Zabezpiecz dane osobowe

Bezpieczeństwo: jak wysoka jest stawka?

Konsekwencje braku bezpieczeństwa mogą być bardzo poważne: przedsiębiorstwa widzą, że ich wizerunek ulega pogorszeniu, tracą zaufanie konsumentów, muszą płacić znaczne kwoty, aby odzyskać dane po incydencie związanym z bezpieczeństwem (na przykład po naruszeniu ochrony danych) lub doświadczają przerwy w swojej działalności. Bezpieczeństwo danych osobowych leży w interesie zarówno osób fizycznych, jak i organizacji przetwarzających dane.

Aby ocenić ryzyko generowane przez każdą operację przetwarzania, w pierwszej kolejności należy określić potencjalny wpływ na prawa i wolności osób fizycznych, których sprawa dotyczy. Chociaż organizacje muszą chronić swoje dane (osobowe lub inne) ze względu na swój własny interes, to poniższe informacje koncentrują się na ochronie danych osób fizycznych.

Bezpieczeństwo danych obejmuje trzy główne elementy: ochronę integralności, dostępności oraz poufności danych. W związku z powyższym organizacje powinny oceniać ryzyko w odniesieniu do:

1. nieuprawniony lub przypadkowy dostęp do danych - naruszenie poufności (np. kradzież tożsamości po ujawnieniu odcinków wypłaty wszystkich pracowników firmy);
2. nieuprawniona lub przypadkowa zmiana danych - naruszenie integralności (np. fałszywe oskarżenie osoby o wykroczenie lub przestępstwo w wyniku modyfikacji dzienników dostępu);
3. utrata danych lub utrata dostępu do danych - naruszenie dostępności (np. brak wykrycia interakcji lekowej z powodu braku dostępu do elektronicznej dokumentacji pacjenta).

Wskazane jest również zidentyfikowanie źródeł ryzyka (tj. kto lub co może być przyczyną każdego incydentu związanego z bezpieczeństwem?), z uwzględnieniem wewnętrznych i zewnętrznych źródeł ludzkich (np. administrator IT, użytkownik, napastnik zewnętrzny, konkurent) oraz wewnętrznych lub zewnętrznych źródeł niezwiązanych z człowiekiem (np. uszkodzenie za pomocą wody, materiały niebezpieczne, nieukierunkowany wirus komputerowy).

Taka identyfikacja źródeł ryzyka pozwoli zidentyfikować potencjalne zagrożenia (tj. jakie okoliczności mogłyby przyczynić się do wystąpienia incydentu związanego z bezpieczeństwem?) dla aktywów pomocniczych (np. sprzętu, oprogramowania, kanałów komunikacji, dokumentów papierowych itp.), które mogą być:

• wykorzystywane w niewłaściwy sposób (np. nadużywanie praw, niewłaściwa eksploatacja);
• zmodyfikowane (np. uwięzienie oprogramowania lub sprzętu - keylogger, instalacja złośliwego oprogramowania);
• utracone (np. kradzież laptopa, utrata pamięci USB);
• obserwowane (np. obserwacja ekranu w pociągu, geolokalizacja urządzeń);
• ich stan może ulec pogorszeniu (np. wandalizm, naturalne pogorszenie stanu);
• przeciążone (np. pełny dysk, atak typu „odmowa świadczenia usługi”).
• niedostępne (np. w przypadku oprogramowania ransomware).

Wskazane jest również:

• określenie istniejących lub planowanych środków przeciwdziałających każdemu ryzyku (np. kontrola dostępu, kopie zapasowe, identyfikowalność, bezpieczeństwo pomieszczeń, szyfrowanie);
• oszacowanie wagi i prawdopodobieństwa ryzyka na podstawie powyższych elementów (przykład skali, którą można wykorzystać do oszacowania: nieistotne, umiarkowane, znaczne, maksymalne);
• wdrożenie i weryfikacja planowanych środków, jeżeli istniejące i planowane środki zostaną uznane za odpowiednie, zapewnienie ich wdrożenia i monitorowania;
• przeprowadzanie okresowych audytów bezpieczeństwa: każdy audyt powinien prowadzić do opracowania planu działania, którego wdrażanie powinno być monitorowane na najwyższym szczeblu organizacji.

