Zavarovalnica, ki ponuja zavarovanje za kibernetsko tveganje, praviloma zahteva kombinacijo dokumentov: pregled osebnih podatkov, ki jih obdelujete in v katere namene, opis vaših tehničnih in organizacijskih varnostnih ukrepov, dokaz da imate dogovore z dobavitelji, ki v vašem imenu obdelujejo podatke, in protokol za primer, da kaj ne gre po načrtu. Nekatere zavarovalnice to zahtevajo posebej, druge pa to vključijo v en digitalen vprašalnik.
Za zavarovanje kibernetskega tveganja ne obstaja zakonsko predpisan seznam dokumentov. Sama Uredba (EU) 2016/679 določa odgovornost za izkazovanje skladnosti: organizacija mora biti sposobna pokazati, da premišljeno pristopa k varstvu osebnih podatkov in da ima to urejeno. Kako ta izkazljivost izgleda, določi sama zavarovalnica, ne zakon. To je natanko tisti podrobnosti, ki se v trenutku nakupa najlahje spregledajo: podjetniki iščejo točno obrazec ali točno potrdilo, ki bi zadostovalo, medtem ko zavarovalnice v praksi predvsem želijo videti, da obstaja smiselna celota.
Kaj želi zavarovalnica običajno videti
Jedro večine vprašalnikov je register dejavnosti obdelave: pregled osebnih podatkov, ki jih obdelujete, nameni obdelave, kako dolgo jih hranite in kdo ima dostop do njih. Poleg tega se pogosto sprašuje tudi o pogodbah za obdelavo podatkov s stranmi, ki v vašem imenu obdelujejo podatke, kot je vaš računovodski paket, vaš HR-sistem ali orodje za trženje. Tretji pogosti element je protokol za kršitve varstva podatkov: kako zaznate incident, kogar v organizaciji obvestite in kako presodite, ali je potrebna prijava Nadzornem телу. Kdor dvomi, ali se določeni primer sodi sem, to lahko vidi v nekaj vprašanjih, kjer je situacija nekje.
Zavarovalnice pogosto gledajo tudi širše od samo Uredbe (EU) 2016/679. Vprašanja o varnostnih kopijah, politiki gesel, dvostopenjski avtentifikaciji in o tem, kdo v podjetju ima dostop do katerih sistemov, spadajo v varnost informacij v širšem smislu. To se prekriva z zavarstvom osebnih podatkov, vendar ni isto: podjetje ima lahko lepo urejen register dejavnosti obdelave in hkrati šibko tehnično varnost, ali obratno. Pregled ukrepov, ki ste jih že sprejeli, pomaga povezati ta dva aspekta; glejte tudi kako se to gleda pri presoji podatkov in zasebnosti.
Zakaj je izkazljivost drugačna od certifikata
Pogosto slišana vprašanja je, ali certifikat ISO ali neki drug certifikat nadomesti dokaz, ki ga išče zavarovalnica. Certifikat je lahko v pomoč, vendar redko nadomesti vprašanje o vaši specifični situaciji: katere podatke obdeluje ravno to podjetje, s katerimi dobavitelji dela, in kaj se zgodi, če kaj ne deluje. Nadzorni organi in zavarovalnice gledam na tej točki na podobne stvari, a z drugačnim namenom: nadzorni organ ocenjuje skladnost s predpisi, zavarovalnica pa oceni tveganje pred izdajo police. Ta razlika pojasnjuje, zakaj dve zavarovalnici včasih zahtevata drugačne dokumente, medtem ko je temeljna osnova — register, dogovori, protokol — vselej enaka.
Kaj lahko že vnaprej pripravite
Pametno je začeti s tistim, kar že obstaja: katera programska oprema in dobavitelji delujejo v vašem podjetju in ali je za to podpisana pogodba za obdelavo podatkov. Nato gre za to, da dokončno zapišete, kaj se dejansko dogaja: katere podatke kje imate, kdo jih lahko dostopa in kako dolgo jih ohranjate. Za podjetja, ki to prvič mapping, je strukturiran pregled pogosto zastavljenih vprašanj dober začetni korak; glejte odgovore na vprašanja, ki se pogosteje pojavljajo pri tovrstnih zahtevkih.
Tisti, ki bi radi najprej razumeli, kako je tako rubriko sestavljeno in na kakšnih podatkih temelji, lahko to preberejo v bazi znanja. Tam je za vsako temo kratek odgovor z navedkom v uradnem besedilu, da si lahko sami ogledate, od kje izvira zahteva; poglejte na primer v spoznavnica s pojasnili po temah preden govorite z zavarovalcem.
Od posameznih dokumentov k tekoči evidenci
Najtežje pri tem nakupnem trenutku ni sestavljanje enega dokumenta, temveč njegovo sprotno posodabljanje. Evidenca obdelave podatkov, ki je bila narejena pred letom dni in se od takrat ni posodabljala, pogosto ne ustreza več orodjem, ki jih podjetje medtem uporablja. Sistem, ki evidenco podatkov nese skupaj s programsko opremo, ki se dejansko uporablja, in ki spremlja, katere pogodbe s procesnimi subjekti še manjkajo, je v pomoč v trenutku, ko vas zavarovalec nenadoma prosi zanjo.
Ali se to v vašem podjetju trenutno dogaja in katere dokumente konkretno potrebujete, je najbolje, da se pogovorite sami z zavarovalcem ali s svetovalcem; ta članek daje razlago, ne pravnih nasvetov o vaši posebni polici.
Ali želite najprej sami videti, kako splošno stoji vaše podjetje? Brezplačni hitri pregled v nekaj vprašanjih da nakazat, v bazi znanja pa na vsako temo najdete kratek odgovor z navedkom. Ali nato strukturno vzdržujete evidenco in nadzor, preberite na kako se sistema okoli njega plačuje kaj je pri tem vključeno.