Ochrona antyspamowa w podmiotach publicznych dr Justyna Kurek Konferencja Naukowa Ochrona dostępności i integralności stron www podmiotów publicznych 19 sierpnia 2013, Hel
Co to jest spam brak definicji (1) nazwa popularnej konserwowej mielonki wieprzowej produkowanej przez amerykańską firmę Hormel, która w czasie II wojny światowej stanowiła kluczowy element racji żywieniowych wojsk amerykańskich; (2) Informacja przesłana drogą elektroniczną, która spełnia łącznie następujące warunki: - jej treść jest niezależna od tożsamości odbiorcy w związku z tym, że wiadomość ta może być przesyłana do wielu niezależnych odbiorców; - odbiorca nie wyraził wcześniej zgody na otrzymanie wiadomości, przy czym zgoda ta musi być wyrażona w sposób weryfikowalny, świadomy, wyraźny i możliwy do odwołania oraz - z okoliczności wynika, że wysyłający odniósł niewspółmierną korzyść z faktu wysłania wiadomości w stosunku do korzyści, jaką odniósł odbiorca w związku z jej odbiorem
Skala zjawiska 616.311 (16.VIII.2013) 7,1 spam/s max 23,1 spam/s Statystyki CISCO Raport o stanie bezpieczeństwa cyberprzestrzeni RP 2012 r. CERT.GOV.PL
Konieczność walki ze spamem 1. Bezpieczeństwo teleinformatyczne wiadomości typu spam to około 80 90 % ruchu w sieci; zawierają często niebezpieczne załączniki w postaci wirusów, robaków internetowych, trojanów bądź szpiegowskiego oprogramowania; wiadomości stanowiące próbę wyłudzenia danych lub zbierające podstępnie informacje od użytkowników. 2. Koszty prowadzenia działalności konieczność segregacji i filtrowania informacji; ryzyko przypadkowego usunięcia pożądanej korespondencji.
W poszukiwaniu definicji prawnej Brak definicji normatywnej. Zakaz przesyłania niezamówionych komunikatów handlowych Ustawa o świadczeniu usług drogą elektroniczną Ustawa o przeciwdziałaniu nieuczciwym praktykom rynkowym (agresywna praktyka rynkowa skierowana na konsumenta) Ustawa Prawo telekomunikacyjne (natarczywy marketing bezpośredni) Zakazane jest przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy będącego osobą fizyczną za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej. (2) Informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji, w szczególności udostępnił w tym celu identyfikujący go adres elektroniczny. (3) Działanie, o którym mowa w ust. 1, stanowi czyn nieuczciwej konkurencji w rozumieniu przepisów ustawy, o której mowa w art. 9 ust. 3 pkt 1. art. 10 UŚUDE. Definicja od 21.01.2013 r. Wcześniej zakaz miał charakter horyzontalny.