RODO wprowadza pojęcie „oceny skutków dla ochrony danych”, która jest obowiązkowa w przypadku każdego przetwarzania danych osobowych mogącego powodować wysokie ryzyko dla osób fizycznych. Ocena skutków dla ochrony danych musi zawierać środki przewidziane w celu przeciwdziałania zidentyfikowanym ryzykom, w tym zabezpieczenia, środki bezpieczeństwa i mechanizmy zapewniające ochronę danych osobowych.

W praktyce

• Aby mieć jaśniejszy obraz zagrożeń dla bezpieczeństwa, możesz na przykład utworzyć arkusz zarządzania ryzykiem i regularnie go aktualizować. Taki arkusz może zawierać informacje o ryzyku materialnym i ludzkim związanym z serwerami, komputerami lub obiektami. Odpowiednie przewidywanie ryzyka może pomóc w złagodzeniu skutków incydentu, jeśli do niego dojdzie.

Środki organizacyjne

Podnoszenie poziomu świadomości użytkowników

Istotne jest, aby pracownicy lub użytkownicy mający do czynienia z danymi osobowymi (podmioty zajmujące się danymi) byli świadomi zagrożeń związanych z prywatnością. Należy informować ich  o środkach podjętych w celu przeciwdziałania zagrożeniom i potencjalnych konsekwencjach w przypadku wystąpienia incydentu.

W praktyce

Podnoszenie poziomu świadomości użytkowników może przybrać formę:

• sesji informacyjnych;
• regularnej aktualizacji procedur związanych z funkcjami pracowników i podmiotów zajmujących się danymi;
• komunikacji wewnętrznej, przypomnień e-mailowych itp.

Innym środkiem ostrożności jest dokumentowanie procedur operacyjnych, aktualizowanie ich i zapewnienie łatwego dostępu do nich wszystkim właściwym podmiotom zajmującym się danymi. Konkretnie rzecz ujmując, wszelkie czynności związane z przetwarzaniem danych osobowych, niezależnie od tego, czy dotyczą czynności administracyjnych, czy też zwykłego korzystania z danej aplikacji, powinny być wyjaśnione jasnym językiem i dostosowane do każdej kategorii osoby zajmującej się danymi, w dokumentach, do których takie osoby mogą mieć wgląd.

Ustanowienie polityki wewnętrznej

Świadomość wewnętrznych podmiotów zajmujących się danymi można podnosić za pomocą dokumentu, który powinien być wiążący i spójny z regulacjami wewnętrznymi. Polityka wewnętrzna powinna w szczególności obejmować opis zasad ochrony danych i zasad bezpieczeństwa.

Inne środki organizacyjne

• Wdrożenie polityki klasyfikacji informacji, która określa kilka poziomów i wymaga oznaczania dokumentów i wiadomości e-mail zawierających dane poufne.
• Umieszczenie widocznych i wyraźnych informacji na każdej stronie dokumentu papierowego lub elektronicznego zawierającego dane poufne.
• Prowadzenie szkoleń w zakresie bezpieczeństwa informacji i sesji uświadamiających. Okresowe przypomnienia mogą być przekazywane za pośrednictwem poczty elektronicznej lub innych narzędzi komunikacji wewnętrznej.
• Podpisanie umowy o zachowaniu poufności lub zawarcie specjalnej klauzuli poufności dotyczącej danych osobowych w umowach z pracownikami oraz innymi podmiotami zajmującymi się danymi.

Środki techniczne

Bezpieczny sprzęt

Niezawodność systemów informatycznych jest kluczową kwestią, a jednym ze sposobów jej zapewnienia jest wdrożenie odpowiednich środków bezpieczeństwa, które zostały obowiązkowo wprowadzone w RODO.

W szczególności wskazane jest odpowiednie zabezpieczenie:

• sprzętu (np. serwery, stacje robocze, laptopy, dyski twarde);
• oprogramowania (np. system operacyjny, oprogramowanie biznesowe);
• kanałów komunikacji (np. światłowody, Wi-Fi, Internet);
• dokumentów papierowych (np. dokumenty drukowane, kopie);
• pomieszczeń.

