Jobban kell védeni az adatokat

Két hónapja lépett hatályba az Európai Unió új, általános adatvédelmi rendelete (General Data Protection Regulation, GDPR), és a szervezeteknek két évük van, hogy minden téren alkalmazkodjanak a szabályozáshoz. Az új előírás kétségtelenül komoly hatással lesz minden, az EU területén működő vállalatra, illetve azok adatfeldolgozási és -tárolási módszereire, és akár nem várt kihívásokat is teremthet. A jó hír azonban, hogy a NetIQ szakértői szerint a felkészüléshez adottak az eszközök és az időkeret is.

A GDPR minden eddiginél szigorúbb feltételeket szab az adatok kezelése terén, és érvényes minden kis, közepes méretű és nagyvállalatra, illetve közigazgatási szervezetre az EU-n belül. Sőt, még azokra a cégekre is kiterjed a szabályozás, amelyek székhelye nem az Unión belül található, de EU-s állampolgárok adatait kezelik. A rendelet számos fontos területet érint, például előírja, hogy minden felhasználónak jogában áll töröltetni az adatait egy adott vállalatnál, amennyiben már nem használja a cég szolgáltatását. Emellett minden személynek joga lesz ahhoz is, hogy egy adott rendszerből átvigye adatait egy másik rendszerbe, és ebben az adatok kezelője nem akadályozhatja meg. További jelentős kötelezettsége lesz a vállalatoknak, hogy jelenteniük kell minden olyan biztonsági incidenst, amely veszélyeztetheti az adatokat. Ez kiterjed a legkomolyabb hackertámadásoktól kezdve egészen a legapróbb esetekig, beleértve akár egy elveszett vagy ellopott adathordozót is, amennyiben olyan jellegű információkat tartalmazott. A kötelezettség elmulasztását pedig súlyos, több millió eurós bírsággal is sújthatják.

Kép:Flickr/Perspecsys

Szivárgó adatok

A NetIQ szakértői szerint az adatszivárgásról szóló értesítésekre vonatkozó, szigorú szabályok betartása állítja majd a vállalatokat a legnagyobb kihívások elé technikai és szervezési szempontokból egyaránt. A GDPR értelmében a vállalatoknak egy esetleges adatszivárgásnál az észlelést követő 72 órán belül értesíteniük kell a nemzeti adatvédelmi hatóságokat, valamint az érintett személyeket. Ezen kötelezettség alól csak akkor mentesülnek, ha az értesítés az érintettek jogait és szabadságát veszélyeztetné. Egy ilyen feladat komoly technikai kihívást jelent azon vállalatok számára, amelyeknek korábban nem kellett ilyen jellegű előírásokhoz igazodniuk. Fel kell ismerniük magát az adatszivárgást, majd azonosítaniuk kell az összes információs eszközt, amely érintett lehet, hogy ez alapján pontos értékelést tudjanak adni a kockázatokról a hatóságoknak és a fogyasztóknak.

Digitális darwinizmus: aki lemarad, kimarad
A magyar cégvezetők radikális változásokat várnak a digitalizáció hatására, de a legújabb technológiák átvételében még nem jeleskednek, például csak a hazai vállalatok alig fele alkalmazza a big data analitikát – derült ki a GE legfrissebb kutatásából.
Nem mind komoly kockázat

A nagyobb átláthatóságnak és a szélesebb körű tájékoztatásnak kétségtelenül megvannak az előnyei, ugyanakkor a NetIQ szakértői az Egyesült Államok példájából azt a következtetést is levonták, hogy a szabályozásnak nem várt következményei is lehetnek, köztük például az „adatszivárgási kimerültség". Ha folyamatosan kapják az értesítéseket az adatszivárgásokról a legnagyobb incidensektől kezdve a legapróbbakig, a fogyasztók idővel hozzászoknak az információáradathoz. Ez pedig egy idő után megnehezíti számukra, hogy megkülönböztessék a súlyos, valóban intézkedést igénylő biztonsági réseket a kisebb, figyelmen kívül hagyható értesítésektől. Ez ahhoz is vezethet, hogy a végén a felhasználó nem látja a fától az erdőt, és elkezdi figyelmen kívül hagyni az összes értesítést. Ezért a tájékoztatás során abban is nagy a vállalatok felelőssége, hogy az igazán súlyos eseteknél valóban jelezzék a probléma komolyságát, illetve a fogyasztók számára ajánlott teendőket is egyértelműen kommunikálják.

Felkészülni, vigyázz…

Noha a rendelet csupán 2018 májusában lép életbe, a szervezeteknek már most érdemes elkezdeniük a felkészülést, hiszen több folyamatban és szemléletmódban gyökeres változtatást igényelnek az új előírások.  Az adatszivárgások megelőzéséhez is hasznos lehet az a stratégia, amelyet a NetIQ szakértői minden modern vállalatnak ajánlanak. Mára már elavult a hagyományos védekezési módszer, amely csupán a peremvédelemre fókuszál, ezért a határvonalak mellett a belső eseményekre is nagy figyelmet kell fordítani. A hálózaton belül történő folyamatokat kontextusában kell vizsgálni, erre pedig az a legjobb megoldás, ha a biztonsági információ- és eseménykezelő (SIEM) rendszert összekapcsolják valamilyen személyazonosság- és jogosultságkezelő alkalmazással. Ezáltal könnyebben észlelhetők a gyanús tevékenységek, például ha egy alkalmazott, vagy egy magát alkalmazottnak álcázó támadó olyan adatok között kutat, amelyre nem lenne szüksége a mindennapi munkájához.

Már be lehet húzódni az adatvédelmi pajzs alá
Augusztus 1-jétől él a személyes adatok kereskedelmi célú transzatlanti cseréjét szabályozó új keretrendszer, a Privacy Shield. A rendszerben regisztrált amerikai cégeket úgy kell tekinteni, mint amelyek megfelelő szintű védelmet biztosítanak a személyes adatoknak, így részükre ezek az adatok az Európai Unió területéről továbbíthatóak lesznek.

Véleményvezér

Kísértetszállodát talált Hadházy Ákos

Kísértetszállodát talált Hadházy Ákos 

Különös pénzosztások az idegenforgalmi beruházások körül.
A korrupció rontja a boldogságindexet

A korrupció rontja a boldogságindexet 

Ötvenhatodik helyen a magyarok.
Hadházy Ákos újabb fél méter magas kilátót talált 217 millió forintért

Hadházy Ákos újabb fél méter magas kilátót talált 217 millió forintért 

Lombkoronasétány helyett ezúttal nádkoronasétány épült.
Száguldhatna a forint, ha Orbán Viktor kiegyezne az unióval

Száguldhatna a forint, ha Orbán Viktor kiegyezne az unióval 

A jogállamiság helyreállítása sok pénzt hozna.


Magyar Brands, Superbrands, Bisnode, Zero CO2 logo