Osiguravač koji nudi osiguranje od kibernetičkih rizika obično traži kombinaciju dokumenata: pregled osobnih podataka koje obrađujete i u koju svrhu, opis vaših tehničkih i organizacijskih mjera sigurnosti, dokaz da imate dogovore s dobavljačima koji obrađuju podatke u vaše ime, i protokol za slučaj da nešto pođe po zlu. Neki osiguravači traže to zasebno, drugi to obrade u jednoj digitalnoj anketi.
Ne postoji zakonski propisana lista dokumenata za osiguranje od kibernetičkih rizika. Sama Uredba (EU) 2016/679 nameće obvezu odgovornosti: organizacija mora biti u stanju pokazati da razmišlja o zaštiti osobnih podataka i da je to uredila. Kako ta dokazivost izgleda, određuje sam osiguravač, ne zakon. To je upravo detalj koji se u ovom trenutku kupnje najčešće previđa: poduzetnici traže obrazac ili certifikat koji je dovoljan, dok osiguravači u praksi prije svega želje vidjeti da je sve usklađeno.
Što osiguravač obično želi vidjeti
Jezgra većine anketa je register obrade: pregled osobnih podataka koje obrađujete, u koju svrhu, koliko dugo ih čuvate i tko im ima pristup. Osim toga, često se pita o ugovorima za obradu s stranama koje obrađuju podatke u vaše ime, kao što je vaš računovodstveni paket, vaš HR-sustav ili marketinški alat. Treći redoviti dio je protokol za povrede podataka: kako prepoznajete incident, koga obavještavate unutar vaše organizacije i kako procjenjujete je li obavijest Autoritetima za zaštitu podataka potrebna. Tko je nesuran je li nečega dio toga, može to u nekoliko pitanja vidjeti gdje se situacija približno nalazi.
Osiguravači zatim često gledaju dalje od same Uredbe (EU) 2016/679. Pitanja o sigurnosnim kopijama, politici lozinki, dvofaktorskoj autentifikaciji i tko unutar poduzeća ima pristup kojem sustavu spadaju u informacijsku sigurnost u širem smislu. To se preklapa s privatnošću, ali nije njezino analogno: poduzeće može imati uredno vođen register obrade i istodobno slabu tehničku zaštitu, ili obrnuto. Pregled mjera koje ste stvarno proveli pomaže da se ta dva međusobno povežu; pogledajte i kako se to gleda pri procjeni podataka i privatnosti.
Zašto je dokazivost nešto drugačije od certifikacije
Često postavljeno pitanje je može li ISO-certifikat ili druga certifikacija zamijeniti dokaz koji osiguravač traži. Certifikat može biti važan, ali rijetko zamjenjuje pitanje o vašoj specifičnoj situaciji: koje podatke obrađuje upravo ovo poduzeće, s kojima dobavljačima surađuje, i što se događa ako nešto pođe po zlu. Nadzorni organi i osiguravači na ovoj točki promatraju slične stvari, ali s različitom svrhom: nadzorni organ procjenjuje sukladnost sa zakonom, osiguravač procjenjuje rizik prije nego što izda policu. Ta razlika objašnjava zašto dva osiguravača ponekad traže malo drugačije dokumente, iako je temeljna osnova — register, ugovori, protokol — uvijek ista.
Što možete unaprijed pripremiti
Pametno je započeti s onim što već postoji: koju softveru i dobavljače koristi vaše poduzeće, i postoji li za to ugovor za obradu. Zatim je to pitanje bilježenja što se zapravo događa: koji se podaci gdje nalaze, tko im može pristupiti i koliko dugo se čuvaju. Za poduzeća koja ovo prvi put čine, strukturirani pregled često postavljanih pitanja dobar je početak; pogledajte odgovore na pitanja koja se češće pojavljuju u takvim zahtjevima.
Ako želite prvo razumjeti kako je takav popis dokumenata sastavljen i na kojim informacijama se temelji, to možete pročitati u bazi znanja. Tamo se za svaku temu nalazi kratak odgovor s navedenim izvorom u službenom tekstu, kako biste sami mogli provjeriti odakle dolazi neki zahtjev; pogledajte primjerice bazama znanja s objašnjima po temama prije nego što razgovarate s osiguravačem.
Od odvojenih dokumenata do aktivnog registra
Najteže na ovom trenutku kupnje nije izrada jednog dokumenta, već održavanje njegova ažurnosti. Register obrade podataka koji je izrađen prije godinu dana i od tada nije ažuriran često više ne odgovara alatima koje je tvrtka u međuvremenu počela koristiti. Sustav koji omogućava da se register razvija zajedno sa stvarno korištenim softverom i prati koje ugovore s obrađivačima podataka nedostaju, čini razliku u trenutku kada osiguravač iznenada zatraži dokaze.
Je li ovo za vašu tvrtku relevantno trenutno i koji vam točno dokumenti trebaju, najbolje je raspraviti s samim osiguravačem ili s savjetnikom; ovaj članak pruža pojašnjenja, a ne pravnu analizu vašeg specifičnog polica.
Želite li prvo sami vidjeti gdje se vaša tvrtka trenutno nalazi? Besplatna brza procjena daje odgovor na nekoliko pitanja, a u bazi znanja za svaki predmet pronašli biste kratak odgovor s navedenim izvorom. Ako nakon toga želite redovito održavati register i praćenje, pročitajte na koliko sustav oko toga stoji što je sve uključeno.