Öruggar persónuupplýsingar

Öryggi: hvað er í húfi?

Afleiðingar skorts á öryggi geta verið alvarlegar: fyrirtæki geta séð ímynd þeirra hnignað, missa traust neytenda sinna, þurfa að greiða háar fjárhæðir af peningum til að endurheimta eftir öryggisatvik (t.d. í kjölfar gagnabrots) eða láta starfsemi þeirra stöðvast. Öryggi persónuupplýsinga er í þágu einstaklinga og stofnana sem vinna úr þeim.

Til að meta áhættuna sem stafar af hverri vinnsluaðgerð er fyrst ráðlegt að greina hugsanleg áhrif á réttindi og frelsi viðkomandi einstaklinga. Þó að fyrirtæki þurfi að vernda gögn sín (persónuleg eða ekki) fyrir eigin hagsmuni, eru eftirfarandi upplýsingar áherslur á vernd gagna einstaklinga.

Gagnaöryggi hefur þrjá meginþætti: að vernda heilleika, tiltækileika og leynd gagna. Fyrirtæki/stofnanir ættu því að meta áhættuna að því er varðar eftirfarandi:

1. óleyfilegur eða óviljandi aðgangur að gögnum — brot á trúnaði (t.d. persónuþjófnaður eftir birtingu launaseðla allra starfsmanna fyrirtækis);
2. óleyfileg eða óviljandi breyting á gögnum — brot á heilleika (t.d. ranglega ásaka einstakling um brot eða afbrot vegna breytinga á aðgangsskrám),
3. skortur á gögnum eða skortur á aðgangi að gögnum — brot á aðgengi (t.d. ef ekki greinist milliverkun lyfja vegna þess að ekki er hægt að nálgast rafræna skrá sjúklingsins).

Einnig er ráðlegt að greina áhættuupptökin (þ.e. hver eða hvað gæti verið á uppruna sérhvers öryggisatviks) með tilliti til innri og ytri heimilda manna (t.d. stjórnanda upplýsingatækninnar, notanda, utanaðkomandi árásarmanns, samkeppnisaðila) og innri eða ytri upptök sem ekki eru af mönnum (t.d. vatnsskemmdir, hættuleg efni, tölvuveira utan markhóps).

Þessi greining á áhættuuppsprettum gerir þér kleift að greina hugsanlega ógn (þ.e. hvaða aðstæður gætu gert öryggisatvik kleift að eiga sér stað?) að því er varðar stuðningseignir (t.d. vélbúnað, hugbúnað, samskiptarásir, pappír o.s.frv.), sem geta verið:

• notað á óviðeigandi hátt (t.d. misnotkun réttinda, meðhöndlun villu),
• breytt (t.d. hugbúnaður eða innfelling vélbúnaðar — keylogger, uppsetning malware);
• týnt (t.d. þjófnaður á fartölvu, tap á USB-lykli);
• athugað (t.d. athugun á skjá í lest, landfræðileg staðsetning tækja),
• skemmdist (t.d. skemmdarverk, náttúruleg rýrnun),
• of mikið (t.d. full geymsla, afneitun á þjónustuárás).
• ekki tiltækt (t.d. ef um er að ræða lausnargjaldsbúnað).

Einnig er ráðlegt að:

• ákvarða fyrirliggjandi eða fyrirhugaðar ráðstafanir til að bregðast við hverri áhættu (t.d. aðgangsstýringu, varaafrit, rekjanleika, öryggi húsnæðis, dulkóðun),
• meta alvarleika og líkur á áhættu, byggt á framangreindum þáttum (dæmi um kvarða sem hægt er að nota við matið: óverulegt, í meðallagi, marktækt, hámark),
• framkvæma og sannprófa fyrirhugaðar ráðstafanir ef núverandi og fyrirhugaðar ráðstafanir eru taldar viðeigandi, tryggja að þær séu framkvæmdar og vaktaðar,
• framkvæma reglubundnar flugverndarúttektir: hver úttekt ætti að leiða til aðgerðaáætlunar sem skal vakta á hæsta stigi fyrirtækisins/stofnunarinnar.

