A vállalkozások egyre több adatot szereznek és tárolnak a szolgáltatásaik fejlesztése érdekében, mert ezek összegyűjtése és felhasználása nélkülözhetetlen a szolgáltatás teljesítése során vagy javítja a hatékonyságukat, az értékesítést vagy egyéb célokat támogat.
Emiatt a kormány kiadta az általános adatvédelmi rendelet részletes követelményeit, mely rögzíti a vállalkozások és szervezetek számára a személyes adatok gyűjtésére, tárolására és kezelésére vonatkozóan az elvárásokat.
Tartalomjegyzék- Kényes / Érzékeny adatok meghatározása
- A folyamatok kiértékelése-elemzése
- A bizalmas adatok tárolása
- Az érzékeny adatok megosztása
- Az érzékeny adatok eltávolítása és megsemmisítése
- Folyamatos odafigyelés és nyitott gondolkodásmód
Mi az elvárás a bizalmas adtok kezelésvel?
A ma jól működő vállalkozásnak képesnek kell lennie az adataik gyors elérésére és felhasználására a jövedelmezőség és a hatékonyság fenntartása érdekében, ugyanakkor garantálnia kell azok biztonságát is, meg kell védeniük az érintettek jogait és érdekeit. Ha ezt nem, vagy rosszul teszi, nem csak a reputációja szenved csorbát. A helyzet az, hogy ha a személyes adatokra vonatkozó számos és egyre növekvő állami szabályozás bármelyikét megsérti (GDPR, a HIPAA, a PCI) akkor a kiszabott bírságot a nyereségből fizeti ki.
Éppen ezért, online világunkban kiemelten fontos a helyes adatkezelés. Ez megköveteli a vállalkozás adatkezelési protokolljától, hogy garantálja az adatok maximális biztonságát és integritását.
Ebben a bejegyzésben ötleteket adunk a bizalmas adatok megfelelő kezeléséhez.
Kényes / Érzékeny adatok meghatározása
Az érzékeny adatok azok a minősített információk, amelyeket védeni kell, és amelyekhez külső felek nem férhetnek hozzá, hacsak külön engedélyt nem kaptak rá. Az adatok lehetnek fizikai vagy elektronikus formában, de a bizalmas adatokat mindkét esetben privát információnak vagy adatnak tekintik.
Ebbe a kategóriába tartoznak a személyes adatok, melyek azok az információk, amik használatával az egyén beazonosítható. A GDPR úgy határozza meg a személyes adatokat, hogy ez lehet minden olyan „dolog”, ami közvetlenül azonosítja az egyént, például a személy neve, vezetékneve, telefonszáma, társadalombiztosítási száma, vezetői engedélyének száma vagy bármilyen más személyazonosításra alkalmas információ.
„létre kell hozni egy olyan rendszert, amiben az érzékeny adatok és azok szintjei is meghatározásra kerülnek”
Első lépésként létre kell hozni egy olyan rendszert, amiben az érzékeny adatok és azok szintjei is meghatározásra kerülnek. Számos szervezet lépést tart az újdonságokkal és időben bevezeti a technológiai korszerűsítéseket vagy optimalizáltan szabályozza a munkafolyamatokat, de az erre vonatkozó struktúra megalkotását csak később, vagy egyáltalán nem veszi figyelembe.
Mi az első feladat?
Pedig az első feladat annak a meghatározása, hogy mit kezel érzékeny üzleti adatként, információként.
Nehéz felsorolni minden olyan adatot, amit egy vállalkozás ügymenetében kényesnek lehet titulálni, de ezt minden ágazatban és minden szempontból végig kell gondolnia a vezetőségnek. Az egyik megközelítés az, hogy első lépésben felsorolja azokat az általános dolgokat, amelyekről tudja, hogy érzékenyek adatok, például:
- felhasználói listák,
- jelszavak és
- rendszerinformációk.
Ezután folytathatja az összegyűjtött adatok elemzésével, például:
- az ügyfelek nevét,
- üzleti titkait,
- orvosi nyilvántartását,
- pénzügyi adatait és így tovább.
A teljesség igénye nélkül néhány példát felsoroltunk, de természetesen ez sokféle lehet. Az ágazati igények szerint, a szolgáltatás teljesítéséhez sok esetben szükséges néhány bizalmas adat begyűjtése a munkavállalóink által. Emiatt, a munkatársak számára létre kell hoznunk egy listát, és képzésben kell őket részesíteni, ami részletesen leírja és bemutatja azt, hogy a vállalkozásunk életében melyek a szenzitív adatok. Ezáltal, nagyobb lesz a biztonság tudatosságuk, így, ha kérdéses helyzetbe kerülnek az adatok kezelése közben, helyes döntéseket fognak hozni (pl. ezek harmadik félnek való kiadásáról).
