Öruggar persónuupplýsingar

Öryggi: hvað er í húfi?

Afleiðingar þess að öryggi skorti geta verið alvarlegar: fyrirtæki geta orðið fyrir álitshnekki og ímyndarskaða, þau  geta misst traust viðskiptavina sinna auk þess sem að það getur verið mjög kostnaðarsamt að endurheimta fyrri stöðu eftir öryggisatvik (t.d. í kjölfar persónuverndarbrots) og einnig geta þau orðið fyrir því að starfsemin verði stöðvuð. Öryggi persónuupplýsinga er bæði í þágu einstaklinganna og þeirra fyrirtækja sem vinna með upplýsingarnar.

Til að meta áhættuna sem stafar af hverri vinnsluaðgerð er ráðlegt að greina fyrst hugsanleg áhrif á réttindi og frelsi viðkomandi einstaklinga. Þó að fyrirtæki þurfi að vernda gögn sín (persónugreinanleg eða ekki) vegna eigin hagsmuna, er áhersla eftirfarandi upplýsinga á vernd persónuupplýsinga.

Gagnaöryggi byggist á þremur lykilþáttum verndar: áreiðanleika, aðgengileika og trúnaði um gögnin. Fyrirtæki ættu því að byggja áhættumat sitt á eftirfarandi atriðum:

1. óheimill aðgangur eða aðgangur að gögnum fyrir slysni — brot á trúnaði (t.d. þjófnaður persónuauðkenna í kjölfar birtingu launaseðla allra starfsmanna fyrirtækis);
2. óheimilar breytingar eða breyting á gögnum fyrir slysni — brot gegn áreiðanleika (t.d. einstaklingur ranglega ásakaður um brot eða afbrot eftir breytingar á aðgangsskrám),
3. gögn glatast eða aðgangur að gögnum glatast — brot á aðgengileika (t.d. milliverkun lyfja greinist ekki þar sem ógerlegt er að nálgast rafræna skrá sjúklingsins).

Einnig er ráðlegt að greina uppruna áhættunnar (þ.e. hver eða hvað gæti verið valdur sérhvers öryggisatviks) með tilliti til innri og ytri heimilda einstaklinga (t.d. kerfis- eða upplýsingatæknistjóra , notanda, utanaðkomandi árásarmanns, samkeppnisaðila) og innri eða ytri orsakavalda sem ekki eru með beinum hætti af manna völdum (t.d. vatnsskemmdir, hættuleg efni, tölvuveira sem ekki er sérstaklega beint gegn fyrirtækinu).

Þessi greining á orsakavöldum áhættu gerir þér kleift að greina hugsanlega ógn (þ.e. hvaða aðstæður gætu valdið  öryggisatviki)  í búnaði fyrirtækisins (t.d. vélbúnaði, hugbúnaði, samskiptarásum, pappír o.s.frv.), sem getur 

• verið notaður á óviðeigandi hátt (dæmi: misnotkun á réttindum, meðhöndlunarvilla),
• verið breytt (dæmi: sett upp gildra í hugbúnaði eða vélbúnaði —  lyklaborðshlerunarbúnaður eða spilliforrit);
• glatast (dæmi: þjófnaður á fartölvu, tap á USB-lykli).
• verið fylgst með (dæmi: horft á skjá í lest, fylgst með landfræðilegri staðsetning tækis),
• verið skemmdur (dæmi: skemmdarverk, náttúruleg rýrnun),
• verið ofhlaðinn (dæmi: harður diskur fullur, DoS-árás).
• verið ótiltækur (t.d. ef um er að ræða lausnargjaldsbúnað).

Einnig er ráðlegt að:

• ákvarða fyrirliggjandi eða fyrirhugaðar ráðstafanir til að bregðast við hverri áhættu (t.d. aðgangsstýringu, afritun gagna, rekjanleika, öryggi húsnæðis, dulkóðun),
• meta alvarleika og líkur á áhættu, byggt á framangreindum þáttum (dæmi um kvarða sem hægt er að nota við matið: óverulegt, í meðallagi, marktækt, í hámarki);
• innleiða og sannprófa fyrirhugaðar ráðstafanir – ef núverandi og fyrirhugaðar ráðstafanir eru taldar viðeigandi þarf að tryggja að þær séu framkvæmdar og vaktaðar,
• framkvæma reglubundnar öryggisúttektir: hver úttekt ætti að leiða til aðgerðaáætlunar sem þarf að vakta og innleiða af æðstu ráðamönnum fyrirtækisins.

