Vakuutusyhtiö, joka tarjoaa verkkorikollisuusvakuutusta, pyytää yleensä yhdistelmää asiakirjoista: yhteenveto siitä, mitä henkilötietoja käsittelette ja mihin tarkoitukseen, kuvaus tekniikastanne ja organisatorisista tietoturvatoimista, näyttö siitä, että teillä on sopimukset toimittajien kanssa, jotka käsittelevät tietoja puolestanne, ja protokolla siitä, mitä tehdään, jos jotain menee pieleen. Jotkut vakuutusyhtiöt pyytävät nämä erikseen, toiset käsittelevät ne yhdessä digitaalisessa kyselylomakkeessa.
Verkkorikollisuusvakuutukselle ei ole laissa määrättyä asiakirjaluetteloa. GDPR itse asettaa vastuullisuusvelvoitteen: organisaation on voitava osoittaa, että se harkitsee henkilötietojen suojausta ja että se on järjestyksessä. Vakuutusyhtiö määrittää itse, miltä tämä osoitettavuus näyttää, ei laki. Tämä on juuri se yksityiskohta, joka tässä ostotilanteessa jätetään useimmiten huomioon ottamatta: yrittäjät etsivät sitä lomaketta tai sitä sertifikaattia, joka riittää, kun taas vakuutusyhtiöt haluavat käytännössä nähdä, että on olemassa yhtenäinen kokonaisuus.
Mitä vakuutusyhtiö yleensä haluaa nähdä
Useimpien kyselylomakkeiden ydin on käsittelyrekisteri: yhteenveto siitä, mitä henkilötietoja käsittelette, mihin tarkoitukseen, kuinka kauan säilytätte ne ja kenellä on niihin pääsy. Lisäksi usein kysytään sopimuksista niiden osapuolten kanssa, jotka käsittelevät tietoja puolestanne, kuten kirjanpitoohjelmistostanne, HR-järjestelmästänne tai markkinointivälineestänne. Kolmas toistuva osa on tietoturvaloukkauksen protokolla: miten tunnistatte välikohtauksen, kenet informoitte organisaatiossanne ja miten arvioitte, onko ilmoitus sääntelyviranomaiselle välttämätön. Joille henkilöille on epäselvää, kuuluuko tapaus tähän, voi , siihen voi nähdä muutamassa kysymyksessä, missä tilanne suunnilleen on..
Vakuutusyhtiöt katsovat myös usein pidemmälle kuin vain GDPR:ään. Kysymykset varmuuskopioista, salasanakäytännöstä, kaksivaiheisesta todentamisesta ja siitä, kenellä yrityksessä on pääsy mihin järjestelmiin, kuuluvat tietoturvaan laajemmassa merkityksessä. Tämä päällekkäistä yksityisyydensuojan kanssa, mutta ei ole sama: yritys voi omata siistin käsittelyrekisterin ja samalla heikon teknisen tietoturvan, tai päinvastoin. Yhteenveto toimenpiteistä, joita olette jo toteuttaneet, auttaa yhdistämään nämä kaksi; katso myös miten niihin katsotaan arvioitaessa tietoja ja yksityisyyttä..
Miksi osoitettavuus on eri kuin sertifiointi
Usein kuultu kysymys on, korvataanko ISO-sertifikaatti tai muu sertifiointi näytöillä, joita vakuutusyhtiö etsii. Sertifikaatti voi olla merkityksellinen, mutta harvoin korvaa kysymystä omasta tilanteesta: mitä henkilötietoja juuri tämä yritys käsittelee, minkä toimittajien kanssa se työskentelee ja mitä tapahtuu, jos jotain menee pieleen. Valvontaviranomaiset ja vakuutusyhtiöt tarkastelevat tässä yhteydessä samanlaisia asioita, mutta eri tarkoituksella: valvontaviranomainen arvioi lain noudattamista, vakuutusyhtiö arvioi riskiä ennen vakuutuksen antamista. Tämä ero selittää, miksi kaksi vakuutusyhtiötä joskus pyytää hiukan eri asiakirjoja, vaikka taustalla oleva perusta — rekisteri, sopimukset, protokolla — on aina sama.
Mitä voitte valmiiksi valmistella
On järkevää aloittaa siitä, mitä jo on: mitä ohjelmistoja ja toimittajia yrityksenne käyttää, ja onko heillä vastineeksi sopimus. Seuraavaksi on kysymys siitä, mitä todellisuudessa tapahtuu: mitä tietoja missä on, kenellä niille on pääsy ja kuinka kauan ne säilytetään. Yrityksille, jotka ottavat tämän ensimmäistä kertaa haltuun, strukturoitu yhteenveto usein toistuvista kysymyksistä on hyvä lähtökohta; katso vastaukset kysymyksiin, jotka toistuvat useammin tämän kaltaisissa pyynnöissä.
Jos haluat ensin ymmärtää, kuinka tällainen asiakirjaluettelo on rakennettu ja mihin tiedot perustuvat, voit lukea sen tietovarastosta. Siellä on jokaisen aiheen osalta lyhyt vastaus virallisen tekstin löytöpaikalla, jotta voit itse tarkistaa, mistä vaatimus tulee; katso esimerkiksi tietopankissa kunkin aiheen selityksineen ennen kuin keskustelet vakuutusyhtiön kanssa.
Irrallisista asiakirjoista jatkuvaan rekisteriin
Vaikeinta tässä ostohetkellä ei ole yhden asiakirjan laatiminen, vaan sen ajantasaiseksi pitäminen. Käsittelyrekisteri, joka laadittiin vuotta sitten eikä ole sittemmin päivitetty, ei usein enää vastaa niiden ohjelmistojen kanssa, joita yritys on sittemmin ottanut käyttöön. Järjestelmä, joka saa rekisterin kasvamaan tosiasiallisesti käytetyn ohjelmiston mukana ja seuraa, mitkä käsittelijäsopimukset puuttuvat, säästää aikaa silloin, kun vakuutusyhtiö yhtäkkiä niitä pyytää.
Se, koskeeko tämä yritystäsi tällä hetkellä ja mitkä asiakirjat sinulla konkreettisesti tarvitaan, on asia, jonka sinun on parasta käydä läpi vakuutusyhtiön itsensä tai neuvonantajan kanssa; tämä artikkeli antaa selkeitä ohjeita, ei oikeudellista neuvontaa sinun erityisestä vakuutuksestasi.
Haluatko ensin nähdä itse, missä yrityksesi suunnilleen on? Ilmainen pika-arviointi antaa muutaman kysymyksen perusteella viitteen, ja tietovarastosta löydät jokaisen aiheen lyhyen vastauksen löytöpaikalla. Jos haluat pitää rekisterin ja valvonnan sen jälkeen rakenteellisesti ajan tasalla, lue mitä järjestelmä sen ympärillä maksaa mitä se sisältää.