Mens vi nærmer os et årsdagen for implementeringen af GDPR, kæmper mange organisationer stadig med at overholde denne skelsættende lovgivning.
Faktisk viste en nylig undersøgelse foretaget af Forrester, at over halvdelen af de adspurgte ikke havde taget alle de nødvendige skridt til at overholde reglerne, selv om fristen i maj var overskredet.
Det har vist sig at være langt mere udfordrende at overholde lovgivningen, end nogle organisationer oprindeligt havde forventet. Der er ofte store datamængder fordelt på en lang række platforme, uendelige adgangspunkter og en stigning i antallet af anmodninger om data har lagt ekstra pres på organisationer, der kæmper for at få orden i tingene.
At påvise overholdelse af GDPR er en løbende proces, og organisationer skal løbende identificere og håndtere risici for privatlivets fred og sikkerhed for at sikre, at de er på den rigtige side af loven og ikke hæfter for de store bøder, der kan blive pålagt som følge af manglende overholdelse.
Siden maj sidste år er der blevet udstedt 91 bøder for overtrædelser af GDPR, men bøden på 50 millioner euro til Google er den største til dato. De større organisationer er blevet hårdest ramt af de økonomiske sanktioner, men for de fleste virksomheder har virkningen endnu ikke været mærkbar.
Konsekvenserne af manglende overholdelse er dog meget reelle, og hvis organisationer overtræder lovgivningen, kan de risikere at få forkrøblede bøder, skade deres omdømme og en øget risiko for cyberangreb.
Der er dog en række skridt, som organisationer kan tage for at sikre, at de er på rette vej mod GDPR-overholdelse:
Toptips til overholdelse af GDPR
1. Udfør regelmæssige revisioner og risikovurderinger
GDPR specificerer, at organisationer skal foretage regelmæssige revisioner af databehandlingsaktiviteter og overholde et sæt databeskyttelsesprincipper, som vil bidrage til at beskytte data. Organisationer skal fastlægge:
- Hvilke data indsamles der?
- Hvor stammer dataene fra?
- Hvorfor indsamles dataene?
- Hvordan behandles det?
- Hvor længe opbevares dataene?
- Hvor overføres dataene til?
- Er alle data nødvendige?
- Hvem har adgang til dataene?
For at forhindre databrud bør organisationer minimere adgangen til følsomme data og reducere antallet af steder, hvor data opbevares fysisk, for at undgå databrud.
Ved at foretage regelmæssige revisioner kan organisationer sikre, at der er etableret en passende ramme for at beskytte kundernes personligt identificerbare oplysninger og mindske eventuelle risici.
2. Uddannelse af personalets bevidsthed
I GDPR står der, at medarbejdere skal modtage regelmæssig uddannelse i informationssikkerhed for medarbejdere. Denne uddannelse er afgørende for at sikre, at medarbejderne har kendskab til virksomhedens politikker, regler og de lovkrav, der gælder for deres daglige rolle.
Organisationer skal bevise, at medarbejderne har læst og forstået GDPR-politikkerne. Når organisationer kan fremlægge dette bevis, er de i en stærk position til at demonstrere, at "privatlivets fred" er blevet en integreret del af deres daglige forretning. eLearning er en af de bedste måder at sikre, at personalet fuldt ud forstår GDPR-politikken.
3. Implementere et effektivt system til forvaltning af politikker
Overholdelse kan vise sig at være en umulig opgave ved hjælp af eksisterende kommunikationsmetoder som e-mail og virksomhedens intranet. Men ved hjælp af software til politikstyring kan organisationer strømline interne processer, påvise overholdelse af lovkrav og effektivt målrette de områder, der udgør den største risiko for datasikkerheden.
Et politikstyringssystem giver organisationer en brugervenlig, centraliseret løsning til at oprette, opbevare og distribuere vigtige politikdokumenter. Et effektivt politikstyringssystem har en ensartet metode til at oprette politikker, giver struktur til virksomhedens procedurer og gør det lettere at følge overholdelsen af reglerne.
4. Udarbejd en plan for reaktion på hændelser
I henhold til GDPR skal alle organisationer offentliggøre alle brud på persondatasikkerheden til den relevante tilsynsmyndighed inden for 72 timer efter opdagelsen. For effektivt at kunne efterkomme denne anmodning skal organisationer have en plan på plads, der gør det muligt for dem at reagere på enhver hændelse på en hurtig, planlagt og koordineret måde.
Planen bør skitsere, hvilke skridt der skal tages, og specifikke personer i organisationen bør have definerede roller og ansvarsområder, så de effektivt kan træffe beslutninger og håndtere situationen i overensstemmelse hermed.
Etablering af en beredskabsplan for hændelser vil bidrage til at uddanne og informere personalet, forbedre de organisatoriske strukturer, forbedre kundernes og interessenternes tillid og reducere de potentielle finansielle konsekvenser efter en større hændelse.
5. Forsvar alle adgangspunkter
For at opnå fuld overholdelse af GDPR skal organisationer sikre, at alle slutpunkter er beskyttet. Desværre er et stort antal databrud, der kan undgås, et resultat af upatchede systemer. Der opdages hele tiden nye sårbarheder, og medmindre der anvendes patches, vil hackere udnytte disse sårbarheder til at bryde ind i et netværk.
For at kunne dokumentere, at de overholder reglerne, skal organisationer vise, at de har taget alle de nødvendige skridt til at sikre deres systemer. Revisorer kan kræve rapporter om, hvilke patches der er blevet anvendt og hvornår, så det er vigtigt, at organisationer har de rette systemer til at dokumentere nøjagtigt, hvilke patches der er blevet udstedt. Patches er afgørende for at holde maskinerne opdaterede, stabile og sikre mod malware og andre trusler.
MetaPrivacy er designet til at levere den bedste praksis for overholdelse af databeskyttelse. Kontakt os for yderligere oplysninger om, hvordan vi kan hjælpe din organisation med at forbedre sin struktur for overholdelse af reglerne.
DISCLAIMER: Indholdet og udtalelserne i denne blog er kun til oplysningsformål. De er ikke ment som juridisk eller anden professionel rådgivning og bør ikke anvendes eller behandles som erstatning for specifik rådgivning, der er relevant for særlige omstændigheder, databeskyttelsesloven eller anden nuværende eller fremtidig lovgivning. MetaCompliance påtager sig intet ansvar for eventuelle fejl, udeladelser eller misvisende udtalelser eller for tab, der måtte opstå som følge af tillid til materialet i denne blog.
