia działań mających na celu obniżenie poziomu identyfikowanego zagrożenia bezpieczeństwa PZU i PZU Życie.
Polityka kreuje również wspólne standardy bezpieczeństwa dla innych spółek Grupy PZU. Każda ze spółek Grupy uczestniczy w osiąganiu celów bezpieczeństwa operacyjnego z wykorzystaniem wspólnych standardów bezpieczeństwa.
Respektowanie postanowień Polityki przez podmioty zewnętrzne współpracujące PZU i PZU Życie, na podstawie zawartych umów i porozumień, w tym osoby fizyczne świadczące usługi na rzecz Spółki na podstawie umów cywilnoprawnych jest jednym z priorytetów bezpieczeństwa operacyjnego PZU i PZU Życie.
-
3-3
-
2-25
Podejście do zarządzania
PZU dokłada staranności dbając o bezpieczeństwo informacji chronionych, w tym danych objętych tajemnicą ubezpieczeniową oraz danych osobowych zgodnie z obowiązującymi przepisami prawa
Nadzór nad biurem odpowiadającym za bezpieczeństwo w PZU i PZU Życie sprawuje Członek Zarządu. W okresie od 1 stycznia do 31 grudnia 2023 roku był to Ernest Bejda. Posiada on wieloletnie doświadczenie w nadzorowanym obszarze. Przed zatrudnieniem w Grupie PZU pracował w Generalnym Inspektoracie Celnym w Warszawie, a następnie prowadził własną praktykę adwokacką. Współtworzył Centralne Biuro Antykorupcyjne, w którym pełnił funkcję Zastępcy Szefa CBA (2006-2009), od grudnia 2015 roku p.o. Szefa CBA, a następnie funkcję szefa tej instytucji (2016-2020).
W PZU i PZU Życie zostały wdrożone zasady identyfikacji klienta oraz udzielania informacji zgodnie z wnioskiem klienta. Dostęp do danych osobowych oraz informacji objętych tajemnicą ubezpieczeniową mają jedynie osoby do tego upoważnione. Uprawnienia nadawane są odpowiednio do wykonywanych obowiązków za pośrednictwem Centralnego Systemu Zarządzania Bezpieczeństwem Informacji (CSZBI). Dodatkowo w PZU został wdrożony system monitorujący klasy DLP (ang. Data Loss Prevention), w którym zaimplementowano odpowiednie reguły minimalizujące ryzyko ujawnienia informacji, w tym danych osobowych, osobom nieuprawnionym. Spółki cyklicznie wdrażają i aktualizują procedury oraz zabezpieczenia w elektronicznych kanałach komunikacji z klientem, minimalizujące ryzyko ujawnienia informacji prawnie chronionych.
Dokumenty, które regulują kwestie bezpieczeństwa informacji chronionych w PZU i PZU Życie to „Polityka bezpieczeństwa PZU SA i PZU Życie SA oraz w szczególności:
- Procedura bezpieczeństwa w obszarze bezpieczeństwa informacji - której zakres przedmiotowy obejmuje m.in. zasady ochrony informacji i bezpieczeństwa informacji w systemach informatycznych, instrukcję zarządzania systemem informatycznym, prewencję i profilaktykę oraz zarządzanie ryzykiem bezpieczeństwa. Dokument reguluje również zasady udostępniania informacji prawnie chronionych, w tym danych objętych tajemnicą ubezpieczeniową;
- Procedura bezpieczeństwa w obszarze ochrony danych osobowych - dokument ten określa w szczególności zasady przetwarzania danych osobowych, dostępu do danych, obsługi wniosków podmiotów danych, postępowania z incydentami bezpieczeństwa, oceny i notyfikacji naruszeń oraz rolę i zadania wykonywane przez Inspektora Ochrony Danych. Procedura reguluje również zasady wyboru i audytu procesora;
- Procedura monitoringu dostawcy usług - która określa podstawę prawną, cel oraz zakres monitoringu. Na podstawie tej procedury prowadzone są audyty kontrahentów, którym PZU powierzył przetwarzanie danych osobowych.
