A kiemelkedően értékes és érzékeny adatok elvesztése a második legnagyobb digitális kockázat a cégvezetők számára a kibertámadások után – derült ki egy kutatásból, melyben 999 európai vállalat első emberét kérdezték meg. A két kockázat elválaszthatatlan egymástól, mivel egy külső kibertámadás esetén az Ön vállalkozása által kezelt adatok veszélybe kerülhetnek.

Hogyan érintheti egy kibertámadás a vállalkozásomat?

A pénzügyi veszteségek mellett a vállalkozásba vetett bizalom és annak jóhírneve is sérülhet, továbbá a működést és a termelékenységet is akadályozhatja. A vállalkozás megóvása a támadásoktól segíthet megvédeni az ügyfelek, vásárlók személyes adatait is, illetve szükséges a jogszabályoknak való megfeleléshez is.

Az Európai Unió Általános Adatvédelmi Rendelete (GDPR) bevezetésével nő a vállalkozásokra háruló felelősség az általuk kezelt adatok védelmével kapcsolatban, ezzel arra késztetve a vállalkozásokat, hogy lépéseket tegyenek ezek védelme érdekében. Amennyiben mégis kezelt adatok szivárognak ki a cégtől, kemény bírságra lehet számítani, ugyanis a felügyelőhatóság a GDPR rendelkezéseinek megfelelően kisebb súlyú jogsértések esetén is millió eurós bírságokat helyeztek kilátásba.

Tudta? Egyes titkosítási megoldásoknak köszönhetően, mint például amit az ESET is kínál, az Ön vállalkozása által tárolt személyes adatokat biztonságban tudhatja egy esetleges, a rendszert érő külső támadás esetén is. Az adatvédelmi előírások betartását felügyelő hatóság  lényegesen kisebb eséllyel minősíti adatvédelmi incidensnek az olyan eseteket, ahol a vállalkozás megtette azokat az elvárható biztonsági intézkedéseket, amelyek segítik megóvni az általa kezelt adatok biztonságát.

Az Európai Unió Internet- és Információvédelmi Irányelve (NIS irányelv) az első átfogó rendelkezés az EU-ban a kibervédelemről, ami egységes szabályozást ír elő a tagállamok között a kibertámadások megelőzésére valamint az arra adott válaszra. A NIS irányelv nem korlátozódik a személyes adatokra, mint a GDPR, de lefedi az összes lehetséges típusát az adatokkal való visszaélésnek. Egy adatvédelmi incidens azonban mindkét szabály szerint keletkeztethet értesítési kötelezettséget és büntetést.

Mit tegyek, hogy a vállalkozásom adatai biztonságban legyenek?

1.Tekintsük át a meglevő adatvédelmi és kiberbiztonsági alapelveket, eljárásokat és névjegyzéket

Amennyiben a jelenlegi védelemi szint nem nyújt a kockázatnak megfelelő védelmet, akkor azt frissíteni kell. A GDPR-nek és a NIS irányelvnek való legteljesebb megfelelés érdekében érdemes felállítni egy olyan csapatot, amely kifejezetten a biztonsági incidensekkel foglalkozik. Érdemes beültetni a további biztonsági intézkedéseket is:

1. Felhasználói előjogok kezelése – korlátozzunk egy számítógépes ügyintézőt és hozzáférési jogokat bizonyos felhasználókra, valamint végezzünk biztonsági ellenőrzéseket az eszközökön
2. Megfigyelés – figyeljük meg a felhasználói aktivitást és alkalmazzunk folyamatos ellenőrzéseket a kiberkockázatok azonosítására
3. Hordozható eszközök – biztosítsuk, hogy a szabályzat lefedje azt a kérdéskört, hogy mit tárolhatunk hordozható eszközökön (pl.: USB)
4. Munka otthonról és telefonon – biztosítsuk, hogy a szabályzat lefedje a távoli vagy telefonról történő munkavégzés eseteit, különösen akkor, ha fenyegetések léphetnek fel, ilyen lehet a nyílt Wifi használat, mely során érzékeny adatokat gyűjthetnek a felhasználóról.

2. Váratlan esetek kezelése és tanuljunk a korábbi adatsértésekből

A GDPR előírja, hogy rendelkezzünk hatékony vésztervvel (adatvesztés protokoll), azaz egy incidens-kezelési folyamattal a váratlan helyzetek kezelésére, amely segít azonnal reagálni a támadásra, valamint minimalizálni a zavarokat és károkat.