Í persónuverndarreglugerðinni er fjallað um „mat á áhrifum á persónuvernd (MÁP)“, sem er skylt að framkvæma vegna vinnslu persónuupplýsinga sem líklegt er að hafi í för með sér mikla áhættu fyrir einstaklinga. MÁP þarf að innihalda fyrirhugaðar ráðstafanir til að bregðast við skilgreindri áhættu, þ.m.t. verndarráðstafanir, öryggisráðstafanir og skipulagslegar ráðstafanir til að tryggja vernd persónuupplýsinganna.

Dæmi

• Til að hafa betri yfirsýn á öryggisáhættunum getur þú til dæmis búið til áhættustýringarskjal með töflureikni (e. spreadsheet) sem þú uppfærir reglulega. Í skjalið skráirðu mögulegar áhættur af mannavöldum sem tengjast netþjónum, tölvum eða húsnæði fyrirtækisins. Fyrirsjáanlegar áhættur getur dregið úr afleiðingum öryggisatvika.

Skipulagslegar ráðstafanir fyrirtækisins

Að auka vitund notenda

Mikilvægt er að upplýsa starfsmenn eða notendur, sem vinna með persónuupplýsingar, um áhættuna sem tengist notkuninni og þær ráðstafanir sem gerðar hafa verið til að bregðast við áhættunni og hugsanlegum afleiðingum ef öryggisatvik verður.

Dæmi

Vitundavakning notenda getur falist í:

• fræðslufundum,
• reglulegri uppfærslu verklagsreglna sem varða starfssvið starfsmanna og þeirra sem vinna með persónuupplýsingar,
• innri samskiptum, áminningum með tölvupósti o.fl.

Aðrar varúðarráðstafanir geta verið að setja og skrá verklagsreglur, sem eru reglulega uppfærðar og gerðar aðgengilegar öllum þeim sem vinna með persónuupplýsingar. Nánar tiltekið ætti öll vinnsla persónuupplýsinga, hvort sem hún tengist stjórnunarverkefnum eða einfaldri notkun á forriti að vera útskýrð í skjali á skýru og einföldu máli og löguð að tegund hverrar vinnslu. Skjalið á síðan að vera aðgengilegt þeim sem vinnur með umræddar persónuupplýsingar.

Settu fyrirtækinu innri stefnu

Fræðsla þeirra sem vinna með persónuupplýsingar innan fyrirtækisins getur verið í formi skjals sem hefur að geyma bindandi innri reglur. Innri stefna fyrirtækisins ætti einkum að fela í sér lýsingu á persónuvernd og öryggisreglum.

Aðrar skipulagslegar ráðstafanir

• Innleiða stefnu um flokkun upplýsinga sem skilgreinir mismunandi áhættuflokka, þar sem skjöl og tölvupóstar með trúnaðargögnum eru sérstaklega merkt.
• Skjöl sem innihalda viðkvæmar persónuupplýsingar, hvort sem þau eru á pappír eða á rafrænu formi, skulu vera greinilega og sýnilega merkt.
• Veita starfsfólki þjálfun í vitundarvakningu og upplýsingaöryggi og senda reglulegar áminningar með tölvupósti eða öðrum innri samskiptaleiðum.
• Kveða skýrt á um trúnað varðandi persónuupplýsingar í ráðningarsamningi eða með sérstakri trúnaðaryfirlýsingu.

Tæknilegar ráðstafanir

Öruggur búnaður

Traust á áreiðanleika upplýsingakerfa þinna er grundvallarforsenda, og innleiðing viðeigandi öryggisráðstafana, eins og krafist er í persónuverndarreglugerðinni, er mikilvæg leið til að byggja upp og viðhalda þessu trausti. 

Mikilvægt er að tryggja eftirfarandi:

• vélbúnaðinn (t.d. netþjóna, vinnustöðvar, fartölvur, harða diska),
• hugbúnaðinn (t.d. stýrikerfi, viðskiptahugbúnað),
• samskiptarásirnar (t.d. ljósleiðara, þráðlaust net, netið),
• pappírsskjöl (t.d. prentuð skjöl, afrit),
• húsnæðið.

