Dzień Ochrony Danych Osobowych Aplikacje Mobilne i Cyberbezpieczeństwo – 2. edycja

Rejestracja uczestników [8.30 – 9.00]

I. Otwarcie konferencji (dr hab. Marlena Sakowska-Baryła, prof. UŁ)

II. Projektowanie interfejsów aplikacji mobilnych – gdzie dziś powstają ryzyka rodo i cyberbezpieczeństwa: (mec. Paweł Tobiczyk)

• jaki związek z ryzykami regulacyjnymi i bezpieczeństwem mają decyzje projektowe i sposób działania interfejsów;
• dlaczego AI cyberbezpieczeństwo i nowe regulacje technologiczne coraz częściej wpływają na sposób projektowania aplikacji mobilnych;
• czy privacy by design, security by design i spójny governance mogą ograniczyć ryzyka regulacyjne i operacyjne.

III. Po co przestępcom są dane osobowe: (dr hab. Agnieszka Gryszczyńska, prof. UKSW)

• cele działania sprawców naruszeń;
• sposoby działania sprawców;
• skutki naruszeń: od sprzedaży zbiorów danych osobowych po szantaż, tworzenie kont słupów i kradzież tożsamości.

IV. Zarządzanie prywatnością, czyli consent fatigue w aplikacjach mobilnych: (mec. Krzysztof Kwiatkowski)

• jak projektować bezpieczny i wiarygodny interfejs;
• jak ograniczyć ryzyko zmęczenia odbiorcy zgodami;
• jak mając do dyspozycji ograniczoną przestrzeń, realizować obowiązek informacyjny w sposób przejrzysty.

V. Jak przełożyć wymogi rodo na architekturę aplikacji mobilnych według wytycznych Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA): (Mariola Więckowska)

• postulaty ENISA rozszerzenia bezpiecznego cyklu życia oprogramowania (Secure Software Development Life Cycle) o kryteria ochrony danych;
• ryzyko ukrytego kodu;
• bezpieczeństwa aplikacji a audyt zewnętrznych bibliotek (SDK).

Przerwa [11.05 – 11.30]

VI. Dane biometryczne w aplikacjach mobilnych – między UX a art. 9 rodo: (dr Paula Skrzypecka)

• uwierzytelnianie biometryczne;
• obowiązki wynikające z AI Act dla systemów biometrycznych – granica między wygodnym logowaniem a systemem wysokiego ryzyka;
• privacy by design w kontekście biometrii mobilnej.

VII. Czy brak aktywności użytkownika aplikacji oznacza brak danych: (mec. Aleksandra Urbanowicz)

• działanie aplikacji mobilnej w tle;
• przetwarzanie danych w związku z korzystaniem z innych aplikacji mobilnych dostępnych na urządzeniu;
• typowanie przyczyn braku aktywności: rezygnacja z usług, wakacje, choroba.

VIII. Zarządzanie hasłami: (dr Tomasz Izydorczk)

• błędy i ryzyka związane z zarządzaniem hasłami;
• stan wiedzy technicznej, co mówią standardy dotyczące haseł;
• jak zarządzać swoimi hasłami bezpiecznie.

IX. Shadow IT i shadow AI w aplikacjach firmowych – jak administrator może odzyskać kontrolę nad danymi w narzędziach, których formalnie nie ma: (mec. Marcin Cwener)

• nieautoryzowane aplikacje SaaS i wtyczki AI w przeglądarkach – jak je wykryć i zmapować przepływy danych osobowych;
• aplikacje zatwierdzone, ale używane „po swojemu” – funkcje AI uruchamiane przez pracowników poza pierwotnym celem przetwarzania;
• co wpisać do polityki korzystania z aplikacji i jak technicznie egzekwować ograniczenia (DLP, CASB, allow-listy).

Przerwa [14.00 – 14.30]

X. AI i ochrona danych w aplikacjach – wyzwania dla IOD i praktyków compliance: (dr Tomasz Soczyński)

• jak modele AI wbudowane w aplikacje przetwarzają dane osobowe i co to oznacza dla administratorów;
• obowiązki IOD w kontekście wdrożeń AI – ocena ryzyka, DPIA i dokumentacja;
• praktyczne zasady doboru i weryfikacji aplikacji opartych na AI pod kątem zgodności z rodo.

XI. Jeden incydent, wiele obowiązków: jak zarządzać incydentami pod NIS2/uksc i rodo: (mec. Mateusz Borkiewicz)

• Data Protection Officer (DPO) i Chief Information Security Officer (CISO) – kto naprawdę odpowiada za incydent, ryzyko i zgodność po NIS2;
• od ochrony danych osobowych do odporności cyfrowej organizacji.

XII. Incydenty rodo i NIS – co je łączy, a co różni: (mec. Tomasz Osiej)

• czy rodo i NIS należy obsługiwać razem czy oddzielnie;
• które i kiedy czasy notyfikacji mnie obowiązują;
• ocena skutków incydentów: dwa spojrzenia.

XIII. Incydent w aplikacji: gdzie kończy się rodo, a zaczyna NIS2/uksc i DORA (Digital Operational Resilience Act): Mateusz Jakubik, mec. Karol Witas)

• mapowanie obowiązków zgłoszeniowych: Prezesa Urzędu Ochrony Danych Osobowych (PUODO), Computer Security Incident Response Team S46 (CSIRT/S46), nadzór sektorowy;
• jak jeden incydent uruchamia kilka równoległych reżimów raportowania i terminów;
• odpowiedzialność zarządu i rola IOD w łańcuchu reagowania.

Podsumowanie i zakończenie konferencji [16.30]