Funkcjonuje również szereg dodatkowych procedur i zasad, m.in:
- Procedura zarządzania ryzykiem bezpieczeństwa IT;
- Procedura oceny ryzyka i oceny skutków przetwarzania danych osobowych PZU SA i PZU Życie SA;
- Zarządzanie ochroną przed złośliwym oprogramowaniem;
- Zasady bezpiecznego przetwarzania danych osobowych;
- Zasady zarządzania ryzykiem przetwarzania danych osobowych;
- Zasady bezpieczeństwa IT – System Zarządzania Bezpieczeństwem IT;
- Zasady zarządzania podatnościami i testami bezpieczeństwa infrastruktury IT;
- Instrukcja (metodyka) przeprowadzania identyfikacji i oceny ryzyka przetwarzania danych osobowych;
- Klasyfikacja informacji i poziomy zabezpieczeń PZU i PZU Życie;
- Cykliczne raportowanie do zarządów PZU i PZU Życie obejmujące dane na temat wykonanych analiz DPIA;
- Monitoring procesów oraz sprawdzenie wykonania wydanych rekomendacji.
Przekazywanie informacji chronionych podmiotom zewnętrznym
Udostępnianie przez PZU i PZU Życie informacji objętych tajemnicą ubezpieczeniową odbywa się na podstawie art. 35 ustawy o działalności ubezpieczeniowej i reasekuracyjnej, który definiuje listę podmiotów i instytucji, którym dane mogą być przekazane. Powierzenie przez PZU i PZU Życie przetwarzania danych osobowych podmiotom zewnętrznym następuje na podstawie umowy powierzenia przetwarzania danych osobowych. W przypadku przekazania podmiotom trzecim informacji chronionych standardem jest zawieranie umowy o zachowaniu poufności. Treść przedmiotowych umów obejmuje m.in. zobowiązanie do wdrożenia co najmniej takich samych środków zapewniających ochronę informacji oraz gwarantuje możliwość przeprowadzenia audytu.
Przyjęte rozwiązania mają na celu zapewnienie ochrony każdej informacji zgodnie z odpowiednim poziomem bezpieczeństwa, zapewnienie kontroli dostępu do informacji, integralności i dostępności informacji oraz przeciwdziałanie kradzieży i nieautoryzowanemu wypływowi informacji, jak również zapewnienie odpowiedniego poziomu prywatności klientów. Każda osoba, której dane są przetwarzane przez PZU i PZU Życie, ma prawo dostępu do danych oraz do usunięcia, sprostowania, uzupełnienia lub zmiany danych osobowych, a także ma możliwość zgłaszania pytań dotyczących prywatności. Pomagają w tym wdrożone w tym celu procesy zapewniające realizację praw osób, których dane dotyczą, określonych w art. 12-22 RODO1.
W PZU i PZU Życie prowadzone są audyty kontrahentów, którym PZU powierzył przetwarzanie danych osobowych. Podczas audytu weryfikowana jest zgodność przetwarzania przez procesora powierzonych danych osobowych z przepisami RODO oraz umową powierzenia przetwarzania danych osobowych. W PZU i PZU Życie prowadzone są również audyty procesorów, u których doszło do incydentów bezpieczeństwa. Na podstawie przeprowadzonego audytu wydawane są rekomendacje do zmiany procesów lub zmiany systemów dla poszczególnych właścicieli biznesowych.
-
2-16
-
418-1
Inspektor ochrony danych osobowych
W PZU działa wyznaczony Inspektor Ochrony Danych, który realizuje obowiązki administratora danych osobowych (ADO) i inspektora ochrony danych (IOD) wynikające z przepisów prawa, monitoruje incydenty bezpieczeństwa informacji, w szczególności w obszarze danych osobowych oraz naruszeń zgłaszanych do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) oraz cyklicznie raportuje do Zarządów PZU i PZU Życie.
