Ένας ασφαλιστής που προσφέρει ασφάλεια κυβερνέτησης συνήθως ζητά ένα συνδυασμό εγγράφων: μια επισκόπηση των δεδομένων προσώπων που επεξεργάζεστε και για ποιο λόγο, μια περιγραφή των τεχνικών και οργανωτικών μέτρων ασφαλείας σας, στοιχεία ότι έχετε συμφωνήσει με προμηθευτές που επεξεργάζονται δεδομένα για λογαριασμό σας, και ένα πρωτόκολλο για την περίπτωση που κάτι πάει στραβά. Ορισμένοι ασφαλιστές το ζητούν ξεχωριστά, ενώ άλλοι το επεξεργάζονται σε ένα ενιαίο ψηφιακό ερωτηματολόγιο.
Δεν υπάρχει κανονιστικά προβλεπόμενη λίστα εγγράφων για ασφάλεια κυβερνέτησης. Ο ίδιος ο κανονισμός θέτει υποχρέωση λογοδοσίας: ένας οργανισμός πρέπει να δείξει ότι σκέπτεται την προστασία των δεδομένων προσώπων και ότι τα έχει διευθετήσει. Πώς φαίνεται η αποδεικτικότητα αποφασίζει ο ίδιος ο ασφαλιστής, όχι ο νόμος. Αυτή είναι ακριβώς η λεπτομέρεια που παραβλέπεται περισσότερο σε αυτό το σημείο αγοράς: οι επιχειρηματίες ψάχνουν για το ένα έντυπο ή το ένα πιστοποιητικό που αρκεί, ενώ στην πράξη οι ασφαλιστές θέλουν κυρίως να δουν ότι υπάρχει ένα συνεκτικό σύνολο.
Τι συνήθως θέλει να δει ένας ασφαλιστής
Ο πυρήνας των περισσότερων ερωτηματολογίων είναι ένα μητρώο επεξεργασίας: μια επισκόπηση των δεδομένων προσώπων που επεξεργάζεστε, με ποιο σκοπό, πόσο καιρό τα φυλάσσετε και ποιος έχει πρόσβαση σε αυτά. Επιπλέον, συχνά ζητείται σχετικά με τις συμφωνίες επεξεργασίας με κατόχους που επεξεργάζονται δεδομένα για λογαριασμό σας, όπως το λογιστικό πακέτό σας, το σύστημα ΑνθρώπινουΔυναμικού σας ή ένα εργαλείο μάρκετινγκ. Ένα τρίτο συνήθως εμφανιζόμενο στοιχείο είναι το πρωτόκολλο για παραβιάσεις δεδομένων: πώς αναγνωρίζετε ένα περιστατικό, ποιον ενημερώνετε εντός του οργανισμού σας και πώς αξιολογείτε εάν απαιτείται ειδοποίηση προς την αρχή προστασίας δεδομένων προσώπων. Όποιος αμφιβάλλει εάν ένα περιστατικό εμπίπτει σε αυτό, μπορεί να το δει σε μερικές ερωτήσεις πού βρίσκεται περίπου μια κατάσταση.
Οι ασφαλιστές κοιτάζουν επιπλέον συχνά πέρα από το μόνο κανονισμό. Ερωτήσεις σχετικά με αντίγραφα ασφαλείας, πολιτική κωδικών πρόσβασης, επαλήθευση δύο σταδίων και ποιος εντός της εταιρείας έχει πρόσβαση σε ποια συστήματα ανήκουν στην ασφάλεια πληροφοριών με ευρύτερη έννοια. Αυτό επικαλύπτεται με την προστασία δεδομένων, αλλά δεν είναι το ίδιο: μια εταιρεία μπορεί να έχει ένα καθαρό μητρώο επεξεργασίας και συγχρόνως ασθενή τεχνική ασφάλεια, ή αντιστρόφως. Μια επισκόπηση των μέτρων που ΈΧΕΤΕ πράγματι λάβει, βοηθά να συνδεθούν αυτά τα δύο· δείτε επίσης πώς εξετάζεται αυτό κατά την αξιολόγηση δεδομένων και προστασίας δεδομένων.