Bezpieczne stacje robocze

Przy zabezpieczaniu stacji roboczych można rozważyć następujące działania:

• wdrożenie mechanizmu automatycznego blokowania sesji, gdy stacja robocza nie jest używana przez określony czas;
• zainstalowanie zapory ogniowej i ograniczenie możliwości otwierania portów komunikacyjnych wyłącznie do tych, które są absolutnie niezbędne do prawidłowego funkcjonowania aplikacji zainstalowanych na stacji roboczej;
• korzystanie z regularnie aktualizowanego oprogramowania antywirusowego i stosowanie polityki regularnej aktualizacji oprogramowania;
• skonfigurowanie oprogramowania w celu automatycznej aktualizacji zabezpieczeń, jeśli tylko jest to możliwe;
• zachęcanie użytkowników do przechowywania danych w przestrzeni dyskowej, w przypadku której są tworzone regularne kopie zapasowe, dostępnej za pośrednictwem sieci organizacji, a nie na stacjach roboczych. Jeżeli dane są przechowywane lokalnie, zapewnienie użytkownikom możliwości synchronizacji lub tworzenia kopii zapasowych oraz przeszkolenie ich w zakresie ich wykorzystania;
• ograniczenie możliwości podłączania nośników mobilnych (pamięci USB, zewnętrznych dysków twardych itp.) do urządzeń;
• wyłączenie funkcji autorun w nośnikach wymiennych.

Czego nie należy robić

• korzystać z przestarzałych systemów operacyjnych;
• przyznawać uprawnień administratora użytkownikom, którzy nie posiadają odpowiednich kompetencji w zakresie bezpieczeństwa komputerowego.

Dodatkowe zabezpieczenia

• zakaz korzystania z pobranych aplikacji, które nie pochodzą z bezpiecznych źródeł;
• ograniczenie korzystania z aplikacji, które wymagają praw administratora do działania;
• bezpieczne usunięcie danych ze  stacji roboczej przed ponownym jej przydzieleniem innej osobie;
• w przypadku ataku na stację roboczą – zidentyfikowanie źródła i wszelkich śladów włamania do systemu informatycznego organizacji w celu sprawdzenia, czy nie zostały także zagrożone inne elementy;
• monitorowanie bezpieczeństwa oprogramowania i sprzętu wykorzystywanego w systemie informatycznym organizacji;
• aktualizowanie aplikacji w przypadku wykrycia i naprawy krytycznych podatności;
• bezzwłoczne instalowanie krytycznych aktualizacji systemu operacyjnego poprzez planowanie cotygodniowych, automatycznych weryfikacji;
• promowanie wśród wszystkich użytkowników właściwego sposobu postępowania oraz udostępnienie listy osób, z którymi należy się skontaktować w przypadku incydentu związanego z bezpieczeństwem lub nietypowego zdarzenia mającego wpływ na systemy teleinformatyczne organizacji.

W praktyce

• Twoje biuro opiera się na koncepcji open space i masz wielu pracowników, ale także wielu gości. Dzięki automatycznej blokadzie sesji nikt spoza firmy nie ma dostępu do komputera pracownika będącego na przerwie ani nie widzi, nad czym ten pracuje. Ponadto, zapora ogniowa i aktualny program antywirusowy chronią pracowników podczas przeglądania Internetu i ograniczają ryzyko włamania na serwery. Im więcej środków wdrożysz, tym trudniej jest osobom o złych zamiarach lub nieprzywiązującym uwagi do bezpieczeństwa pracownikom wyrządzić szkodę.

Chroń obiekty firmy

Dostęp do obiektów musi być kontrolowany w celu uniemożliwienia lub spowolnienia bezpośredniego, nieuprawnionego dostępu do dokumentacji papierowej lub sprzętu komputerowego, a w szczególności serwerów.

Jak należy postępować:

• zainstaluj alarmy włamaniowe i okresowo je sprawdzaj;
• zainstaluj czujniki dymu i sprzęt przeciwpożarowy oraz przeprowadzaj ich coroczne kontrole;
• odpowiednio zabezpiecz klucze używane do dostępu do pomieszczeń oraz kody alarmowe;
• wydziel strefy ryzyka w budynkach (np. zapewnij dedykowaną kontrolę dostępu do pomieszczenia komputerowego);
• prowadź wykaz osób fizycznych lub kategorii osób fizycznych upoważnionych do wejścia na każdy obszar;
• określ zasady i środki kontroli dostępu dla odwiedzających, zapewniając przynajmniej, aby gościom znajdującym się poza obszarami publicznymi towarzyszyła osoba z organizacji;
• fizycznie chroń sprzęt komputerowy za pomocą konkretnych środków (dedykowany system przeciwpożarowy, umieszczenie sprzętu na podwyższeniu w celu zabezpieczenia przed ewentualnym zalaniem, nadmiarowe źródło zasilania i/lub klimatyzacja itp.).