Zakres raportowania w obszarze bezpieczeństwa przetwarzanych danych w zakresie identyfikowanych ryzyk i zidentyfikowanych podatności obejmuje dane na temat incydentów bezpieczeństwa informacji, w szczególności w obszarze ochrony danych osobowych, w tym informacje o realizacji obowiązków wynikających z art. 33 (zgłaszanie naruszenia ochrony danych osobowych organowi nadzorczemu) i art. 34 (zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych) RODO. Prowadzony bieżący monitoring procesów przetwarzania danych oraz analiza i raportowanie danych gwarantują transparentność i rozliczalność. Dzięki wprowadzonym mechanizmom identyfikowane są obszary wymagające wdrożenia zmian oraz wydawane są rekomendacje dotyczące podniesienia bezpieczeństwa przetwarzania danych osobowych w tych obszarach.
Zgodnie z realizacją obowiązków wynikających wprost z RODO, w PZU i PZU Życie wdrożono procesy gwarantujące udokumentowany proces związany z realizacją postanowień art. 35 (Ocena skutków dla ochrony danych) RODO, zobowiązującego spółki do dokonania oceny skutków dla ochrony danych w celu oszacowania w szczególności źródła, charakteru, specyfiki i powagi tego ryzyka.
Proces opiniowania spraw
Dokumenty wewnętrzne, umowy i procesy opiniowane są pod kątem zgodności z obowiązującymi przepisami z zakresu ochrony danych osobowych, orzecznictwem sądów, decyzjami organów, regulacjami przyjętymi w PZU i PZU Życie oraz dobrymi praktykami rynkowymi.
Wdrożenie w PZU i PZU Życie procesu opiniowania przyczyniło się do zapewnienia zgodności przetwarzania danych z przepisami prawa, zapewnia rozliczalność oraz wdrożenie zasad ochrony danych w fazie projektowania (ang. privacy by design). Pozwala na wczesnym etapie zidentyfikować nieprawidłowości i dostosować działania do obowiązujących norm.
Wprowadzony proces opiniowania obejmuje wdrożenie nowych lub zmiany w obecnie funkcjonujących systemach IT, dokumentach wewnętrznych, procesach, umowach, w których występuje lub może wystąpić element związany z tematyką danych osobowych. Aby jak najlepiej realizować ten proces powstała dedykowana skrzynka mailowa, na którą kierowane są zapytania z jednostek biznesowych. Sprawy rozdzielane są pomiędzy pracowników wyspecjalizowanych w różnych obszarach ochrony danych. Opiniowanie kończy się wydaniem rekomendacji uwzględniającej obowiązujące przepisy prawa z zakresu ochrony danych osobowych, orzecznictwo sądów, decyzje organów, regulacje wewnętrzne PZU i PZU Życie oraz dobre praktyki rynkowe. W celu zapewnienia rozliczalności wszystkie opiniowane sprawy odnotowywane są w rejestrze.
| 2022 | 2023 | |
|---|---|---|
| Inicjatywy | 674 | 737 |
| Podtematy | 935 | 1 379 |
| Proof of Concept | 08 | 8 |
| Analiza DPIA ang. Data Protection Impact Assessment – nowe procesy | 24 | 27 |
| Analiza DPIA ang. Data Protection Impact Assessment – istniejące procesy | 4 | 2 |
| 2022 | 2023 | |
|---|---|---|
| PZU | 13 | 10 |
| PZU Życie | 4 | 3 |
W 2023 roku organ nadzoru wydał 9 decyzji administracyjnych w sprawach skarg złożonych przez podmioty zewnętrzne w roku 2023 roku oraz w latach poprzednich (7 decyzji wydanych wydanych w sprawach skarg dot. PZU SA i 2 decyzje wydane w sprawach skarg dot. PZU Życie SA). W ramach wydanych w 2023 roku decyzji administracyjnych organ udzielił 2 upomnienia za naruszenie art. 6 ust. 1 RODO (1 przypadek PZU SA oraz 1 przypadek PZU Życie SA). W pozostałych przypadkach wydanych w 2023 roku decyzji administracyjnych organ nadzoru: odmówił uwzględnienia wniosku, umorzył postępowanie, uchylił zastrzeżenie tajemnicy przedsiębiorstwa.
