Leiðarvísir um persónuverndarstefnu fyrirtækja

Viðskiptavinur sendir inn fyrirspurn, starfsmaður skráir upplýsingar í kerfi og skjal fer í skýjageymslu. Á fáeinum mínútum verða til persónuupplýsingar sem fyrirtækið þarf að verja, stjórna og geta gert grein fyrir. Góður leiðarvísir um persónuverndarstefnu fyrirtækja snýst því ekki um skjal sem er sett á vefinn til að uppfylla formkröfu. Hann snýst um rekstraraga sem dregur úr áhættu, styður traust og kemur í veg fyrir að aðgangur að gögnum verði víðtækari en starfið krefst.

Fyrir lítil og meðalstór fyrirtæki er stærsta hættan oft ekki skortur á góðum ásetningi. Hún er að gögn safnast upp í mörgum kerfum, ábyrgð verður óskýr og reglurnar lifa aðeins í kolli eins starfsmanns. Þá getur einföld beiðni frá viðskiptavini, brotinn fartölva eða rangt sendur tölvupóstur orðið að dýrri truflun. Persónuverndarstefnan á að gera réttu ákvörðunina auðvelda – bæði á venjulegum vinnudegi og þegar eitthvað fer úrskeiðis.

Hvað á persónuverndarstefna fyrirtækis að leysa?

Stefnan þarf að svara einfaldri spurningu: Hvernig meðhöndlar fyrirtækið upplýsingar um fólk með ábyrgum, öruggum og fyrirsjáanlegum hætti? Þar undir falla upplýsingar um viðskiptavini, tengiliði, starfsmenn, umsækjendur, birgja og aðra einstaklinga sem eiga samskipti við fyrirtækið.

Hún á að skýra hvaða upplýsingum er safnað, í hvaða tilgangi, hvar þær eru vistaðar, hverjir fá aðgang og hve lengi þær eru varðveittar. Hún þarf einnig að segja til um hvernig einstaklingar geta óskað eftir upplýsingum um sig, leiðréttingar eða eyðingu þegar það á við.

Það er þó mikilvægt að greina á milli tveggja skjala. Ytri persónuverndartilkynning útskýrir gagnavinnslu fyrir viðskiptavinum og vefgestum. Innri persónuverndarstefna leiðbeinir starfsfólki um dagleg vinnubrögð. Fyrirtæki þarf yfirleitt hvort tveggja. Fallega orðuð tilkynning hjálpar lítið ef starfsmaður getur enn deilt viðkvæmu skjali með röngum aðila eða ef gömul gögn liggja óvarin í sameiginlegri möppu.

Byrjið á raunverulegu gagnaflæði

Algeng mistök eru að skrifa stefnu áður en fyrirtækið veit hvar gögnin eru. Byrjið frekar á einfaldri kortlagningu. Skoðið hvernig upplýsingar berast inn, hvert þær fara, hver notar þær og hvenær þær eiga að hverfa.

Ferlið gæti hafist á vefeyðublaði eða tölvupósti, færst í sölukerfi, bókhaldskerfi eða þjónustuborð og endað í afriti, skýrslu eða geymslu hjá utanaðkomandi þjónustuaðila. Hvert skref skiptir máli. Sérstaklega þarf að skoða persónugreinanleg gögn, svo sem nöfn, netföng, símanúmer, greiðsluupplýsingar, kennitölur, starfsferilskrár, IP-vistföng og innskráningarupplýsingar.

Ekki er öll gagnavinnsla jafn viðkvæm. Launagögn, heilsutengdar upplýsingar og aðgangsupplýsingar krefjast yfirleitt strangari varna en almennur póstlisti. Það þýðir ekki endilega að fyrirtækið þurfi flókin kerfi fyrir hvert verkefni. Það þýðir að verndin þarf að endurspegla áhættuna.

Skráið tilgang, lagagrundvöll og ábyrgð

Fyrir hvert gagnasafn ætti fyrirtækið að geta sagt hvers vegna upplýsingarnar eru nauðsynlegar. Er verið að efna samning, veita þjónustu, sinna lögbundinni skyldu, ráða starfsfólk eða svara fyrirspurn? Þegar tilgangurinn er skýr verður auðveldara að takmarka söfnunina og stöðva notkun sem á ekki lengur rétt á sér.

Tilgreinið einnig hver ber rekstrarlega ábyrgð. Tæknideild eða upplýsingatækniþjónusta getur stjórnað aðgangi, afritum og öryggisvörnum, en hún getur ekki ein ákveðið hversu lengi söludeild þarf að varðveita gögn eða hvaða upplýsingar mannauðssvið má safna. Persónuvernd er sameiginlegt verkefni með skýrum eigendum.

Aðgangsstýring er þar sem stefnan verður raunveruleg

Flest alvarleg persónuverndarvandamál tengjast ekki háþróuðum innbrotum. Þau tengjast of víðtækum aðgangi, endurnýttum lykilorðum, óvirkum notendum sem hafa ekki verið fjarlægðir eða skjölum sem öllum er heimilt að opna. Stefnan þarf því að skilgreina lágmarksreglur fyrir aðgang.

