Egy kiberkockázat-biztosítást kínáló biztosító általában dokumentumok kombinációját kéri: annak az áttekintése, hogy mely személyes adatokat dolgoz fel és milyen céllal, az Ön műszaki és szervezeti biztonsági intézkedéseinek leírása, igazolás az Ön nevében adatokat feldolgozó szállítókkal kötött megállapodásokról, valamint protokoll arra az esetre, ha valami balul sülne el. Egyes biztosítók ezeket külön kérik, mások pedig egy digitális kérdőívbe integrálják.
Nem létezik törvényi előírás szerinti lista a kiberkockázat-biztosításhoz szükséges dokumentumokról. Az AVG maga elszámoltathatósági kötelezettséget ír elő: egy szervezetnek bizonyítania kell, hogy gondolkodik a személyes adatok védelméről és azt rendben tartja. Hogy ez az igazolhatóság hogyan néz ki, azt maga a biztosító határozza meg, nem a törvény. Ez éppen az a részlet, amelyet e vásárlási mozzanattól leginkább figyelmen kívül hagynak: a vállalkozók azt keresik, hogy mely formanyomtatvány vagy mely tanúsítvány elégséges, miközben a biztosítók a gyakorlatban főleg azt szeretnék látni, hogy egy koherens egész áll fenn.
Mit szeretne általában látni egy biztosító
A legtöbb kérdőív magja egy adatkezelési nyilvántartás: annak az áttekintése, mely személyes adatokat dolgoz fel, milyen céllal, mennyi ideig őrzi meg azokat és kinek van hozzáférése. Ezen felül gyakran kérdeznek az Ön nevében adatokat feldolgozó felek adatkezelési megállapodásairól, például a könyvelési szoftveréről, az emberi erőforrások rendszeréről vagy egy marketingeszközről. A harmadik, ismétlődő összetevő az adathalál-protokoll: hogyan ismeri fel az incidenst, kit értesít szervezetén belül, és hogyan értékeli, hogy szükséges-e a Személyeske Adat Hatósághoz való bejelentés. Aki abban bizonytalan, hogy egy előfordulás ide tartozik-e, azt néhány kérdésben megláthatja, hogy egy helyzet nagyjából hol tartózkodik.
A biztosítók emellett gyakran az AVG-n túl néznek. Az adatok biztonsági másolatairól, jelszóházirenddről, kétfaktoros hitelesítésről és arról szóló kérdések, hogy a vállalaton belül kinek van hozzáférése mely rendszerekhez, az információbiztonság tágabb értelemben tartoznak. Ez átfedésben van az adatvédelemmel, de nem azonos vele: egy vállalat készülhet egy rendezett adatkezelési nyilvántartással és ugyanakkor gyenge műszaki biztonságot alkalmazni, vagy fordítva. A meghozott intézkedésekről szóló áttekintés segít annak összekapcsolásában; lásd még hogyan néznek rá az adatok és az adatvédelem értékelésénél.
Miért más az igazolhatóság, mint a minősítés
Gyakori kérdés, hogy egy ISO-tanúsítvány vagy más minősítés helyettesítheti-e a biztosító által keresett bizonyítást. Egy tanúsítvány figyelembe vehető, de ritkán helyettesíti a saját helyzetre vonatkozó kérdést: mely adatokat dolgoz fel ez a vállalat, mely szállítókkal működik együtt, és mi történik, ha valami balul sülne el. Az ellenőrzési szervek és a biztosítók ezen a ponton hasonló dolgokat néznek, de más céllal: az ellenőrzési szerv a törvény betartását vizsgálja, a biztosító egy biztosítás kiadása előtt a kockázatot becsüli. Ez a különbség magyarázza meg, hogy két biztosító miért kér néha eltérő dokumentumokat, miközben az alapul szolgáló rész — a nyilvántartás, a megállapodások, a protokoll — mindig ugyanaz.
Mit előkészíthet már most
Célszerű azzal kezdeni, ami már meglétezik: mely szoftvert és szállítót használ az Ön vállalata, és áll-e mögötte egy adatkezelési megállapodás. Ezt követően az a kérdés, hogy rögzítse, valójában mi történik: mely adatok hol találhatók, kinek van hozzáférésük és mennyi ideig őrzik meg azokat. Azok a vállalatok számára, akik ezt először térképezik fel, a gyakran ismételt kérdésekről szóló strukturált áttekintés jó kiindulópont; lásd az olyan kérdésekre adott válaszok, amelyek gyakrabban fordulnak elő ilyen jellegű kéréseknél.
Ha szeretnék először megérteni, hogyan épül fel az ilyen dokumentumlista, és milyen információkon alapul, azt a tudásbázisban találhatja meg. Ott témánként egy rövid válasz található a hivatalos szövegben való előfordulás helyével, hogy Ön maga ellenőrizhesse, honnan származik az követelmény; például nézzen meg tudásbázisban, témánként magyarázattal mielőtt egy biztosítóval beszélne.
Szétszórt dokumentumokból egy futó nyilvántartásba
Ennek a vásárlási pillanatnak a legnehezebb része nem egy dokumentum elkészítése, hanem annak naprakészen tartása. Egy olyan adatkezelési nyilvántartás, amely egy évvel ezelőtt készült és azóta nem frissítésre került, gyakran már nem illeszkedik a szoftverekhez, amelyeket egy vállalat időközben használ. Egy olyan rendszer, amely lehetővé teszi a nyilvántartás növekedését a tényleges használt szoftverrel, és nyomon követi, hogy mely adatkezelői szerződések hiányoznak még, megspórol sok mindent abban az időpontban, amikor egy biztosító hirtelen ezekért kérdez.
Hogy ez a pillanatban az Ön vállalkozását érinti-e, és konkrétan mely dokumentumokra van szüksége, azt legjobb közvetlenül a biztosítóval vagy egy tanácsadóval megbeszélnie; ez a cikk magyarázatot ad, nem pedig jogi tanácsot az Ön konkrét biztosítási szerződésével kapcsolatban.
Szeretne-e először maga megtekinteni, hogy vállalkozása körülbelül hol tart? Az ingyenes gyorsjelentés néhány kérdésből egy orientációs értékelést ad, és a tudásbázisban témánként megtalálja a rövid választ az előfordulás helyével. Ha ezt követően szeretné rendszeres alapon nyilvántartani és figyelemmel követni a nyilvántartást, olvasson el mennyibe kerül az ezt körülvevő rendszer milyen további elemek szükségesek.