GDPR kynnir hugtakið "mat á áhrifum gagna (DPIA)", sem er nauðsynlegt fyrir alla vinnslu persónuupplýsinga sem líklegt er að hafi í för með sér mikla áhættu fyrir einstaklinga. DPIA verður að innihalda fyrirhugaðar ráðstafanir til að bregðast við greindri áhættu, þ.m.t. verndarráðstöfunum, öryggisráðstöfunum og fyrirkomulagi til að tryggja vernd persónuupplýsinga.

Í raun

• Til að hafa skýrari sýn á öryggisáhættu getur þú til dæmis búið til áhættustýringar töflureikni og haldið því uppfærð reglulega. Þetta töflureikni getur falið í sér efni og áhættu fyrir menn sem tengjast netþjónum, tölvum eða húsnæði. Nægilega fyrirsjáanleg áhætta getur hjálpað til við að draga úr afleiðingum atviks.

Skipulagsráðstafanir

Auka vitund notenda

Mikilvægt er að starfsmenn eða notendur, sem meðhöndla persónuupplýsingar (handleggjendur gagna), geri sér grein fyrir áhættunni sem tengist friðhelgi einkalífsins, upplýsa þá um þær ráðstafanir sem gerðar hafa verið til að bregðast við áhættunni og hugsanlegum afleiðingum ef bilun verður.

Í raun

Aukin vitund notenda getur verið í formi:

• fundir til vitundarvakningar,
• reglulegar uppfærslur á verklagsreglum sem varða starfssvið starfsmanna og þeirra sem meðhöndla gögn,
• innri samskipti, með tölvupósti áminningar o.fl.

Önnur varúðarráðstöfun er að skrá verklagsreglurnar, halda þeim uppfærðum og gera þær aðgengilegar öllum þeim sem hlut eiga að máli. Í raun ætti að útskýra hvers kyns vinnslu persónuupplýsinga, hvort sem hún varðar stjórnsýsluaðgerðir eða einfalda notkun umsóknar, á skýru tungumáli og lagað að hverjum flokki umsjónarmanns, í skjölum sem þeir geta vísað til.

Að setja upp innri stefnu

Vitund innri gagnastjórnenda getur verið í formi skjals sem ætti að vera bindandi og samþætt innri reglum. Innri stefnan ætti einkum að fela í sér lýsingu á gagnaverndar- og öryggisreglum.

Aðrar skipulagsráðstafanir

• Innleiða stefnu um flokkun upplýsinga sem skilgreinir nokkur stig og krefst merkingar skjala og tölvupósts sem innihalda trúnaðargögn.
• Gera sýnilega og skýra yfirlýsingu á hverri síðu á pappír eða rafrænu skjali sem inniheldur viðkvæm gögn.
• Annast þjálfun í upplýsinga- og vitundarvakningu. Hægt er að veita reglubundnar áminningar með tölvupósti eða öðrum innri samskiptatækjum.
• Kveða á um undirritun trúnaðarsamnings eða feli í sér sérstakt trúnaðarákvæði varðandi persónuupplýsingar í samningum við starfsmenn og aðra umsjónarmenn gagna.

Tæknilegar ráðstafanir

Öruggur búnaður

Traust á áreiðanleika upplýsingakerfa þinna er lykilatriði og framkvæmd viðeigandi öryggisráðstafana, sem GDPR hefur gert skylt, er ein leið til að veita þetta.

Einkum er ráðlegt að tryggja:

• vélbúnaður (t.d. netþjónar, vinnustöðvar, fartölvur, harðir diskar),
• hugbúnaður (t.d. stýrikerfi, viðskiptahugbúnaður),
• samskiptarásir (t.d. ljósleiðara, Wi-Fi, Netið),
• pappírsskjöl (t.d. prentuð skjöl, afrit),
• húsnæði.

