Більшість порушень безпеки даних починається зі звичайного жесту: клацання на фальшивому посиланні, слабкого пароля, листа не тій людині, ноутбука, залишеного в автомобілі. Безпека залежить від технічних заходів і від звичок тих, хто працює.
Що каже закон
Стаття 32 GDPR вимагає від контролера й обробника застосовувати технічні та організаційні заходи, відповідні ризику, як-от шифрування, контроль доступу й резервні копії. Стаття 29 каже, що хто працює під керівництвом контролера, обробляє дані лише за інструкціями. Брак безпеки може бути тяжким адміністративним правопорушенням (стаття 38 закону Lei n.º 58/2019).
Паролі та облікові записи
- Використовуйте довгі й унікальні паролі для кожного сервісу. Фраза з кількох слів вартує більше, ніж абревіатура із символами.
- Ніколи не передавайте свої облікові дані, ні колегам, ні керівникам. Коли користуються спільним обліковим записом, уже не відомо, хто що зробив.
- Вмикайте багатофакторну автентифікацію скрізь, де система її пропонує.
- Не записуйте паролі на папірцях, приклеєних до монітора.
Фішинг і соціальна інженерія
Фішинг — це фальшиве повідомлення, що намагається змусити людину клацнути, відкрити вкладення чи назвати дані. Тривожні ознаки:
- терміновість або загроза («обліковий запис буде сьогодні заблоковано»);
- дивний відправник або адреса, схожа на справжню, але з іншою літерою;
- прохання про паролі, коди чи банківські дані;
- посилання, що ведуть на іншу адресу, ніж показано;
- несподівані вкладення.
Якщо підозрюєте: не клацайте, не відкривайте й не відповідайте. Повідомте ІТ-відділ або особу, названу в інструкціях. Якщо ви вже клацнули, повідомте негайно, навіть якщо соромно. Кожна година має значення.
Те саме стосується телефону чи особистої розмови: хто просить дані або доступ під правдоподібним приводом (фальшивий технік, фальшивий постачальник), може вас обманювати. Підтвердьте особу каналом, який вам відомий.
Звички на робочому місці
- Блокуйте екран, щойно відходите від робочого місця. У багатьох системах досить поєднання клавіш.
- Тримайте чистий стіл: не залишайте на видноті картки клієнтів чи колег.
- Непотрібні паперові документи знищуйте в шредері, а не викидайте до звичайного смітника.
- Стежте за екраном у громадських місцях, як-от потяги й кав’ярні, і уникайте відкритих мереж Wi-Fi для роботи.
- Не вставляйте в комп’ютер невідомі флешки. Не встановлюйте програми без дозволу.
Надсилання та передавання інформації
- Перевіряйте одержувача, перш ніж натиснути «надіслати». Надіслати дані не тій людині — це порушення конфіденційності, про яке слід повідомити.
- Пишучи багатьом людям поза компанією, використовуйте приховану копію (Bcc), щоб не розкрити адреси всіх.
- Користуйтеся лише інструментами, затвердженими компанією. Надсилання робочих даних з особистого облікового запису, через приватний месенджер чи до несанкціонованого інструмента штучного інтелекту може вивести дані з-під контролю роботодавця.
- Постачальники, які обробляють дані для компанії, є обробниками, і відносини мають бути закріплені в договорі (стаття 28 GDPR). Перш ніж вводити дані в новий сервіс, запитайте.
Пристрої
Ноутбуки й телефони з робочими даними мають бути захищені кодом чи біометрією, шифруванням і захистом на випадок втрати. У разі втрати чи крадіжки негайно повідомте роботодавця, бо це може бути порушення безпеки даних (урок 7).
Підсумок: надійні й особисті паролі, увага до того, на що клацаєте і кому пишете, захищені пристрої та швидке повідомлення, коли щось іде не так.