Jak nie należy postępować

Niedostateczne wymiary lub zaniedbanie konserwacji pomieszczenia serwerowni (klimatyzacja, UPS itp.). Awaria tych instalacji często skutkuje wyłączeniem maszyn lub swobodnym dostępem do pomieszczeń (obieg powietrza), co de facto neutralizuje środki bezpieczeństwa.

Dodatkowe zabezpieczenia

Należy rozważyć prowadzenie rejestru dostępu do pomieszczeń lub biur, w których znajdują się materiały zawierające dane osobowe, które mogłyby mieć poważny negatywny wpływ na osoby fizyczne, których sprawa dotyczy. Poinformuj osoby zajmujące się danymi o wdrożeniu takiego systemu, po uprzednim poinformowaniu i skonsultowaniu się z przedstawicielami personelu.

Należy również upewnić się, że dostęp do obszarów o ograniczonym dostępie ma jedynie odpowiednio upoważniony personel. Na przykład:

• na obszarach o ograniczonym dostępie wymagaj od wszystkich osób noszenia widocznych środków identyfikacji (identyfikatorów);
• goście (personel wsparcia technicznego itp.) powinni mieć ograniczony dostęp. Należy odnotować datę i godzinę ich przybycia i wyjścia;
• regularnie analizuj i aktualizuj uprawnienia dostępowe w celu zabezpieczenia poszczególnych obszarów i w razie potrzeby je wycofuj.

W praktyce

• Twoja firma specjalizuje się w handlu internetowym. Przechowujesz dane osobowe klientów na serwerach znajdujących się w oddzielnych pomieszczeniach. W celu zabezpieczenia dostępu do tych danych, wejście do owych pomieszczeń jest chronione czytnikiem identyfikatorów. W wyniku zwarcia dochodzi do pożaru. Dzięki czujnikowi dymu straż pożarna została szybko powiadomiona i była w stanie ograniczyć zakres utraconych danych.

Uwierzytelnianie użytkowników

Aby zapewnić użytkownikom dostęp wyłącznie do niezbędnych im danych, powinni oni otrzymać niepowtarzalny identyfikator i powinni uwierzytelniać się przed rozpoczęciem korzystania z urządzeń komputerowych.

Mechanizmy służące do uwierzytelniania personelu dzielą się na różne kategorie w zależności od tego, czy dotyczą:

• tego, co wiemy, np. hasło;
• tego, co mamy, np. inteligentną kartę;
• cech charakterystycznych dla danej osoby, na przykład sposób składania odręcznego podpisu.

Wybór odpowiedniego mechanizmu zależy od kontekstu i wielu innych czynników. Metoda uwierzytelniania użytkownika jest uważane za silną, jeśli wykorzystuje kombinację co najmniej dwóch z powyższych elementów.

W praktyce

• Aby uzyskać dostęp do bezpiecznego pomieszczenia zawierającego informacje poufne, można zainstalować czytnik identyfikatorów („co mamy”) wraz z kodem dostępu („co wiemy”).

Zarządzanie uprawnieniami

W zależności od potrzeb należy wdrażać zróżnicowane poziomy uprawnień. Użytkownicy powinni mieć dostęp wyłącznie do tych danych, które są im niezbędne.

Dobre praktyki w zakresie uwierzytelniania i zarządzania uprawnieniami:

• przypisanie niepowtarzalnego identyfikatora dla każdego użytkownika i zakazanie współdzielenia kont przez kilku użytkowników. Jeżeli nie można uniknąć stosowania identyfikatorów ogólnych lub współdzielonych, należy wymagać ich wewnętrznej walidacji oraz wdrożenia środków ich śledzenia (logów);
• narzucenie stosowania wystarczająco silnych haseł (np. co najmniej 8 znaków, z wielkimi literami i znakami specjalnymi);
• bezpieczne przechowywanie haseł;
• wycofanie wygasłych uprawnień dostępowych ;
• regularne przeprowadzanie analiz  (np. co sześć miesięcy);

Jak nie należy postępować

• tworzenie lub korzystanie przez kilka osób z kont współdzielonych;
• przyznanie uprawnień administratora użytkownikom, którzy ich nie potrzebują;
• przyznanie użytkownikowi bardziej rozległych niż jest to konieczne uprawnień;
• zapomnienie o wycofaniu tymczasowych uprawnień użytkownika (np. w przypadku zastępstwa)
• zapomnienie o usunięciu konta osoby, która odeszła z organizacji lub zmieniła pracę.