| 2022 | 2023 | |
|---|---|---|
| Grupa PZU, w tym: | 1 053 | 916 |
| PZU | 198 | 213 |
| PZU Życie | 84 | 69 |
| 2022 | 2023 | |
|---|---|---|
| Liczba zablokowanych potencjalnych infekcji | >7,5 tys. | 5,5 tys. |
| Liczba zablokowanych prób połączenia w celu wysłania złośliwych wiadomości e-mail | 210 mln | 263 mln |
| Liczba zablokowanych ataków wysokiego ryzyka* | 744 tys. | 177 tys. |
| Liczba zablokowanych przekierowań do niebezpiecznych zasobów | >1 mln | 0,97 mln |
| Liczba zablokowanych złośliwych wiadomości e-mail | 0,7 mln | 0,65 mln |
| 2022 | 2023 | |
|---|---|---|
| Liczba analiz | 70 tys | ~104 tys. |
| Liczba zaopiniowanych inicjatyw | 1,2 tys. | 1,03 tys. |
| Liczba manualnych testów bezpieczeństwa | 148 | 152 |
| Liczba wykrytych podatności: | 129 tys. | 295,8 tys. |
| w tym krytycznych | 27,0 tys. | 34,2 tys. |
Cyberbezpieczeństwo
-
3-3
Ochrona danych i systemów wewnętrznych przed zagrożeniami, jakie niosą za sobą cyberataki, stanowi istotny element systemu zarządzania bezpieczeństwem w PZU. Najważniejszym celem zapewnienia bezpieczeństwa w sieci jest zmniejszenie ryzyka ataków cybernetycznych oraz skuteczna ochrona przed nieuprawnionym wykorzystaniem danych i programów.
Dobre praktyki PZU i PZU Życie
Cyberbezpieczeństwo
System zarządzania cyberbezpieczeństwem w PZU i PZU Życie jest zgodny z wymaganiami normy ISO 27001, uznawanym i rozpoznawalny na całym świecie najwyższym standardem Systemu Zarządzania Bezpieczeństwem Informacji. Bezpieczeństwo informatyczne stanowi jedno z ważniejszych wyzwań świata nowych technologii. Strategizacja priorytetów w tym zakresie w Grupie PZU stara się odpowiedzieć na nowe zagrożenia w zakresie organizacyjnym i technologicznym. We wszystkich spółkach Grupy funkcjonują odpowiednie polityki, procedury i szczegółowe wymagania mające na celu zapewnienie odpowiedniego poziomu ochrony informacji oraz danych klientów. W PZU i PZU Życie funkcjonuje i stale jest rozwijany kompleksowy i wielowarstwowy system ochrony przeciw zagrożeniom cyberbezpieczeństwa – pozyskiwane są nowe narzędzia i kompetencje.
Testy bezpieczeństwa
Wdrażanie i sprzedaż produktów oraz dostosowywanie oferty do zmieniających się potrzeb klientów stanowi ogromne wyzwanie dla systemów informatycznych Grupy PZU. Aby zmiany przebiegały płynnie i nie zakłócały obsługi klientów, w organizacji wypracowano powtarzalną procedurę informatyczną zakładającą szeroki wybór testów i sposobów weryfikacji. Procedura gwarantuje wczesne wykrywanie zagrożeń i ewentualnych problemów oraz odpowiednie zarządzanie nimi.
W Grupie PZU przeprowadzane są testy oceny podatności systemów PZU. Wykrywanie podatności w infrastrukturze jest procesem ciągłym i zautomatyzowanym z wykorzystaniem dedykowanych rozwiązań Vulnerability Assessment. Przeprowadzane testy bezpieczeństwa są częścią procesów zarządzania zmianą, wydaniami i projektami.
