Czy wiesz, jakie dane pacjentów wychodzą z Twojej strony i dokąd trafiają?

Ryzyko dla placówki

Baner może być na stronie, a narzędzia Google, Meta i inne nadal uruchamiać się bez wymaganej zgody. Brak prawidłowej zgody może oznaczać naruszenie PKE i RODO.

Co sprawdzam

• czy mechanizm zgód w ogóle jest wdrożony,
• co uruchamia się przed wyborem użytkownika,
• co dzieje się po „akceptuję”,
• co dzieje się po „odrzucam”,
• czy wycofanie zgody faktycznie działa,
• czy lista cookies i narzędzi odpowiada temu, co rzeczywiście działa na stronie,
• czy strona nie wysyła danych mimo odmowy.

Co dostajesz

Wynik audytu

Dostajesz informację, co działa nieprawidłowo, które narzędzia uruchamiają się w niewłaściwym momencie i co trzeba zmienić. Zalecenia są przygotowane tak, żeby można je było przekazać Twojemu IT.

Ryzyko dla placówki

Sama informacja, że użytkownik odwiedza podstronę psychiatrii, onkologii czy leczenia niepłodności, może mieć bardzo wrażliwy kontekst.

Co sprawdzam

• Google Analytics,
• Google Tag Manager,
• Google Ads,
• Meta Pixel,
• Clarity, Hotjar i inne trackery,
• jakie adresy podstron są wysyłane,
• jakie tytuły stron są przekazywane,
• jakie parametry trafiają do zewnętrznych systemów,
• jakie zdarzenia są rejestrowane,
• czy wraz ze zdarzeniami nie są przesyłane zbędne informacje,
• czy tracking respektuje zgody użytkownika.

Co dostajesz

Wynik audytu

Dostajesz mapę faktycznie działających narzędzi i listę konkretnych elementów do poprawy, z priorytetem i instrukcją dla IT.

Ryzyko dla placówki

Wiadomość może trafić do recepcji, a jej kopia jednocześnie zostać w WordPressie, CRM-ie albo innym systemie - czasem przez lata.

Co sprawdzam

• wszystkie formularze na stronie,
• jakie dane zbierają,
• gdzie trafiają wiadomości,
• czy dane zapisują się również w CMS,
• czy trafiają do zewnętrznych systemów,
• kto ma do nich dostęp,
• czy istnieją stare zgłoszenia,
• czy działa mechanizm usuwania danych,
• czy formularz nie przechowuje więcej, niż właściciel placówki zakłada.

Co dostajesz

Wynik audytu

Dostajesz jasną informację: gdzie trafiają dane z każdego formularza, gdzie pozostają i co powinno zostać zmienione.

Ryzyko dla placówki

Strona może działać bez zarzutu, mimo że jeden z jej komponentów ma znaną lukę, którą można wykorzystać z zewnątrz.

Co sprawdzam

• wersję WordPressa/CMS,
• wersję PHP dostępną z poziomu środowiska strony,
• aktywny motyw,
• aktualizacje motywu,
• wszystkie aktywne wtyczki,
• nieaktywne wtyczki,
• dostępne aktualizacje,
• komponenty porzucone przez producentów,
• znane podatności używanych wersji,
• zbędne elementy zwiększające powierzchnię ryzyka.

Co dostajesz

Wynik audytu

Dostajesz listę komponentów z oceną priorytetu: co wymaga pilnej reakcji, co aktualizacji, co usunięcia, a czego nie trzeba ruszać.

Ryzyko dla placówki

Była agencja, freelancer albo pracownik może nadal posiadać pełny dostęp administracyjny do strony i danych.

Co sprawdzam

• wszystkie konta użytkowników,
• role i poziomy uprawnień,
• konta byłych pracowników,
• konta byłych agencji i freelancerów,
• konta współdzielone,
• administratorów z nadmiarowymi uprawnieniami,
• dostępność i użycie 2FA.

Co dostajesz

Wynik audytu

Dostajesz aktualną listę osób i kont posiadających dostęp oraz wskazanie, co powinno zostać usunięte, ograniczone albo dodatkowo zabezpieczone.

Ryzyko dla placówki

„Mamy backup” nie oznacza jeszcze, że kopia zawiera wszystko albo że nie zniknie razem ze stroną przy awarii.

Co sprawdzam

• czy kopie w ogóle powstają,
• kiedy wykonano ostatnią,
• jak często są tworzone,
• czy obejmują pliki,
• czy obejmują bazę danych,
• ile wersji jest przechowywanych,
• gdzie są przechowywane,
• czy kopia nie znajduje się wyłącznie w tym samym środowisku co strona.

Co dostajesz

Wynik audytu

Dostajesz jasną ocenę obecnej konfiguracji backupu i listę elementów, które wymagają uporządkowania.

Ryzyko dla placówki

Polityka może być aktualna „na papierze”, ale nie uwzględniać narzędzi, formularzy i sposobów przetwarzania, które pojawiły się później.

Co sprawdzam

• czy polityka prywatności jest dostępna,
• czy dokumentacja cookies odpowiada obecnej stronie,
• czy opisane są faktycznie używane narzędzia,
• czy dokument wskazuje systemy i dostawców, które rzeczywiście działają,
• czy opis formularzy odpowiada temu, gdzie faktycznie trafiają dane,
• czy polityka nie zawiera informacji o narzędziach, których już nie ma,
• czy stan dokumentów odpowiada stanowi technicznemu po audycie.

Co dostajesz

Wynik audytu

Dostajesz konkretną listę rozbieżności między dokumentacją a rzeczywistym działaniem strony - gotową do przekazania IOD lub prawnikowi.