Γιατί η αποδεικτικότητα είναι κάτι διαφορετικό από ένα σήμα πιστοποίησης
Μια συχνή ερώτηση είναι εάν ένα πιστοποιητικό ISO ή ένα άλλο σήμα πιστοποίησης αντικαθιστά το στοιχείο που αναζητά ένας ασφαλιστής. Ένα πιστοποιητικό μπορεί να έχει βάρος, αλλά σπάνια αντικαθιστά τη ερώτηση σχετικά με τη δική σας κατάσταση: ποια δεδομένα προσώπων επεξεργάζεται ακριβώς αυτή η εταιρεία, με ποιους προμηθευτές συνεργάζεται και τι συμβαίνει εάν κάτι πάει στραβά. Οι ρυθμιστικές αρχές και οι ασφαλιστές εξετάζουν σε αυτό το σημείο παρόμοια πράγματα, αλλά με διαφορετικό σκοπό: η ρυθμιστική αρχή αξιολογεί την συμμόρφωση με το νόμο, ο ασφαλιστής εκτιμά ένα κίνδυνο πριν εκδώσει μια ασφάλεια. Αυτή η διαφορά εξηγεί γιατί δύο ασφαλιστές μερικές φορές ζητούν ελαφρώς διαφορετικά έγγραφα, ενώ η υποκείμενη βάση — το μητρώο, οι συμφωνίες, το πρωτόκολλο — είναι συνεχώς η ίδια.
Τι μπορείτε να προετοιμάσετε εκ των προτέρων
Είναι σκόπιμο να ξεκινήσετε με αυτό που υπάρχει ήδη: ποιο λογισμικό και ποιους προμηθευτές χρησιμοποιεί η εταιρεία σας, και υπάρχει μια συμφωνία επεξεργασίας ως αντίθετο. Στη συνέχεια, θέμα καταγραφής είναι τι συμβαίνει στην πράξη: ποια δεδομένα που βρίσκονται, ποιος μπορεί να έχει πρόσβαση και πόσο καιρό διατηρούνται. Για εταιρείες που το εξωραΐζουν για πρώτη φορά, ένα δομημένο ερωτηματολόγιο συχνών ερωτήσεων είναι ένα καλό σημείο εκκίνησης· δείτε απαντήσεις σε ερωτήσεις που συχνά προκύπτουν σε αιτήματα αυτού του είδους.
Όποιος προτιμά να κατανοήσει πρώτα πώς είναι δομημένη μια τέτοια λίστα εγγράφων και σε ποιες πληροφορίες βασίζεται, μπορεί να το διαβάσει στη βάση γνώσης. Εκεί υπάρχει ανά θέμα μια σύντομη απάντηση με την πηγή στο επίσημο κείμενο, ώστε να μπορείτε μόνοι σας να ελέγξετε από πού προέρχεται μια υποχρέωση· δείτε για παράδειγμα σε η τράπεζα γνώσης με εξηγήσεις ανά θέμα πριν μιλήσετε με έναν ασφαλιστή.
Από χαλαρά έγγραφα σε ένα τρέχον μητρώο
Το δυσκολότερο σε αυτή την αγοράστικη στιγμή δεν είναι η κατάρτιση ενός εγγράφου, αλλά η διατήρησή του ενημερωμένου. Ένα μητρώο δραστηριοτήτων επεξεργασίας που δημιουργήθηκε πριν από ένα χρόνο και δεν έχει ενημερωθεί από τότε, συχνά δεν ταιριάζει πλέον με τα εργαλεία που χρησιμοποιεί πλέον μια εταιρεία. Ένα σύστημα που αφήνει το μητρώο να αναπτύσσεται μαζί με το λογισμικό που χρησιμοποιείται στην πράξη, και που παρακολουθεί ποιες συμφωνίες με τρίτους επεξεργαστές λείπουν ακόμα, εξοικονομεί χρόνο όταν ένας ασφαλιστής το ζητήσει ξαφνικά.
Το αν αυτό παίζει ρόλο για την εταιρεία σας αυτή τη στιγμή και ποια έγγραφα χρειάζεστε συγκεκριμένα, είναι κάτι που καλύτερα να συζητήσετε με τον ίδιο τον ασφαλιστή ή με έναν σύμβουλο· αυτό το άρθρο προσφέρει διευκρίνιση, όχι νομικές συμβουλές σχετικά με τη συγκεκριμένη ασφάλειά σας.
Θέλετε να δείτε πρώτα σας πού βρίσκεται περίπου η εταιρεία σας; Η δωρεάν γρήγορη αξιολόγηση δίνει σε μερικές ερωτήσεις μια ένδειξη, και στη βάση γνώσης θα βρείτε ανά θέμα τη σύντομη απάντηση με την πηγή. Αν θέλετε να διατηρήσετε δομικά το μητρώο και την παρακολούθηση μετά, διαβάστε σε ποια είναι η κόστος του συστήματος τι περιλαμβάνεται.