Opiniowanie i koordynacja wdrażania rozwiązań opartych o chmurę obliczeniową
23 stycznia 2020 roku Urząd Komisji Nadzoru Finansowego (UKNF) opublikował komunikat dotyczący przetwarzania przez podmioty nadzorowane informacji w chmurze obliczeniowej publicznej lub hybrydowej. Zarząd PZU wskazał Biuro Bezpieczeństwa jako jednostkę koordynującą i właściwą w zakresie akceptacji wdrażania rozwiązań opartych o chmurę obliczeniową. Zgodnie z wytycznymi UKNF przyjęte zostały procedury standaryzujące proces klasyfikacji i oceny informacji oraz proces szacowania ryzyka tj.:
- procedura klasyfikacji i oceny informacji na cele ich przetwarzania w chmurze obliczeniowej w PZU i PZU Życie;
- procedura szacowania ryzyka przetwarzania informacji w chmurze obliczeniowej w PZU i PZU Życie.
Wprowadzono cykliczne raportowanie do Zarządu, w ramach informacji kwartalnej z obszaru bezpieczeństwa informacji, które obejmują wykaz zaopiniowanych tematów opartych na rozwiązaniach chmurowych.
Wdrożenie wyżej wymienionych działań przyczyniło się do ustandaryzowania procesu wdrażania rozwiązań chmurowych, a co za tym idzie, do ograniczenia ryzyka niezgodności z wytycznymi UKNF oraz transparentnego informowania organizacji na temat podejmowanych działań.
| Efektywność systemu zarządzania bezpieczeństwem | 2022 | 2023 |
|---|---|---|
| Liczba zaopiniowanych rozwiązań opartych o chmurę obliczeniową w PZU/PZU Życie | 97 | 137 |
| Liczba procesów wymagających notyfikacji do UKNF | 1 | 8 |
| E-learning „W chmurze trzymaj tylko dane, a nie głowę – bądź zgodny z regulacjami” | 2023 |
|---|---|
| Liczba przeszkolonych osób | 8 654 |
- Szkolenia wdrożeniowe – dla nowo zatrudnionych osób, które podczas szkolenia poznały zasady bezpieczeństwa, a następnie przeszły obowiązkowe szkolenia e-learningowe: „RODO” oraz „Bezpieczeństwo informacji, cyberbezpieczeństwo i przeciwdziałanie przestępczości”;
- Szkolenie odświeżające – dla pracowników oddziałów, jednostek obsługi szkód i świadczeń oraz agenci wyłączni (tj. w szczególności osób zajmujących się przetwarzaniem danych osobowych klientów);
- Dwie kampanie edukacyjne, w których przedstawione zostały tematy dotyczące nowych obowiązków wynikających z Polityki sankcyjnej, bezpieczeństwa informacji oraz cyberzagrożeń, w tym dezinformacji;
- Spotkania on-line z ekspertami zewnętrznymi i wewnętrznymi m.in. na temat socjotechniki i dezinformacji;
- Materiały informacyjne dotyczące bezpieczeństwa publikowane w intranecie PZU.
W 2024 roku zaplanowane są do przeprowadzenia szkolenia e-learningowe na temat zasad bezpieczeństwa, bezpiecznego przetwarzania danych oraz klasyfikacji informacji chronionych.
