……………………………………….……………………..
(pieczęć firmowa)
Polityka postępowania
ze skrzynką poczty elektronicznej
Spis treści
1. Wstęp.............................................................................................................................1
2. Informacje wstępne........................................................................................................1
3. Logowanie się do skrzynki pocztowej...........................................................................2
4. Odbieranie wiadomości.................................................................................................2
5. Wysyłanie wiadomości..................................................................................................3
6. Dopuszczalne sposoby szyfrowania przesyłanych danych............................................4
7. Porządkowanie skrzynek pocztowych...........................................................................4
1. Wstęp
1. Niniejszy dokument jest częścią zbioru polityk bezpieczeństwa.
2. Definicje pojęć i podstawa prawna zostały opisane w pierwszych rozdziałach
ww Zbioru.
2. Informacje wstępne
1. Poczta elektroniczna jest popularną metodą przesyłania informacji. Przy jej
pomocy komunikują się nie tylko pracownicy, ale również uczniowie, rodzice,
urzędy oraz osoby trzecie.
2. Poczta elektroniczna przechowywana jest na serwerach firm zewnętrznych, listy
nią przesyłane wędrują po różnych serwerach, a drobna literówka może
spowodować, że list omyłkowo trafi do innego odbiorcy.
3. Poczta elektroniczna wykorzystywana jest przez przestępców do prowadzenia
ataków przy pomocy technik takich jak phishing, ransomware, wirusy.
4. W związku z licznymi zagrożeniami wynikającymi z korzystania z poczty
elektronicznej, wprowadza się całkowity zakaz korzystania z prywatnej
skrzynki pocztowej na komputerach przetwarzających dane osobowe oraz
komputerach działających w nich w jednej podsieci (wspólny VLAN lub LAN).
5. Do działania dopuszcza się wyłącznie skrzynki pocztowe utworzone, lub
zaakceptowane do wykorzystywania przez ADO.
3.Logowanie się do skrzynki pocztowej
3. Logowanie się do skrzynki pocztowej
1. Skrzynka pocztowa powinna być wykorzystywana wyłącznie na komputerach
bezpiecznych i chronionych przed wirusami. W związku z tym sugeruje się
wykorzystywanie skrzynki poza Placówką tylko w sytuacjach niezbędnie
koniecznych.
2. Hasło do skrzynki pocztowej powinno być traktowane z należytą starannością,
tak jak inne hasła, zgodnie z ustalonymi politykami jakości hasła oraz
częstotliwości jego zmian.
4. Odbieranie wiadomości
1. Z uwagi na masowe ataki niebezpiecznego oprogramowania prowadzone
z użycie poczty elektronicznej (e-mail), uruchamianie załączników przesłanych
tą drogą, niezależnie od tego, czy są to pliki PDF, Worda, Excela czy inne musi
być poprzedzone następującymi działaniami:
a) Należy zastanowić się, czy z danym nadawcą wiążą Placówkę jakiekolwiek
związki wymagające przesyłania plików w załączniku.
− Spora liczba ataków bazuje na przesłaniu straszących wezwań do
zapłaty, zaległych faktur do płatności itp. które w rzeczywistości są
szkodliwym oprogramowaniem.
b) Należy zastanowić się, czy dany nadawca ma powód do przesłania takiego
pliku.
− Dla atakującego nie jest problemem podszywanie się pod znanego
pracownikowi nadawcę i przesyłanie w jego imieniu fałszywych
wiadomości.
c) Należy zastanowić się, czy treść listu nie odbiega od zazwyczaj stosowanej.
Czy nie zawiera on dziwnych błędów stylistycznych i językowych.
− Wielu atakujących to osoby spoza Polski, które korzystają
z automatycznego tłumaczenia listów na j. polski, które to automatyczne
tłumaczenie jest zazwyczaj sztuczne językowo i obarczone błędami.
2. W przypadku gdy list elektroniczny zawiera odsyłacze (linki) do wskazanych
stron w Internecie, użytkownik przed ich kliknięciem jest zobowiązany
przeprowadzić następującą analizę:
a) Należy zastanowić się, czy z danym nadawcą wiążą Placówkę jakiekolwiek
związki wymagające przesyłania linków do kliknięcia.
− Spora liczba ataków bazuje na przesłaniu straszących treści
o zablokowaniu kont (bankowych, pocztowych), wezwaniach do zapłaty,
wystawionych fakturach itp. dostępnych pod wskazanym odsyłaczem,
który w rzeczywistości prowadzi do fałszywego oprogramowania.
b) Należy zastanowić się, czy dany nadawca ma powód do przesłania takiego
odsyłacza.
2 / 4
4.Odbieranie wiadomości
− Dla atakującego nie jest problemem podszywanie się pod znanego
pracownikowi nadawcę i przesyłanie w jego imieniu fałszywych
wiadomości.
c) Należy zastanowić się, czy treść listu nie odbiega od zazwyczaj stosowanej.
Czy nie zawiera on dziwnych błędów stylistycznych i językowych.