Starfsfólk á aðeins að hafa aðgang að því sem það þarf til að vinna starf sitt. Aðgangur skal vera persónubundinn, ekki deildarlykilorð sem ganga á milli fólks. Fjölþáttaauðkenning á að vera sjálfgefin þar sem hún er í boði, og lykilorð skulu geymd í samþykktu lykilorðakerfi fremur en í töflureikni, vafra eða miða við skrifborð.

Sama regla gildir um stjórnendur og utanaðkomandi aðila. Víðtækur stjórnandaaðgangur er þægilegur þegar vandamál þarf að leysa hratt, en hann eykur áhrif mistaka og árása. Veitið hækkuð réttindi tímabundið þegar hægt er og farið reglulega yfir hverjir hafa þau.

Þegar starfsmaður hættir eða skiptir um hlutverk þarf ferlið að vera tímasett og skilgreint. Aðgangur að tölvupósti, skýjakerfum, tækjum, viðskiptakerfum og samnýttum reikningum má ekki bíða þar til einhver man eftir honum vikum síðar.

Varðveisla og eyðing þurfa að vera markviss

Gögn sem enginn þarf eru samt áhætta. Þau geta orðið fyrir gagnaleka, ruglað starfsfólk eða gert beiðni um upplýsingar flóknari en hún þarf að vera. Persónuverndarstefnan ætti því að setja varðveislureglur eftir tegund gagna, rekstrarþörf og lagaskyldum.

Það getur verið rétt að varðveita bókhaldsgögn í ákveðinn tíma en óþarfi að geyma gamla ferilskrá endalaust. Eins getur þjónustusaga verið nauðsynleg á meðan samningssamband stendur, en ekki öllum afritum, tímabundnum skrám og niðurhalsskjölum sem urðu til á leiðinni.

Eyðing þarf að ná til fleiri staða en aðalkerfisins. Takið afrit, sameiginlegar möppur, persónuleg drif, farsíma og pósthólf með í myndina. Afrit eru nauðsynleg fyrir rekstrarsamfellu og endurheimt eftir árás eða bilun, en þau þurfa líka skilgreindan varðveislutíma og takmarkaðan aðgang.

Setjið viðbragðsferli áður en atvik verður

Rangt viðhengi, týndur sími eða grunsamleg innskráning geta kallað á skjót viðbrögð. Starfsfólk þarf að vita hvert það á að leita án þess að óttast að fá áminningu fyrir að tilkynna mistök. Tafir verða oft dýrari en upphaflega atvikið.

Viðbragðsferli ætti að segja hver tekur við tilkynningu, hver metur umfangið, hvernig aðgangur er stöðvaður eða tæki einangruð og hvernig sönnunargögn eru varðveitt. Einnig þarf að liggja fyrir hver ákveður hvort og hvenær tilkynna þarf viðkomandi einstaklingum eða eftirlitsaðilum samkvæmt gildandi reglum.

Tæknileg vöktun, endapunktavernd, örugg afrit og prófuð endurheimt styðja þetta ferli. En tæknin ein dugar ekki. Ef ábyrgðarkeðjan er óljós mun fyrirtækið eyða dýrmætum tíma í að finna réttan aðila meðan atvikið heldur áfram.

Leiðarvísir um persónuverndarstefnu fyrirtækja í framkvæmd

Stefna sem enginn les bætir ekki öryggi. Hafið hana stutta, skýra og tengda verkferlum sem starfsfólk notar. Nýir starfsmenn eiga að fá leiðsögn um meðferð gagna frá fyrsta degi og núverandi starfsfólk þarf endurtekna fræðslu með raunverulegum dæmum: Hvað á að gera þegar viðskiptavinur biður um gögn? Má senda skjal á persónulegt netfang? Hvernig á að bregðast við grunsamlegum tölvupósti?

Endurskoðið stefnuna að minnsta kosti árlega og alltaf þegar fyrirtækið tekur upp nýtt kerfi, byrjar að vinna með nýjan þjónustuaðila, breytir vinnuferlum eða verður fyrir öryggisatviki. Breyting á hugbúnaði getur líka verið breyting á persónuverndaráhættu, sérstaklega ef gögn flytjast milli landa eða fleiri notendur fá aðgang.

Utanaðkomandi þjónustuaðilar þurfa sömu athygli og innri kerfi. Fyrirtækið ber áfram ábyrgð á eigin ákvörðunum þótt annar aðili hýsi kerfið eða sjái um stuðning. Gerið kröfur um aðgangsstýringu, örugga meðhöndlun, atvikstilkynningar og skýra samninga um gagnavinnslu. Spyrjið einfaldlega: Hvaða gögn fáið þið, hvers vegna þurfið þið þau og hvað gerist ef samningnum lýkur?

Persónuvernd verður ekki til með því að kaupa eitt tól eða samþykkja eitt skjal. Hún verður til þegar rekstur, starfsfólk og tækni vinna eftir sömu reglum. Byrjið á að vita hvar gögnin eru, þrengið aðgang, fjarlægið það sem ekki þarf og æfið viðbrögðin. Þá verður stefnan ekki bara loforð til viðskiptavina – hún verður hluti af því hvernig fyrirtækið heldur áfram að starfa þegar á reynir.