Kancelaria Colgante i Wspólnicy jest fikcyjna. Serwis edukacyjny prowadzi Grzegorz Napieraj.
COLGANTE.PLCzerwona Teczka

TECZKA 05Nośniki i incydenty

Pendrive w koszulce

Nośnik przyszedł zwykłą przesyłką. Nie wiadomo, gdzie był i czy zawartość jest bezpieczna.

Akta · nośnik od kuriera · Irena: „kurier zostawił, pan mecenas ma czytać wieczorem”

ZAGROŻENIE

Co jest stawką?

Pendrive od kuriera, „od klienta” albo „z sądu” ma niepotwierdzone pochodzenie i może zawierać złośliwy kod. Osobno decyzja UODO DKN.5131.31.2022 (23 580 zł) pokazuje skutki utraty wysłanego, niezaszyfrowanego nośnika. WSA oddalił skargę w II SA/Wa 1342/23, ale CBOSA oznacza wyrok jako nieprawomocny. To inny stan faktyczny niż malware.

Otwórz kontekst sprawy

Irena z sekretariatu stoi w drzwiach gabinetu na 5. piętrze. Koszulka, pendrive, napis COURIER. „Od pełnomocnika przeciwnika — akta uzupełniające. Podobno z uprzejmości prokuratury.” Nie ma pisma przewodniego w uzgodnionym kanale. Port USB w laptopie kancelarii jest odblokowany.

GŁOS WEWNĘTRZNY

Nie wiesz jeszcze, kto przygotował nośnik ani co uruchomi komputer po podłączeniu. Jak ustalisz pochodzenie i zawartość bez narażania stacji z aktami?

CO POWINNO ZAPALIĆ LAMPKĘ

Czerwone flagi

Sygnały nie przesądzają same o wyniku. Mówią, w którym miejscu trzeba zatrzymać automatyzm i sprawdzić fakty.

  • Nieznane pochodzenie i brak pisma przewodniego w uzgodnionym kanale.
  • Irena nie jest IT — jest mostem.
  • Port USB otwarty na laptopie z aktami.

REFLEKS

Ruch do zabrania na biurko

Nie podłączaj nieznanego nośnika do stacji z dostępem do chronionych zasobów; uruchom kontrolowaną procedurę.

BRIEFING KANCELARYJNY

Od scenariusza do praktyki

Na co zwracać uwagę

  • Nieznany nośnik, brak potwierdzonego nadawcy i brak pisma w uzgodnionym kanale.
  • Prośba, by „tylko otworzyć na chwilę w sekretariacie”.
  • Otwarty port USB w laptopie mecenasa / aplikanta z LEX-em i skrzynką.
  • Kurier, który „musi oddać paczkę i iść”.

Jak minimalizować

Żadnego obcego USB na stacjach z aktami. Stacja kwarantanny (osobny komputer bez sieci akt), skan, albo — lepiej — szyfrowany kanał uzgodniony z klientem. Porty USB można wyłączyć polityką. Sekretariat nie jest mostem „bo kurier czeka”.

W kancelarii — praktyka

Procedura na recepcji: rejestr, potwierdzenie nadawcy i IT — nie „Irena włoży”. Po incydencie izoluj stację i ustal fakty. Gdy doszło do naruszenia ochrony danych, art. 33 i 34 RODO stosuje się według ich odrębnych progów ryzyka; sama obecność danych nie oznacza automatycznego zgłoszenia.

ŹRÓDŁA TEJ TECZKI

Sprawdź pełny tekst

Stan źródeł: 10.09.2026. Przykłady zagraniczne są ilustracjami, a nie polskim precedensem.

Orzeczenie polskie

Prezes UODO, DKN.5131.31.2022 ↗

Decyzja z 20.04.2023: utrata wysłanego, niezaszyfrowanego nośnika; kara 23 580 zł. To nie była sprawa malware.