E-mail poszedł do złej osoby. Co zrobić, zanim panika przejmie stery

Klikasz „Wyślij” i dopiero wtedy zauważasz obce nazwisko w polu adresata. W załączniku jest umowa, zestawienie wynagrodzeń albo rozmowa z klientem. Pierwszy odruch to zwykle próba cofnięcia wiadomości. Drugi — nadzieja, że nikt się nie dowie.

W tej sytuacji wstyd jest zrozumiały, ale ukrywanie pomyłki odbiera organizacji najcenniejszą rzecz: czas. Im szybciej odpowiednie osoby wiedzą, co się stało, tym większa szansa na ograniczenie skutków i spokojną ocenę ryzyka.

Najpierw zatrzymaj dalsze szkody

Jeżeli poczta oferuje funkcję cofnięcia wysłania lub odwołania wiadomości, użyj jej od razu. Nie traktuj jednak komunikatu „wysłano prośbę o odwołanie” jak potwierdzenia usunięcia. Skuteczność zależy od systemu pocztowego, ustawień odbiorcy i tego, czy wiadomość została już otwarta.

Następnie skontaktuj się z odbiorcą krótką, spokojną wiadomością lub telefonicznie. Poproś o trwałe usunięcie e-maila i załączników oraz o potwierdzenie, że nie zostały zapisane ani przekazane dalej. Nie opisuj przy tym w kolejnej wiadomości wszystkich poufnych danych — to tylko powiększyłoby incydent.

Jeżeli omyłkowo wysłany był link do pliku, właściciel dokumentu może ograniczyć dostęp albo go wyłączyć. Gdy wiadomość zawierała hasło, kod dostępu lub inny aktywny sekret, trzeba go zmienić. Nie usuwaj jednak śladów zdarzenia z własnej skrzynki, zanim zespół odpowiedzialny za incydenty nie zbierze potrzebnych informacji.

Zgłoś pomyłkę, nawet jeśli odbiorca obiecał usunięcie

Powiadom przełożonego oraz wskazany w firmie kontakt do ochrony danych, bezpieczeństwa lub wsparcia IT. W małej organizacji może to być jedna osoba. W zgłoszeniu wystarczą konkrety:

• kiedy wysłano wiadomość;
• do kogo trafiła;
• jaki był temat i jakie załączniki zawierała;
• jakiego rodzaju dane znalazły się w środku i ilu osób dotyczą;
• czy odbiorca odpowiedział, otworzył plik lub potwierdził usunięcie;
• jakie działania zostały już wykonane.

Nie musisz samodzielnie rozstrzygać, czy zdarzenie trzeba zgłosić organowi nadzorczemu. To zadanie organizacji, która ocenia m.in. charakter danych, możliwe konsekwencje, liczbę osób i wiarygodność odbiorcy. Twoim zadaniem jest szybkie przekazanie prawdziwego obrazu sytuacji.

Czy każda pomyłka oznacza zgłoszenie do UODO?

Wiadomość wysłana do niewłaściwej osoby może być naruszeniem ochrony danych osobowych, ale nie każde naruszenie podlega zgłoszeniu organowi. UODO wyjaśnia, że administrator zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób.

To nie jest 72-godzinne „okno na przemilczenie”. Organizacja musi zebrać fakty, ograniczyć skutki, udokumentować ocenę i zdecydować, czy oprócz UODO należy również poinformować osoby, których dane dotyczą. Dlatego wiadomość od przypadkowego odbiorcy „usunąłem, proszę się nie martwić” jest ważna, lecz nie zamyka automatycznie sprawy.

Co napisać do przypadkowego odbiorcy

Prosta wiadomość jest zwykle lepsza niż formalny elaborat:

Otrzymał/a Pan/Pani wiadomość wysłaną omyłkowo. Proszę jej nie otwierać ani nie przekazywać dalej, a następnie trwale usunąć wiadomość i załączniki. Proszę o krótkie potwierdzenie usunięcia.

Jeżeli odbiorca nie odpowiada, grozi publikacją albo żąda czegoś w zamian za usunięcie danych, nie negocjuj samodzielnie. Przekaż całą rozmowę osobie prowadzącej incydent.

Jak ograniczyć ryzyko kolejnej pomyłki

Najskuteczniejsze zabezpieczenia nie polegają na powtarzaniu pracownikom „uważaj bardziej”. Pomaga proces, który daje chwilę na sprawdzenie:

• wpisuj adresata na końcu, po przygotowaniu treści i załączników;
• przy podobnych nazwiskach sprawdź firmę i pełny adres, nie tylko wyświetlaną nazwę;
• przed wysłaniem otwórz załącznik i upewnij się, że to właściwa wersja;
• przy wielu odbiorcach używaj odpowiedniego narzędzia wysyłkowego albo pola UDW, zamiast ujawniać całą listę;
• dla wrażliwych dokumentów wybieraj link z ograniczonym dostępem i możliwością jego cofnięcia;
• ustal prosty, pozbawiony obwiniania kanał zgłaszania pomyłek.

Jeżeli podobne zdarzenia się powtarzają, warto przejrzeć nie tylko zachowanie konkretnej osoby, lecz także autouzupełnianie, nazewnictwo plików, tempo pracy i sposób akceptacji wysyłki. Czasem problemem jest system, który ułatwia popełnienie przewidywalnego błędu.

Co jest faktem, a co naszą rekomendacją

Terminy i zasady oceny naruszenia opisujemy na podstawie materiału UODO o zgłaszaniu naruszeń. Praktyczne kroki dotyczące ograniczenia skutków — m.in. prowadzenie zapisu zdarzenia oraz prośba o usunięcie danych — są zgodne z poradnikiem brytyjskiego ICO dotyczącym pierwszych 72 godzin. Kolejność działań i wskazówki dotyczące procesu są rekomendacją Breachroad; nie zastępują indywidualnej oceny prawnej.

Szerszy plan działania opisujemy w artykule „Wyciek danych: pierwsze 72 godziny”. Jeżeli chcesz, aby ludzie w firmie umieli reagować bez paraliżującego strachu przed karą, zobacz szkolenia z cyberbezpieczeństwa i symulacje phishingu Breachroad.