5月25日，監(jiān)管機構將正式開始執(zhí)行歐盟的“通用數(shù)據(jù)保護條例”。為確保企業(yè)合規(guī)計劃已經(jīng)準備就緒，以下是您可以采取的策略。
歐盟將于5月25日開始執(zhí)行通用數(shù)據(jù)保護條例(GDPR)。您的企業(yè)準備好了嗎?
星系安全論壇(ISF)的董事總經(jīng)理Steve Durbin說：“關于GDPR的事情，你永遠不知道自己什么時候會發(fā)生違約。”信息安全論壇是一個全球獨立的信息安全機構，專注于網(wǎng)絡安全和信息封信啊管理。而GDPR能帶來的最大挑戰(zhàn)便是如何在企業(yè)中啟用正在進行的程序，這不是一種紙盒訓練，企業(yè)需要進行一場根本性的變革，用以在持續(xù)長遠的基礎上與GDPR達成一致。
歐盟于2016年4月通過了GDPR，經(jīng)過5年多的努力，實現(xiàn)了歐盟的數(shù)據(jù)監(jiān)管現(xiàn)代化。它適用于與歐盟居民有關的個人數(shù)據(jù)，無論這些數(shù)據(jù)是在哪里處理的。它還界定了歐盟數(shù)據(jù)保護立法的范圍。而GDPR給監(jiān)管機構提供了嚴重的考驗——合規(guī)成本和罰款，在前一財政年度的全球年收入中，這一比例可以達到2000萬或總收入的4%。
“在5月25日來臨時，沒有人真正知道將會發(fā)生什么。”德勤風險和金融咨詢公司網(wǎng)絡風險服務責任人Dan Frank表示“我在歐盟的許多同事說，監(jiān)管部門可能需要一段時間來進行調(diào)查。我們坑會看到，為了這些監(jiān)管措施的出臺，需要6個月、8個月的時間，除非發(fā)生意外，否則不一定會有問題。”
換句話說，即使你的GDPR項目已經(jīng)很晚了，但你還是應該開始。
個人數(shù)據(jù)處理原則
GDPR是建立在處理個人數(shù)據(jù)的六項原則之上，本條例規(guī)定個人數(shù)據(jù)應該被：
1.合法、公正和透明的處理
2.以指定的、明確的和合法的目的收集
3.僅限于滿足組織所需要的必要條件
4.準確、必要時保持最新
5.保存一種行駛中，允許對數(shù)據(jù)對象的識別不超過必要
6.確保個人數(shù)據(jù)以適當、安全的方式進行處理
“GDPR的作用是迫使擁有歐洲個人數(shù)據(jù)的企業(yè)組織以合理的方式處理這些數(shù)據(jù)，并成為這些數(shù)據(jù)的良好保管者。這是為了確保他們使用這些數(shù)據(jù)的方式與歐洲公民的期望值保持一致。”云共享服務合規(guī)副總裁Crispen Maung表示“我們已經(jīng)看到，GDPR的概念在全球范圍內(nèi)的分布比預期的要多，就其概念而言，它試圖做的事情正在被遠東監(jiān)管機構消費，他們期望他們的國民數(shù)據(jù)得到處理和使用。”
每個人都在準備，基于云的身份管理上Okta的CIO Mark Settle補充道，從數(shù)據(jù)主權的角度來看，企業(yè)需要關心數(shù)據(jù)的物理位置，從金融機構、醫(yī)療保健甚至是石油和天然氣都在處理這一問題。
你的企業(yè)是否受到GDPR的影響?
如果你還沒有指定一個GDPR合規(guī)計劃，你應該考慮一下你是否遵守了規(guī)定。即使你的公司在歐盟沒有存在感，但也不一定與你無關。GDPR涵蓋了歐盟公民的個人數(shù)據(jù)，如果你的公司出現(xiàn)了這些數(shù)據(jù)，它就必須遵守規(guī)定。例如，這將適用于美國的一家酒店，改酒店存儲的信息就像更改公民信息一樣嚴格。
IT專業(yè)網(wǎng)絡Spiceworks的高級技術分析師Peter Tsai表示:“如果他們收集歐盟居民的個人數(shù)據(jù)，那么GDPR可能會應用于世界上所有的公司。”“任何在歐洲或歐洲公民中從事任何業(yè)務的公司都需要注意這一點，特別是如果他們還沒有開始準備的話。”很多公司沒有做任何事情，因為他們沒有被告知這個問題。
根據(jù)ISF的GDPR實施指南，該規(guī)定適用于任何組織:
1.在歐盟;
2.在歐盟之外，但針對歐盟數(shù)據(jù)主題的商品或服務;
3.在歐盟之外，但監(jiān)測歐盟個人的行為;
確定一個領頭的監(jiān)督機構
如果你的組織受到GDPR的影響，你需要在歐盟內(nèi)部確定一個領導監(jiān)督機構。根據(jù)ISF的GDPR實施指南:
1.組織成立于歐盟應該確定他們的領導監(jiān)督權力基于他們的總部的位置?；蛘?如果不在歐盟總部，首席監(jiān)管機構引導位于大多數(shù)數(shù)據(jù)主體所在的成員國或個人數(shù)據(jù)處理發(fā)生地。
2.在歐盟沒有設立機構的組織，但在GDPR下適用的個人數(shù)據(jù)處理組織必須指定一名代表(在成員國中選定)或者進行個人數(shù)據(jù)處理。
準備GDPR合規(guī)
遵守計劃的第一步是發(fā)現(xiàn)。您需要確定您的組織正在處理的個人數(shù)據(jù)的范圍和性質(zhì)。您的組織在GDPR的領土范圍內(nèi)處理哪些個人數(shù)據(jù)?
