Čo pre nás bude znamenať GDPR z pohľadu praxe. Jaroslav Oster

Transkript

1 Čo pre nás bude znamenať GDPR z pohľadu praxe Jaroslav Oster

2 Ochrana osobných údajov nie je novinkou 428/2002 z.z. 90/2005 z.z. 122/2013 z.z. 84/2014 z.z. Stav po 15 rokoch nízky nárast povedomia dotknuté osoby oprávnené osoby manažmenty prevádzkovateľov/ sprostredkovateľov deklaratívne naplnenie požiadaviek segment malých, stredných firiem fiktívna dokumentácia (BP) čiastočná alebo nulová implementácia opatrení problematika poňatá ako jednorázová aktivita nasadenie technologického riešenia (SW/HW) jednorázové poučenie oprávnených osôb v minimalistickom rozsahu rad nedostatkov v riadení bezpečnosti

3 Základné otázky Zálohovanie dát Funkčný protivírusový systém spoľahlivý, aktualizovaný, konfigurovaný Silné a dôverné heslá pravidelná zmena dodržiavanie heslovej politiky Bezpečnosť mobilných zariadení - využívanie verejných hotspotov Wifi hotspoty letísk, čerpacích staníc, miest Narábanie s správami z neznámych zdrojov Ochrana osobných údajov jednotlivca a údajov strategického významu (politika sociálnych médií) Obozretnosť, kritické myslenie a zodpovednosť používateľov Politika čistého stola a obrazovky Jasne nastavené procesy v prípade vzniku problému/incidentu

4 Zásadné zmeny s dopadom na prax prevádzkovateľov prenos plného rozsahu zodpovednosti na prevádzkovateľa/sprostredkovateľa vrátane ich vzájomných vťahov zodpovedná osoba (DPO) technologické opatrenia zvýšené nároky na zvyšovanie bezpečnostného povedomia sprísnené a nové práva dotknutých osôb zmeny súhlasu so spracovaním preukaznosť slobodného a informovaného súhlasu odvolanie súhlasu právo byť informovaný, byť zabudnutý, právo na portabilitu rozšírenie kategórií osobných údajov sprísnenie spracovania OÚ detí evidencia a notifikácia incidentov

5 Osobné údaje súhlas preukaznosť slobodného, konkrétneho a informovaného súhlasu neprípustné: prednaznačené políčka súhlas sa nepovažuje za slobodný ak osoba nemá skutočnú možnosť voľby mlčanie a nekonanie nie je súhlas právo na odvolanie súhlasu odvolanie súhlasu musí byť jednoduché

6 Bezpečnosť základné povinnosti Prevádzkovateľ/sprostredkovateľ je povinný prijať minimálne opatrenia na zabezpečenie atribútov bezpečnosti príklady základných opatrení: a) pseudonymizáciu a šifrovanie osobných údajov b) schopnosť zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov spracúvania a služieb c) schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu d) proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania.

7 Zmena v interných vzdelávacích procesoch je nutná?

8 Zmeny v pohľade na vzdelávanie Legislatívne zákon o ochrane osobných údajov Zákonník práce Obchodný zákon ochrana obchodného tajomstva Preventívno organizačné presadzovanie interných smerníc budovanie firemnej kultúry zvyšovanie povedomia a spoluzodpovednosti prevencia kriminality ochrana vlastných aktív a duševného bohatstva Technologicko - normatívne ISO 9001 (ISO ) ITIL neustály vývoj skladby rizík zmeny implementovaných bezp.mechanizmov

9 Budovanie firemnej kultúry Spätná väzba Odkomunikovanie interných štandardov Efektivizácia informovanosti Zjednotenie vstupných informácií a vedomostí STN ISO/IEC 27001

10 a neznalý zamestnanec

11 Kryptovírusy, ransomware zodpovednosť používateľa útočník zasiela s prílohou pripojenie downloaderu URL hostingu ransonware nakazenie počítača - stiahnutie ransonware úhrada výpalného útočníkovi zobrazenie výzvy postupné zašifrovanie súborov KĽÚČ????

12 Podvody s faktúrou

13 úroveň bezpečnostného povedomia Budovanie bezpečnostného povedomia realita suverenita ignorovanie cielené obchádzanie zmeny rizík fluktuácia bezpečnostný incident legislatívna zmena intuitívna úroveň

14 Budovanie bezpečnostného povedomia STANDARD CUSTOMIZED všeobecne známe princípy/poznatky východisko z vlastného prostredia metóda: analyzujme naše chyby všeobecne známe princípy/poznatky cyklicky opakované, šablóna metóda: môžeš nemôžeš fiktívne situácie Základné črty: povinné školenie ako mnoho iných často aby bolo nepochopenie neakceptácia Základné črty: riešenie reálnych problémov nekreujeme štábne cvičenie pochopiteľnosť akceptácia

15 Súčasné frekventované chyby

16 Kamerové systémy - chyby neoznačené monitorované priestory porušovanie práva na súkromie zamestnancov nelikvidovanie záznamov po zákonnej lehote neexistencia bezpečnostnej dokumentácie nepoučenie obsluhy (oprávnené osoby) dôsledok: porušovanie práv DO napr.zverejnením videa používanie záznamov na iné účely než vymedzuje legislatíva

17 Bezpečnostná dokumentácia - implementačné chyby nespracovanie BD BD nezodpovedá zákonu po štrukturálnej/obsahovej stránke BD nezodpovedá skutočnosti okopírované, univerzálne (neprispôsobené) vzory projektov/smerníc nezohľadňuje skutočné riziká v danom prostredí popisuje neexistujúce prostredie/stav popisuje neexistujúce opatrenia neprehľadné odkazy na inú dokumentáciu prevádzkovateľa bezpečnostné opatrenia z BD nie sú implementované v praxi oprávnené osoby nie sú informované o existencii opatrení porušenie zákonníka práce zo strany zamestnávateľa

18 Bezpečnostná dokumentácia - implementačné chyby určenie zodpovednostných vzťahov nie je zakotvené v bezpečnostnej dokumentácii nie je kompetenčne prenesené osoby zodpovedné za jednotlivé oblasti bezpečnosti neprevzali túto zodpovednosť nie je odkorešpondované smerom k používateľom chyby technickej implementácie opatrení zlá konfigurácia nepreverovaná funkcionalita (typické: neaktualizácia systémov) nezdokumentovaná konfigurácia (nastavenia) problém pri obnove BD chýbajú recovery postupy kvalita SW často neriešiteľný problém ak aplikačný SW nemá implementované mechanizmy

19 25. máj 2018 Kedy začať?

20 Prečo? Informovanie manažmentu, vytvorenie pracovného tímu (DPO) a definícia časového plánu Analýza súčasného stavu spracovávaných údajov a súčasných opatrení Návrh opatrení pre zosúladenie stavu s požiadavkami GDPR 25. máj 2018 Výber, obstaranie a implementácia opatrení Edukačné procesy

21 Info consult, s.r.o. Martina Rázusa 29 Lučenec oster infoconsult.sk