Sikring av personopplysninger

GDPR spesifiserer at behandlingsansvarlige og databehandlere må iverksette egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå for personopplysninger som er tilstrekkelig for risikoen.

Følgende informasjon angir grunnleggende forholdsregler som bør vurderes av virksomheter som behandler personopplysninger (dvs. behandlingsansvarlige og databehandlere). Det tar ikke sikte på å gi en fullstendig liste over tiltak som kan iverksettes for å beskytte personopplysninger i alle mulige sammenhenger. Behandlingsansvarlige og databehandlere må tilpasse disse tiltakene til konteksten (med tanke på den tekniske tilstanden, behandlingskonteksten og risikoen for enkeltpersoner).

Konsekvensene av manglende sikkerhet kan være alvorlige: Virksomheter kan få omdømmet sitt svekket, miste forbrukernes tillit, måtte betale store summer for å gjenopprette systemer etter en sikkerhetshendelse (for eksempel etter et databrudd) eller få aktiviteten sin stoppet. Det er i interessen til både enkeltpersoner og virksomheter som behandler personopplysninger at personopplysningene blir tilstrekkelig sikret. 

For å vurdere risikoene som oppstår ved hver behandlingsaktivitet, er det først tilrådelig å identifisere den potensielle innvirkningen på de berørte enkeltpersonenes rettigheter og friheter. Mens virksomheter må beskytte dataene sine (uavhengig av om det er personopplysninger eller ikke) for sin egen interesse, fokuserer den følgende informasjon på beskyttelse av enkeltpersoners data.

Personopplysningssikkerhet består av tre hovedkomponenter: Beskyttelse av  integriteten, tilgjengeligheten og konfidensialiteten til dataene. Derfor bør virksomheter vurdere risikoene for følgende:

Det er også tilrådelig å identifisere risikokildene (dvs. hvem eller hva som kan være opprinnelsen til hver sikkerhetshendelse?), idet det tas hensyn til interne og eksterne menneskelige kilder (f.eks. IT-administrator, bruker, ekstern angriper, konkurrent) og interne eller eksterne ikke-menneskelige kilder (f.eks. vannskader, farlige materialer, ikke-målrettet datavirus).
Denne identifikasjonen av risikokildene vil tillate deg å identifisere potensielle trusler (dvs. hvilke omstendigheter kan medføre at en sikkerhetshendelse oppstår?) på hjelpemidler (f.eks. maskinvare, programvare, kommunikasjonskanaler, papir, etc.), som kan være:

• brukt på en upassende måte (f.eks. misbruk av rettigheter, håndtering av feil);
• modifisert (f.eks. programvare eller maskinvare entrapment — keylogger, installasjon av skadelig programvare);
• mistet (f.eks. tyveri av en bærbar PC, tap av en USB-nøkkel);
• observert (f.eks. observasjon av en skjerm i et tog, geolokasjon av innretninger);
• forverret (f.eks. hærverk, naturlig forringelse);
• overbelastet (f.eks. full lagringsenhet, tjenestenektangrep).
• utilgjengelig (f.eks. ved ransomware).

Det er også anbefalt å:

• fastsette eksisterende eller planlagte tiltak for å håndtere hver risiko (f.eks. tilgangskontroll, sikkerhetskopiering, sporbarhet, sikkerhet i lokaler, kryptering),
• anslå alvorlighetsgraden og sannsynligheten for risikoene, basert på ovennevnte komponenter (eksempel på en skala som kan brukes for estimatet: ubetydelig, moderat, signifikant, maksimal);
• gjennomføre og kontrollere planlagte tiltak dersom eksisterende og planlagte tiltak anses hensiktsmessige, sikre at de gjennomføres og kontrolleres,
• gjennomføre periodiske sikkerhetsrevisjoner: hver revisjon bør føre til en handlingsplan som bør kontrolleres på ledernivå i virksomheten.