Öruggar vinnustöðvar

Eftirfarandi aðgerðir gætu komið til greina þegar vinnustöðvar eru tryggðar:

• sjá fyrir sjálfvirkum búnaði til að læsa lotum þegar vinnustöðin er ekki notuð í tiltekinn tíma,
• setja upp eldvegghugbúnað og takmarka opnun samskiptatengla við þau sem eru bráðnauðsynleg fyrir eðlilega virkni búnaðar sem settur er upp á verkstöðinni,
• nota reglulega uppfærðan antivirus hugbúnað og hafa stefnu um að uppfæra hugbúnað reglulega;
• stilla hugbúnað til að uppfæra öryggi sjálfkrafa þegar mögulegt er;
• að hvetja til geymslu notendagagna á geymslurými með reglulegu millibili sem er aðgengilegt í gegnum net fyrirtækisins/stofnunarinnar frekar en á vinnustöðvum. Ef gögn eru geymd á staðnum, veita notendum samstillingu eða öryggisafrit og þjálfa þau í notkun,
• takmarka tengingu farsíma fjölmiðla (USB prik, ytri harða diska, o.fl.) við nauðsynjar;
• slökkva á sjálfvirkni frá færanlegum fjölmiðlum.

Hvað á ekki að gera

• nota úrelt stýrikerfi,
• veita stjórnendum réttindi til notenda sem hafa ekki tölvuöryggisfærni.

Að ganga lengra

• banna notkun niðurfluttra forrita sem koma ekki frá öruggum uppruna,
• takmarka notkun forrita sem krefjast réttinda stjórnenda til að keyra,
• eyða gögnum á vinnustöð á öruggan hátt áður en þau eru send aftur til annars einstaklings;
• ef vinnustöð er stefnt í hættu, leita að uppruna og hvers kyns innbrotum inn í upplýsingakerfi fyrirtækisins/stofnunarinnar, til að komast að því hvort öðrum þáttum hafi verið stofnað í hættu,
• hafa öryggiseftirlit með hugbúnaði og vélbúnaði sem notaður er í upplýsingakerfi fyrirtækisins/stofnunarinnar,
• uppfæra umsóknir þegar alvarlegir veikleikar hafa verið greindir og fastir,
• setja mikilvægar stýrikerfi uppfærslur án tafar með því að skipuleggja vikulega sjálfvirka athugun;
• miðla til allra notenda viðeigandi aðgerða og lista yfir fólk sem á að hafa samband við ef um er að ræða váatvik eða óvenjulegan atburð sem hefur áhrif á upplýsinga- og samskiptakerfi fyrirtækisins.

Í raun

• Skrifstofa þín hefur opið rými hugtak og þú hefur marga starfsmenn, en einnig margir gestir. Þökk sé sjálfvirkri lotulás getur enginn utan fyrirtækisins fengið aðgang að tölvu starfsmanns í hléi eða séð hvað þeir eru að vinna að. Að auki vernda eldveggur og uppfærður vírusvörn gegn netvaski starfsmanna þinna og takmarka hættuna á innbroti inn á netþjóna þína. Því fleiri ráðstafanir eru gerðar, því erfiðara verður fyrir einstaklinga með illgjarn ásetningi eða vanrækslu starfsmaður að valda skaða.

Vernda húsnæði fyrirtækisins

Aðgangi að húsnæðinu skal stýrt til að koma í veg fyrir eða hægja á óheimilum aðgangi að pappírsskrám eða tölvubúnaði, einkum netþjónum.

Hvað á að gera

• setja afskipti viðvörun og athuga þá reglulega;
• setja upp reykskynjara og slökkvibúnað og skoða þá árlega;
• vernda lykla sem notaðir eru til að komast inn á athafnasvæði og viðvörunarkóða,
• greina á milli byggingarsvæða í samræmi við áhættu (t.d. veita sérstaka aðgangsstýringu fyrir tölvuherbergið),
• halda skrá yfir einstaklinga eða hópa einstaklinga sem hafa heimild til að koma inn á hvert svæði,
• setja reglur og leiðir til að hafa eftirlit með aðgangi gesta, a.m.k. með því að hafa gesti í fylgd með einstaklingi frá stofnuninni utan almennra svæða,
• tölvubúnaðurinn ver líkamlega með sérstökum aðferðum (sérhæft slökkvikerfi, landhæð gegn mögulegu flóði, óþarfa aflgjafa og/eða loftræstingu o.s.frv.).