Öruggar vinnustöðvar

Þegar öryggi vinnustöðva er tryggt ber að gæta sérstaklega að eftirfarandi:

• setja upp sjálfvirka lotulæsingu þegar vinnustöðin er ekki notuð í tiltekinn tíma,
• setja upp eldvegghugbúnað (e. firewall software) og takmarka samskiptatengla við þau sem eru nauðsynleg fyrir eðlilega virkni búnaðar sem settur er upp á verkstöðinni,
• nota vírusvarnir sem eru uppfærðar reglulega og setja stefnu um reglulegar hugbúnaðaruppfærslur;
• stilla hugbúnaðinn svo hann uppfæri sjálfkrafa öryggisvarnir þar sem það er mögulegt;
• vista notendagögn á geymslusvæði sem er reglulega afritað og aðgengilegt í gegnum netkerfi fyrirtækisins, frekar en á vinnustöðvum. Ef gögn eru geymd staðbundið skal veita notendum möguleika á samstillingu eða öryggisafritun og þjálfa þá í notkun þeirra.
• takmarka tengingu flytjanlegra gagnageymslna (USB-lykla, ytri harða diska, o.fl.) við það sem er nauðsynlegt,
• slökkva á sjálfvirkni (e. autorun) frá utanáliggjandi miðlum.

Hvað ekki skal gera

• ekki nota úrelt stýrikerfi,
• ekki veita notendum stjórnendaréttindi (e. admin rights) sem hafa ekki þekkingu á tölvu- og upplýsingaöryggi.

Gakktu lengra

• bannaðu notkun niðurhalaðra forrita sem stafa ekki frá öruggum aðilum,
• takmarkaðu notkun forrita sem krefjast stjórnendaréttinda til að virka,
• eyddu gögnum á vinnustöð á öruggan hátt áður en annar starfsmaður tekur við henni,
• ef atvik kemur upp á vinnustöð sem bendir til öryggisógnar, skal rannsaka uppruna árásarinnar og leita að öllum vísbendingum um innbrot í upplýsingakerfi fyrirtækisins til að tryggja að engir aðrir hlutar kerfisins hafi orðið fyrir áhrifum.
• framkvæmdu öryggisprófanir bæði á hugbúnaði og vélbúnaði upplýsingakerfis fyrirtækisins,
• uppfærðu forrit þegar alvarlegir veikleikar hafa verið greindir og lagfærðir,
• uppfærðu reglulega mikilvæg stýrikerfi án tafar með því að skipuleggja vikulega sjálfvirka athugun á uppfærslum,
• tryggðu að allir starfsmenn hafi upplýsingar um rétt viðbrögð og aðgerðir ásamt lista yfir það fólk sem hafa skal samband við ef upp kemur öryggisatvik eða óvenjulegt atvik sem snertir upplýsinga- og samskiptakerfi fyrirtækisins.

Dæmi

• Á skrifstofu þinni er unnið eftir hugmyndafræðinni um opin rými og þar vinnur fjöldi starfsmanna en jafnframt koma þangað margir gestir.
  Þökk sé sjálfvirkri lotulæsingu getur enginn utan fyrirtækisins öðlast aðgang að tölvu starfsmanns í hléi eða séð hvað við hvað þeir eru að vinna. Að auki verndar eldveggur og uppfærðar vírusvarnir fyrirtækið gegn netvafri starfsmanna þinna og takmarkar einnig hættuna á innbroti inn á netþjóna fyrirtækisins. Því fleiri ráðstafanir sem eru gerðar, því erfiðara verður fyrir einstaklinga með illan ásetning eða gáleysislegan starfsmann að valda tjóni.

Gerðu húsnæði fyrirtækisins öruggt 

Aðgangsstýring að húsnæðinu er mikilvæg til að koma í veg fyrir eða tefja óheimilan aðgang að pappírsskrám eða tölvubúnaði, einkum netþjónum.

Hvað á að gera:

• setja upp öryggiskerfi og yfirfara það reglulega,
• setja upp reykskynjara og slökkvibúnað og skoða þá árlega;
• gæta að lyklum sem veita aðgang að húsnæðinu og aðgangskóðum að öryggiskerfum,
• skipta húsnæðinu upp eftir áhættusvæðum (t.d. með sérstökum aðgangsstýringum fyrir tölvu- eða tæknirými),
• halda skrá yfir einstaklinga eða hópa sem hafa heimild til að fara inn á hvert svæði,
• setja reglur og úrræði til að stýra aðgangi gesta, að minnsta kosti þannig að gestir séu alltaf í fylgd með starfsmanni utan almenningssvæða,
• vernda tölvubúnað fyrirtækisins með sérstökum aðferðum (sérhæft slökkvikerfi, upphækkuð uppsetning til að forðast vatnstjón, varaafl og/eða varaloftkæling o.s.frv.).

