Un asigurător care oferă o asigurare cibernetică cere de obicei o combinație de documente: o descriere a datelor cu caracter personal pe care le prelucrați și pentru ce scop, o descriere a măsurilor de securitate tehnice și organizatorice, dovezi că aveți acorduri cu furnizori care prelucrează date în numele vostru, și un protocol pentru situații în care ceva merge prost. Unii asigurători cer acestea separat, alții le prelucrează într-un singur chestionar digital.
Nu există o listă de documente prescrisă legal pentru o asigurare cibernetică. Regulamentul privind protecția datelor impune o obligație de demonstrare: o organizație trebuie să dovedească că se gândește la protecția datelor cu caracter personal și că o are în ordine. Cum arată această demonstrabilitate, o decide asigurătorul însuși, nu legea. Acesta este exact detaliul care se trece cel mai adesea cu vederea în momentul acestei achiziții: antreprenorii caută formularul sau certificatul care să fie suficient, în timp ce asigurătorii doresc în practică să vadă că există un întreg coerent.
Ce dorește de obicei să vadă un asigurător
Miezul majorității chestionarelor este un registru al prelucrărilor: o descriere a datelor cu caracter personal pe care le prelucrați, scopul, cât timp le păstrați și cine are acces la ele. În plus, se întreabă adesea despre acordurile de prelucrare cu terți care prelucrează date în numele vostru, cum ar fi softul vostru de contabilitate, sistemul HR sau un instrument de marketing. O a treia componentă recurentă este protocolul pentru încălcări de date: cum identificați un incident, pe cine anunțați în organizație și cum evaluați dacă este necesară o notificare Autorității pentru Protecția Datelor. Cine se întreabă dacă o situație se încadrează în aceasta, poate vedea în câteva întrebări unde se situează aproximativ o situație.
Asigurătorii se uită adesea și dincolo de Regulamentul privind protecția datelor. Întrebări despre copii de siguranță, politica parolelor, autentificarea cu doi factori și cine din cadrul companiei are acces la ce sisteme fac parte din securitatea informațiilor în sens mai larg. Aceasta se suprapune cu protecția datelor, dar nu este identică cu aceasta: o companie poate avea un registru al prelucrărilor exemplar și în același timp o securitate tehnică slabă, sau invers. O descriere a măsurilor pe care le-ați luat, ajută să conectați aceste două; consultați și cum se privește aceasta la evaluarea datelor și a confidențialității.
De ce demonstrabilitatea este diferită de un certificat de conformitate
O întrebare frecvent pusă este dacă un certificat ISO sau alt certificat de conformitate înlocuiește dovada pe care o caută un asigurător. Un certificat poate conta, dar rareori înlocuiește întrebarea despre situația voastră specifică: ce date prelucrează exact această companie, cu ce furnizori lucrează și ce se întâmplă dacă ceva merge prost. Autorități de supraveghere și asigurători se uită la aspecte comparabile la acest punct, dar cu un scop diferit: autoritatea de supraveghere evaluează conformitatea cu legea, asigurătorul estimează un risc înainte de a emite o poliță. Această diferență explică de ce doi asigurători uneori cer documente ușor diferite, în timp ce fundamentul – registrul, acordurile, protocolul – este mereu același.
Ce puteți pregăti deja
Este chibzuit să începeți cu ceea ce există deja: ce software și furnizori folosește compania voastră și dacă există un acord de prelucrare corespunzător. În continuare, este o chestiune de documentare a ceea ce se întâmplă de fapt: ce date stau unde, cine poate accesa și cât timp se păstrează. Pentru companii care cartografiază aceasta pentru prima dată, un chestionar structurat cu întrebări frecvente este un bun punct de plecare; consultați răspunsuri la întrebări care apar mai des în cazurile de acest fel.
Dacă preferați să mai întâi să înțelegeți cum este construită o astfel de listă de documente și pe ce informații se bazează, puteți citi mai multe în banca de cunoștințe. Acolo, pentru fiecare subiect, găsiți un răspuns scurt cu locul de referință în textul oficial, astfel încât să puteți verifica singuri de unde provine o cerință; de exemplu, consultați baza de cunoștințe cu explicații pe fiecare subiect înainte de a discuta cu un asigurator.
De la documente separate la un registru activ
Cel mai dificil aspect al acestui moment de cumpărare nu este redactarea unui singur document, ci menținerea acestuia la zi. Un registru de activități de prelucrare realizat cu un an în urmă și care nu a fost actualizat de atunci nu se aliniază adesea cu instrumentele pe care o companie le utilizează în prezent. Un sistem care permite registrului să crească odată cu software-ul efectiv utilizat și care urmărește care sunt încă lipsitele de contracte cu operatorul, vă economisește timp în momentul în care un asigurator vă cere brusc dovezi.
Dacă aceasta vă afectează compania în acest moment și ce documente aveți nevoie concret este ceva care ar trebui să discutați direct cu asiguratorul sau cu un consilier; acest articol oferă clarificare, nu sfaturi juridice cu privire la asigurarea dumneavoastră specifică.
Doriți mai întâi să vedeți singuri unde se situează mai mult sau mai puțin compania dumneavoastră? Evaluarea rapidă gratuită vă oferă într-o pereche de întrebări o indicație, iar în banca de cunoștințe găsiți pentru fiecare subiect răspunsul scurt cu locul de referință inclus. Dacă doriți mai apoi să mențineți structurat registrul și monitorizarea, citiți pe care sunt costurile sistemului din jur ce implică aceasta.