Dodatkowe zabezpieczenia

Ustanowienie, udokumentowanie i regularna analiza wszelkich zasad kontroli dostępu w odniesieniu do działań wdrożonych przez organizację, które powinny obejmować:

• procedury, które należy systematycznie stosować po przyjęciu, odejściu lub zmianie przydziału osoby mającej dostęp do danych osobowych;
• konsekwencje dla osób fizycznych mających zgodny z prawem dostęp do danych w przypadku braku przestrzegania środków bezpieczeństwa;
• środki mające na celu ograniczenie i kontrolę przydziału i wykorzystania dostępu do przetwarzania.

W praktyce

• Kiedy nowy pracownik dołącza do firmy, musisz utworzyć nowe dedykowane konto użytkownika z silnym hasłem. Pracownicy nie powinni dzielić się swoimi danymi do uwierzytelniania, zwłaszcza jeśli nie korzystają z tej samej akredytacji. Jeśli zmienią stanowisko, należy przeanalizować ich uprawnienia dostępu do określonych plików lub systemów.

Pseudonimizacja danych

Pseudonimizacja polega na przetworzeniu danych osobowych w taki sposób, by nie było już możliwe przypisanie ich konkretnej osobie fizycznej bez wykorzystania dodatkowych informacji. Takie dodatkowe informacje muszą być przechowywane oddzielnie i podlegać środkom technicznym i organizacyjnym.

W praktyce, pseudonimizacja polega na zastąpieniu danych bezpośrednio identyfikujących (nazwisko, imię, numer osobisty, numer telefonu itp.) w zbiorze danych danymi identyfikującymi pośrednio (pseudonimami, numerem porządkowym itp.). Umożliwia ona przetwarzanie danych osób fizycznych bez możliwości ich bezpośredniej identyfikacji. Dzięki dodatkowym danym możliwe jest jednak przypisanie tożsamości tym osobom. W związku z powyższym, dane spseudonimizowane są nadal danymi osobowymi i podlegają RODO. Pseudonimizacja jest również odwracalna, w przeciwieństwie do anonimizacji.

Pseudonimizacja jest jednym ze środków zalecanych przez RODO w celu ograniczenia ryzyka związanego z przetwarzaniem danych osobowych.

Sytuacje szczególne

Środki bezpieczeństwa dotyczące pracy zdalnej

W kontekście pracy zdalnej konieczne jest zagwarantowanie bezpieczeństwa przetwarzanych danych przy jednoczesnym poszanowaniu prywatności osób fizycznych.

Jak należy postępować:

• Należy opracować politykę bezpieczeństwa pracy zdalnej lub przynajmniej zestaw minimalnych zasad, których należy przestrzegać, i przekazać ten dokument pracownikom zgodnie z wewnętrznymi przepisami;
• Jeśli musisz zmienić zasady biznesowe swojego systemu informatycznego, aby umożliwić pracę zdalną (np. zmienić wymogi formalne, przyznać zdalny dostęp administratorowi itp.), rozważ związane z tym ryzyko i w razie potrzeby podejmij odpowiednie kroki w celu utrzymania poziomu bezpieczeństwa;
• Wyposaż wszystkie stacje robocze swoich pracowników co najmniej w zaporę ogniową, oprogramowanie antywirusowe i narzędzie do blokowania dostępu do złośliwych witryn. Jeżeli pracownicy mogą korzystać z własnego sprzętu, należy zapewnić wytyczne dotyczące jego zabezpieczenia (zob. „Środki bezpieczeństwa dotyczące własnych urządzeń”);
• Skonfiguruj VPN, aby w miarę możliwości uniknąć bezpośredniego kontaktu Twoich usług z Internetem. Jeśli jest to możliwe, włącz dwuetapowe uwierzytelnianie VPN;
• Przedstaw swoim pracownikom listę narzędzi do komunikacji i współpracy, które są przystosowane do pracy zdalnej i które gwarantują poufność wymiany oraz udostępniania danych. Wybierz narzędzia, które kontrolujesz i upewnij się, że zapewniają one co najmniej najnowocześniejsze sposoby uwierzytelniania i szyfrowania komunikacji oraz że przesyłane dane nie są ponownie wykorzystywane do innych celów (doskonalenie produktu, reklama itp.). Niektóre oprogramowanie konsumenckie może przekazywać dane użytkowników stronom trzecim, a zatem jest szczególnie nieodpowiednie do użytku korporacyjnego.