Hvað ekki skal gera

Ófullnægjandi virkni eða vanræksla á viðhaldi á umhverfi netþjóns fyrirtækisins (loftkæling, varaaflgjafar, o.s.frv.). Bilun í þessum búnaði leiðir oft til stöðvunar á vélum eða þess að opnað er fyrir aðgang að herbergjunum (til að tryggja loftstreymi), sem í raun gerir öryggisráðstafanirnar óvirkar.

Gakktu lengra

Þú getur haldið skrá yfir aðgang að rýmum eða skrifstofum þar sem varðveitt eru gögn með persónuupplýsingum sem gætu haft alvarleg neikvæð áhrif á viðkomandi einstaklinga. Upplýstu þá sem vinna með þau gögn um innleiðingu slíks kerfis, eftir að hafa upplýst og ráðfært þig við fulltrúa starfsfólks.

Tryggðu einnig að aðeins starfsfólk með viðeigandi heimild hafi aðgang að aðgangstakmörkuðum svæðum (haftasvæðum). 

Til dæmis:

• gerðu kröfu um að allir einstaklingar innan haftasvæða, séu með sýnilegt skilríki (skírteini),
• gestir (tæknilegir aðstoðarmenn o.s.frv.) ættu að hafa takmarkaðan aðgang. Skrá skal tíma og dagsetningu komu þeirra og brottför,
• farðu yfir og uppfærðu reglulega allar aðgangsheimildir svo aðeins þeir sem þurfa hafi aðgang að hverju haftasvæði. 

Dæmi

• Fyrirtækið þitt rekur netverslun. Þú geymir persónuupplýsingar viðskiptavina þinna á netþjónum sem hýstir eru í aðskildu húsnæði. Til að tryggja aðgangsöryggi að þessum gögnum er aðgangurinn að húsnæðinu varinn með aðgangskorti. Það kviknar eldur vegna skammhlaups, en þökk sé reykskynjara var slökkviliðið fljótt á staðinn og gat takmarkað tap á gögnum.

Auðkenning notenda

Til að tryggja að notendur hafi einungis aðgang að þeim gögnum sem þeir þurfa, ætti hver og einn að fá einkvæmt auðkenni og þurfa að auðkenna sig áður en tölvukerfi eru notuð.

Aðferðir við persónuauðkenningu flokkast eftir því hvort þær byggja á:

• því sem við vitum, t.d. lykilorði,
• því sem við höfum, t.d. snjallkorti,
• eiginleikum sem eru einkennandi fyrir einstaklinginn, t.d. hvernig undirskrift er rituð með hendi.

Val á auðkenningaraðferð fer eftir samhengi sem og ýmsum öðrum þáttum. Auðkenning notanda telst örugg þegar notuð er blanda af að minnsta kosti tveimur af ofangreindum flokkum.

Dæmi

• Til þess að fá aðgang að öruggu rými þar sem trúnaðarupplýsingar eru geymdar, getur þú sett upp aðgangskortalesara („það sem við höfum“) ásamt aðgangskóða („það sem við vitum“).

Stjórnun aðgangsheimilda

Innleiða ætti mismunandi heimildarstig eftir þörfum. Notendur ættu aðeins að hafa aðgang að þeim persónuupplýsingum sem starf þeirra krefst (e. need to know).

Góð vinnubrögð við auðkenningu og stjórnun aðgangsheimilda:

• Skilgreina skal einkvæmt auðkenni fyrir hvern notanda og banna notkun á aðgangsreikningum sem eru sameiginlegir fyrir marga notendur. Ef notkun almennra eða sameiginlegra aðgangsauðkenna er óhjákvæmileg skal krefjast innri samþykkis og koma á rekjanleika með skráningu (t.d. atvikaskrám).
• Krefjast skal notkunar á lykilorðum með nægilegu flækjustigi (t.d. minnst 8 stafir, hástafir, lástafir og sérstakir stafir).
• Lykilorð skulu geymd á öruggan hátt.
• Fjarlægja skal úreltar aðgangsheimildir.
• Framkvæma reglulega endurskoðun á aðgangsheimildum (t.d. á sex mánaða fresti).

Hvað ekki skal gera

• Búa til eða nota aðgangsreikninga sem eru sameiginlegir fyrir marga notendur.
• Veita notendum stjórnandaheimildir sem þurfa ekki á þeim að halda.
• Úthluta notanda meiri réttindi en er nauðsynlegt.
• Gleyma að fjarlægja tímabundnar heimildir sem voru veittar notanda (t.d. vegna afleysinga).
• Gleyma að eyða notendareikningum þeirra sem hafa hætt störfum eða fært sig um starf innan fyrirtækisins.