Dylematy terminologiczne Kto to jest oznaczony odbiorca będący osobą fizyczną? Czy jest to usługobiorca? Czy może jest to tylko konsument? Czy może każda osoba fizyczna również przedsiębiorca będący osobą fizyczną i pracownik przedsiębiorcy lub organu administracji? Kogo ma tak naprawdę chronić UŚUDE przed spamem? Dyrektywa 2002/58/WE użytkownik i abonent osoba fizyczna korzystająca ze środków komunikacji elektronicznej. J.Kurek Ochrona przed niezamówioną korespondencją w komunikacji elektronicznej, C.H.Beck 2013
Środki ochrony prawnej Decyzje administracyjne Prezesa UOKiK: - w związku z naruszeniem zbiorowego interesu konsumentów (art. 24 uokik w zw. np. z art. 10 uśude lub art. 9 ust. 3 upnpr); - w związku z wewnątrzwspólnotowym naruszeniem (Rozp. 2006/2004/WE; Orzeczenia sądów grodzkich w sprawach o wykroczenie - wykroczenie ścigane z oskarżenia prywatnego (art. 24 uśude) wniosek na policję grzywna w wysokości od 20 do 5000 zł (art. 24 1 kw)
Inne możliwości karalności spamu Spam jako forma stadialna popełnienia przestępstwa przygotowanie do przestępstwa odpowiedzialność za przygotowanie ma miejsce w przypadku, gdy sprawca celowo stwarza warunki do dokonania ściśle określonego typu przestępstwa, jednak nie usiłuje go jeszcze dokonać Problem karalne gdy ustawa tak stanowi... E-mail podszywający się pod bank z prośbą o podanie PIN nie jest jeszcze kradzieżą ale jest przygotowaniem do kradzieży; E-mail zawierający niebezpieczne załączniki (np. malware) może stanowić przygotowanie do przestępstwa z art. 267 KK (nielegalny dostęp)
Praktyczne metody ochrony przed spamem 1. Na poziomie serwera pocztowego (blokowanie i filtrowanie) a. odrzucanie wiadomości pochodzących z podejrzanych źródeł (czarne listy DNS z adresami IP); b. odrzucanie wiadomości na podstawie automatycznej analizy zawartości (blokowanie e-maili nie zgodnych ze standardami RFC dla protokołu SMTP, słowa kluczowe w temacie lub treści). 2. Na poziomie użytkownika a. Usuwanie wiadomości zawierających podejrzane i nieznane załączniki oraz pochodzące z podejrzanych adresów; Czy pracownicy podmiotów publicznych mogą stosować takie zabezpieczenia
Prawo dostępu do administracji (wnioski) Art. 241 KPA [Przedmiot wniosku] Przedmiotem wniosku mogą być w szczególności sprawy ulepszenia organizacji, wzmocnienia praworządności, usprawnienia pracy i zapobiegania nadużyciom, ochrony własności, lepszego zaspokajania potrzeb ludności. Art. 222 KPA [Badanie treści pisma] O tym, czy pismo jest skargą albo wnioskiem, decyduje treść pisma, a nie jego forma zewnętrzna Rozporządzenie Rady Ministrów z dnia 8 stycznia 2002 w sprawie organizacji przyjmowania i rozpatrywania skarg i wniosków (Dz.U. Nr 5, poz. 46) 5. [Tryb wnoszenia skarg i wniosków] Skargi i wnioski mogą być wnoszone pisemnie, telegraficznie lub za pomocą dalekopisu, telefaksu, poczty elektronicznej, a także ustnie do protokołu.
? Czy przedsiębiorca posiadający produkt, który może przyczynić się do usprawnienia w administracji może poinformować o tym fakcie właściwego pracownika organu publicznego, Problem wniosków z ofertą handlową a jeżeli tak to kogo? TAK - w związku z art. 241 KPA oraz art. 63 Konstytucji NIE - w związku z art. 10 uśude Z uwagi na prymat Konstytucji i KPA dopuszczalne będzie przesłanie informacji do organów administracji (tryb właściwy dla wniosku). Obowiązek załatwienia sprawy w trybie art. 35 KPA.
Dopuszczalny poziom ochrony Organy administracji mają obowiązek badania zawartości każdej przesyłki (art. 222 KPA); Niedopuszczalne jest stosowanie automatycznych systemów blokujących wiadomości na poziomie serwera pocztowego; Organy administracji mogą prowadzić segregację wiadomości (katalog spam). Jednak przed skasowaniem każda taka wiadomość powinna zostać indywidualnie oceniona przez wyznaczonego pracownika. De lege lata sposób postępowania z wiadomościami e-mail zawierającymi podejrzane załączniki powinien być ustalony w instrukcji kancelaryjnej De lege fereda sposób postępowania z niepożądaną i niebezpieczną korespondencją e-mail powinien zostać określony w rozporządzeniu wykonawczym do art. 226 KPA
Dziękuję bardzo za uwagę dr Justyna Kurek KKurek