Cyberbezpieczeństwo
Jest czwartek, 16:40. Nauczyciel matematyki mówi, że rano kliknął w wiadomość, która wyglądała jak komunikat z dziennika, i wpisał tam login i hasło. Po południu zmienił hasło i wyczyścił pliki cookie w przeglądarce, więc uważa sprawę za zamkniętą.
Punkt wyjścia
Może mieć rację, ale wcale nie musi. Wyczyszczenie przeglądarki usuwa dane z jego komputera. Nie sięga do komputera osoby, która mogła w tym czasie zalogować się na jego konto.
Ten poradnik rozdziela trzy sprawy, które w szkołach mieszają się najczęściej: śledzenie w internecie, przejętą sesję i wspólny komputer. Na końcu jest osobna część o stronie internetowej szkoły i banerze plików cookie.
W całym tekście rozdzielam trzy poziomy. Prawo wymaga — jest konkretny przepis. Organ rekomenduje — to zalecenie urzędu albo producenta systemu, nie przepis. Dobra praktyka — działanie rozsądne, bez samodzielnej podstawy nakazowej.
Rozróżnienie
Serwisy reklamowe i statystyczne chcą rozpoznawać tę samą przeglądarkę na różnych stronach. Pliki cookie są tu ważne, ale nie jedyne. Przeglądarkę da się też rozpoznać po jej cechach, bez żadnego zapisanego pliku. Dlatego producenci rozwijają osobne zabezpieczenia: Firefox ogranicza takie rozpoznawanie, a Safari w wersjach 27 blokuje też usługi, które łączą adres e-mail z identyfikatorem reklamowym. Wyczyszczenie plików cookie ogranicza tylko najprostszą część śledzenia.
Po zalogowaniu serwis przekazuje przeglądarce identyfikator sesji, zwykle zapisany w pliku cookie. Kto ma jego kopię, jest dla serwisu zalogowanym użytkownikiem i nie musi znać hasła. To jest sprawa bezpieczeństwa konta, nie prywatności.
Komputer w sali lekcyjnej, w pokoju nauczycielskim albo w sekretariacie. Pytanie brzmi: co zobaczy osoba, która usiądzie przy nim po Tobie.
Zestawienie
| Sytuacja | Czy wyczyszczenie pomaga | Co jest ważniejsze |
|---|---|---|
| Skończyłem pracę na wspólnym komputerze | Tak | Wylogować się, a na przyszłość od początku pracować w trybie gościa |
| Kliknąłem w fałszywy link i wpisałem hasło | Nie wystarczy | Zakończyć sesje w samej usłudze, zmienić hasło, włączyć drugi składnik |
| Podejrzewam, że ktoś przejął moją sesję | Za mało | Wylogować wszystkie urządzenia w ustawieniach konta |
| Chcę mniej śledzenia | Częściowo | Blokowanie śledzenia w ustawieniach przeglądarki działa cały czas |
| Jedna strona działa dziwnie | Tak — dane tej jednej strony | Nie trzeba kasować wszystkiego |
| Pracuję codziennie na własnym komputerze | Nie ma potrzeby codziennie | Aktualizacje, menedżer haseł, drugi składnik |
To jest dobra praktyka. Wiersze o przejętym koncie potwierdza OWASP, międzynarodowa fundacja publikująca zalecenia bezpieczeństwa aplikacji: samo usunięcie pliku cookie nie unieważnia skradzionej kopii identyfikatora sesji.
Procedura
OWASP opisuje to wprost: kradzież pliku cookie sesji ma, dopóki ten plik nie wygaśnie, taki sam skutek jak kradzież danych logowania. Nawet najmocniejszy sposób logowania nie chroni przed kimś, kto już ma aktywną sesję. Drugi składnik logowania zatrzymuje nowe logowanie. Sesji, która już trwa, nie zatrzyma.
Skąd ktoś miałby wziąć taki plik? CERT Polska opisuje złośliwe oprogramowanie typu „infostealer”, które kradnie hasła zapisane w przeglądarkach, ale także pliki cookie. CERT zaleca zmienić hasła z innego, niezainfekowanego urządzenia.
Czy zmiana hasła kończy sesje otwarte wcześniej, zależy od usługi. Google pisze w swojej pomocy, że po zmianie lub zresetowaniu hasła wylogowuje użytkownika na wszystkich urządzeniach, z kilkoma wyjątkami. Microsoft ma w ustawieniach konta osobną opcję „Wyloguj się wszędzie” i uprzedza, że wylogowanie następuje w ciągu 24 godzin. W pomocy dzienników elektronicznych nie znalazłem opisu, czy zmiana hasła kończy inne sesje. Zapytaj o to dostawcę swojego dziennika i zapisz odpowiedź w procedurze.
Kolejność, która działa (dobra praktyka):
Drugi składnik w dzienniku może narzucić dyrektor. W Librus Synergia dyrektor i administrator zarządzają nim w widoku „Ustawienia → Konfiguracja → Inne opcje → Uwierzytelnianie dwuskładnikowe”, grupowo albo dla poszczególnych pracowników. To funkcja systemu opisana przez producenta, nie wymóg przepisu.