Gakktu lengra

Skrásettu, skjalfestu og endurskoðaðu reglulega aðgangsstýringarstefnu fyrirtækisins í tengslum við þá vinnslu persónuupplýsinga sem fram fer á vegum þess. Stefnan ætti að fela í sér:

• Verklagsreglur sem á alltaf að fylgja við innkomu, brotthvarf eða tilfærslu einstaklings sem hefur aðgang að persónuupplýsingum.
• Afleiðingar skulu vera fyrir einstaklinga, með lögmætan aðgang að gögnum, sem ekki fara eftir öryggisráðstöfunum.
• Ráðstafanir til að takmarka og hafa eftirlit með úthlutun og notkun aðgangs að vinnsluaðgerðum.

Dæmi

• Þegar nýr starfsmaður kemur til starfa hjá fyrirtækinu þarftu að búa til nýjan, persónulegan notendareikning með sterku lykilorði. Starfsmenn ættu ekki að deila auðkennum sín á milli, sérstaklega ef þeir hafa ekki sömu aðgangsheimildir. Ef starfsmaður færist til í starfi ætti að endurskoða aðgangsheimildir hans að ákveðnum skjölum eða kerfum.

Notkun gerviauðkenna

Notkun gerviauðkenna felst í að unnið er með persónuupplýsingar á þann hátt að ekki er lengur hægt að tengja þær beint við tiltekinn einstakling án viðbótarupplýsinga. Þessar viðbótarupplýsingar þurfa að vera geymdar aðskildar og vera háðar tæknilegum og skipulagslegum öryggisráðstöfunum.

Í reynd felst notkun gerviauðkenna í því að skipt er út beinum auðkennum (s.s. nafni, kennitölu, símanúmeri o.fl.) fyrir óbein auðkenni (t.d. gerviauðkenni, raðnúmer o.s.frv.). Með því er hægt að vinna með gögn einstaklinga án þess að hægt sé að  auðkenna þá beint. Það er hins vegar mögulegt að rekja auðkenni einstaklinganna með aðstoð viðbótarupplýsinganna, sem þýðir að slík gögn teljast persónuupplýsingar og falla undir reglur persónuverndarreglugerðarinnar. Notkun gerviauðkenna er auk þess afturkræf ólíkt aftengingu (e. anonymisation).

Í persónuverndarreglugerðinni er mælt með notkun gerviauðkenna til að draga úr áhættu við vinnslu persónuupplýsinga.

Sérstakar aðstæður

Öryggisráðstafanir vegna fjarvinnu

Við fjarvinnu er nauðsynlegt að tryggja öryggi þeirra gagna sem unnið er með, um leið og friðhelgi einkalífs einstaklinganna er virt.

Hvað á að gera:

• Gefðu út öryggisstefnu fyrir fjarvinnu eða að minnsta kosti lágmarksreglur sem ber að fylgja, og kynntu starfsmönnum reglurnar líkt og kveðið er á um í innri reglum fyrirtækisins.
• Ef þú þarft að breyta reglum upplýsingakerfisins til að gera fjarvinnu mögulega (t.d. að breyta reglum um heimild, aðgang fjarstjórnanda o.s.frv.) skaltu íhuga áhættuna sem því fylgir og, ef nauðsyn krefur, gera ráðstafanir til að viðhalda öryggisstigi;
• Útbúðu vinnustöðvar allra starfsmanna þinna með að minnsta kosti eldvegg, vírusvarnarhugbúnaði og tóli til að loka fyrir aðgang að hættulegum vefsvæðum. Ef starfsmenn geta notað eigin búnað, veittu þeim þá leiðbeiningar til að tryggja vinnuumhverfið (sjá Öryggisráðstafanir fyrir notkun eigin búnaðar (NEB) (e. BYOD);
• Settu upp VPN, þegar mögulegt er, til að koma í veg fyrir að þjónusta þín sé útsett fyrir árásum á internetinu. Virkjaðu tveggja þátta VPN-auðkenningu ef mögulegt er;
• Gerðu lista fyrir starfsmenn þína yfir samskipta- og samstarfsverkfæri sem henta fjarvinnu og tryggir trúnað í samskiptum og við deilingu gagna. Veldu verkfæri sem þú stjórnar og tryggir að þau veiti a.m.k. bestu viðurkenndu auðkenningaraðferðir, dulkóðun samskipta og að gögn í flutningi séu ekki endurnotuð í öðrum tilgangi (umbætur í vöruþróun, auglýsingar o.s.frv.). Viss hugbúnaður getur sent notandagögn til þriðja aðila og er því sérstaklega óhentugur fyrir fyrirtæki.