A reakciók felülvizsgálása egy incidens után segít növelni a szervezeten belüli felkészültséget, valamint felkészülni a jövőbeni esetleges támadásokra.

 3. Elővigyázatosság növelése és munkatársak képzése

Egy korábbi kutatás szerint a legtöbb fajtája a megszegéseknek emberi tényezőkhöz köthető, mint például, hogy rákattintanak egy rosszindulatú linkre. Az elővigyázatosság növelése érdekében a vállalkozás szabályozásának rendelkeznie kell arról, hogy az alkalmazottak mire használhatják az irodai valamint a személyes számítógépeiket, amennyiben üzleti célból is igénybe veszik azokat.

Fontos az alkalmazottak képzése az informatikai biztonság és adatkezelési szabályzatokról, valamint a potenciális kiberkockázatokról, különös tekintettel az emberi tényezőkhöz kötött kockázatokról.

4. Vállalkozáson kívüli kibervédelem figyelembe vétele

Noha sok vállalkozásnak vannak aggodalmai a beszállítóik kiber-biztonságát illetően, a felmérések szerint csak kevesen tesznek az ügyben bármit is. Ragaszkodjon ahhoz, hogy a beszállítói különleges kiber-biztonsági szabványokat, bevált gyakorlatokat vagy megfelelő nemzetközi szabványokat alkalmazzanak, mely növeli az Ön kiber-biztonságát és megelőzi a potenciális adatsértéseket.

Hogyan tud a technológia segíteni az adatbiztonságban és a GDPR-nak való megfelelésben?

A GDPR hatálybalépésével több kötelezettség hárul az adatkezelőkre és az adatfeldolgozókra egyaránt az 1995-ös Adatvédelmi Irányelvhez képest. Szerencsére azonban a modern technológia segíthet úrrá lenni az adatfolyamatokon és elkerülni az adatszegéseket és az ezzel járó szankciókat. Ezek az intelligens eszközök a segítségünkre lehetnek a lényeges adatvédelmi folyamatok elemzésében, optimalizálásában és dokumentálásában. A továbbiakban az előnyeit és a lehetséges használatát ismertetjük ezeknek a speciális technológiáknak:

• központi adattárolás: egyszerűbb, gyorsabb és megbízhatóbb adatelemzés valós időben;
• jogilag értékes dokumentumok archiválása pl.: titkos adatkezelésre vonatkozó megállapodás, adatkezeléssel kapcsolatos megállapodás harmadik személyekkel vagy alkalmazottak adatvédelmi nyilatkozatai;
• egy központi könyvtár fenntartása az eljárásokhoz vagy az adatfeldolgozás áttekintéséhez, beleértve az engedélyezett adatfeldolgozók rendszereit is;
• kockázat-kezelési felület, mely lehetővé teszi a folyamatos megfigyelést, függetlenül a tartózkodási helytől, a lényeges személyes adatfeldolgozó tevékenységektől, és az akut kockázatkezelő intézkedések megtételét valós időben;
• intézkedések, utasítások, kötelezettségek és elérhetőségek listájának archiválása és tárolása;
• a tervezett, jelenleg zajló és már végrehajtott tréning-intézkedések állapotának áttekintése;
• feladat-irányítási felület és automatikus email emlékeztetők a legfontosabb teendőkről;
• védett tárhely az érzékeny adatoknak és projekteknek;
• rugalmas hozzáférés kezelés, hogy a lehető legkevesebb ember érhesse el az érzékeny adatokat;
• szerződések sablonizálása, mely magában foglalja a lényeges mellékleteket is az adatvédelmi szabályok céljából (pl.: adatfeldolgozáshoz való hozzájárulás szerzéséhez).

A jelentősen kiterjesztett személyes felelősségi kockázatok és a szigorú büntetések fényében megfontolandó, hogy a modern technológiák használatával Ön sokkal hatékonyabban és biztonságosabban végezheti munkáját. Amennyiben nincs még megfelelő technológia a birtokában, amely megfelel a követelményeknek, itt az idő, hogy beszerezzen egyet a lehető leggyorsabban.

Cikkünk folytatásában a szoftverfejlesztés GDPR vetületeivel, a Személyes Azonosítható Információk és a Beépített biztonság kérdésével, valamint egy átlagos adatbázis dokumentációját vesszük sorra, és kitérünk a kiterjesztett felhasználói jogokra is.