Član 32 GDPR-a: kako jasno dokumentovati mjere sigurnosti

Tehničke i organizacione mjere prema članu 32 GDPR-a nisu jednokratni IT dokument. Organizacija mora moći pokazati koje je rizike prepoznala za svoje stvarne obrade, koje mjere na njih odgovaraju i kada je njihova djelotvornost posljednji put provjerena. Spisak sa „zaštitnim zidom, rezervnom kopijom i pravilima za lozinke“ najčešće nije dovoljan.

Ovaj članak objašnjava kako rukovaoci i izvršioci obrade mogu dokumentovati mjere sigurnosti tako da veza između obrade, rizika, mjere, odgovornosti i dokaza ostane razumljiva. Nije riječ o apstraktnom katalogu sigurnosti, već o tome da li su mjere primjerene konkretnoj organizaciji i mogu li se u praksi provjeriti.

Član 32 GDPR-a zahtijeva nivo sigurnosti koji odgovara riziku. Pri izboru mjera treba uzeti u obzir stanje tehnike, troškove primjene, prirodu, obim, okolnosti i svrhe obrade. Važni su i vjerovatnoća i težina rizika za prava i slobode fizičkih lica. Zato propis ne donosi jednu istu listu mjera za svaku organizaciju.

Član 32 stav 1 GDPR-a između ostalog navodi pseudonimizaciju i enkripciju, trajno osiguravanje povjerljivosti, integriteta, dostupnosti i otpornosti sistema i usluga, kao i sposobnost pravovremenog vraćanja dostupnosti nakon incidenta. Takođe zahtijeva redovno testiranje, procjenjivanje i ocjenjivanje djelotvornosti mjera. Dokumentacija treba da prikaže ovu vezu između izbora mjere i njene stalne kontrole.

Za obavezu dokazivanja važan je član 5 stav 2 GDPR-a. Rukovalac ne mora samo postupati u skladu sa GDPR-om, već mora moći dokazati usklađenost. Član 24 GDPR-a traži odgovarajuće mjere i njihovo preispitivanje i ažuriranje kada je potrebno. Dokumentacija zato nije sama sebi svrha. Ona pokazuje kako organizacija ispunjava svoju odgovornost.

Dokumentacija sigurnosti počinje obradom, a ne proizvodom koji se koristi. Najprije treba pitati koji se podaci obrađuju, ko im može pristupiti, gdje se prenose i kakve posljedice mogu nastati zbog gubitka, izmjene ili neovlaštenog otkrivanja. Zdravstveni podaci, pristupni podaci, personalni spisi ili velike zbirke podataka klijenata mogu zahtijevati drugačiji nivo zaštite od jednostavnog javnog spiska kontakata.

Rizik se ne može otkloniti time što se proces nazove „standardnim“. Treba uzeti u obzir broj lica, trajanje mogućeg pristupa, zavisnost od jednog sistema, mogućnost vraćanja podataka i sposobnost da se incident brzo otkrije. Obrada sa visokom potrebom za zaštitom zahtijeva odgovarajuće snažne mjere i dokaze.

Evidentirajte i pretpostavke i preostale rizike. Ako se mjera zbog tehničkih ili ekonomskih razloga ne može odmah potpuno primijeniti, dokumentacija treba pokazati koja je privremena alternativa izabrana, zašto se čini proporcionalnom i kada će se situacija ponovo procijeniti. Tako se tvrdnja pretvara u obrazloženu odluku.

Korisna dokumentacija ne mora biti jedan jedini dokument. U praksi se evidencija aktivnosti obrade, politike, koncepti ovlaštenja, dokumenti pružalaca usluga, zapisnici testova i dokazi o obuci mogu međusobno povezati. Važno je da kontrolor može razumjeti vezu bez dugog traženja.

Za svaku važnu obradu treba pronaći najmanje svrhu i kategorije podataka, pogođene grupe, sisteme i pružaoce usluga, uloge pristupa, potrebu za zaštitom, važne rizike, dodijeljene mjere, odgovorne osobe i postojeće dokaze. Dodajte status primjene, poznate izuzetke, datum posljednje provjere i sljedeći termin kontrole.

Mjere treba opisati dovoljno precizno. „Zaštita pristupa postoji“ govori vrlo malo. Korisniji je opis koja uloga smije pristupiti kojim podacima, kako se pristup odobrava i ukida, kako se evidentiraju privilegovani pristupi i kada se ovlaštenja preispituju. Tehnički detalji mogu biti u prilogu ako ih osnovna dokumentacija jasno označi.

Član 32 GDPR-a traži više od izbora odgovarajućih mjera. Organizacija mora redovno testirati, procijeniti i ocijeniti njihovu djelotvornost. Interval zavisi od rizika i brzine promjena. Neizmijenjen sistem sa manjim rizikom treba drugačiji plan testiranja od obrade u oblaku sa brojnim vanjskim korisnicima i čestim izdanjima.

Zapisnik testa treba navesti mjeru, obim, metodu, datum, odgovornu osobu, rezultat i odstupanja. Primjeri su test vraćanja rezervne kopije, pregled korisničkih ovlaštenja, kontrolisani phishing test, izvještaj o zakrpama i ranjivostima, provjera enkripcije ili vježba za postupanje u sigurnosnom incidentu.