GDPR introduserer begrepet "Data Protection Impact Assessment (DPIA)", som er obligatorisk for enhver behandling av personopplysninger som sannsynligvis vil resultere i høy risiko for enkeltpersoner. En DPIA må inneholde de tiltak som er planlagt for å håndtere de identifiserte risikoene, herunder sikkerhetstiltakog mekanismer for å sikre beskyttelse av personopplysninger.

Øke brukerbevisstheten

Det er viktig å gjøre ansatte eller brukere som håndterer personopplysninger oppmerksomme på risikoene knyttet til personvern, informere dem om tiltakene som er truffet for å håndtere risikoene og de potensielle konsekvensene i tilfelle svikt.

En annen forholdsregel er å dokumentere driftsprosedyrene, holde dem oppdatert og gjøre dem lett tilgjengelige for alle  som håndterer data. Mer konkret bør enhver behandlingsaktivitet, enten det gjelder administrative aktiviteter eller enkel bruk av en app, forklares på et klart språk og tilpasses hver kategori av behandlere, i dokumenter som det kan henvises til.

Opprette interne retningslinjer

Bevisstheten til intern håndtering av data kan være et dokument som bør være bindende og integrert i interne vedtekter. De interne retningslinjene bør særlig inneholde regler knyttet til personvern og sikkerhet. 

Andre organisatoriske tiltak

• Implementere retningslinjer for klassifisering av som definerer ulike nivåer og krever merking av dokumenter og e-postmeldinger som inneholder konfidensiell informasjon.
• Lage en synlig og eksplisitt merknad på hver side av et papir eller elektronisk dokument som inneholder sensitive data.
• Gjennomføre opplæring i informasjonssikkerhet og andre bevisstgjøringskurs. Jevnlige påminnelser kan gis via e-post eller andre interne kommunikasjonskanaler.
• Sørge for signering av en konfidensialitetsavtale eller inkludere en spesifikk konfidensialitetsklausul om personopplysninger i kontrakter med ansatte og andre behandlere.

Sikkert utstyr

Tillit til påliteligheten av dine informasjonssystemer er et sentralt tema. Implementering av egnede sikkerhetstiltak, som er pålagt etter GDPR, er en måte å øke tilliten.

Spesielt er det anbefalt å sikre:

Sikre arbeidsstasjoner

Følgende tiltak kan vurderes ved sikring av arbeidsstasjoner:

Følgende frarådes

Ytterligere tiltak

Beskytte virksomhetens lokaler

Tilgang til lokalene må kontrolleres for å hindre eller bremse direkte, uautorisert tilgang til papirdokumenter eller til datautstyr, spesielt servere.

Følgende anbefales

Følgende frarådes

Ytterligere tiltak

Det kan være hensiktsmessig å føre en oversikt over tilgang til rom eller kontorer som inneholder materiale med personopplysninger som kan ha en alvorlig negativ innvirkning på berørte personer. Ansatte som håndterer data må underrettes om gjennomføringen av et slikt system, etter å ha informert og konsultert med representanter for de ansatte.

Sørg også for at bare autorisert personell kan ha tilgang til begrensede områder. For eksempel:

Autentiser brukere

For å sikre at brukerne får tilgang til bare de dataene de trenger, bør de gis en entydig ID og bør autentisere seg før de bruker dataanleggene.
Mekanismer for å oppnå personautentisering er kategorisert basert på om de innebærer:

• hva vi vet, f.eks. et passord;
• hva vi har, f.eks. et smartkort;
• en karakteristikk som er spesifikk for personen, for eksempel måten en håndskrevet signatur er sporet.

Valget av mekanismen avhenger av konteksten og ulike faktorer. En brukers autentisering anses som sterk når den bruker en kombinasjon av minst to av disse kategoriene.

Administrere autorisasjoner

Differensierte nivåer av autorisasjoner bør implementeres etter behov. Brukerne skal bare ha tilgang til data på grunnlag av tjenstlig behov.