| Szkolenia stacjonarne lub webinary z trenerem z tematyki bezpieczeństwo informacji / ochrona danych osobowych / cyberbezpieczeństwo PZU i PZU Życie | Liczba szkoleń | Liczba uczestników | ||
|---|---|---|---|---|
| 2022 | 2023 | 2022 | 2023 | |
| Szkolenia wdrożeniowe dla nowo zatrudnionych | 35 | 47 | 992 | 1 010 |
| Szkolenia odświeżające | 16 | 67 | 586 | 1 894 |
| E-learning „RODO” | 2022 | 2023 |
|---|---|---|
| Liczba przeszkolonych osób | 1 396 | 1 389 |
| E-learning „Bezpieczeństwo informacji, cyberbezpieczeństwo i przeciwdziałanie przestępczości” | 2022 | 2023 |
|---|---|---|
| Liczba przeszkolonych osób | 1 468 | 1 271 |
Procedury bezpieczeństwa w spółkach zależnych
W spółkach Grupy PZU oraz we wszystkich spółkach zagranicznych wdrożone są procedury zarządzania bezpieczeństwem procesów informatycznych, w szczególności:
W Grupie PZU Zdrowie funkcjonuje pakiet regulacji dotyczący polityk bezpieczeństwa, zawierający wymagania dla procesów IT
W PTE PZU wdrożone są wytyczne wydane przez KNF dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w powszechnych towarzystwach emerytalnych
W TUW PZUW funkcjonują regulacje wspierające w procesie zapewnienia poufności, integralności i dostępności informacji, a także realizacji obowiązków wymaganych przepisami prawa oraz wytycznych KNF.
Ponadto TUW PZUW, korzystając z rozwiązań wypracowanych przez Grupę PZU, stosuje szereg zabezpieczeń technologicznych, mających na celu ograniczenie ryzyk związanych z utratą poufności, integralności lub dostępności informacji.
Procedury bezpieczeństwa w spółkach zależnych – banki
W Banku Pekao w celu zagwarantowania kompleksowych działań w obszarze ochrony danych osobowych funkcjonuje Polityka Bezpieczeństwa Informacji wraz z Dokumentami Polityki Bezpieczeństwa Informacji oraz szereg regulacji wewnętrznych odnoszących się do poszczególnych obszarów funkcjonowania banku. Dyrektorzy jednostek organizacyjnych Banku i właściciele informacji ponoszą pełną odpowiedzialność za organizację, bezpieczeństwo, przetwarzanie danych osobowych w podległych im jednostkach. Pracownicy natomiast zobowiązani są do przetwarzania danych osobowych zgodnie z nadanym im upoważnieniem, wynikającym z zakresu czynności określonego dla zajmowanego przez nich stanowiska. Bank wdrożył również zasady ochrony danych osobowych w zakresie stosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych. Powołano Operacyjne Centrum Bezpieczeństwa (OCC), jednostkę czuwającą nad nieuprawnionym dostępem do danych (w tym danych osobowych), a także (poprzez działające w Banku systemy) mającą na celu zapobieganie wyciekowi tych danych.
W Alior Banku obowiązują restrykcyjne i zgodne z wymaganiami prawnymi i regulacyjnymi procedury bezpieczeństwa zapewniające poufność, integralność oraz dostępność przetwarzanych informacji. Wdrożona Polityka Bezpieczeństwa, standardy oraz wszystkie procedury w tym obszarze są na bieżąco aktualizowane w odpowiedzi na zmieniające się uwarunkowania rynku w zakresie cyberbezpieczeństwa, a także nowe wymagania i wytyczne regulatorów, w tym wynikające z obowiązków Alior Bank jako operatora usługi kluczowej w myśl Ustawy o Krajowym Systemie Cyberbezpieczeństwa (implementującej wymagania europejskiej dyrektywy NIS, bazującej na wymaganiach normy ISO/IEC 27001). W 2023 roku kluczowe systemy informatyczne Alior Banku przetwarzające dane klientów oraz uczestniczące w procesach realizacji transakcji finansowych zostały poddane dogłębnym testom bezpieczeństwa.
Dobre praktyki spółek zależnych
Strategia wykonywania prawa głosu
W Alior Banku utworzono Centrum Bezpieczeństwa środowiska lokalnego “Cybersecurity on-premises Competence Center”, które wraz z istniejącym “Cloud Security Competency Center” mają za zadanie interdyscyplinarne wsparcie IT i biznesu w zakresie dostarczania i utrzymywania bezpiecznych rozwiązań teleinformatycznych.
1. z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO)