Технически и организационни мерки за защита на личните данни на практика

Какво означават „подходящите технически и организационни мерки“ по чл. 32 от GDPR и кои конкретни мерки трябва да има всяка фирма.

OfSec 2 мин. четене

Член 32 от GDPR изисква администраторите и обработващите лични данни да прилагат „подходящи технически и организационни мерки“ за сигурност. Регламентът не съдържа изчерпателен списък. Мерките се определят според риска, вида на данните, разходите и съвременното техническо ниво. При проверка или инцидент обаче се търсят едни и същи основни мерки.

Примерите в регламента

Член 32 посочва:

  • псевдонимизация и криптиране на личните данни;
  • способност за гарантиране на поверителността, целостта, наличността и устойчивостта на системите;
  • способност за своевременно възстановяване на наличността и достъпа до данните при инцидент;
  • редовно изпитване и оценка на ефективността на мерките.

Технически мерки

Контрол на достъпа

Всеки служител има собствен акаунт и достъп само до данните, нужни за работата му. Администраторските права са ограничени до минимален брой хора. Многофакторната автентикация е задължителна за пощата, облачните услуги и отдалечения достъп.

Криптиране

Лаптопите и мобилните устройства са с криптиран диск (BitLocker, FileVault). Сайтът и пощата използват TLS. Резервните копия също са криптирани.

Резервни копия

Копията се правят автоматично и се пазят извън основната мрежа. Възстановяването се тества редовно, например веднъж на тримесечие.

Обновления

Операционните системи, браузърите, сайтът и плъгините се обновяват редовно. Системите без поддръжка от производителя се подменят.

Логове и наблюдение

Входовете в системите и достъпът до данни се записват. Логовете се пазят достатъчно дълго, за да може да се разследва инцидент.

Мрежа

Гостите ползват отделна Wi-Fi мрежа. Отдалеченият достъп се осъществява през VPN, а не през директно отворени портове.

Организационни мерки

  • вътрешни правила за защита на данните и за използване на служебните устройства;
  • обучение на служителите, включително за разпознаване на фишинг;
  • процедура при нарушение на сигурността с определени отговорници;
  • договори с обработващите (счетоводство, хостинг, ИТ поддръжка) по чл. 28 от GDPR;
  • редовен преглед на достъпите, особено при напускане на служител;
  • регистър на дейностите по обработване.

Оценка на ефективността

Регламентът изисква и редовна оценка на ефективността на мерките. Независим технически одит или тест за проникване показва дали мерките действат на практика и дава документ, който може да се представи при проверка от КЗЛД.

GDPRЗащита на данни