Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji

Naruszenie to dotyczy najczęściej art. 5 ust. 1 lit. f), art. 5 ust. 2 oraz art. 32 ust. 1 i 2 RODO

Przejrzyj kary nałożone w krajach Unii Europejskiej oraz w Polsce za to naruszenie

Jak zapobiegać takim naruszeniom?

1. Zapewnij ochronę danych osobowych na płaszczyźnie nie tylko formalnej (dokumentacja), ale i praktycznej.

2. Swoje działania opieraj na podejściu proaktywnym i prewencyjnym polegającym na zapewnianiu bezpieczeństwa danym osobowym na każdym etapie ich przetwarzania.

3. Dokonując wyboru odpowiednich środków technicznych i organizacyjnych pamiętaj, że jest to proces dwuetapowy. W pierwszej kolejności ważne jest, aby określić poziom ryzyka, jaki wiąże się z przetwarzaniem danych osobowych. Dopiero po wykonaniu tej czynności możemy ustalić, jakie środki techniczne i organizacyjne będą odpowiednie, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku.

4. Dokonaj wdrożenia środków technicznych i organizacyjnych w aplikacjach i programach zapewniających realizację zasady „rozliczalności”, a także zasady integralności i poufności danych osobowych.

5. Dokonuj regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzanych danych osobowych w systemach teleinformatycznych.

6. Dokonaj wdrożenia procedur organizacyjnych takich, jak: mapowanie procesów, przypisywanie odpowiedzialności za poszczególne procesy, szkolenia pracowników własnych oraz pracowników podmiotów przetwarzających.

7. Wykonuj cyklicznie audyty wewnętrzne lub zewnętrzne, które będą opierały się na kompletnych i rzetelnych informacjach.

8. Wykonuj cyklicznie analizę ryzyka dla systemów informatycznych i aplikacji, w których przetwarzasz dane osobowe. W analizie ryzyka uwzględnij charakterystykę zachodzących procesów, aktywa, podatności, zagrożenia oraz istniejące zabezpieczenia, w ramach zachodzących procesów przetwarzania danych osobowych.

9. Przeprowadzaj testy nastawione na weryfikację zabezpieczeń programów i aplikacji, w tym testy podatności/penetracyjne.

10. Wykonuj cyklicznie analizę ryzyka dla systemów informatycznych i aplikacji, w których przetwarzasz dane osobowe.

11. Wykonując analizę ryzyka i identyfikując zagrożenia uwzględnij: zakres przetwarzanych danych, liczbę użytkowników aplikacji, charakter ich uprawnień, uwarunkowania środowiska informatycznego, w którym aplikacja funkcjonuje, możliwości wpływu osób trzecich, które w sposób nieuprawniony uzyskują dostęp do aplikacji.

12. Wykonując analizę ryzyka potencjalnego ataku uwzględnij: metody socjotechniczne, stan wiedzy technicznej, fizyczne aspekty bezpieczeństwa, w tym bezpieczeństwa teleinformatycznego, analizę atakującego z punktu widzenia osoby nieznającej organizacji administratora oraz jej infrastruktury informatycznej, jak również osoby, która wiedzę tę posiada.

13. Dokonaj wdrożenia procedur i systemu powiadamiania o zdarzeniach niepożądanych, w tym monitorowania ruchu sieciowego.

14. Dokonaj wdrożenia mechanizmu dwuetapowego uwierzytelniania w aplikacjach i programach dostępnych z poziomu Internetu, w których przetwarzane są dane osobowe.

15. Weryfikuj programy i aplikacje w zakresie rejestrowania eksportu danych oraz zakresu eksportowanych danych.

16. Wykonuj kopie zapasowe na potrzeby zachowania ciągłości działania systemów informatycznych i utrzymania integralności danych.

17. Do przetwarzania danych osobowych wykorzystuj oprogramowanie posiadające aktualne wsparcie techniczne producenta.

18. Podpisuj umowę powierzenia przetwarzania danych osobowych z podmiotami zewnętrznymi, które będą pracować na danych osobowych w Twoim imieniu.

19. Dokonaj wdrożenia procedur określających zasady pracy na danych osobowych przez podmioty zewnętrzne działające w imieniu Administratora.

20. Zapewnij kontrolę nad działaniami marketingowymi i sprzedażowymi realizowanymi przez podmioty zewnętrzne w imieniu Administratora

21. Kontroluj podmioty przetwarzające m.in. w zakresie wdrożonych środków organizacyjnych i technicznych zapewniających bezpieczeństwo danych.

22. Zapewnij kontrolę łańcucha dostawców usług w zakresie ochrony danych osobowych.

WRÓĆ DO KOMPASU FORSAFE