Isikuandmetega seotud rikkumistest rääkides mõeldakse sageli keerukatele küberrünnakutele. Praktikas saavad paljud rikkumised alguse palju lihtsamatest probleemidest: töötaja kasutajakonto jääb pärast töösuhte lõppu avatuks, turvauuendus paigaldamata või dokument saadetakse valele inimesele.
Seetõttu ei saa andmekaitset ja infoturvet käsitleda kahe eraldiseisva teemana. Isikuandmete õiguspärane töötlemine eeldab ka seda, et andmed on piisavalt kaitstud.
Andmekaitse ei piirdu dokumentidega
Ettevõttel võivad olla olemas privaatsustingimused, andmetöötlusregister ja rikkumiste käsitlemise kord. Kui samal ajal puudub kontroll kasutajaõiguste, tarkvarauuenduste või andmete jagamise üle, ei ole andmekaitse siiski terviklikult korraldatud.
GDPR kohustab rakendama isikuandmete kaitseks asjakohaseid tehnilisi ja korralduslikke meetmeid. Need meetmed peavad vastama andmete laadile, töötlemise ulatusele ja võimalikele riskidele.
Kasutajaõiguste haldus on üks olulisemaid kontrollikohti
Üks sagedasemaid riske tekib siis, kui töötaja või teenusepakkuja ligipääs süsteemidele ei ole enam vajalik, kuid kasutajakonto jääb avatuks.
Probleeme võivad põhjustada näiteks:
- endise töötaja aktiivne e-postikonto;
- liiga laiad õigused kliendihaldussüsteemis;
- jagatud kasutajakontod;
- administraatoriõiguste põhjendamatu kasutamine;
- teenusepakkuja ligipääs pärast lepingu lõppemist;
- õiguste regulaarse kontrolli puudumine.
Ettevõttel peaks olema selge protsess, mille alusel õigused antakse, muudetakse ja eemaldatakse.
Töötaja lahkumisel ei piisa ainult töövahendite tagastamisest. Samal ajal tuleb sulgeda või muuta kõik tema kasutajakontod, ligipääsud, autentimisvahendid ja jagatud kaustade õigused.
Turvauuenduste edasilükkamine võib kaasa tuua andmekaitserikkumise
Paigaldamata tarkvarauuendus ei ole üksnes IT-osakonna tehniline probleem. Kui teadaoleva turvanõrkuse kaudu saadakse ligipääs isikuandmetele, võib tegemist olla GDPR-i tähenduses isikuandmetega seotud rikkumisega.
Ettevõttel peaks olema ülevaade:
- millist tarkvara ja milliseid seadmeid kasutatakse;
- kes vastutab nende uuendamise eest;
- kui kiiresti kriitilised turvaparandused paigaldatakse;
- kuidas kontrollitakse, et uuendused on tegelikult tehtud;
- millal lõpetatakse vananenud tarkvara kasutamine.
Eriti tähelepanelik tuleb olla veebilehtede, sisuhaldussüsteemide, e-posti, kaugjuurdepääsu ja pilveteenuste puhul.
Inimlik viga ei ole juhuslik erand
Paljud rikkumised tekivad eksliku e-kirja, valesti valitud adressaadi või õngitsusrünnaku tõttu. Selliseid juhtumeid nimetatakse sageli inimlikuks eksimuseks.
Organisatsioon peab hindama, kas töökorraldus ja tehnilised lahendused aitavad eksimusi ennetada.
Näiteks võib riski vähendada:
- tundlike manuste krüpteerimine;
- välisele adressaadile saatmisel kuvatav hoiatus;
- mitmefaktoriline autentimine;
- maksekorralduste täiendav kontroll;
- automaatne ekraanilukustus;
- töötajate regulaarne koolitamine;
- selge kord kahtlasest kirjast teatamiseks.
Koolitus peab olema praktiline ja korduv. Ühekordne infoturbe esitlus tööle asumisel ei pruugi olla piisav.
Andmekaitserikkumine ei tähenda alati andmete lekkimist
Rikkumisega võib olla tegemist ka siis, kui isikuandmeid ei ole avalikustatud.
GDPR-i tähenduses võib rikkumine puudutada konfidentsiaalsust, kui andmed jõuavad volitamata isikuni; terviklust, kui andmeid muudetakse või kahjustatakse; kättesaadavust, kui andmetele ei ole võimalik vajalikul ajal ligi pääseda.
Näiteks võib isikuandmete kadumine lunavararünnaku tõttu olla rikkumine ka siis, kui puuduvad tõendid andmete kopeerimise kohta. Samuti võib rikkumiseks olla olukord, kus oluline andmekogu või infosüsteem ei ole pikema aja jooksul kättesaadav.
Rikkumise korral hakkab aeg kiiresti jooksma
Kui isikuandmetega seotud rikkumine võib kujutada endast ohtu inimeste õigustele ja vabadustele, tuleb sellest üldjuhul teavitada Andmekaitse Inspektsiooni põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul.
Kui rikkumise käsitlemise protsess käivitatakse alles pärast intsidendi tekkimist, võib 72-tunnise tähtaja järgimine osutuda keeruliseks.
Mida ettevõte peaks regulaarselt kontrollima?
Andmekaitse ja infoturbe ühise vaate loomiseks tasub vähemalt kord aastas läbi vaadata:
- aktiivsed kasutajakontod ja õigused;
- lahkunud töötajate ligipääsud;
- kriitiliste süsteemide turvauuendused;
- varukoopiate olemasolu ja taastamise toimivus;
- mitmefaktorilise autentimise kasutamine;
- teenusepakkujate ligipääsud;
- andmekaitserikkumise käsitlemise protsess;
- töötajate teadlikkus ja koolitusvajadus;
- kasutatavate seadmete ja tarkvara nimekiri;
- logide olemasolu ja nende kontrollimine.
Terviklik lähenemine vähendab riske
Andmekaitse määrab, millistel tingimustel võib isikuandmeid töödelda. Infoturve aitab tagada, et andmed ei satu valedesse kätesse, ei muutu lubamatult ega lähe kaduma.
Need valdkonnad täiendavad teineteist.
Ettevõtte jaoks on kõige turvalisem lähenemine see, kui jurist, andmekaitsespetsialist, IT-partner ja juhtkond ei tegutse eraldi, vaid hindavad riske koos.
Nii ei jää andmekaitse ainult dokumentide tasandile ning infoturve ainult tehniliseks küsimuseks.