Az adatokat különböző kategóriákba érdemes sorolni. Minden privát adat fontos, de nyilvánvaló, hogy a hitelkártya vagy a társadalombiztosítási azonosítószám, vagy az adószám érzékenyebb, mint például egy folyamatban lévő reklám, amelyet a marketinges csapat összeállít.
Célszerű meghatározni adatelérési – hozzáférési szinteket, kialakítani olyan adattípusokat is, amelyeket bizonyos alkalmazottak kezelhetnek, elérhetnek, míg azok a kollegák, akiknek ezzel nincs tennivalójuk ne kapjanak feleslegesen hozzáférést.
Amennyiben el szeretné kerülni a hitelkártya-információk gyűjtésével kapcsolatos hatósági ellenőrzést – a PCI-követelmények miatt – akkor a folyamatszabályzásban külön meg kell jelölnie, hogy a dolgozók semmilyen körülmények között nem gyűjthetnek hitelkártya-adatokat. Ha ez mégis megtörténik, és a kollégák ilyen jellegű adatokat gyűjtöttek, a cég fog felelősséggel tartozni érte, nem lesz mentség, hogy a munkavállaló nem tudta az adat típusát.
A folyamatok kiértékelése-elemzése
Elképzelhető, hogy épp most kezdte el gyűjteni és kiépíteni a rendszerét, vagy már évek óta kezel egy működő rendszert, mindkét esetben valószínűleg gondolkodik a technológiai fejlesztések következő bevezetéséről.
Akárhogy is, valamilyen megfelelés-ellenőrzést és/vagy kockázatértékelést rendszeresen szükséges végeznie, lehet akár évente is – ezt az Ön egyedi igényei határozzák meg – de a kiértékelés nagyon hasznos és elengedhetetlen.
„az IT rendszert és az eseményeket – folyamatokat végig ki kell elemeznie”
Miközben a bevált gyakorlatnak megfelelően gyűjti és kezeli a bizalmas adatokat, az IT rendszert és az eseményeket – folyamatokat végig ki kell elemeznie. Még akkor is, ha úgy gondolja, hogy mindent jól és szabály szerint végez. Mert a folyamatos elemzés – minősítés beazonosítja azokat a területeket, ahol valami hiányosság merült fel.
Ezek a folyamat auditok – elemzések lesznek azok a jelentések, amelyek hozzásegítik Önt a megfelelő döntések meghozatalához. A legtöbb vállalkozásnál vannak olyan munkatársak, akik a saját területükön szakértők, de nem feltétlenül látják el jól például a PCI-megfelelőséget.
Észben kell tartanunk, hogy a szabályok időről időre változnak, és valószínűsíthető, hogy a most alkalmazott adatkezelési metodika a jövőben már nem lesz elegendő.
Az értékeléseket olyan probléma esetén is el kell végeznünk, mint például az IT rendszer meghibásodása, amely az internetkapcsolat elvesztéséből, áramkimaradásból, hardverhibákból vagy biztonsági eseményekből adódhat.
Az adatvesztés kockázatait is számításba kell vennünk, de létezik erre egy Vészhelyzeti helyreállítási terv. A DRP célja az, hogy minimalizálni lehessen azokat a költségeket, amelyek abból származnak, hogy a cég IT szolgáltatásainak a kapacitása és erőforrásai elvesztek vagy károsodtak.
A bizalmas adatok tárolása
Miután előírta, hogy a cégen belül mi számít szenzitív adatnak, elkezdheti létrehozni azokat a szabályozott folyamatokat, melynek a legfontosabb eleme, hogy szigorúan meghatározza, hogy ezeket milyen eszközön tárolják.
A digitális adatrendezés fontos eleme, hogy kialakítjuk a platform független megoldásokat. A tárolási elrendezést, egy logikai összefüggés szerint érdemes csoportosítani, melyek az adatok érzékenységi szintjének meghatározásával vannak összefüggésben. Így megkönnyíthetik a biztonsági és a kockázatkezelési megoldások tervezését, például a minimális jogosultságokkal rendelkező munkatársak hozzáférési beállításai leegyszerűsödnek, átláthatóvá válnak. Ezt mindenütt alkalmazni kell, ha ezek nem logikusan vannak rendezve, akkor nem tudja megfelelően kezelni az adatait. Sok szervezet szembesül ilyen jellegű kihívással, annak ellenére, hogy kiváló biztonsági eszközökkel rendelkeznek.
A pandémia miatt kialakult helyzetben a home office kapcsán, a vállalkozások intenzívebben használják a felhő alapú IT -t az érzékeny információk tárolására.