Öryggisráðstafanir fyrir notkun eigin búnaðar - NEB (e. BYOD – Bring your own device)

Með tilkomu og þróun NEB, sérstaklega hjá litlum og meðalstórum fyrirtækjum, eru mörkin milli vinnu og einkalífs að hverfa. Þrátt fyrir að NEB feli ekki í sjálfu sér vinnslu persónuupplýsinga, er samt nauðsynlegt að tryggja gagnaöryggi.

Skammstöfunin „NEB“ stendur fyrir „Notkun eigin búnaðar“ og vísar til þess þegar starfsmaður notar eigin tölvubúnað í atvinnuskyni. Dæmi um þetta er þegar starfsmaður tengist neti fyrirtækisins með eigin tölvu, spjaldtölvu eða snjallsíma.

Möguleikinn á notkun persónulegs búnaðar fer fyrst og fremst eftir ákvörðun vinnuveitanda og landslögum. Persónuverndarreglugerðin gerir ráð fyrir sama öryggisstigi, óháð því hvaða búnaður er notaður. Vinnuveitandinn ber ábyrgð á öryggi persónuupplýsinga fyrirtækisins, jafnvel þegar gögnin eru geymd á tækjum sem hann hefur hvorki beina stjórn né eignarhald á, hafi hann veitt þeim aðgang að upplýsingakerfum fyrirtækisins.

Áhættur sem nauðsynlegt er að verjast spanna allt frá stakri árás sem hefur áhrif á aðgengi, heilleika eða trúnað gagna til víðtæks öryggisbrests á upplýsingakerfi fyrirtækisins, svo sem innbrots, vírussýkingar o.fl.

Dæmi um gátlista

Dæmi um hvernig gátlisti til að bæta öryggisstig í fyrirtækinu þínu gæti litið út:

• Upplýsa og fræða reglulega þá sem vinna með persónuupplýsingar um áhættu tengda persónuvernd
• Útbúa innri stefnu sem öllum ber að fara eftir
• Innleiða innbyggða og sjálfgefna persónuvernd 
• Tryggja að persónuupplýsingarnar sem unnið er með séu nægjanlega viðeigandi og ekki umfram það sem nauðsynlegt er (lágmörkun gagna)
• Innleiða flokkunarstefnu trúnaðarupplýsinga
• Merkja sérstaklega þau skjöl sem innihalda viðkvæmar persónuupplýsingar
• Halda reglulega öryggisþjálfun og vitundaraukandi fræðslu, auk þess að senda út reglulegar áminningar og útsendingu fræðsluefnis
• Láta starfsfólk undirrita trúnaðaryfirlýsingu eða bæta við trúnaðarákvæði í ráðningarsamning
• Setja upp sjálfvirka lotulæsingu, uppfærðan eldvegg og vírusvarnir hjá starfsmönnum og bjóða þeim afnot af afritunargeymslu 
• Takmarka tengingu við utanaðkomandi gagnageymslur (USB drif, ytri harðir diskar o.s.frv.) við það sem er nauðsynlegt
• Vernda húsnæði fyrirtækisins (með t.d. þjófavörnum, reykskynjurum, vörðum lyklum, aðgreindum rýmum eftir áhættustigi, aðgangsheimildum að tilteknum svæðum, sérhæfðum slökkvikerfum)
• Gefa notendum einkvæm auðkenni
• Krefjast auðkenningar til að fá aðgang að tölvukerfum
• Stjórna aðgangsheimildum (með t.d. aðgreindum notendaprófílum eftir þörfum, einkvæmum auðkennum og sterkum lykilorðum)
• Útbúa öryggisstefnu fyrir fjarvinnu
• Fjarlægja úreltar aðgangsheimildir
• Framkvæma reglubundna endurskoðun á aðgangsheimildum
• Nota gerviauðkenni eða fjarlægja persónugreinanlegar upplýsingar úr gögnum til að koma í veg fyrir að hægt sé að bera kennsl á einstaklinga
• Dulkóða gögn til að koma í veg fyrir óheimilan aðgang
• Setja upp VPN-tengingu fyrir fjarvinnu
• Tryggja öryggi persónulegs búnaðar starfsfólks sem notaður er í vinnu (NEB)