− Wielu atakujących to osoby spoza Polski, które korzystają
z automatycznego tłumaczenia listów na j. polski, które to automatyczne
tłumaczenie jest zazwyczaj sztuczne językowo i obarczone błędami.
d) Należy rozważyć czy nie jest możliwe wejście na wskazany adres poprzez
jego wpisanie ręczne w oknie przeglądarki internetowej,
− Wielu atakujących potrafi tak spreparować list, żeby użytkownikowi
wydawało się, że wchodzi na zaufaną stronę, a tak naprawdę odsyłacz
prowadzi w niebezpieczne, specjalnie spreparowane miejsce.
e) Jeżeli po wejściu pod podany adres wymagane jest podanie danych
uwierzytelniających (loginów, haseł, numerów kart kredytowych, numerów
telefonów itp.) należy rozważyć, czy aby na pewno strona nie służy do
wyłudzania tych danych (tzw. phishing).
− Atakujący potrafią spreparować stronę wyglądającą jak strona banku,
poczty elektronicznej czy innego systemu informatycznego, a której
zadaniem jest wyłudzenie danych uwierzytelniających.
3. Jeżeli na którymkolwiek etapie powyższych procedur pojawiają się wątpliwości,
należy natychmiast przerwać korzystanie z poczty elektronicznej i skonsultować
wątpliwości z ASI lub ADO.
5. Wysyłanie wiadomości
1. W przypadku wysyłania wiadomości zawierających dane osobowe w małych
ilościach (faktury, pojedyncze formularze), skierowanych bezpośrednio do
osoby, której dane dotyczą, dopuszczalne jest wysyłanie wiadomości
niezaszyfrowanej.
2. W przypadku wysyłania wiadomości zawierających większą ilość danych
osobowych, należy przeprowadzić proces szyfrowania opisany poniżej.
3. Niezależnie od rodzaju wysyłanej wiadomości, należy upewnić się, że
wpisywany adres odbiorcy jest poprawny i nie pojawiło się w nim jakieś
przekłamanie, które może spowodować, że dane trafią do zupełnie innego
odbiorcy.
3 / 4
6.Dopuszczalne sposoby szyfrowania przesyłanych danych
6. Dopuszczalne sposoby szyfrowania przesyłanych danych
1. Jeżeli dane zawarte są w pojedynczych plikach pakietu biurowego MS Office
(Word, Excel) lub LibreOffice/OpenOffice (Writer, Calc) można wybrać metodę
zapisania pliku z hasłem szyfrującym.
2. Jeżeli dane zawarte są w większej liczbie plików lub są to pliki z programów nie
posiadających opcji szyfrowania, należy pliki z danymi zaszyfrować
wykorzystując zabezpieczone hasłem archiwum ZIP lub podobne. Można tu
wykorzystać darmowy program 7-zip (
tworzenie szyfrowanych archiwów 7z (dostępny dla programu 7-zip) oraz ZIP
(dostępny również dla osób nie posiadających programu 7-zip).
3. Hasło szyfrujące należy przekazać odbiorcy w inny sposób niż poprzez e-mail.
Można je podać telefonicznie albo SMSowo.
4. Hasło szyfrujące należy dobrać zgodnie z zasadami doboru dobrej jakości hasła,
a do tego powinno być ono inne niż hasła stosowane przy wysyłce danych do
innych odbiorców.
5. Jeżeli wysyłanie danych pomiędzy dwoma odbiorcami odbywa się często
i proces szyfrowania i zarządzania hasłami staje się kłopotliwy,
a) ASI wdraża na wniosek pracownika metody szyfrowania asymetrycznego,
takie jak GPG czy SMIME,
b) oraz szkoli obie strony z wykorzystania tej metody.
W procesie szyfrowania asymetrycznego nie jest już konieczne wymyślanie
haseł i przekazywanie ich innym kanałem, gdyż opiera się na zasadzie
wykorzystania kluczy prywatnych i publicznych.
7. Porządkowanie skrzynek pocztowych
1. Dane osobowe wysyłane i odbierane pocztą elektroniczną trafiają do folderów
(wysłane, odebrane itp.) w programie pocztowym lub na serwerze
obsługującym skrzynkę.
2. Skrzynka znajdująca się tylko na dysku lokalnym powinna mieć ustawione
parametry automatycznego usuwania listów starszych niż pół roku, chyba że dla
danej skrzynki zasadne jest dłuższe przechowywanie danych i ADO wyrazi na
to zgodę.
3. Skrzynka znajdująca się tylko na serwerze poczty powinna mieć ustawione
parametry automatycznego usuwania listów starszych niż kwartał, chyba że dla
danej skrzynki zasadne jest dłuższe przechowywanie danych i ADO wyrazi na
to zgodę.
4. Jeżeli system obsługi skrzynki lub program pocztowy nie pozwala na
automatyzację czyszczenia zawartości, ADO zobowiązuje pracownika do
ręcznego usuwania przynajmniej raz w miesiącu listów przechowywanych
dłużej niż wskazane okresy.
4 / 4