De még akkor is, ha az adatokat helyben tárolja, komolyan kell venni a megfelelőségi normákat, mint például a HIPAA, a PCI, a GDPR és így tovább. Nem elég egyszerűen felhőalapú tárhely-szolgáltatót találni, aki biztonságosnak vallja magát. Határozza meg, milyen szabályozásoknak kell megfelelnie, és győződjön meg arról, hogy az Ön által kiválasztott szállítók megfelelnek-e az említett szabványoknak, megfelelően biztonságos megoldásokat nyújtanak-e. Sok szolgáltató kiváló szolgáltatásokat kínál, de ezek nem mindig elegendőek bizonyos típusú érzékeny adatokhoz.
„a több lépcsős azonosítás, titkosított adattovábbítás; biztonsági mentési és redundancia megoldások, adatközpont tanúsítványok, földrajz és ellenőrzési előzmények és egyéb területek”
Melyek legyenek azok a kulcsszavak, amit mindenképpen fontolóra kell vennük?
A lehetséges részterületek felsorolása meghaladja a blog terjedelmét, de olyan kulcsszavakra kell figyelni, mint a több lépcsős azonosítás, titkosított adattovábbítás; biztonsági mentési és redundancia megoldások; adatközpont tanúsítványok, földrajz és ellenőrzési előzmények és egyéb területek, ahol az érzékeny adatok tárolása potenciális kompromisszumokkal vagy a megfelelés hiányával szembesül. Az ezekbe a technológiai megoldásokba fektetett beruházások és a társított szállítók arányosak lesznek az adatok fontosságával.
Kifinomult titkosításra akkor nincs szükség, ha olyan e-maileket oszt meg, amelyek arról kérdeznek, hogy mit eszünk ebédre, de akkor mindenképpen kell, ha pl. egészségügyi nyilvántartást tárol egy Ön által kezelt szerveren.
Feltéve, hogy megfelelő jogosultságokat állított be tárolási rendszerében, a következő lépés az, hogy megbizonyosodjon arról, hogy csapata valóban megfelelően használja-e azt. Ezzel eljutottunk az árnyékinformatika fogalmához.
Mit jelent az árnyékinformatika?
Az árnyékinformatika (Shadow IT) kifejezés olyan, jóvá nem hagyott informatikai megoldásokra (hardver- vagy szoftverelemekre, szolgáltatásokra) utal, melyek a céges infrastruktúrát menedzselő IT-osztály radarja alatt működő, párhuzamos informatikai környezetet alkotnak. A felhasználók egyedi megoldásai mellett az árnyékinformatikához sorolhatók az informatikai osztálytól eltérő osztályok által specifikált és feltelepített megoldások is. – Wikipédia
Itt a végfelhasználók úgy döntenek, hogy olyan technológiát alkalmaznak, amelyet nem a szervezet irányít vagy hagy jóvá. Ez most különösen elterjedt, mivel egyre többen otthon dolgoznak és saját eszközeiket használják.
„Egyetlen rendszer sem képes megfelelően kezelni a bizalmas adatokat, ha azokat nem a tervezettnek megfelelően használják.”
Annak ellenére, hogy a hírekben egyre többet hallunk az adatok megsértéséről – lopásáról, a zsarolóvíruskról stb., mégis azok a vállalkozások, amelyek megfelelően alkalmazzák a technológiai megoldásokat, sokkal ritkábban válnak a kiberbűnözők áldozatává.
Az érzékeny adatok megosztása
Az adatok nem létezhetnek egy légüres térben. A bizalmas adatokat fogadó szervezetek legtöbbször fontos okokból továbbítják azokat más feleknek. Az Ön HR osztálya például felveszi a személyes – érzékeny adatokat az alkalmazottjairól, és továbbítja azokat a kormánynak, a könyvelő – bérszámfejtő cégeknek és így tovább.
Képzelje el, ha a HR-osztálya megkapja ezeket az információkat, és úgy döntenek, hogy egy részüket normál levélben, egy „áttetsző” borítékban küldik el. Vagy négy különböző módszert alkalmaznak a hangulatuk függvényében, kevés követési és visszaellenőrzési eszközzel. Vagy a legrosszabb, hogy egyszerűen nem ellenőrizték azoknak a feleknek a nevét és címét, akikkel megosztották ezeket az információkat, így önként adták fel ezeket a személyes adatokat egy bűnözőnek.
Mik a biztonságos adatmegosztás feltételei?
A bizalmas adatok megfelelő megosztása érdekében a szokásos üzleti tevékenység részeként eljárásrendeket és technikai ellenőrzéseket kell létrehoznia. A munkafolyamat áttekintése során, ellenőrizze azokat a sarokpontokat, ahol meg kell osztani az adatokat harmadik féllel, mert az így továbbított információk esetében titkosítást kell végrehajtania. Ezeket a pontokat minimalizálni kell, és ha a munkafolyamat feltérképezése megtörtént, akkor válasszunk ki egy stabilan és biztonságosan működő technológiai megoldást, aminek a használatával lebonyolíthatjuk a műveletet.