Hvað á ekki að gera

Vanræksla eða vanræksla á viðhaldi umhverfi miðlara herbergisins (loftkæling, UPS, o.s.frv.). Bilun í þessum búnaði leiðir oft til stöðvunar á vélum eða opnun aðgangs að herbergjunum (loftstreymi), sem í raun gerir öryggisráðstafanirnar óvirkar.

Að ganga lengra

Rétt kann að vera að halda skrá yfir aðgang að herbergjum eða skrifstofum sem geyma efni sem innihalda persónuupplýsingar sem gætu haft alvarleg neikvæð áhrif á viðkomandi einstaklinga. Upplýsa þá sem meðhöndla gögn um framkvæmd slíks kerfis, eftir að hafa upplýst og ráðfært sig við fulltrúa starfsfólks.

Sjá einnig til þess að aðeins starfsfólk með tilskilda heimild sé heimilt á haftasvæðum. Til dæmis:

• innan haftasvæða, gera kröfu um að allir einstaklingar séu með sýnilegt auðkenni (símt),
• gestir (tæknilegir aðstoðarmenn o.s.frv.) ættu að hafa takmarkaðan aðgang. Skrá skal komu- og brottfarardag þeirra,
• reglulega endurskoða og uppfæra aðgangsheimildir til að tryggja svæði og fjarlægja þau eftir þörfum.

Í raun

• Fyrirtækið þitt sérhæfir sig í rafrænni verslun. Þú geymir persónuupplýsingar viðskiptavina sem hýstir eru á netþjónum í aðskildum húsnæði. Til að tryggja aðgang að þessum gögnum er aðgangur að þessum húsnæði varinn með merkilesara. Hins vegar brýst út eldur vegna skammhlaups. Þökk sé reykskynjara var slökkviliðið fljótt viðvörun og fær um að takmarka tap á gögnum.

Sannvotta notendur

Til að tryggja að notendur hafi aðeins aðgang að þeim gögnum sem þeir þurfa, ættu þeir að fá sérstakt auðkenni og ættu að sannvotta sig áður en þeir nota tölvuaðstöðuna.

Aðferðir til að ná persónuvottun eru flokkaðar eftir því hvort þær fela í sér:

• það sem við vitum, t.d. lykilorð;
• það sem við höfum, t.d. snjallkort;
• einkennandi fyrir einstaklinginn, t.d. hvernig handskrifuð undirskrift er rakin.

Val á kerfinu fer eftir samhengi og mismunandi þáttum. Sannvottun notanda telst sterk þegar hann notar samsetningu af að minnsta kosti tveimur af þessum flokkum.

Í raun

• Til þess að fá aðgang að öruggu herbergi með trúnaðarupplýsingum geturðu sett upp merkjalesara ("það sem við höfum") ásamt aðgangskóða ("það sem við vitum").

Hafa umsjón með leyfum

Mismunandi umfang leyfislýsinga ætti að koma til framkvæmda í samræmi við þarfir. Notendur ættu aðeins að hafa aðgang að gögnum á grundvelli þeirra þarfa að vita.

Góðar starfsvenjur við sannvottun og stjórnun leyfa:

• skilgreina einkvæmt auðkenni fyrir hvern notanda og banna reikninga sem nokkrir notendur deila. Ef notkun almennra eða samnýttra kennimerkja er óhjákvæmileg, að krefjast innri sannreyningar og innleiða aðferðir til að rekja þau (logs),
• leggja á notkun nægilega sterkra lykilorð flókið reglur (t.d. að minnsta kosti 8 stafir, hástafir og sérstafir);
• geyma lykilorð á öruggan hátt;
• fjarlægja úrelt aðgangsheimildir;
• endurskoða reglulega (t.d. á sex mánaða fresti),

Hvað á ekki að gera

• búa til eða nota reikninga deilt með nokkrum einstaklingum;
• veita stjórnanda réttindi til notenda sem þurfa ekki á þeim að halda;
• veita notanda meiri forréttindi en nauðsynlegt er;
• gleyma að fjarlægja tímabundið leyfi sem notanda er veitt (t.d. til að skipta út);
• gleymdu að eyða notendareikningum fólks sem hefur yfirgefið stofnunina eða skipt um störf.