Wspólny komputer
Prawo wymaga. Prowadzenie dziennika elektronicznego wymaga zabezpieczenia jego danych przed dostępem osób nieuprawnionych (§ 21 ust. 3 pkt 2 rozporządzenia Ministra Edukacji Narodowej z dnia 25 sierpnia 2017 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji, Dz.U. z 2024 r. poz. 50). Dyrektor wdraża odpowiednie środki techniczne i organizacyjne zapewniające zgodność przetwarzania danych osobowych z przepisami (art. 68 ust. 1 pkt 12 ustawy z dnia 14 grudnia 2016 r. – Prawo oświatowe, Dz.U. z 2026 r. poz. 820 ze zm.). Przepisy nie mówią, jak to zrobić na konkretnym komputerze. To jest decyzja szkoły.
Producent systemu zaleca. Librus w pomocy Konta LIBRUS pisze, żeby po pracy na komputerze publicznym, np. w szkole, zawsze się wylogować. Uprzedza, że Konto LIBRUS nie wyloguje użytkownika automatycznie po zamknięciu przeglądarki. Prosi też, żeby nie zapamiętywać haseł ani loginów w przeglądarkach na komputerach, z których korzystają inne osoby. Konto LIBRUS i konto w Synergii to według tej samej pomocy dwa różne konta, ale zasada jest ta sama.
Dobra praktyka.
Uwaga: tryb incognito i InPrivate chronią przed następną osobą przy tym samym komputerze. Przed siecią nie chronią: Google i Microsoft piszą wprost, że szkoła, pracodawca czy dostawca internetu mogą nadal widzieć aktywność.
Strona szkoły
Prawo wymaga. Zapisywanie informacji w urządzeniu użytkownika albo odczytywanie informacji już tam zapisanych jest dozwolone, gdy użytkownik zostanie uprzednio poinformowany „w sposób jednoznaczny, łatwy i zrozumiały”. Informacja dotyczy celu oraz tego, jak może sam określić warunki w ustawieniach. Użytkownik musi też wyrazić zgodę (art. 399 ust. 1 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej, Dz.U. z 2024 r. poz. 1221 ze zm.).
Tych warunków nie stosuje się, gdy zapisanie albo odczyt jest konieczne do przesłania komunikatu albo do dostarczenia usługi, o którą użytkownik sam prosi (art. 399 ust. 3).
Do zgody stosuje się odpowiednio przepisy o ochronie danych osobowych (art. 400). W RODO zgoda to „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli” (art. 4 pkt 11), a jej wycofanie „musi być równie łatwe jak jej wyrażenie” (art. 7 ust. 3).
Za zapisywanie lub odczytywanie informacji niezgodnie z art. 399 ustawa przewiduje karę pieniężną (art. 444 ust. 1 pkt 82). Nakłada ją Prezes UKE w drodze decyzji (art. 446 ust. 1).
Jak to czytać. O tym, czy potrzebna jest zgoda, decyduje cel pliku. Plik, bez którego strona nie zadziała w sposób, o który prosi użytkownik, mieści się w wyjątku z art. 399 ust. 3. Statystyki odwiedzin, elementy osadzone z zewnętrznych serwisów i reklama zwykle nie są konieczne do działania strony szkoły. Wtedy obowiązują informacja i zgoda z ust. 1. To jest moja wykładnia przepisu, nie cytat.
Dobra praktyka. Poproś firmę albo osobę, która prowadzi stronę szkoły, o listę narzędzi i plików, które strona zapisuje: statystyki, osadzone filmy, mapy, wtyczki mediów społecznościowych. Poproś o podział na konieczne i pozostałe. Sprawdź, czy zgodę da się wycofać tak samo łatwo, jak się ją wyraziło, np. linkiem do ustawień w stopce strony.
Sprawdzenie
01
Nie. Google pisze, że tryb incognito „nie sprawia, że użytkownik staje się niewidoczny”, a organizacja zarządzająca siecią, np. szkoła, może obserwować aktywność.
02
Nie. Usunięcie pliku z własnego komputera nie unieważnia kopii, którą ktoś już ma.
03
Drugi składnik chroni logowanie. Według OWASP żaden, nawet najmocniejszy sposób logowania nie wystarczy jako ochrona przed kradzieżą pliku cookie sesji.
04
Na własnym, zabezpieczonym komputerze nie ma takiej potrzeby. Wyczyszczenie ma sens po pracy na wspólnym komputerze, po podejrzeniu przejęcia konta i przy problemach z jedną stroną.
Na ten tydzień
Pytania
Podstawa
Stan prawny zweryfikowany: r.
Materiał ma charakter informacyjny i nie stanowi porady prawnej.
Autor: Piotr Kruk — trener AI i cyberbezpieczeństwa, twórca Asystenta Prawa Oświatowego. Prowadzi warsztaty z AI dla rad pedagogicznych, poradni i urzędów. Opublikowano .
Prowadzę warsztaty dla rad pedagogicznych, poradni i urzędów — na waszych systemach i waszych sytuacjach, nie na slajdach.