Технічні й організаційні заходи (TOM) на практиці

Коротко: TOM — заходи захисту, якими компанія забезпечує безпеку персональних даних: від прав доступу та шифрування до навчання та планів на випадок надзвичайних ситуацій.

Докладніше: Ст. 32 GDPR вимагає «належних технічних і організаційних заходів» залежно від рівня техніки, витрат, характеру й обсягу обробки та ризику для суб’єктів даних. Тому в договорах (обробка даних), документації з конфіденційності та аудитах завжди з’являється список TOM. Це загальна інформація, а не юридична консультація; закони змінюються, а окремі випадки можуть відрізнятися. За конкретних проблем допомагає консультація (консультації для споживачів, адвокат, орган із захисту даних).

Подробиці

Технічні заходи (приклади)

• Шифрування даних у спокої та під час передачі (TLS, шифрування дисків/баз даних).
• Контроль доступу: облікові записи, ролі та права, двофакторна автентифікація, політики паролів, блокування після невдалих спроб.
• Псевдонімізація/анонімізація.
• Журналювання та моніторинг.
• Резервні копії і тести відновлення, стійкість.
• Міжмережеві екрани, оновлення/керування виправленнями, антивірус, сегментація мережі.
• Розділення тестових/виробничих даних, розділення орендарів.

Організаційні заходи (приклади)

• Політики (конфіденційність, паролі, чистий стіл, мобільні пристрої).
• Навчання та зобов’язання конфіденційності працівників.
• Концепція авторизації (потреба знати), процеси прийому/звільнення.
• Угоди про обробку даних з постачальниками послуг, перевірка постачальників.
• Процес реагування на надзвичайні ситуації та повідомлення про витоки даних (72 години).
• Концепція видалення та строки зберігання.
• Правила для відвідувачів, система замикання, знищення документів.
• Регулярна перевірка та документування (перевіряти ефективність).

Структурування за цілями захисту

TOM часто структурують за цілями: конфіденційність (вхід, доступ, контроль авторизації, розділення), цілісність (передача, контроль введення), доступність і стійкість (резервне копіювання, відновлення), процедури регулярної перевірки. Так їх можна віднести до ризику, визначеного, наприклад, оцінкою потреби в захисті.

Практика для малих підприємств

Почніть із короткого списку фактично реалізованих заходів: менеджер паролів, оновлення, резервні копії, шифрування пристроїв, двофакторна автентифікація, права доступу, навчання, шаблони договорів. Документуйте чесно, що справді виконується, а не списки побажань. Переглядайте не рідше разу на рік. Шаблони надають наглядові органи, BSI Grundschutz, галузеві об’єднання.

Див. також: Оцінка потреби в захисті, Угода про обробку даних (AVV), Витік даних і обов’язок повідомлення, ISO 27001 і BSI Grundschutz