Að ganga lengra

Koma á fót, skjalfesta og endurskoða reglulega allar stefnur um aðgangsstýringu, eins og þær tengjast meðhöndluninni sem fyrirtækið/stofnunin framkvæmir, sem ætti að fela í sér:

• verklagsreglur sem beita skal kerfisbundið við komu, brottför eða breytingu á framsali einstaklings með aðgang að persónuupplýsingum,
• afleiðingarnar fyrir einstaklinga með lögmætan aðgang að gögnunum ef ekki er farið að verndarráðstöfunum,
• ráðstafanir til að takmarka og hafa eftirlit með úthlutun og notkun aðgangs að vinnslunni.

Í raun

• Þegar nýr starfsmaður gengur í félagið verður þú að búa til nýjan sérstakan notandareikning með sterku lykilorði. Starfsmenn ættu ekki að deila persónuskilríkjum sínum með hver öðrum, sérstaklega ef þeir hafa ekki sömu faggildingu. Ef þeir breyta um stöðu ættir þú að fara yfir aðgangsheimildir þeirra til tiltekinna skráa eða kerfa.

Gögn um dulnefni

Dulnefni er vinnsla persónuupplýsinga á þann hátt að ekki sé lengur hægt að rekja persónuupplýsingarnar til tiltekins einstaklings án þess að nota viðbótarupplýsingar. Slíkar viðbótarupplýsingar verður að geyma sérstaklega og falla undir tæknilegar og skipulagslegar ráðstafanir.

Í reynd felst dulnefni í stað gagna sem auðkenna beint (nafn, eiginnafn, persónunúmer, símanúmer o.s.frv.) í gagnasafni sem auðkennir gögn óbeint (öðru nafni, raðtölu o.s.frv.). Það gerir það mögulegt að vinna úr gögnum einstaklinga án þess að vera fær um að bera kennsl á þá á beinan hátt. Hins vegar er hægt að rekja auðkenni þessara einstaklinga þökk sé viðbótargögnum. Sem slík eru dulnefnaðar upplýsingar enn persónuupplýsingar og eru háðar GDPR. Dulnefni er einnig afturkræft, ólíkt nafnleynd.

Dulnefni er ein af þeim ráðstöfunum sem GDPR mælir með til að takmarka þá áhættu sem tengist vinnslu persónuupplýsinga.

Sérstakar aðstæður

Öryggisráðstafanir vegna fjarvinnslu

Í tengslum við fjarvinnslu er nauðsynlegt að tryggja öryggi unninna gagna en virða jafnframt friðhelgi einkalífs einstaklinga.

Hvað á að gera:

• Gefa út fjarskiptaöryggisstefnu eða a.m.k. setja lágmarksreglur sem ber að virða og senda þetta skjal til starfsmanna samkvæmt innri reglum þínum;
• Ef þú þarft að breyta viðskiptareglum upplýsingakerfisins til að gera fjarvinnslu mögulega (t.d. að breyta reglum um heimild, aðgang fjarstjórnanda o.s.frv.) skaltu íhuga áhættuna sem fylgir og, ef nauðsyn krefur, gera ráðstafanir til að viðhalda öryggisstigi;
• Búðu til vinnustöðvar allra starfsmanna þinna með að minnsta kosti eldvegg, vírusvarnarhugbúnaði og tól til að loka fyrir aðgang að illgjarnum vefsvæðum. Ef starfsmenn geta notað eigin búnað, veita leiðbeiningar til að tryggja það (sjá "Öryggisráðstafanir fyrir BYOD");
• Settu upp VPN til að koma í veg fyrir beina útsetningu á þjónustu þinni við internetið þegar mögulegt er. Virkja tveggja þátta VPN-staðfestingu ef mögulegt er;
• Gefðu starfsmönnum þínum lista yfir samskipta- og samstarfsverkfæri sem henta fjarvinnu, sem tryggir trúnað um skipti og samnýtt gögn. Veldu verkfæri sem þú stjórnar og tryggir að þau veiti a.m.k. nýjustu sannvottun og dulkóðun fjarskipta og að gögnin í flutningi séu ekki endurnotuð í öðrum tilgangi (vöruumbætur, auglýsingar o.s.frv.). Sum neytendahugbúnaður getur sent notandagögn til þriðja aðila og því er hann sérstaklega óhæfur til fyrirtækjanotkunar.

