Większość naruszeń ochrony danych osobowych wynika ze zwykłych ludzkich błędów, a nie z zaawansowanych hakerów. Dlatego najważniejsze jest twoje zachowanie. Wymóg bezpieczeństwa zawiera art. 32 rozporządzenia: organizacja musi stosować odpowiednie środki techniczne i organizacyjne. Ty jesteś częścią środków organizacyjnych.
Hasła i logowanie
- Używaj długich haseł lub fraz hasłowych. Długość znaczy więcej niż dziwne znaki.
- Używaj innego hasła do każdej usługi. Ponowne używanie haseł sprawia, że jeden wyciek otwiera wszystko.
- Używaj menedżera haseł, na który zezwala organizacja, zamiast karteczek i arkuszy.
- Włącz uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne.
- Nigdy nie udostępniaj haseł, także współpracownikom ani pomocy technicznej IT. Prawdziwa pomoc techniczna nie prosi o twoje hasło.
- Nigdy nie pożyczaj BankID ani innych elektronicznych identyfikatorów.
Ekran, biurko i wydruki
- Blokuj ekran za każdym razem, gdy odchodzisz od komputera, nawet na kilka minut.
- Utrzymuj „czyste biurko”: nie zostawiaj na wierzchu papierów z danymi osobowymi.
- Dopilnuj, by goście, klienci i współpracownicy bez dostępu nie widzieli twojego ekranu, np. w recepcji lub w pociągu.
- Odbieraj wydruki od razu i korzystaj z bezpiecznego drukowania, jeśli jest dostępne. Niszcz w niszczarce papier z danymi osobowymi. Zwykłe śmieci nie są bezpieczne.
Sprzęt i przechowywanie
- Używaj zatwierdzonych systemów organizacji do danych osobowych. Nie wysyłaj plików służbowych na prywatną pocztę i nie zapisuj ich na prywatnych telefonach, pendrive’ach ani w prywatnej chmurze, jeśli zasady tego nie dopuszczają.
- Szyfruj urządzenia przenośne i nośniki danych oraz od razu zgłoś, jeśli zgubisz sprzęt.
- Nie podłączaj nieznanych pendrive’ów do komputera służbowego.
- Aktualizuj programy i system operacyjny. Odkładane aktualizacje zostawiają otwarte znane luki.
- Nie używaj internetowych usług sztucznej inteligencji do przetwarzania danych osobowych, jeśli pracodawca tego nie zatwierdził. To, co wkleisz, może być przechowywane i wykorzystane przez stronę trzecią.
- Sprawdź adresata, zanim naciśniesz „wyślij”. Błędny adresat to jedna z najczęstszych przyczyn naruszeń.
- Przy masowych wysyłkach użyj ukrytej kopii (UDW) lub narzędzia do wysyłki, aby nie wszyscy widzieli nawzajem swoje adresy.
- Nie wysyłaj danych wrażliwych ani numerów identyfikacyjnych zwykłym e-mailem. Użyj szyfrowanej poczty lub bezpiecznego komunikatora, który ma organizacja.
- Zwracaj uwagę na załączniki: czy w pliku są ukryte arkusze, wiersze lub komentarze, których adresat nie powinien widzieć?
Praca zdalna i podróże
- Korzystaj z VPN organizacji i zatwierdzonego sprzętu.
- Nie pozwalaj rodzinie ani gościom korzystać z komputera służbowego.
- Nie prowadź służbowych rozmów o klientach i pacjentach w miejscach publicznych, gdzie inni mogą je usłyszeć.
- W otwartych sieciach bezprzewodowych nie otwieraj systemów służbowych bez bezpiecznego połączenia.
Usuwanie i utylizacja
Gdy wyrzucasz stary komputer, telefon lub dysk, dane trzeba usunąć w sposób bezpieczny. To zadanie działu IT, więc oddaj sprzęt tam, a nie do kosza na śmieci.
Nie bój się pytać
Jeśli masz wątpliwości, czy coś jest dozwolone, zawsze lepiej zapytać wcześniej, niż potem sprzątać.