„Fontolja meg a végpontfigyelő és eszközkezelési megoldásokat”
Elképzelhető, hogy személyazonosság-ellenőrzési megoldásokat bevezetnie, így biztos lehet benne, hogy a bizalmas információ a megfelelő emberekhez kerül. Fontolja meg a végpontfigyelő és eszközkezelési megoldásokat is annak érdekében, hogy megvédje azokat az eszközöket, amelyek érzékeny adatokat kezelnek. Például egy egyszerű céges laptop.
Még egy fontos elem, korlátozni kell a bizalmas adatok megosztására szolgáló módszereket. Számos fájlmegosztási vagy üzenetküldési megoldás létezik, amelyek titkosíthatják az adatokat, és megfelelnek az érzékeny adatokhoz kapcsolódó megfelelőségi előírásoknak, de ez nem jelenti azt, hogy mindet használnunk kell. Minél több technológiát alkalmaznak az adatok megosztására, annál több eszközt kell kezelniük és biztonságosan kezelniük, ami bizony fokozott kockázatot jelent.
Nagyon fontos szempont, hogy miután bevezette az adatmegosztó rendszereket, a munkatársakat meg kell tanítania annak megfelelő használatára, és képzésben részesíteni őket, hogy el tudják kerülni a helytelen – kockázatos / illetéktelen megosztási eseményeket.
Az érzékeny adatok eltávolítása és megsemmisítése
Amint a vállalkozások egyre több adatot gyűjtenek, bővülnek az adatbázisok is. De minél nagyobb adattárat hoznak létre, annál nagyobb felelősséget és nagyobb adatvesztési kockázatot is vállalnak ezzel. Ezek pedig nagyobb ellenőrzéseket és egyéb következményeket is jelentenek, amelyek nagyobb bírságokat is vonhatnak maguk után.
Ha lépést tartunk a technika fejlődésével, akkor szembesülünk azzal a plusz feladattal, amit a selejtezni kívánt adattárolásra alkalmas eszközök lecserélése jelent. Az adatokat nem csak átmásolni kell, hanem a már nem igényelt eszközről is meg kell semmisíteni, vagy a kilépő munkaerő hozzáférését véglegesen letiltani.
„Amikor egy felhasználó elhagyja a szervezetet, a hitelesítő adatait meg kell változtatnunk vagy visszavonnunk”
Amikor egy felhasználó elhagyja a szervezetet, a hitelesítő adatait meg kell változtatnunk vagy visszavonnunk, hogy már ne érhessék el azokat az információkat, amelyekhez egykor jogosultságot biztosítottunk. Ez a menedzsment kulcsfontosságú feladata, mivel a nagyobb cégek esetében az informatikai részlegek általában nincsenek tisztában a személyzet változásával.
Ha az erre a célra kialakított belső szabályzat szerint járunk el, a folyamatból nem marad ki semmi.
Tehát megfelelő szabályozással és folyamatokkal kell rendelkeznie az adatok eltávolításának és megsemmisítésének kezeléséhez.
Bármilyen kényes adatot nyugalmi állapotban tároló eszköz merevlemezét fel kell aprítani, amikor a napi használatból kivonjuk. Az adatok megsemmisítést egy olyan vállalatnak kell elvégeznie, amely ezt megfelelően dokumentált módon teszi.
Azokat az eszközöket, amelyek bár nem tárolnak bizalmas információkat, de korábban valószínűleg érintkezhettek azokkal, a legjobb, ha visszaállítjuk a gyári beállításokra, mielőtt újra hasznosítjuk vagy adományozás céljából elajándékoznák azokat.
Az adatok eltávolítására és megsemmisítésére vonatkozó előírások az Ön által végzett tevékenység típusától, a vonatkozó szabályozásoktól függően eltérőek lehetnek!
Folyamatos odafigyelés és nyitott gondolkodásmód
Az olyan vállalkozások számára, amelyek érzékeny adatot kezelnek, szigorú szabályozások és korlátozások vannak érvényben, aminek jogszabály szerint eleget kell tenniük. Ezért a lehető legátfogóbb kockázatkezelést kell alkalmazni a bizalmas adatok védelme érdekében.
A bizalmas adatok biztonságos és megfelelő módon történő kezelése állandó odafigyelést és körültekintést igényel, mind a vezetőktől, mind a beosztottaktól, azonban sajnos még ez sem jelenti, a százszázalékos adatbiztonságot.
Ebben a témakörben az egyetlen állandóság a folyamatos változás.
Források: Wikipédia a szabad enciklopédia, https://www.tamogatoweb.hu