Öryggisráðstafanir fyrir BYOD (Bring eigin tæki)

Með þróun BYOD, sérstaklega í litlum og meðalstórum fyrirtækjum, eru mörkin milli atvinnulífs og einkalífs að hverfa. Jafnvel þótt BYOD standi ekki í sjálfu sér fyrir vinnslu persónuupplýsinga er enn nauðsynlegt að tryggja gagnaöryggi.

Skammstöfunin "BYOD" stendur fyrir "Bring Your Own Device" og vísar til notkunar einkatölvubúnaðar í faglegu samhengi. Dæmi um þetta væri starfsmaður sem notar persónulegan búnað eins og tölvu, spjaldtölvu eða snjallsíma til að tengjast neti fyrirtækisins.

Möguleikinn á að nota persónuleg verkfæri er fyrst og fremst spurning um val vinnuveitanda og landslöggjöf. GDPR krefst þess að öryggi persónuupplýsinga sem unnið er með sé það sama, óháð því hvaða búnaður er notaður. Atvinnurekendur bera ábyrgð á öryggi persónuupplýsinga fyrirtækisins, þ.m.t. þegar þær eru geymdar á skautum þar sem þeir hafa ekkert líkamlegt eða lagalegt eftirlit með, en notkun þeirra hefur heimild til að fá aðgang að upplýsingatækniauðlindum fyrirtækisins.

Áhættan sem það er nauðsynlegt til að vernda fyrirtæki þitt er allt frá einskipti árás á aðgengi, heilleika og trúnað gagna til almennra málamiðlunar á upplýsingakerfi fyrirtækisins (innbrot, veira, o.s.frv.).

Gátlisti sem dæmi

Dæmi um hvernig gátlisti til að bæta öryggisstig í fyrirtækinu þínu gæti litið út eins og:

• Upplýsa og fræða þá sem meðhöndla gögn reglulega um áhættu sem tengist persónuvernd
• Setja upp innri stefnu og veita henni bindandi kraft
• Innleiða gagnavernd eftir hönnun og sjálfgefið
• Ganga úr skugga um að gögnin sem unnin eru séu fullnægjandi, viðeigandi og takmarkist við það sem nauðsynlegt er (lágmörkun gagna)
• Innleiða stefnu um flokkun upplýsinga fyrir trúnaðargögn
• Setja sérstaka ábendingu um skjöl sem innihalda viðkvæm gögn
• Framkvæma upplýsingaöryggisþjálfun og vitundarvakningu ásamt reglubundnum áminningum.
• Undirrita trúnaðarsamning við starfsmenn þína eða fela í sér sérstök trúnaðarákvæði
• Veita sjálfvirka lotulás, uppfærðan eldvegg og antivirus, öryggisafrit fyrir notendur
• Takmarka líkamlega tengingu (USB prik, ytri harða diska, o.fl.) við nauðsynjar
• Að vernda athafnasvæði fyrirtækisins (t.d. innbrotsviðvörunarbúnað, reykskynjara, verndaða lykla, aðgreind herbergi í samræmi við áhættuna, heimildir til aðgangs að tilteknum svæðum, sérstakt slökkvikerfi)
• Gefa notendum sérstakt auðkenni
• Krefjast sannvottunar til að fá aðgang að tölvuaðstöðu
• Stjórna heimildum (t.d. aðskilin snið í samræmi við þarfir, einstakt auðkenni, sterk lykilorð)
• Gefa út öryggisstefnu um fjarvinnu
• Fjarlægja úrelt aðgangsheimildir
• Endurskoða leyfin reglulega
• Dulnefni eða nafnlaus gögn til að takmarka endurauðkenningu einstaklinga
• Dulkóða gögn til að koma í veg fyrir óheimilan aðgang
• Setja upp VPN fyrir síma
• Gakktu úr skugga um að tryggja persónuleg tæki sem notuð eru til vinnu (BYOD)