В 2018 году вступил в силу Общий регламент по защите данных (GDPR) Евросоюза, который усиливает защиту персональной информации.
Во время всеукраинского роад-шоу крупнейший IT-интегратор в странах Балтии Lattelecom ответил на основные вопросы владельцев бизнесов о нюансах соблюдения правил GDPR.
Какие украинские компании должны соответствовать требованиям Регламента?
Общий регламент по защите данных охватывает несколько категорий предприятий, которые должны соблюдать правила GDPR. Среди них – компании, которые имеют представительство в Евросоюзе; сотрудничают с бизнес-партнерами из Евросоюза; изучают потребительскую аудиторию в Евросоюзе.
Компания, работающая с Европой, – обработчик или контролер данных?
Если украинская компания работает с европейскими клиентами напрямую, то она является контролером данных. Если же между поставщиком и финальным получателем услуги есть посредник, то украинская компания выступает обработчиком данных.
Какие минимальные требования к документации?
Чтобы приступить к выполнению требований GDPR, предприятие должно согласовать свои существующие документы и внутренние порядки с правилами, перечисленными в документах Регламента. Для этого нужно провести аудит, который позволит выявить точки пересечения с международным законодательством.
Минимальный список аспектов, которые предстоит сверить на соответствие правилам GDPR, включает в себя: политики конфиденциальности предприятия для клиентов и работников; порядок оценки влияния обработки данных на защиту данных; уточненные формы согласия и информирования клиентов. И главное – это регистр обработки данных, где описана личная информация об объектах исследования, цели, права доступа, сроки хранения и уничтожения данных.
Также нужно проверить, соответствует ли Регламенту проведение следующих процедур: контроль и аутентификация доступа; мониторинг обработки данных и аналитика лог-файлов; обеспечение безопасности сети на уровне IТ-инфраструктуры и для устройств; создание резервных копий данных и безопасное их хранение; порядок уничтожения личных данных и т.д.
Как найти неструктурированные данные?
Для работы с информацией, согласно правилам Регламента, необходимо, чтобы все данные были структурированы в соответствии с определенным алгоритмом. Поэтому предприятию нужно проверить содержимое всех хранящихся файлов на предмет наличия данных физлиц: персонального кода, номера телефона, имени и фамилии. Когда неструктурированные данные идентифицированы, вызов для предпринимателя – понять, какие из них нужно удалить, а для каких обеспечить безопасное хранение, соответствующее требованиям Регламента.
Как использовать мониторинговые системы по аномалиям?
В Lattelecom мы используем разные решения по безопасности, в том числе резервирование инфраструктуры, шифровку данных, защиту от DDos-атак, классификацию документов, фильтрацию входящего трафика, мониторинг лог-файлов, например, IBM Qradar. Этот инструмент обеспечивает безопасное хранение и анализ лог-файлов в соответствии с требованиями законодательства; хранение лог-файлов в течение 12 месяцев; идентификацию попыток кибер-нападений и угроз всех видов и другие сервисы.