根據(jù)GDPR:
1.個人資料是“任何與已識別或可辨認的自然人有關的資料(資料科目)。”
2.個人資料的特殊類別是:“數(shù)據(jù)顯示種族或族裔來源、政治觀點、宗教或哲學信仰、工會會員、遺傳或生物特征數(shù)據(jù)處理，以獨特地識別自然人、有關健康的數(shù)據(jù)或有關自然人的性生活或性取向的數(shù)據(jù)。”
下一步是維護記錄，以便您能夠提供所有個人數(shù)據(jù)處理的準確、最新的細節(jié)。此要求只適用于:
3.你的組織雇傭了250人或更多的人。
4.您的組織雇員少于250人，但其個人數(shù)據(jù)處理可能會對數(shù)據(jù)主體的權利和自由造成風險，數(shù)據(jù)處理不是偶然的，或數(shù)據(jù)處理包括特殊類別的個人數(shù)據(jù)或涉及刑事定罪和犯罪。
需求的不同取決于您的組織是一個控制器還是個人數(shù)據(jù)的過程(許多組織都是)。控制器是確定處理個人數(shù)據(jù)的目的和方法的實體。處理器是代表控制器處理個人數(shù)據(jù)的實體。一般來說，GDPR在收集同意、管理撤銷同意和允許訪問個人數(shù)據(jù)的權利時，將onus放在數(shù)據(jù)控制器上。數(shù)據(jù)控制器還負責選擇符合GDPR的數(shù)據(jù)處理器。
一旦確定了數(shù)據(jù)并確定了需要保存哪些記錄，以及如何處理所有數(shù)據(jù)以及如何處理這些數(shù)據(jù)，就需要進行GDPR需求差距分析，以確定當前的兼容性級別。這將幫助您確定您的GDPR遵從計劃的范圍和您需要進行的關鍵活動以達到遵從性。
在其GDPR實施指南中，ISF建議組織在考慮以下情況時，確定解決其GDPR合規(guī)問題的優(yōu)先事項:
1.可能是高風險的個人資料處理(例如，特別類別的個人資料、與刑事定罪或犯罪有關的資料，以及與兒童有關的個人資料)
2.不遵守特定領域，將會招致你的監(jiān)管當局的嚴厲懲罰。
3.可能需要很長時間的更改(例如，必須執(zhí)行系統(tǒng)開發(fā)，新的IT服務采購，以及實現(xiàn)的重要更改)
4.與你的風險偏好不符的做法。
CIO需要為GDPR做好備
德勤的Frank指出，GDPR的許多部分已經(jīng)存在很長時間了。畢竟，它建立在1995年的歐盟數(shù)據(jù)保護指令上。他說，最令人擔憂的領域是新的GDPR需求。
他說，其中一個大問題是個人信息處理庫存。
Frank說:“你需要記錄你從歐盟居民那里收集的所有信息，你如何使用它，你與誰分享，你如何運輸它，你如何保護它。”
另外，可移植性和刪除需求是一個很大的問題。如果一個歐盟公民要求它，你必須為你的組織所持有的那個公民的所有個人資料提供一個單一的數(shù)據(jù)文件。該文件必須可移植到另一個實體，并且您必須能夠根據(jù)請求刪除所有公民的個人數(shù)據(jù)，這包括了員工數(shù)據(jù)。
你如何回應員工的詢問：“你對我有什么要求?我需要你把它刪掉，你能向我證明你做得到嗎?”Frank說，CIO和CISO們都需要考慮以下四點：
1. 個人信息處理的清單。“組織需要的許多數(shù)據(jù)都保存在結(jié)構化和非結(jié)構化數(shù)據(jù)存儲庫中。它在清點數(shù)據(jù)的過程中起著關鍵作用，”Frank說。
2. 第三方風險管理計劃。Frank說:“如果信息安全功能沒有良好的第三方安全評估程序，你將不得不倉促行事。”
3. 可移植性和擦除。“cio們需要考慮的是他們會采取何種極端措施。”你可以識別出幾十個，如果不是數(shù)百個(個人數(shù)據(jù))存儲的地方，”Frank說。“你能記錄一個程序來接收這些請求，接收這些請求，并回應那個人嗎?”你會擲骰子說我不會得到很多這樣的東西嗎?極端的第二個目的是將技術手段用于創(chuàng)建來自所有不同來源的數(shù)據(jù)文件或從所有不同來源中刪除的能力。
4. 隱私設計。cio需要確保它改變管理流程，以確保隱私是通過設計實現(xiàn)的，這包括數(shù)據(jù)保護影響評估。
京公網(wǎng)安備 11010502049343號