Negativan rezultat sam po sebi nije dokaz neusklađenosti ako organizacija sa njim postupa pravilno. Odstupanja treba procijeniti, odrediti prioritet i dodijeliti odgovornoj osobi sa realnim rokom. Naknadni test treba pokazati da li je problem stvarno otklonjen. Dokumentacija ne mora sadržavati svaki tehnički detalj, ali ne smije prikriti odlučujući rezultat.

Rukovalac ostaje odgovoran za izbor i provjeru odgovarajućih mjera. Ako obradu obavlja izvršilac obrade, ugovor prema članu 28 stav 3 tačka c GDPR-a mora obuhvatiti i obavezu primjene odgovarajućih tehničkih i organizacionih mjera. Zato nije dovoljno da pružalac usluge samo navede da je „certifikovan“ ili da ima sigurnosnu oznaku.

Provjerite koje dokaze pružalac stvarno dostavlja, gdje se obrada odvija, kako su uključeni podizvršioci i kako se prijavljuju incidenti. Član 28 stav 3 tačka h GDPR-a predviđa informacije potrebne za dokazivanje ispunjenja obaveza i omogućavanje provjera. Ta prava moraju biti praktično ostvariva i u svakodnevnom radu.

Jasne interne uloge pomažu. IT može provoditi tehničke kontrole, koordinacija zaštite podataka može podržati procjenu rizika i strukturu dokumentacije, a uprava može odlučivati o važnim preostalim rizicima i prioritetima. Odgovornost ne znači da jedna osoba mora obaviti svaki zadatak. Mora biti jasno ko priprema, odobrava, provjerava i prati svaku odluku. Dodatni kontekst daje stranica o izvršiocima obrade i pružaocima usluga.

Dokumentacija sigurnosti često zastari zbog promjene, a ne zbog određenog datuma. Novi CRM, drugi pružalac usluge u oblaku, dodatni pristup na daljinu, novo sučelje ili promijenjeni rok čuvanja mogu izmijeniti procjenu rizika. Uspostavite jednostavan proces promjene: ko prijavljuje promjenu, ko je procjenjuje, koji se dokumenti ažuriraju i kada se mjera testira.

Sigurnosni incidenti pokazuju da li opisane mjere funkcionišu u praksi. Nakon incidenta nemojte rješavati samo neposredni uzrok. Provjerite i da li je procjena rizika bila tačna, da li su upozorenja radila, da li su odgovornosti funkcionisale i da li je oporavak bio moguć. Pregled o povredama podataka i obavezama prijave objašnjava dalju procjenu nakon povrede ličnih podataka.

Ranije odluke treba ostaviti sljedivim i nakon ažuriranja. Verzija, razlog promjene, odobrenje i djelotvornost promjene pripadaju jasnoj istoriji. Tako organizacija može objasniti kako je učila iz testa ili incidenta bez nestrukturiranog prepisivanja cijele dokumentacije.

Česta greška je čisti spisak proizvoda. Nazivi softvera, zaštitnih zidova ili usluga u oblaku ne pokazuju da li se konkretni rizik smanjuje na odgovarajući način. I opšta politika je slab dokaz ako niko ne provjerava njenu primjenu. Dokumentacija zato treba uvijek pokazati konkretnu obradu i provjerljiv način kontrole.

Slične probleme stvaraju neažurirani spiskovi ovlaštenja, neprovjerene rezervne kopije i zapisnici testova bez rezultata. Rezervna kopija koja nikada nije vraćena dokazuje sposobnost oporavka samo ograničeno. Politika obuke bez dokaza o učešću ili ažuriranju ne pokazuje da je stigla do organizacije u praksi.

Izbjegavajte i kruta obećanja. Član 32 GDPR-a zahtijeva proporcionalnost i redovno preispitivanje, a ne tvrdnju da je svaki rizik isključen. Iskreno navedite koji rizik mjera smanjuje, koja ograničenja ostaju i kako se postupa sa preostalim rizikom. To je pouzdanije i olakšava kasnije odluke.

Za prvi pouzdan okvir često je dovoljna pregledna radna tabela. Izaberite ključne obrade, opišite njihovu potrebu za zaštitom i povežite postojeće mjere. Nedostatke nemojte označiti kao završene. Dodijelite odgovornu osobu i sljedeći rok. Zatim provjerite da li nezavisna osoba može razumjeti dokaze.

Počnite sa obradama koje bi nakon incidenta mogle izazvati teške posljedice ili zavise od mnogo ljudi i pružalaca usluga. Zatim uporedite interne politike, ugovore i tehničke kontrole. Protivrječnosti između dokumenata često su korisnije od još jedne opšte sigurnosne izjave, jer otkrivaju konkretne zadatke.

Godišnja osnovna provjera nije uvijek dovoljna za stalno održavanje. Dodajte provjere povodom novih sistema, pružalaca usluga, incidenata i važnih promjena obrade. Stranica o upravljanju privatnošću i usklađenosti smješta ove zadatke u organizacionu odgovornost. Provjera uloga može pomoći pri početnoj raspodjeli.