Застраховател, който предлага киберстраховка, обикновено иска комбинация от документи: преглед на личните данни, които обработвате, и на какво служат те, описание на вашите технически и организационни мерки за сигурност, доказателство, че имате договорки с доставчици, които обработват данни от ваше име, и протокол за случай, когато нещо се обърка. Някои застрахователи искат това отделно, други го обработват в един цифров въпросник.
Не съществува законно предписан списък с документи за киберстраховка. Самата Регламент (EU) 2016/679 налага отговорност за отчетност: организацията трябва да може да покаже, че мисли за защитата на личните данни и че има нещата в ред. Как тази отчетност ще изглежда, се определя от застрахователя самия, не от закона. Това е точно детайлът, който най-често се пропуска в този момент на закупуване: предприемачите ищат формуляра или сертификата, който е достатъчен, докато застрахователите на практика преди всичко желаят да видят, че има един кохерентен набор.
Какво обикновено иска да види застраховател
Основата на повечето въпросници е регистър на дейностите по обработка на данни: преглед на личните данни, които обработвате, с каква цел, как дълго ги съхранявате и кой има достъп до тях. Освен това често се пита за договорите с лица, които обработват данни от ваше име, като вашия счетоводен пакет, вашата HR система или маркетингов инструмент. Трета повтаряща се част е протоколът за нарушение на данни: как разпознавате инцидента, кого информирате в рамките на вашата организация и как оценявате дали е необходимо съобщение до органа за защита на личните данни. Всеки, който се колеба дали едно събитие попада под това, може да види в няколко въпроса където приблизително стои една ситуация.
Застрахователите често гледат и отвъд Регламент (EU) 2016/679. Въпросите относно резервни копия, политика на пароли, двуфакторна аутентификация и кой в компанията има достъп до кои системи са част от информационната сигурност в по-широк смисъл. Това се припокрива с поверителност, но не е същото: дадена компания може да има прекрасен регистър на дейностите по обработка на данни и да имате слаба техническа сигурност, или обратното. Преглед на мерките, които всъщност сте предприели, помага да свържете двете; вижте също как се гледа това при оценяване на данните и поверителността.
Защо отчетността е нещо друго от един сертификат
Често чувана въпрос е дали ISO сертификат или друг сертификат замества доказателството, което застраховател ище. Един сертификат може да бъде взет предвид, но рядко замества въпроса за вашата конкретна ситуация: какви данни обработва именно тази компания, с кои доставчици работи и какво се случва, ако нещо се обърка. Надзорните органи и застрахователите разглеждат в това отношение подобни неща, но с различна цел: надзорният орган оценява съответствието с закона, застрахователят прецени риск преди да издаде полица. Тази разлика обяснява защо двама застрахователи понякога искат малко различни документи, докато основата – регистърът, договорките, протоколът – винаги е същата.
Какво можете да подготвите от напред
Разумно е да започнете с това, което вече съществува: какъв софтуер и доставчици използва вашата компания и има ли договор с тях. След това е въпрос на фиксиране какво всъщност се случва: кои данни стоят където, кой може да ги достъпи и как дълго се съхранява. За компании, които картографират това за първи път, един структуриран преглед на често задавани въпроси е добър стартова точка; вижте отговори на въпроси, които по-често се появяват при подобни заявки.
Ако предпочитате първо да разберете как се изграждат такива документни списъци и на какво се основава информацията, можете да го прочетете в знаниевата база. Там по всяка тема има кратък отговор с указание на място в официалния текст, за да можете сами да проверите откъде идва едно изискване; вижте например в уроци с обяснение по тема преди да разговаряте с застраховател.
От отделни документи към текущ регистър
Най-трудната част на този момент на покупка не е съставянето на един документ, а поддържането му в актуално състояние. Регистър на дейностите по обработка на данни, създаден преди година и никога не актуализиран оттогава, често вече не съответства на инструментите, които едно предприятие междувременно използва. Система, която позволява регистърът да расте паралелно с действително използвания софтуер и която отслежда кои договори за обработка на данни все още липсват, спестява време в момента, когато застраховател внезапно го поиска.
Дали това е проблем за вашето предприятие в момента и кои конкретни документи имате нужда, е нещо, което е най-добре да обсъдите със самия застраховател или с консултант; тази статия дава обяснение, не правна консултация относно вашия конкретен полис.
Искате ли първо сами да видите как е предприятието ви? Безплатното бързо сканиране дава индикация в няколко въпроса, а в знаниевата база ще намерите по всяка тема краткия отговор с указание на място. Ако след това искате да поддържате регистъра и наблюдението структурирано, прочетете на колко струва системата наоколо какво включва.