Środki bezpieczeństwa dotyczące własnych urządzeń

Wraz z rosnąca popularnością korzystania z własnych urządzeń, zwłaszcza w MŚP, zanika granica między życiem zawodowym a osobistym. Nawet jeśli korzystanie z własnych urządzeń samo w sobie nie stanowi przetwarzania danych osobowych, to mimo wszystko należy zastosować odpowiednie działania w celu zapewnienia bezpieczeństwa danych.

Przykładem korzystania z własnego sprzętu komputerowego w kontekście zawodowym może być pracownik, który korzysta ze sprzętu osobistego, takiego jak komputer, tablet lub smartfon, aby połączyć się z siecią firmy.

Możliwość korzystania z narzędzi osobistych jest przede wszystkim kwestią wyboru pracodawcy i przepisów krajowych. RODO wymaga, aby poziom bezpieczeństwa przetwarzanych danych osobowych był taki sam, niezależnie od wykorzystywanego sprzętu. Pracodawcy są odpowiedzialni za bezpieczeństwo danych osobowych swojej firmy, w tym w sytuacjach, w których są one przechowywane na terminalach, nad którymi nie mają oni kontroli fizycznej ani prawnej, ale na korzystanie z których zezwolili w celu uzyskania dostępu do zasobów informatycznych firmy.

Zagrożenia, przed którymi należy chronić organizację obejmują zarówno jednorazowe ataki na dostępność, integralność i poufność danych, jak również próby ogólnego ataku na systemy informatyczne firmy (włamania, wirusy itp.).

Przykładowa lista kontrolna

Przykładowa lista kontrolna mająca na celu poprawę poziomu bezpieczeństwa w Twojej organizacji:

• Regularne informowanie i edukowanie osób zajmujących się danymi na temat zagrożeń związanych z prywatnością
• Ustanowienie polityki wewnętrznej i nadanie jej mocy wiążącej
• Wdrożenie ochrony danych już w fazie projektowania i domyślnej ochrony danych
• Upewnienie się, że przetwarzane dane są adekwatne, stosowne i ograniczone do tego, co niezbędne (minimalizacja danych)
• Wdrożenie polityki klasyfikacji informacji w odniesieniu do danych poufnych
• Umieszczenie konkretnej informacji na dokumentach zawierających dane wrażliwe
• Prowadzenie szkoleń w zakresie bezpieczeństwa informacji i sesji uświadamiających, wraz z okresowymi przypomnieniami.
• Podpisanie umowy o poufności ze swoimi pracownikami lub dołączenie do umowy konkretnych klauzul poufności
• Zapewnienie automatycznej blokady sesji, aktualizacja zapory ogniowej i antywirusa, kopie zapasowe dysków dla użytkowników
• Ograniczenie fizycznego podłączania urządzeń (pamięci USB, zewnętrzne dyski twarde itp.) do minimum 
• Ochrona obiektów przedsiębiorstwa (np. alarmy włamaniowe, czujniki dymu, klucze chronione, klasyfikacja pomieszczeń w zależności od poziomu ryzyka, zezwolenia na dostęp do określonych obszarów, dedykowany system przeciwpożarowy)
• Nadanie użytkownikom unikalnego identyfikatora 
• Wymaganie uwierzytelnienia celem uzyskania dostępu do urządzeń komputerowych
• Zarządzanie uprawnieniami (np. oddzielne profile w zależności od potrzeb, niepowtarzalny identyfikator, silne hasła)
• Wydanie polityki bezpieczeństwa pracy zdalnej
• Wycofanie przestarzałych uprawnień dostępowych
• Przeprowadzanie regularnych analiz uprawnień 
• Pseudonimizacja lub anonimizacja danych w celu ograniczenia ponownej identyfikacji osób fizycznych
• Szyfrowanie danych, aby zapobiec nieuprawnionemu dostępowi do nich
• Zainstalowanie VPN do pracy zdalnej
• wykorzystywane do pracy są odpowiednio zabezpieczone