Poistovňa, ktorá ponúka kybernetické poistenie, si zvyčajne vyžaduje kombináciu dokumentov: prehľad toho, ktoré osobné údaje spracúvate a na aký účel, popis vašich technických a organizačných bezpečnostných opatrení, dôkaz, že máte dohodnuté záväzky s dodávateľmi, ktorí spracúvajú údaje vaším menom, a protokol na prípad, že niečo zlyhá. Niektoré poistovne si to vyžadujú oddelene, iné to spracúvajú v jednom digitálnom dotazníku.
Pre kybernetické poistenie neexistuje zákonom stanovený zoznam dokumentov. Samotné nariadenie GDPR stanoveného povinnosť zodpovednosti: organizácia musí byť schopná preukázať, že premýšľa o ochrane osobných údajov a že má to usporiadané. Ako vyzerá táto preukázateľnosť, určuje samotná poistovňa, nie zákon. Práve tento detail sa v tomto momente nákupu najčastejšie prehliadá: podnikatelia hľadajú ten vzor alebo ten certifikát, ktorý stačí, zatiaľ čo poistovne v praxi chcú najmä vidieť, že existuje koherentný celok.
Čo si poistovňa zvyčajne preje vidieť
Jadrom väčšiny dotazníkov je register spracúvania: prehľad toho, ktoré osobné údaje spracúvajte, na aký účel, ako dlho ich uchovávate a kto má k nim prístup. Okrem toho sa často pýtajú na dohody so spracúvateľmi s odovodnením s stranami, ktoré spracúvajú údaje vaším menom, ako je váš účtovný balík, váš HR systém alebo marketingový nástroj. Tretou pravidelne sa vyskytujúcou časťou je protokol pre porušenie údajov: ako zistíte incident, koho informujete v rámci vašej organizácie a ako posúdite, či je potrebné oznámenie Úradu na ochranu osobných údajov. Kto si nie je istý, či sa do toho vzťah spada, môže to vidieť na pár otázok, kde situácia zhruba stojí.
Poistovne ďalej často pozerajú ďalej, než len na nariadenie GDPR. Otázky o zálohách, zásadách hesiel, dvojfaktorovej autentifikácii a o tom, kto v podniku má prístup k ktorým systémom, patria k informačnej bezpečnosti v širšom zmysle. To sa prekrýva s ochranou osobných údajov, ale nie je to to isté: podnik môže mať starostlivo vložený register spracúvania a zároveň slabú technickú bezpečnosť, alebo naopak. Prehľad opatrení, ktoré ste naozaj vykonali, pomôže tieto dve prepájať; pozrite si aj ako sa na to pozerá pri hodnotení údajov a ochrany osobných údajov.
Prečo je preukázateľnosť niečo iné ako certifikácia
Často kladená otázka je, či certifikát ISO alebo iná certifikácia nahradí dôkaz, ktorý poistovňa hľadá. Certifikát môže mať váhu, ale zriedka nahrádza otázku o vašej konkrétnej situácii: ktoré údaje spracúva práve tento podnik, s ktorými dodávateľmi pracuje a čo sa stane, ak niečo zlyhá. Dozorní činitelia a poistovne sa v tomto bode pozerajú na podobné veci, ale s iným cieľom: dozorný činiteľ posúdi dodržiavanie zákona, poistovňa hodnotí riziko skôr, ako vydá poistku. Tento rozdiel vysvetľuje, prečo si niekedy dve poistovne vyžadujú mierne odlišné dokumenty, zatiaľ čo základný základ – register, dohody, protokol – zostáva stále rovnaký.
Čo si môžete vopred pripraviť
Je rozumné začať tým, čo už existuje: aký softvér a dodávateľov používa váš podnik a či existuje dohoda so spracúvateľom. Ďalej ide o zaznamenanie, čo sa v skutočnosti deje: ktoré údaje sú kde, kto sa k nim dostane a ako dlho zostávajú. Pre podniky, ktoré to mapujú prvýkrát, je štruktúrovaný prehľad často kladených otázok dobrým začiatočným bodom; pozrite si odpovede na otázky, ktoré sa častejšie objavujú pri takýchto požiadavkach.
Kto by radšej najprv chcel pochopiť, ako je takýto zoznam dokumentov zostavený a na čom je informácia založená, môže si to prečítať v znalostnej základni. Tam je na každú tému krátka odpoveď s odkazom na oficiálny text, aby ste si sami mohli overiť, odkiaľ daný požiadavka pochádza; pozrite si napríklad v banke vedomostí s vysvetlením na danú tému pred tým, ako budete rokovať s poisťovňou.
Od jednotlivých dokumentov k aktuálnemu registru
Najtažšou časťou tohto nákupného okamihu nie je vytvorenie jedného dokumentu, ale jeho udržiavanie v aktuálnom stave. Register spracúvania údajov, ktorý bol vytvorený pred rokom a odvtedy nebol aktualizovaný, často už nezodpovedá nástrojom, ktoré podnik medzičasom používa. Systém, ktorý nechá register rásť spolu s skutočne používaným softvérom a sleduje, ktoré zmluvy so spracovateľmi ešte chýbajú, šetrí čas v okamihu, keď na to poisťovňa náhle požiada.
To, či to v súčasnosti pre vašu firmu zohráva úlohu a ktoré dokumenty konkrétne potrebujete, je niečo, čo je najlepšie diskutovať priamo s poisťovňou alebo s poradcom; tento článok poskytuje vysvetlenie, nie právny názor na vašu špecifickú poličku.
Chcete si najprv sami pozrieť, ako sa vaša firma mäti nachádza? Bezplatná rýchla kontrola vám dá v niekoľkých otázkach predstavu, a v znalostnej základni nájdete ku každej téme krátku odpoveď s odkazom. Ak chcete potom register a monitoring systematicky udržiavať, prečítajte si na čo stojí systém okolo neho čo to s sebou nesie.