Стаття 32 GDPR зобов’язує контролера вжити технічних і організаційних заходів, відповідних ризику. Найкращі з них марні, якщо працівник їх обходить. Більшість витоків даних виникає не від атаки на досконалу систему, а від помилки людини.
Паролі та вхід
- Використовуйте довгі й унікальні паролі. Речення краще за коротке слово зі спеціальними символами. Один і той самий пароль не використовуйте в кількох сервісах.
- Увімкніть багатофакторну автентифікацію всюди, де вона доступна.
- Пароль не передавайте нікому, навіть колезі чи керівникові. Не пишіть його на папірці під клавіатурою.
- Відходячи від комп’ютера, блокуйте його (у Windows клавіші Win + L).
- Паролі зберігайте у корпоративному менеджері паролів, якщо компанія ним користується.
Фішинг і шахрайські повідомлення
Фішинг — це шахрайське повідомлення, яке має змусити вас розкрити дані, натиснути шкідливе посилання або відкрити вкладення. Є й різновид телефоном та SMS. Ви його розпізнаєте так:
- квапить («негайно», «рахунок буде заблоковано»)
- адреса відправника лише схожа на справжню
- містить несподіване вкладення чи посилання
- вимагає пароль, код або платіж на новий рахунок
- звертається загалом: «шановний клієнте»
Що робити: не натискайте, не входьте через посилання, перевірте повідомлення іншим каналом (телефоном за відомим номером) і повідомте про нього за правилами компанії, найкраще відділу IT чи безпеки.
Робота віддалено та поза офісом
- Не працюйте з даними в публічній незахищеній мережі Wi-Fi без захищеного з’єднання (VPN), визначеного компанією.
- Блокуйте пристрій, коли відходите від нього. У публічних місцях стежте, щоб ніхто не бачив ваш екран.
- Службові дані не зберігайте в приватній хмарі й не надсилайте на приватну пошту.
- Службові пристрої не позичайте родині.
Папір і простір
- Документи з персональними даними не залишайте на столі, у принтері чи на копіювальному апараті. Наприкінці роботи замикайте їх.
- Непотрібні документи подрібнюйте, не викидайте у звичайний кошик.
- Під час розмови про особисті справи подумайте, хто вас чує.
Електронна пошта, спільний доступ і вкладення
- Перш ніж надіслати, перевірте адресата. Помилково надісланий лист — найпоширеніший витік даних.
- Для масового повідомлення людям поза колегами використовуйте приховану копію (Bcc), щоб адресати не бачили адрес один одного.
- Чутливі вкладення захищайте паролем, а пароль надсилайте іншим каналом.
- Ділитеся посиланням з обмеженим доступом, а не публічним.
Пристрої та носії даних
Невідомі USB-диски не вставляйте в комп’ютер. Про втрату телефона, ноутбука чи диска з даними компанії повідомляйте негайно. Швидке повідомлення дає змогу віддалено заблокувати або стерти пристрій.
Псевдонімізація та шифрування
Шифрування означає, що без ключа ніхто даних не прочитає. Стаття 32 GDPR прямо називає псевдонімізацію та шифрування можливими заходами. Якщо пристрій зашифровано і він загубився, ризик для людей зазвичай набагато нижчий.
Що запам’ятати
- Пароль особистий. Не передавайте його й використовуйте багатофакторну автентифікацію.
- Фішинг розпізнаєте за поспіхом, якого він вимагає, дивним відправником і закликом до дії.
- Документи замикайте, подрібнюйте й перед надсиланням перевіряйте адресата.
- Про втрату пристрою чи підозру на витік повідомляйте одразу.
Коли щось не вдалося
Помилка може статися з кожним. Ви надішлете лист не тому адресатові, натиснете посилання в шахрайському повідомленні або відкриєте вкладення, щодо якого не були певні. Ніколи цього не приховуйте. Негайно скажіть керівникові чи в IT. Своєчасне повідомлення дає змогу зупинити шкоду й дотриматися законних строків, про які йдеться в наступному уроці.