Draudimo bendrovė, siūlanti kibernetiniu pavojų draudimą, paprastai prašo dokumentų derinio: asmens duomenų, kuriuos jūs tvarkote ir kokiais tikslais, peržvalgos, jūsų techninių ir organizacinių saugumo priemonių aprašo, įrodymų, kad turite susitarimus su tiekėjais, kurie jūsų vardu tvarko duomenis, ir protokolo skirto nenumatytiems atvejams. Kai kurie draudikai to prašo atskirai, kiti viską integruoja į vieną skaitmeninę klausimyną.
Nėra jokio įstatymu nustatyto kibernetiniu pavojų draudimo dokumentų sąrašo. Pati GDPR nustato atskaitomybės pareigą: organizacija turi sugebėti parodyti, kad ji galvoja apie asmens duomenų apsaugą ir tai turi tvarkoje. Kaip ta įrodymo forma atrodys, nusprendžia pati draudimo bendrovė, o ne įstatymas. Tai yra būtent tas detalumas, kuris pirkimo metu dažniausiai praleistinas: verslo pradėtojai ieško tos formos arba to sertifikato, kuris pakaktų, o draudikai praktikoje nori matyti, kad yra suderinta visuma.
Ką draudiko bendrai nori matyti
Daugiausia klausimynų branduolys yra duomenų tvarkymų registras: asmens duomenų, kuriuos tvarkote, su kiekvienu tikslu, kaip ilgai jūs juos laikote ir kas turi prieigą, peržvalga. Be to, dažnai klausiama apie duomenų tvarkytojo sutartis su šalimis, kurios jūsų vardu tvarko duomenis, pavyzdžiui, jūsų apskaitos paketu, HR sistema arba rinkodaros įrankiu. Trečioji nuolat pasitaikanti dalis yra duomenų pažeidimo protokolas: kaip jūs nustotate incidento, ką informuojate savo organizacijoje ir kaip vertinate, ar reikalinga pranešimas Valstybinei duomenų apsaugos institucijai. Kas nedrįsta to, gali tai pamatyti keliose klausimų metu kur apytiksliai stovi situacija.
Draudikai toliau dažnai žiūri toliau nei tik GDPR. Klausimai apie atsarginį kopijavimą, slaptažodžio politiką, dviejų pakopų autentifikavimą ir kurie darbuotojai turi prieigą prie kokios sistemos, priklauso informacijos saugumui platesne prasme. Tai sutampa su privatumu, bet nėra lygus: verslo bendrovė gali turėti švarų duomenų tvarkymų registrą ir tuo pačiu metu silpną techninį saugumą, arba atvirkščiai. Priemonių, kurias jūs jau įgyvendinote, peržvalga padeda juos susieti; taip pat žiūrėkite kaip į tai žiūrima vertinant duomenis ir privatumą.
Kodėl įrodymavimas yra ne tas pats, kas sertifikavimas
Dažna klausimas yra tai, ar ISO sertifikatas arba kitas sertifikavimas pakeičia įrodymą, kurio ieško draudiko. Sertifikatas gali turėti įtakos, bet dažniausiai nepakeičia klausimo apie konkrečią jūsų situaciją: kokius duomenis tiksliai tvarko ši bendrovė, su kokiais tiekėjais ji bendradarbiauja ir kas atsitinka, jei kažkas nepavyks. Priežiūros institucijos ir draudikai šiame taške žiūri į panašius dalykus, bet su skirtingu tikslu: priežiūros institucija vertina įstatymo nuostatų laikymąsi, draudiko vertina riziką prieš išduodant draudimo polisą. Šis skirtumas paaiškina, kodėl du draudikai kartais prašo šiek tiek skirtingų dalykų, o pagrindinė bazė — registras, sutartys, protokolas — visada yra tas pats.
Ką jūs jau dabar galite paruošti
Tikslinga pradėti nuo to, kas jau yra: kokią programinę įrangą ir tiekėjus naudoja jūsų verslas ir ar tai atitinka duomenų tvarkytojo sutartį. Toliau tai yra faktinių dalykų nustatymas: kurie duomenys yra kur, kas turi prieigą ir kaip ilgai jie saugomi. Bendrovėms, kurios tai pirmą kartą sistemina, struktūrinis dažniausiai užduodamų klausimų sąrašas yra geras pradžios taškas; žiūrėkite atsakymus į klausimus, kurie dažniau pasitaiko šioje rūšyje prašymuose.
Jei norite pirmiausia suprasti, kaip sudaryta tokia dokumentų sąrašas ir į ką remiantis joje pateikta informacija, tai galite perskaityti žinių banke. Kiekviename straipsnyje yra trumpas atsakymas su nuorodomis į oficialinį tekstą, kad jūs galėtumėte patys patikrinti, iš kur kilęs reikalavimas; žr. pavyzdžiui, žinybos su paaiškinimu pagal temą prieš pradėdami pokalbį su draudimo bendrove.
Nuo atskirų dokumentų prie tęstinio registro
Sunkiausia šiuo pirkimo metu yra ne vieno dokumento parengimas, o jo palaikymas atnaujintoje būsenoje. Duomenų tvarkymo registras, sudarytas prieš metus ir nuo to laiko neatnaujintas, dažnai nustoja atitikti programines įrangas, kurias naudoja įmonė šiuo metu. Sistema, kuri leidžia registrui augti kartu su iš tikrųjų naudojamomis programomis ir kuri seka, kurių duomenų tvarkymo sutarčių dar trūksta, žymiai palengvina situaciją, kai draudimo bendrovė staiga jų prašo.
Tai, ar tai šiuo metu yra jūsų įmonės klausimas ir kokius konkrečius dokumentus jums reikia, geriausia aptarti su pačia draudimo bendrove arba su konsultantu; šis straipsnis teikia paaiškinimą, o ne teisinę konsultaciją dėl jūsų specifinio draudimo poliso.
Pirmiausia norite patys pamatyti, kur maždaug yra jūsų įmonė? Nemokamas greitasis skaitymas keletoje klausimų suteikia orientacinę informaciją, o žinių banke kiekviename straipsnyje rasite trumpą atsakymą su nuoromis. Jei po to norите strukturiškai palaikyti registrą ir stebėseną, tuomet skaitykite apie kiek kainuoja sistema ką ji apima.