Технические и организационные меры (TOM) на практике

Коротко: TOM — меры защиты, которыми компания обеспечивает безопасность персональных данных: от прав доступа и шифрования до обучения и планов на случай чрезвычайных ситуаций.

Подробнее: Ст. 32 GDPR требует «надлежащих технических и организационных мер» в зависимости от уровня техники, расходов, характера и объёма обработки и риска для субъектов данных. Поэтому в договорах (обработка данных), документации по конфиденциальности и аудитах всегда появляется список TOM. Это общая информация, а не юридическая консультация; законы меняются, а отдельные случаи могут отличаться. При конкретных проблемах помогает консультация (консультации для потребителей, адвокат, орган по защите данных).

Подробности

Технические меры (примеры)

• Шифрование данных в покое и при передаче (TLS, шифрование дисков/баз данных).
• Контроль доступа: учётные записи, роли и права, двухфакторная аутентификация, политики паролей, блокировка после неудачных попыток.
• Псевдонимизация/анонимизация.
• Журналирование и мониторинг.
• Резервные копии и тесты восстановления, устойчивость.
• Межсетевые экраны, обновления/управление исправлениями, антивирус, сегментация сети.
• Разделение тестовых/производственных данных, разделение арендаторов.

Организационные меры (примеры)

• Политики (конфиденциальность, пароли, чистый стол, мобильные устройства).
• Обучение и обязательство конфиденциальности работников.
• Концепция авторизации (необходимость знать), процессы приёма/увольнения.
• Соглашения об обработке данных с поставщиками услуг, проверка поставщиков.
• Процесс реагирования на чрезвычайные ситуации и сообщения об утечках данных (72 часа).
• Концепция удаления и сроки хранения.
• Правила для посетителей, система запирания, уничтожение документов.
• Регулярная проверка и документирование (проверять эффективность).

Структурирование по целям защиты

TOM часто структурируют по целям: конфиденциальность (вход, доступ, контроль авторизации, разделение), целостность (передача, контроль ввода), доступность и устойчивость (резервное копирование, восстановление), процедуры регулярной проверки. Так их можно отнести к риску, определённому, например, оценкой потребности в защите.

Практика для малых предприятий

Начните с короткого списка фактически реализованных мер: менеджер паролей, обновления, резервные копии, шифрование устройств, двухфакторная аутентификация, права доступа, обучение, шаблоны договоров. Документируйте честно, что действительно выполняется, а не списки пожеланий. Пересматривайте не реже раза в год. Шаблоны предоставляют надзорные органы, BSI Grundschutz, отраслевые объединения.

См. также: Оценка потребности в защите, Соглашение об обработке данных (AVV), Утечка данных и обязанность уведомления, ISO 27001 и BSI Grundschutz