God praksis for autentisering og styring av autorisasjoner:

Følgende frarådes
 

Ytterligere tiltak

Etablere, dokumentere og regelmessig gjennomgå eventuelle retningslinjer for tilgangskontroll, som gjelder behandlingene som er implementert av organisasjonen, som bør omfatte:

Pseudonymisere data

Pseudonymisering er behandling av personopplysninger på en slik måte at det ikke lenger er mulig å koble personopplysningene til en bestemt fysisk person uten bruk av ytterligere informasjon. Slike tilleggsopplysninger må oppbevares separat og være underlagt tekniske og organisatoriske tiltak.

I praksis består pseudonymisering i å erstatte direkte identifiserende data (navn, fornavn, personnummer, telefonnummer osv.) i et datasett med indirekte identifiserende data (alias, sekvensielt nummer, etc.). Det gjør det mulig å behandle dataene til enkeltpersoner uten å kunne identifisere dem direkte. Det er imidlertid mulig å identifisere disse personene takket være tilleggsdataene. Pseudonymiserte data er fortsatt personopplysninger og er underlagt GDPR. Pseudonymisering er også reversibelt, i motsetning til anonymisering.

Pseudonymisering er et av tiltakene som anbefales av GDPR for å begrense risikoen forbundet med behandling av personopplysninger.

Kryptere data

Kryptering er en prosess som består i å konvertere informasjonen til en kode for å hindre uautorisert tilgang. Denne informasjonen kan bare leses på nytt ved å bruke riktig nøkkel. Kryptering brukes for å sikre konfidensialiteten til data. Krypterte data er fortsatt personopplysninger. Dermed kan kryptering betraktes som en av pseudonymiseringsteknikkene.
I tillegg kan hash-funksjoner brukes til å sikre dataintegritet. Digitale signaturer sikrer ikke bare integritet, de gjør det også mulig å verifisere opprinnelsen til informasjonen og dens autensitet.

Anonymisere data

Hvordan sjekke effektiviteten av anonymisering?

Europeiske tilsynsmyndigheter definerer tre kriterier for å sikre at et datasett virkelig er anonymisert:

1. Utskilling: det bør ikke være mulig å isolere informasjon om en person i datasettet.
2. Koblingsevne: det bør ikke være mulig å knytte separate databiter om samme person.
3. Inferens: det bør ikke være mulig å utlede informasjon om en enkeltperson, med tilnærmet fullstendig sikkerhet.

Sikkerhetstiltak for telebearbeiding

I forbindelse med telearbeid er det nødvendig å garantere sikkerheten til dataene samtidig som personvernet til enkeltpersoner respekteres.

Følgende anbefaler

Sikkerhetstiltak for BYOD (Bring Your Own Device)

Med utviklingen av BYOD, spesielt i små og mellomstore bedrifter, hviskes grensen mellom profesjonelt og personlig liv noe ut. Selv om BYOD ikke i seg selv representerer en behandling av personopplysninger, er det fortsatt nødvendig å ivareta datasikkerheten.

Forkortelsen "BYOD" står for "Bring Your Own Device" og refererer til bruk av personlig datautstyr i en profesjonell sammenheng. Et eksempel på dette vil være en ansatt som bruker personlig utstyr som en datamaskin, nettbrett eller smarttelefon for å koble til bedriftens nettverk.

Muligheten for å bruke personlige verktøy er først og fremst et spørsmål om arbeidsgiverens avgjørelse og nasjonal lovgivning. GDPR krever at sikkerhetsnivået for personopplysninger som behandles er det samme uavhengig av utstyret som brukes. Arbeidsgiver er ansvarlig for sikkerheten til virksomhetens personopplysninger, også når data lagres på områder der de ikke har noen fysisk eller juridisk kontroll, men som har autorisert tilgang til selskapets IT-ressurser. 

Risikoen som det er viktig å beskytte organisasjonen din mot, varierer fra et engangsangrep på datatilgjengeligheten, integriteten og konfidensialiteten til et generelt kompromittering av selskapets informasjonssystem (inntrenging, virus, etc.).